# Odabir pružatelja usluga IT sigurnosti: 12 pitanja prije narudžbe

> Pronaći pružatelja usluga IT sigurnosti: 12 pitanja kojima stvarno uspoređujete ponuditelje za web-poslužitelje i PHP, uz tipične znakove upozorenja u ponudama.

Izvor: https://phpsos.de/hr/blog/sicherheitsdienstleister-auswaehlen/  
Stanje: 25.10.2026  
Pružatelj: PHP SOS, PHP hitna pomoć i sigurnost poslužitelja. Hitna pomoć putem WhatsAppa: https://wa.me/491736494914?text=Pozdrav%20PHP%20SOS%2C%20trebamo%20pomo%C4%87%20s%20na%C5%A1im%20PHP%20poslu%C5%BEiteljem.%20Tvrtka%3A%20%E2%80%A6%20Web-stranica%3A%20%E2%80%A6

**Ukratko:** Pružatelja usluga IT sigurnosti najbolje je pronaći prije nego što Vam hitno zatreba. Ponuditelje usporedite konkretnim pitanjima: kako postupaju, tko radi na Vašim sustavima, kako se osiguravaju dokazi, što stoji u izvješću i gdje su granice njihove ponude. Ozbiljni ponuditelji odgovaraju na ta pitanja jasno i pisano. Apsolutna obećanja, pritisak i nejasni opisi usluga su znakovi upozorenja.

## Zašto je odabir upravo sada težak

Nakon situacije poput PHP2Shella potražnja za sigurnosnim uslugama naglo raste. Istodobno se pojavljuju ponude koje zvuče brzo, sveobuhvatno i povoljno. Tvrtkama bez vlastitog sigurnosnog odjela teško je razlikovati kvalitetu od dobrog marketinga.

Dodaje se vremenski pritisak. Tko sumnja na provalu, želi pomoć odmah i nema tjedan dana za usporedbu. Zato se isplati odabir obaviti u mirnim vremenima i ključne točke razjasniti unaprijed. Trebate li uopće pružatelja usluga, odgovara naš članak [Riješiti sami ili dovesti pružatelja usluga?](https://phpsos.de/hr/blog/selbst-beheben-oder-dienstleister/). Ovdje je riječ o tome kako pronaći pravoga.

## Pronaći pružatelja usluga IT sigurnosti: 12 pitanja

Ova pitanja postavite svakom ponuditelju koji dolazi u obzir. Odgovori bi trebali biti konkretni i po mogućnosti pisani.

1. **Koje sustave poznajete iz vlastitog rada?** Ponuditelj za mrežnu sigurnost nije automatski iskusan s PHP-FPM-om, Pleskom ili kontejnerima. Pitajte u kojim okruženjima tim redovito radi.
2. **Tko konkretno radi na našim sustavima?** Vlastiti zaposlenici, partneri ili podizvođači? Kod partnera mora biti jasno tko preuzima koji zadatak i tko prema Vama ostaje odgovoran.
3. **Kako izgleda Vaš postupak u prvim koracima?** Dobri odgovori navode obuzdavanje, osiguranje dokaza i popis stanja prije svakog čišćenja, kako predviđa i [Kontrolni popis nakon hakerskog napada](https://phpsos.de/hr/ratgeber/checkliste-nach-dem-hack/).
4. **Kako osiguravate dokaze?** Osiguravaju li se logovi i datoteke prije izmjena, s vremenskom oznakom i kontrolnim zbrojem? To je važno za osiguranje, prijave i moguću kaznenu prijavu.
5. **Koji su Vam pristupi potrebni i kako s njima postupate?** Ozbiljni ponuditelji traže samo nužna prava, koriste osobne račune i pristupe vraćaju nakon završetka.
6. **Postoji li pisani sporazum prije pristupa?** Tome pripadaju opseg, ovlasti i, kod osobnih podataka, ugovor o obradi podataka. Više o tome u članku [Ugovor o obradi podataka kad pružatelji usluga pristupaju poslužiteljima](https://phpsos.de/hr/blog/auftragsverarbeitung-serverzugriff/).
7. **Tko odlučuje o dalekosežnim koracima?** Isključivanje, brisanje, ponovno postavljanje: ponuditelj bi takve korake trebao predložiti i obrazložiti, a odluka ostaje kod Vas.
8. **Što stoji u završnom izvješću?** Zatražite primjer bez podataka klijenata. Dobro izvješće razdvaja dokazano, vjerojatno i nepoznato te navodi otvorene točke.
9. **Kako komunicirate tijekom narudžbe?** Postoje li stalni kontakti, redovita međustanja i jasan kanal za hitne upite?
10. **Gdje su granice Vaše ponude?** Pravno savjetovanje, komunikaciju s tijelima ili forenzička vještačenja za sudove ne preuzima svatko. Ozbiljan ponuditelj to kaže sam od sebe.
11. **Kako se obračunava?** Prema utrošku, paušalno ili okvirnim ugovorom? Neka Vam objasne što je uključeno, a što nije, da poslije nema iznenađenja.
12. **Što se događa nakon incidenta?** Podržava li ponuditelj naknadnu obradu, ojačavanje i trajno održavanje ili narudžba završava čišćenjem?

