1. Uvod: Šta se dešava tokom ransomware napada?
Tipičan slijed događaja u ransomware incidentu:
-
Napadači šifriraju servere, baze podataka i radne stanice.
-
Važni podaci kompanije i sigurnosne kopije postaju nedostupni.
-
Osim toga, podaci se često iznose.
-
Izvršioci prijete da će objaviti ove podatke na dark webu.
-
Zahtijeva se otkupnina – obično u kriptovalutama.
U mnogim slučajevima postoje dva specifična zahtjeva:
-
Otkupnina za radni ključ za dešifriranje (Ključ za dešifriranje).
-
Otkupnina zauzvrat za obavezu brisanja ili neobjavljivanja eksfiltriranih podataka (Iznuđivanje zbog curenja podataka).
Ovaj članak se bavi upravo ovim dvjema scenarijima.
2. Porezni princip: Poslovni razlozi kao polazna osnova
Prema austrijskom zakonu o porezu na dohodak, poslovni troškovi se definiraju kao svi izdaci nastali u toku poslovanja. Jednostavno rečeno:
-
Mora postojati jasan ekonomski vez sa kompanijom.
U slučaju isplata za ransomware, ova veza je često očigledna:
-
Ovo obično utječe na IT sisteme i poslovne podatke kompanije.
-
Svrha uplate je da,
-
obnoviti operativni kapacitet kompanije (dekriptacija), ili
-
da se spriječi daljnja značajna šteta koja proizlazi iz objavljivanja podataka (brisanje/sprječavanje curenja).
-
Stoga postoje čvrsti razlozi za klasifikaciju ovih isplata, u suštini, kao poslovnih troškova. U ekonomskom smislu, one su uporedive s troškovima nastalim radi minimiziranja štete i vraćanja statusa quo.
3. Zabranu odbitka "nezakonitih isplata" – da li ovo utiče na žrtvu?
Očigledan kontrargument je član 20(1)(5)(a) Zakona o porezu na dohodak (EStG). Jednostavno rečeno, on navodi da darovi čije davanje ili prihvatanje je kažnjivo zakonom nisu porezno odbitni.
Specijalistička literatura ovdje jasno razlikuje:
-
Standard je prvenstveno namijenjen da pokrije korumpirane isplate i mito.
-
Ovo se odnosi na slučajeve u kojima plaćatelj namjerno stiče nezakonitu korist.
Situacija je drugačija kada je u pitanju plaćanje otkupnine za ransomware:
-
Kompanija je žrtva ucjene.
-
Cilj je minimizirati postojeću štetu i osigurati neprekidan rad poslovanja.
-
Nije pitanje da li se sam počini krivično djelo ili da li se nezakonito utiče na nekoga.
Stoga se uvjerljivo tvrdi da odredba članka 20. stavka 1. točke 5. podtočke a Zakona o porezu na dohodak (EStG) ne bi, kao opće pravilo, trebala dovesti do uskraćivanja odbitka poslovnih troškova žrtvi ransomware napada, kada je u pitanju isključivo dešifriranje ili neotkrivanje podataka kompanije.
Granice mogu prolaziti tamo gdje:
-
Jasno je da se otkupnina dokazivo plaća sankcionisanoj ili terorističkoj organizaciji, ili
-
Kompanija se namjerno upušta u kriminalne aktivnosti.
U tipičnim anonimnim slučajevima ransomwarea, međutim, ovaj scenarij se obično ne javlja.
4. Identifikacija primaoca: Šta je sa članom 162 Saveznog poreznog zakona (BAO) ako su počinioci anonimni?
Još jedno ključno pitanje je identifikacija primatelja u skladu s člankom 162 Saveznog poreznog zakona (BAO). Porezne vlasti mogu zahtijevati od društva da detaljno navede primatelja uplate. Ako se to ne učini, poslovni trošak može biti odbijen.
Problem u praksi:
-
Napadači ransomwarea su anonimni,
-
Plaćanje se vrši na adresu kripto novčanika,
-
Ne postoji realna mogućnost utvrđivanja imena ili adrese primaoca.
Prema mišljenju iznesenom u literaturi:
-
Član 162 Saveznog poreznog zakona (BAO) podrazumijeva 'odbijanje' da se navede primatelj.
-
Ako primatelj ne može biti objektivno identificiran, to ne predstavlja odbijanje, već nemogućnost.
