Ukratko: IT sigurnost spada u zadaće poslovodstva. O odgovornosti direktora za IT sigurnosne ranjivosti raspravlja se prije svega kada poznati rizici nisu primjereno obrađeni, odgovornosti nisu uređene ili odluke nisu donesene razumljivo. U situacijama poput PHP2Shella pomaže jasna, dokumentirana odluka na temelju dostupnih činjenica. Ova stranica je opća informacija, a ne pravni savjet.
Nije pravni savjet: pitanja odgovornosti jako ovise o pojedinačnom slučaju, pravnom obliku i ugovornim odredbama. Konkretna pitanja neka procijeni odvjetnica ili odvjetnik za pravo društava.
Odgovornost direktora i IT sigurnost: opći okvir
Za direktore društva s ograničenom odgovornošću § 43 GmbHG (njemački Zakon o društvima s ograničenom odgovornošću) zahtijeva pažnju urednog poslovnog čovjeka. Za članove uprave dioničkog društva § 93 AktG (njemački Zakon o dioničkim društvima) sadrži usporedivo pravilo; § 91 st. 2 AktG usto zahtijeva prikladne mjere za rano prepoznavanje razvoja koji ugrožavaju opstanak društva. Iz tih općih dužnosti u stručnoj se raspravi izvodi da se i IT rizicima mora primjereno upravljati.
Za poduzetničke odluke postoji prostor za prosudbu. Tko odlučuje na temelju primjerenih informacija i za dobrobit društva, prema takozvanom Business Judgment Ruleu u pravilu postupa u skladu s dužnošću, čak i ako se odluka kasnije pokaže nepovoljnom. Iz toga proizlazi praktična pouka: odlučujući je često manje ishod, a više pitanje je li odluka donesena informirano i razumljivo.
Što NIS2 dodaje
Za tvrtke koje spadaju pod NIS2 odgovornost uprave izričito je uređena. Poslovodstvo mora odobriti mjere upravljanja rizicima, nadzirati njihovu provedbu i dati se educirati o kibernetičkoj sigurnosti. U Njemačkoj se provedba obavlja zakonom NIS2UmsuCG (njemački zakon o provedbi NIS2 i jačanju kibernetičke sigurnosti). Je li Vaša tvrtka obuhvaćena i koje obveze pojedinačno vrijede, saznajte iz podataka BSI-ja. Opći pregled daje članak NIS2 i sigurnost web-poslužitelja.
Tome se pridružuju obveze iz zaštite podataka. Prema GDPR-u tvrtka mora poduzeti prikladne tehničke i organizacijske mjere te povrede zaštite osobnih podataka prema čl. 33. procijeniti, dokumentirati i po potrebi prijaviti.
Što situacija poput PHP2Shella traži od uprave
PHP2Shell obuhvaća dvije kritične ranjivosti u samom PHP-u (CVE-2026-109618 i CVE-2026-109619, svaka CVSS v4.0 9,2). BSI je proglasio razinu upozorenja 3 (narančasta) i preporučuje trenutačno ažuriranje te, ako to nije moguće, privremeno odvajanje web-poslužitelja s mreže. Za upravu tako nastaje tipično odvagivanje: promet i dostupnost nasuprot visokom, javno poznatom riziku.
Nitko ne traži da direktori sami zakrpavaju poslužitelje. Ali može se očekivati da prime na znanje situaciju, razjasne odgovornosti, daju si izvještavati i donesu odluku. Pitanja koja si uprava treba postaviti:
- Koji naši sustavi koriste PHP i tko je za njih odgovoran, interno ili kod pružatelja usluga?
- Jesu li ažuriranja instalirana i procesi ponovno pokrenuti te postoji li za to dokaz?
- Ako nije: zašto ne, koje privremene mjere rade i odvajamo li sustav s mreže?
- Postoje li naznake provale i tko procjenjuje moguće obveze prijave?
Dokumentirajte odluke
Stanje, mogućnosti, odluku i obrazloženje kratko zabilježite pisanim putem, s datumom i vremenom. Takav zapisnik ne mora biti dugačak. Kasnije pokazuje da je uprava bila informirana i da je odvagnula. To izričito vrijedi i za odluku da se sustav usprkos riziku još ograničeno vrijeme nastavi voditi.
| Sadržaj | Primjer |
|---|---|
| Pregled stanja | BSI razina upozorenja 3, zakrpe dostupne od 21. 10. 2026. |
| Pogođeni sustavi | shop, portal za klijente, interna wiki instalacija |
| Mogućnosti | odmah zakrpati, privremene mjere, odvojiti s mreže |
| Odluka | shop zakrpan, wiki isključen do ažuriranja |
| Obrazloženje i odgovorni | dokaz od pružatelja usluga, kontrola voditelja IT-a |
Zakrpa ne uklanja već ubačen zlonamjerni softver. I odluka hoće li se tražiti tragovi spada u zapisnik.
Trajno organizirati umjesto improvizirati u kriznom slučaju
Najbolja je prevencija jasna organizacija: imenovana odgovorna osoba za informacijsku sigurnost, postupak za sigurnosna ažuriranja, redovita izvješća upravi, testiran IT plan za hitne slučajeve i neovisna provjera u razumnim razmacima. Kao metodološki okvir prikladan je IT-Grundschutz BSI-ja.
Organizaciji pripada i izrada izvješća tako da ih uprava razumije. Često je dovoljno kratko, redovito izvješće s nekoliko podataka: koliko je sustava na aktualnom stanju, gdje postoje iznimke i zašto, kakvih je incidenata ili gotovo-incidenata bilo, koje odluke predstoje. Tko takva izvješća prima, postavlja potpitanja i bilježi rezultate, kasnije može pokazati da se nadzor stvarno provodio. To vrijedi neovisno o tome nalazi li se tehnika interno ili kod pružatelja usluga.
Kako PHP SOS konkretno pomaže?
- Izrađujemo razumljiv pregled stanja Vaših web-poslužitelja za poslovodstvo, s jasnim mogućnostima.
- Provodimo odabranu mogućnost i isporučujemo pisani tehnički dokaz.
- Putem sigurnosne revizije ili penetracijskog testa stvaramo neovisnu osnovu za Vaše odluke.
- Ugovorom o sigurnosnom održavanju trajno uređujemo ažuriranja i izvješća.
Česta pitanja
Odgovara li direktor osobno za hakerski napad?
Sam napad ne utemeljuje osobnu odgovornost. O odgovornosti se raspravlja prije svega kada su povrijeđene dužnosti pažnje, primjerice kada su poznati rizici ignorirani ili odgovornosti nisu uređene. Je li to tako u pojedinačnom slučaju, procjenjuje samo pravno savjetovanje.
Mogu li IT sigurnost u potpunosti prepustiti IT odjelu ili pružatelju usluga?
Zadaće se mogu delegirati, ali odgovornost za odabir, opremanje i nadzor ostaje na upravi. Dajte si redovito izvještavati i zabilježite koje su odluke donesene na kojoj osnovi.
Što NIS2 mijenja u odgovornosti poslovodstva?
NIS2 od uprave obuhvaćenih tvrtki zahtijeva da odobri mjere upravljanja rizicima, nadzire njihovu provedbu i sudjeluje u edukacijama. Pojedinosti proizlaze iz njemačkog provedbenog zakona i podataka BSI-ja (njemački Savezni ured za informacijsku sigurnost).
Pomaže li D&O osiguranje?
Osiguranje od odgovornosti članova uprave može pokriti određene rizike odgovornosti uprave, ali se uvjeti znatno razlikuju. Opseg razjasnite sa svojim posrednikom ili osiguravateljem.