# Krizna komunikacija nakon napada

> Krizna komunikacija nakon kibernetičkog napada: koga i kada informirate, što spada u obavijest klijentima i kojih se izjava treba kloniti. Praktične napomene.

Izvor: https://phpsos.de/hr/compliance/krisenkommunikation/  
Stanje: 25.10.2026  
Pružatelj: PHP SOS, PHP hitna pomoć i sigurnost poslužitelja. Hitna pomoć putem WhatsAppa: https://wa.me/491736494914?text=Pozdrav%20PHP%20SOS%2C%20trebamo%20pomo%C4%87%20s%20na%C5%A1im%20PHP%20poslu%C5%BEiteljem.%20Tvrtka%3A%20%E2%80%A6%20Web-stranica%3A%20%E2%80%A6

**Ukratko:** Dobra krizna komunikacija nakon kibernetičkog napada je brza, iskrena i ujednačena. Najprije informirajte interno, zatim pogođene i partnere, i recite samo ono što je sigurno, jasno odvojeno od onoga što se još istražuje. Obveze obavještavanja, primjerice prema čl. 34. GDPR-a, uskladite sa službenikom za zaštitu podataka i pravnim savjetovanjem; ova stranica nije pravni savjet.

## Zašto je komunikacija dio postupanja s incidentom

Napad na web-poslužitelj najprije je tehnički problem. Vrlo brzo postaje i pitanje povjerenja: klijenti primjećuju nedostupnu web-stranicu, partneri dobivaju upadljive e-poruke, zaposlenici pitaju. Tko tada šuti ili odgovara proturječno, gubi više povjerenja nego samim incidentom.

Aktualno stanje oko PHP2Shella to čini opipljivim. Mnoge su tvrtke svoje web-stranice preventivno isključile s mreže ili ih kratkoročno održavale. To ne znači automatski da su hakirane. Upravo tu razliku trebate moći jasno i mirno objasniti prema van.

## Krizna komunikacija nakon kibernetičkog napada: pravi redoslijed

Provjeren redoslijed sprječava da važne skupine saznaju iz tiska ili od trećih:

1. **Krizni tim interno:** poslovodstvo, tehnika, zaštita podataka, po potrebi pravno savjetovanje i osiguravatelj. Ovdje se odlučuje što će se reći.
2. **Zaposlenici:** kratka interna informacija uz molbu da se upiti proslijede određenoj službi i napomene o oprezu kod sumnjivih e-poruka.
3. **Tijela, gdje je potrebno:** primjerice nadzorno tijelo za zaštitu podataka prema čl. 33. GDPR-a, BSI (njemački Savezni ured za informacijsku sigurnost) kod obveze prema NIS2, policija kod prijave. Redoslijed uskladite sa svojim pravnim savjetovanjem.
4. **Pogođeni klijenti i partneri:** izravno i, ako je moguće, prije javne izjave.
5. **Javnost:** napomena na web-stranici, po potrebi priopćenje za medije.

Prema čl. 34. GDPR-a ispitanici se moraju bez odgode obavijestiti ako povreda zaštite podataka vjerojatno za njih ima visok rizik. Osnove objašnjava članak [Obveza prijave prema GDPR-u: 72 sata](https://phpsos.de/hr/compliance/dsgvo-meldepflicht-72-stunden/).

## Što spada u obavijest

Dobra obavijest je kratka i odgovara na pitanja koja si postavljaju pogođeni. Ovaj se raspored dokazao:

| Odjeljak | Sadržaj |
|---|---|
| Što se dogodilo? | Stvaran opis jednostavnim riječima, s razdobljem |
| Što znamo, a što ne? | Sigurne činjenice odvojeno od istrage koja je u tijeku |
| Tko je pogođen? | Skupine osoba ili podataka, ako su poznate |
| Što smo poduzeli? | Hitne mjere, uključivanje stručnjaka i tijela |
| Što biste Vi trebali učiniti? | Konkretne preporuke, primjerice promijeniti lozinku, paziti na phishing |
| Kako nas možete kontaktirati? | Stalna kontaktna točka za upite |

Najavite kada ćete ponovno informirati i tu obvezu ispunite. I „još nema novih saznanja“ u najavljeno vrijeme stvara povjerenje.

> **Savjet:**
> Pripremite predloške za internu informaciju, obavijest klijentima i napomenu na web-stranici prije nego što se nešto dogodi. U kriznom slučaju tada treba samo umetnuti činjenice.

