Krajem travnja talijanska tvrtka Sistemi Informativi, koja pruža ključne usluge tamošnjem javnom sektoru, pretrpjela je ozbiljan pokušaj kibernetičkog napada koji je napadačima mogao omogućiti pristup povjerljivim državnim podacima i komunikacijama. Gotovo u istom razdoblju hakerska skupina napala je platformu Canvas LMS, koju koriste tisuće sveučilišta i škola u Europi i svijetu, te ukrala više od 3 terabajta osjetljivih podataka, uključujući privatne poruke i informacije o studentima.
Ovo su samo neki od nedavnih primjera koji dokazuju da su kibernetički napadi postali dio naše svakodnevice, zbog čega gotovo svaki tjedan u vijestima možemo čitati o pokušajima napada ili uspješno realiziranim sigurnosnim probojima.
Prema izvješću Agencije EU za kibernetičku sigurnost (ENISA), u EU je u razdoblju od srpnja 2024. do lipnja 2025. zabilježeno prosječno 13 kibernetičkih incidenata dnevno. Više od trećine napada usmjereno je na institucije iz javne uprave, nakon čega slijedi sektor transporta, posebice zračni promet i logistika. Pritom je alarmantna činjenica da je gotovo 80 posto napada ideološki motivirano, odnosno vezano uz geopolitičke sukobe i nacionalne izbore.
Situacija u Hrvatskoj odražava širi trend prisutan u EU. U prvom kvartalu 2026. godine, prema podacima Nacionalnog centra za kibernetičku sigurnost (NCSC-HR), prijavljeno je 106 kibernetičkih incidenata, od kojih je 15 ocijenjeno kao značajno. Time se nastavlja kontinuirani uzlazni trend kibernetičkih prijetnji. CARNET-ov Nacionalni CERT navodi da je tijekom prošle godine u Hrvatskoj zabilježen porast prijave incidenata od gotovo 36 posto u odnosu na 2024. godinu, a većina ih je motivirana ostvarivanjem financijske koristi.
Aktivna kibernetička zaštita
Miro Đuzel, pomoćnik ravnatelja CARNET-a za Nacionalni CERT, ističe kako broj i sofisticiranost napada stalno rastu, od ransomware napada koji mogu paralizirati bolnice i tvrtke do ciljanih napada na kritičnu infrastrukturu i sustave.
„Domaće institucije i tvrtke meta su kibernetičkih napada koji mogu dovesti do financijskih gubitaka, narušavanja reputacije pa čak i prekida poslovanja. Razvoj tehnologija poput umjetne inteligencije, interneta stvari (IoT) i računalstva u oblaku širi površinu napada. Istovremeno, napadači koriste iste te tehnologije za automatizaciju i ubrzavanje napada, što dodatno otežava zaštitu. Upravo zato, sve se više potiče aktivna kibernetička zaštita“ - objasnio je Đuzel.
Republika Hrvatska je u veljači 2024. godine donijela Zakon o kibernetičkoj sigurnosti (ZKS), koji predstavlja važnu prekretnicu u razvoju nacionalnog zakonodavnog okvira za jačanje otpornosti. Navedeni zakon prvi put uvodi sveobuhvatan sustav upravljanja kibernetičkom sigurnošću usklađen s Direktivom NIS2, a glavna svrha mu je povećati otpornost države i gospodarstva na kibernetičke napade, zaštititi ključne usluge i infrastrukturu te uspostaviti jasna pravila odgovornosti i prijavljivanja incidenata.
Kibernetička sigurnost kao zakonska obveza
Đuzel navodi da donošenjem ZKS-a i pripadajuće Uredbe o kibernetičkoj sigurnosti kibernetička sigurnost više nije samo IT pitanje, već zakonska obveza. Naime, novim zakonskim okvirom se krug obveznika značajno proširio u odnosu na prethodni zakon i dosadašnju Direktivu NIS1. Time se kibernetička sigurnost po prvi put sustavno postavlja kao obveza velikog dijela javnog i gospodarskog sustava, a organizacije su dužne prijavljivati značajne sigurnosne incidente kako bi se omogućila brža reakcija nadležnih institucija i učinkovitije upravljanje potencijalnim krizama.
„Zakon dijeli obveznike u dvije kategorije: ključne i važne subjekte. Riječ je o subjektima čiji bi poremećaj u radu imao značajan utjecaj na društvo i gospodarstvo. Kategorizirani subjekti zaprimili su obavijest o kategorizaciji te je time započela njihova obveza primjene zakonom propisanih mjera. Ako pravna osoba nije izravno kategorizirana, ali djeluje kao izravni dobavljač ili pružatelj usluga subjektu te je dio njegova lanca opskrbe, može biti obuhvaćena primjenom ZKS-a kroz mjere sigurnosti lanca opskrbe“, pojasnio je Đuzel.
U slučaju incidenta koji uzrokuje ili može uzrokovati ozbiljan poremećaj u pružanju usluge, organizacije su dužne bez odgode prijaviti incident putem nacionalne platforme PiXi kojom upravlja CARNET. Subjekti moraju poslati rano upozorenje u roku od 24 sata, a početnu obavijest u roku od 72 sata od saznanja o incidentu. U slučaju neizvršenja obveze, Zakon jasno definira financijske sankcije, koje su usklađene s europskom praksom i razlikuju se ovisno o kategoriji subjekta.
Prijava putem platforme PiXi
Kako navodi Đuzel, prijavljivanje incidenata zakonska je obveza, ali i temelj zajedničke zaštite.
„Kroz platformu PiXi, omogućujemo subjektima jednostavno ispunjavanje njihovih obveza te dobivanje povratnih informacija. Također, prijavom subjekti dobivaju stručnu pomoć jer nadležni CSIRT (Computer Security Incident Response Team) pruža operativne savjete i smjernice za ublažavanje štete. Dijeljenjem informacija o napadima, drugi subjekti mogu dobiti upozorenja o novim prijetnjama u stvarnom vremenu, a analiza incidenata nadležnim CSIRT-ovima pomaže u prepoznavanju trendova i taktika napadača“, kazao je Đuzel.
Nacionalni CERT poziva na prijavu incidenata putem platforme PiXi, uključujući i one koji ne spadaju pod zakonsku obvezu, ali su važni za dodatno jačanje otpornosti nacionalnog kibernetičkog prostora.
Kako bi potaknuo organizacije na prijavu kibernetičkih napada, CARNET je pokrenuo informativnu kampanju s ciljem motiviranja svih obveznih tvrtki i ustanova na pravodobnu prijavu sigurnosnih kompromitacija.
„Novi zakonodavni okvir donosi značajne promjene, od formaliziranih sigurnosnih mjera do strožih rokova, nadzora i sankcija. Iako implementacija može biti izazovna, cilj je jasan - postizanje visoke razine kibernetičke sigurnosti i zajedničke otpornosti u sektorima propisanim zakonom“, zaključio je Đuzel.
Za sudjelovanje u komentarima je potrebna prijava, odnosno registracija ako još nemaš korisnički profil....