# VdS 10000: informacijska sigurnost za mala i srednja poduzeća

> VdS 10000 objašnjen: što smjernica za mala i srednja poduzeća traži, što je novo u izdanju 2025. i koji zahtjevi pogađaju Vašu web-stranicu i web-poslužitelj.

Izvor: https://phpsos.de/hr/blog/vds-10000-kmu/  
Stanje: 25.10.2026  
Pružatelj: PHP SOS, PHP hitna pomoć i sigurnost poslužitelja. Hitna pomoć putem WhatsAppa: https://wa.me/491736494914?text=Pozdrav%20PHP%20SOS%2C%20trebamo%20pomo%C4%87%20s%20na%C5%A1im%20PHP%20poslu%C5%BEiteljem.%20Tvrtka%3A%20%E2%80%A6%20Web-stranica%3A%20%E2%80%A6

**Ukratko:** VdS 10000 je smjernica organizacije VdS Schadenverhütung (njemačka organizacija za prevenciju šteta) za informacijsku sigurnost u malim i srednjim poduzećima. Prema VdS-u temelji se na ISO 27001 i BSI Grundschutzu (BSI je njemački Savezni ured za informacijsku sigurnost), ali je znatno vitkija i prilagođena srednjim tvrtkama. Za web-stranice i web-poslužitelje osobito su važni popis, postupanje s ranjivostima, daljinski pristupi s višefaktorskom prijavom, sigurnosna kopija podataka i postupanje sa sigurnosnim incidentima.

## Zašto je VdS 10000 zanimljiv srednjim tvrtkama

Mnoge tvrtke znaju da bi informacijskoj sigurnosti trebale pristupiti strukturiranije, ali se plaše truda koji traži ISO 27001. Upravo je za to namijenjen VdS 10000. VdS ga opisuje kao katalog mjera neovisan o branši, koji mala i srednja poduzeća te općine ne bi trebao preopteretiti ni organizacijski ni financijski.

Dva podatka VdS-a pomažu pri razvrstavanju. Trud je prema njima oko 20 posto u odnosu na ISO 27001. A BSI zahtjeve VdS 10000 ocjenjuje kao podskup osnovne zaštite IT-Grundschutza. Smjernica dakle nije zamjena za velike norme, nego realističan ulaz koji je prema VdS-u uzlazno kompatibilan.

Za osiguratelje VdS 10000 ima osobitu težinu jer je VdS usko povezan s osiguravateljskom industrijom. VdS ističe da certifikacija kod osigurača može stvoriti povjerenje i pomoći u prijenosu preostalog rizika. Što to konkretno znači za Vašu policu, razjasnite s osigurateljem ili posrednikom; napomene o slučaju štete nalaze se u članku [Kibernetičko osiguranje: što se računa u slučaju štete](https://phpsos.de/hr/compliance/cyberversicherung/).

## Što je novo u izdanju VdS 10000 iz 2025.

VdS je smjernicu revidirao 2025. Prema VdS-u pritom su, među ostalim, dodane ili promijenjene ove točke:

1. **Jasniji jezik**, kako bi zahtjeve razumjeli i početnici.
2. **Obvezujuće odgovornosti:** službenik za informacijsku sigurnost i pripadajući tim moraju biti službeno imenovani.
3. **Višefaktorska autentifikacija za daljinske pristupe** postaje obveza.
4. **Sigurnosna kopija podataka po načelu više generacija**, na različitim mjestima i na različitim medijima.
5. **Revidirano upravljanje rizicima** s odredbama o kriterijima procjene i granicama od kojih se rizik prihvaća.
6. **Zajedničko poglavlje „Sigurnosni incidenti“**, koje objedinjuje ranija poglavlja o smetnjama, ispadima i incidentima.
7. **Fizički pristupi** poput ključeva i transpondera uređuju se zajedno s kadrovskim procesima.

Novo izdanje uzima u obzir i smjernicu VdS 10100, koja opisuje zahtjeve NIS2. VdS VdS 10000 vidi kao osnovu na koju se oni mogu kasnije nadograditi.

## VdS 10000 i web-poslužitelj: što konkretno učiniti

Smjernica ne govori o PHP-u ni o pojedinim web-poslužiteljima. Njezini se zahtjevi ipak mogu izravno prenijeti na web-infrastrukturu. Sljedeća tablica pokazuje kako to može izgledati. Ona je pomoć pri prevođenju, a ne službeno tumačenje.

| Područje zahtjeva | Značenje za web-stranicu i web-poslužitelj | Primjer iz situacije s PHP2Shellom |
|---|---|---|
| Pregled IT sustava i rizika | Web-stranice, shopovi, portali i njihovi poslužitelji su evidentirani i procijenjeni | Odmah znati koji sustavi koriste PHP i u kojoj verziji |
| Ranjivosti i ažuriranja | Sigurnosna ažuriranja instaliraju se pravodobno i dokumentiraju | Zakrpa na 8.5.12, 8.4.27, 8.3.36 ili 8.2.35, ponovno pokretanje svih workera |
| Daljinski pristupi s višefaktorskom prijavom | SSH, hosting panel i CMS administracija dodatno su zaštićeni | Ukradene lozinke same ne otvaraju administratorski pristup |
| Sigurnosna kopija podataka | Više generacija, odvojena mjesta i mediji | Povratak na kopiju prije 17. 10. 2026., ako je potrebno |
| Sigurnosni incidenti | Put prijave, procjena, dokumentacija | Sumnja na web shell se prijavljuje i provjerava, ne briše se potiho |
| Pružatelji usluga | Pružatelj hostinga i agencija ugovorno su uključeni | Pisana potvrda zakrpe od pružatelja hostinga |

Za sigurnosnu kopiju podataka vrijedi pogledati [Sigurnosne kopije prema pravilu 3-2-1](https://phpsos.de/hr/ratgeber/backups-3-2-1/), a za daljinske pristupe [Dvofaktorsku prijavu za administratorske pristupe](https://phpsos.de/hr/ratgeber/zwei-faktor-admin/). Oboje se dobro podudara s novim obvezama izdanja 2025.