## Čega se bolje kloniti

Neke formulacije i ponašanja redovito štete:

- **Prerana uvjeravanja:** „Nisu preuzeti nikakvi podaci“ dopušteno je samo ako je dokazano. Instalirana zakrpa ne dokazuje da se prije nije ništa dogodilo.
- **Umanjivanje:** pojmovi poput „manji tehnički incident“ djeluju neiskreno ako se kasnije sazna više.
- **Optuživanje:** upućivanje na pružatelja hostinga, davatelje usluga ili proizvođača ne pomaže pogođenima i može imati pravne posljedice.
- **Tehničke pojedinosti korisne napadačima:** konkretne ranjivosti Vaših sustava ne spadaju u javne obavijesti.
- **Jamstva:** izjave poput „potpuno sigurno“ ili „nemoguće hakirati“ ne mogu se održati.

## Web-stranica, tražilice i val phishinga

Nakon napada na web-stranicu često se pojavljuju dvije popratne pojave. Prvo, Google može prikazati upozorenje ako je pronađen zlonamjerni kod; kako ga nakon čišćenja dati ukloniti, stoji u članku [Uklanjanje Googleova upozorenja](https://phpsos.de/hr/ratgeber/google-warnung-entfernen/). Drugo, prevaranti poznate incidente koriste za lažne e-poruke u ime pogođene tvrtke. Aktivno upozorite svoje klijente na to i navedite kojim putovima stvarno komunicirate.

Ako web-stranicu preventivno isključite s mreže, dovoljna je jednostavna statična stranica s kratkom napomenom i putem kontakta koji ne ovisi o pogođenom poslužitelju.

Kad je incident zaključen, isplati se završna obavijest svima koje ste prethodno informirali: što je istraga pokazala, koje su mjere trajno provedene i kome se i dalje mogu obratiti. Mnoge tvrtke taj korak izostave jer pritisak popušta. Upravo on ipak pokazuje da ste incident shvatili ozbiljno. Interno ocijenite i što je u komunikaciji dobro prošlo, a što ne, te prilagodite predloške i odgovornosti u svom planu za hitne slučajeve.

## Kako PHP SOS konkretno pomaže?

- Tehničke činjenice isporučujemo razumljivo pripremljene i jasno razlikujemo dokazano, vjerojatno i nepoznato.
- Provjeravamo nacrte Vaših obavijesti zbog tehničke ispravnosti i pojedinosti koje bi mogle pomoći napadačima.
- Kratkoročno osiguravamo statičnu stranicu o održavanju koja radi neovisno o pogođenom sustavu.
- Putem [odgovora na incidente](https://phpsos.de/hr/leistungen/incident-response/) tehniku držimo u taktu Vaše komunikacije kako bi se mogla održati obećanja o stanju informiranosti.


## Česta pitanja

**Trebamo li napad učiniti javnim dok još nije sve jasno?**  
To ovisi o situaciji, obvezama i pogođenima. Često je kratka, stvarna obavijest s poznatim stanjem bolja od šutnje jer klijenti i partneri inače saznaju iz drugih izvora. Trenutak uskladite s pravnim savjetnikom i osiguravateljem.

**Što u obavijesti klijentima ni u kojem slučaju ne smije stajati?**  
Pretpostavke koje djeluju kao činjenice, optuživanje trećih, tehničke pojedinosti koje pomažu napadačima i obećanja koja ne možete sigurno ispuniti. Izraze poput potpuno isključeno koristite samo ako su dokazani.

**Tko bi trebao govoriti prema van?**  
Određena osoba, najčešće iz poslovodstva ili korporativne komunikacije, uz podršku tehnike i pravnog savjetovanja. Svi ostali upućuju na tu službu. Tako izjave ostaju ujednačene.

**Moramo li web-stranicu isključiti s mreže i to objasniti?**  
Ako web-stranicu preventivno isključite s mreže, pomaže kratka napomena, primjerice na statičnoj stranici o održavanju. Ne mora biti tehnička. Preventivno isključivanje ne znači automatski da je napad bio uspješan.

## Izvori

- [GDPR čl. 33](https://dsgvo-gesetz.de/art-33-dsgvo/)
- [BSI](https://www.bsi.bund.de/)
- [Pomoć za Google Search Console](https://support.google.com/webmasters/)