## Znakovi upozorenja u ponudama

Neke bi Vas formulacije trebale učiniti oprezima. Tu spadaju obećanja apsolutne sigurnosti, tvrdnja da nakon čišćenja „zasigurno više ništa nije“ na poslužitelju i izjave koje bez popisa stanja već znaju rezultat. Dobri ponuditelji govore o vjerojatnostima i dokazima.

Oprez je potreban i ako ponuditelj navaljuje na pristupe prije nego što su opseg i ovlasti razjašnjeni ili ako Vam se nepozvan javlja e-poštom ili telefonom i tvrdi da je Vaš poslužitelj hakiran. U kriznim tjednima prevaranti koriste takve metode. Pošiljatelja provjerite neovisnim putem prije nego što reagirate.

Još jedna napomena: logotipi, pečati i nagrade lako se stave na web-stranicu. U slučaju sumnje pitajte tko je pečat dodijelio i što je za to provjereno.

## Javne orijentacijske pomoći

BSI (njemački Savezni ured za informacijsku sigurnost) objavljuje popise kvalificiranih pružatelja usluga za određena područja, primjerice za odgovor na takozvane APT napade, dakle ciljane, dugotrajne napade, i za obranu od DDoS napada. Ti su popisi za organizacije s odgovarajućom potrebom dobra orijentacija. Tipičan incident na pojedinačnom web-poslužitelju često ne spada u te kategorije; tu dolaze u obzir i ponuditelji koji tamo nisu navedeni.

Korisne su i preporuke iz vlastite mreže, primjerice od branšnih udruga, komora, Vašeg osiguratelja ili drugih tvrtki koje su doživjele incident. Neki osiguratelji kibernetičkog osiguranja u svojim uvjetima navode vlastite kontakte ili pružatelje usluga za slučaj štete. Provjerite svoju policu prije nego sami naručite.

> **Savjet:**
> Odgovore na dvanaest pitanja zabilježite u kratkoj tablici i priložite je uz plan za hitne slučajeve. U kritičnom trenutku tada odmah znate koga nazvati i što je dogovoreno.

## Ugovorno utvrditi ono što je važno

I uz dobar odabir najvažnije točke treba urediti pisano: opseg usluga, pristupe i njihov povrat, povjerljivost, postupanje s dokazima, obveze izvješćivanja i obračun. Koje su klauzule smislene, opisuje [Ugovori s IT pružateljima usluga: jasno urediti obveze sigurnosti](https://phpsos.de/hr/blog/dienstleistervertrag-sicherheit/). Odgovara li Vaš ugovor pravno, provjerava odvjetnik; mi za to isporučujemo tehničke točke.

## Kako PHP SOS konkretno pomaže?

- Dvanaest pitanja za vlastitu ponudu odgovaramo pisano prije nego što nas angažirate, i o granicama naše usluge.
- Otvoreno navodimo koje zadatke preuzimamo sami, a gdje radimo sa specijaliziranim partnerima, primjerice kod forenzike ili penetracijskih testova.
- Prije prvog pristupa dogovaramo opseg, ovlasti i po potrebi obradu podataka po nalogu.
- U incidentu radimo prema tijeku našeg [odgovora na incidente](https://phpsos.de/hr/leistungen/incident-response/): obuzdati, osigurati, očistiti, dokumentirati.

## Zaključak

Pravog pružatelja usluga sigurnosti ne prepoznajete po najglasnijem obećanju, nego po jasnim odgovorima na konkretna pitanja. Tko dvanaest pitanja postavi u mirnim vremenima i zabilježi rezultate, u kritičnom trenutku odlučuje brže i bolje.


## Česta pitanja

**Po čemu prepoznajem ozbiljnog pružatelja usluga IT sigurnosti?**  
Po jasnim izjavama o postupku, odgovornostima i granicama, po pisanom sporazumu prije pristupa i po izvješću koje razdvaja dokazano od pretpostavljenog. Nepovjerenje je na mjestu kod apsolutnih obećanja i kod pritiska da se odmah predaju pristupi.

**Vodi li BSI popis pružatelja usluga?**  
BSI objavljuje popise kvalificiranih pružatelja usluga za određena područja, primjerice za odgovor na APT napade i za obranu od DDoS napada. Ti se popisi odnose na posebne situacije; za tipičan incident web-poslužitelja dolaze u obzir i drugi ponuditelji.

**Trebam li zatražiti više ponuda?**  
Kod planiranih narudžbi poput ojačavanja, audita ili ugovora o održavanju da. U akutnom hitnom slučaju za to često nema vremena. Zato je važnije unaprijed odabrati ponuditelja i razjasniti ključne točke prije nego se išta dogodi.

**Smije li pružatelj usluga sam isključivati sustave ili brisati podatke?**  
Samo ako ste to izričito dogovorili. Dobar pružatelj kod dalekosežnih koraka pita i dokumentira Vašu odluku. Unaprijed odredite tko na Vašoj strani smije donositi takve odluke.

## Izvori

- [BSI: kvalificirani pružatelji usluga](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Qualifizierte-Dienstleister/qualifizierte-dienstleister_node.html)
- [GDPR čl. 33](https://dsgvo-gesetz.de/art-33-dsgvo/)
- [php.net: sigurnosne objave](https://www.php.net/)