## Kako mala i srednja poduzeća realistično postupaju?

VdS 10000 može se koristiti kao vodič i bez cilja certifikacije. Pragmatičan put počinje popisom, jer bez pregleda nijedan drugi zahtjev nije moguće uredno ispuniti. Zatim slijede točke s najvećim učinkom po uloženom trudu: višefaktorska prijava, sigurnosne kopije koje rade s testom oporavka i jasan put prijave kod sumnje.

Tek kad su ti temelji postavljeni, isplati se formalna strana sa smjernicama, imenovanim odgovornim osobama i procjenom rizika. Tko kasnije teži certifikaciji, postupak nalazi u dokumentima VdS-a; samu provjeru preuzima certifikacijsko tijelo, a ne pružatelj usluga poput nas.

Čest kamen spoticanja u srednjim tvrtkama je pitanje tko preuzima ulogu službenika za informacijsku sigurnost. Izdanje 2025. traži službeno imenovanje. U malim tvrtkama zadatak često završi kod voditelja IT-a ili same uprave. To je moguće dok su vrijeme i ovlasti realno odmjereni. Važno je da ta osoba ima u vidu i web-stranice koje vode marketing ili agencija. Upravo one pri prvom popisivanju rado promaknu jer ne rade u vlastitom podatkovnom centru. Pomaže jednostavno pravilo: svaka domena koju tvrtka posjeduje ima odgovornu osobu i unos u popisu.

Za web-poslužitelj to znači: ojačavanje i disciplina zakrpanja nisu dodatak uz smjernicu, nego upravo ono što ona u svakodnevici traži. Što tome pripada, opisuje [Ojačavanje poslužitelja za PHP web-poslužitelje](https://phpsos.de/hr/leistungen/server-haertung/). Usporedbu s velikim normama daje članak [ISO 27001 i TISAX: što se tiče web-poslužitelja](https://phpsos.de/hr/blog/iso-27001-tisax-webserver/).

## Kako PHP SOS konkretno pomaže?

- S Vama izrađujemo popis Vaših web-stranica, poslužitelja i verzija PHP-a te označavamo kritične sustave.
- Provodimo tehničke zahtjeve na web-poslužitelju: ažuriranja s dokazom, višefaktorska prijava za daljinske pristupe, ojačavanje i provjera sigurnosnih kopija.
- Dokumentiramo to tako da ih Vaši službenici za informacijsku sigurnost mogu preuzeti u VdS dokumentaciju.
- Ne obećavamo certifikaciju. Jesu li zahtjevi ispunjeni, procjenjuje tijelo za provjeru.

## Zaključak

VdS 10000 je ozbiljan, ali izvediv okvir za srednje tvrtke. Izdanje 2025. izoštrava upravo točke koje vrijede i nakon PHP2Shella: odgovorne osobe, višefaktorsku prijavu, dobre sigurnosne kopije i uređeno postupanje s incidentima. Tko počne od web-poslužitelja, brzo ima vidljiv napredak i čvrstu osnovu za više.


## Česta pitanja

**Za koga je namijenjen VdS 10000?**  
Prema VdS-u za mala i srednja poduzeća te općine i komunalna poduzeća. Neovisan je o branši i ne bi trebao preopteretiti ni organizacijski ni financijski. Prema VdS-u mogu ga primjenjivati i veće organizacije.

**Koja je razlika između VdS 10000 i ISO 27001?**  
VdS 10000 se prema VdS-u temelji na ISO 27001 i BSI Grundschutzu, ali je prilagođen malim i srednjim poduzećima i znatno vitkiji. VdS procjenjuje trud na oko 20 posto u odnosu na ISO 27001 i opisuje smjernicu kao uzlazno kompatibilnu, dakle kao mogući ulaz u seriju ISO 27000.

**Pomaže li VdS 10000 kod NIS2?**  
VdS novo izdanje 2025. opisuje kao osnovu na koju se zahtjevi NIS2 mogu kasnije nadograditi. Za to postoji zasebna smjernica VdS 10100. Spada li Vaša tvrtka pod NIS2 i što tada vrijedi, razjasnite zasebno.

**Postoji li verzija za proizvodna postrojenja?**  
Da. Za industrijske sustave automatizacije VdS objavljuje vodič VdS 10020, koji tumači VdS 10000 za to područje.

## Izvori

- [VdS: VdS 10000 informacijska sigurnost za mala i srednja poduzeća](https://vds.de/kompetenzen/cyber-security/zertifizierungen/informationssicherheits-und-datenschutzmanagement/vds-10000-informationssicherheit-fuer-kmu)
- [VdS: VdS 10000, nova verzija 2025.](https://vds.de/kompetenzen/cyber-security/vds-10000-die-neue-version-2025)
- [BSI: IT-Grundschutz](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)