U kontekstu ransomwarea, ovo znači:
-
Ako kompanija dokumentuje napad i uplatu na način koji se može provjeriti,
-
i objašnjava da, uprkos svim razumnim naporima, nije moguće identificirati počinitelje,
-
Poslovni trošak se ne smije odbiti isključivo na osnovu toga što primalac nije naveden.
5. Otkupnina za dešifriranje naspram otkupnine za brisanje podataka
U porezne svrhe, u praksi nema suštinske razlike da li je otkupnina plaćena za:
-
Dekriptacija korporativnih podataka
-
Cilj: Obnova sposobnosti za rad.
-
-
Obaveza brisanja ili neobjavljivanja eksfiltriranih podataka kompanije
-
Cilj: spriječiti daljnju štetu (po ugled, poslovne tajne, rizike u skladu s GDPR-om, tužbe za naknadu štete od ispitanika, itd.).
-
U oba slučaja uplata je usko povezana s poslovnim aktivnostima kompanije. Ona služi ograničavanju gubitaka i zaštiti kompanije.
Zaključak: U principu, obje opcije se mogu smatrati porezno priznatim poslovnim troškovima, pod uslovom da su ispunjeni ostali uslovi (status žrtve, nema očiglednih kršenja sankcija i jasno dokumentovan slučaj, uključujući procjenu činjenične i pravne prihvatljivosti isplate otkupnine).
6. Tehnička pozadina
Mi smo advokati, a ne porezni savjetnici. Međutim, u toku našeg rada u timovima za odgovor na incidente često se susrećemo s pitanjem poreznog tretmana isplata otkupnine i redovno sarađujemo sa specijalizovanim poreznim savjetnicima.
Informacije iznesene u ovom članku zasnivaju se na našem trenutnom razumijevanju pravne situacije i nisu namijenjene da budu tačne, potpune ili ažurirane. Koliko se može utvrditi, trenutno ne postoje konačne presude najviših austrijskih sudova o ovdje razmatranim pitanjima, što znači da se procjena može promijeniti kao rezultat buduće sudske prakse ili administrativne prakse.
Dijelovi ove rasprave zasnivaju se posebno na akademskom radu autora Bräumann, Kofler i Tumpel, "Da li su isplate otkupnine u slučaju ransomware napada porezno priznate?", SWK 26/2021, 1194–1205, iako ovo nije namijenjeno da zamijeni porečni savjet.
7. ČPP: Često postavljana pitanja o oporezivanju isplata otkupnine za ransomware
Da li su isplate otkupnine porezno priznate u Austriji?
Da, pod uslovom da se radi o dešifrovanju ili neotkrivanju poslovnih podataka, da je kompanija očigledno žrtva i da je incident pravilno dokumentovan, ova plaćanja se u principu mogu tretirati kao poslovni troškovi.
Da li su isplate otkupnine također porezno odbitne ako je jedini cilj spriječiti objavljivanje izvučenih podataka?
Da. Ako je plaćanje namijenjeno sprječavanju otkrivanja podataka o kompaniji i time izbjegavanju operativne štete (npr. poslovne tajne, rizici odgovornosti, šteta ugledu), postoji i jasno operativno opravdanje.
Moram li poreznoj upravi reći ko je primalac uplate otkupnine?
U principu, porezne vlasti mogu zahtijevati da se primatelj imenuje. Međutim, u tipičnim slučajevima ransomwarea počinitelji ostaju anonimni. Ako identifikacija nije moguća unatoč razumnim naporima, to predstavlja slučaj nemogućnosti imenovanja. Poslovni trošak stoga ne bi trebao biti odbijen samo na toj osnovi.
Da li je za porezne svrhe bitno da li se otkupnina plaća kriptovalutama?
Plaćanje kriptovalutama ne mijenja osnovnu poreznu klasifikaciju kao poslovni trošak. Posebno je važno dokumentovati transakciju (novčanik, ID transakcije, konverzija u EUR) i klasificirati je kao trošak povezan s gubitkom.
Da li član 20. stav 1. tačka 5. Zakona o porezu na dohodak ("nezakonite isplate") isključuje mogućnost odbitka isplate otkupnine?
Prema relevantnoj literaturi, općenito ne. Odredba je prvenstveno usmjerena na mito i korumpirane isplate, a ne na isplate koje su žrtve dale u situaciji ucjene. U tipičnim slučajevima ransomwarea kompanija je žrtva i samo pokušava ograničiti masovnu štetu. Problematične situacije mogu nastati u izuzetnim slučajevima kada je jasno da se uplate vrše sankcioniranim ili terorističkim organizacijama.
8. Kratak sažetak
Prema trenutnom stručnom mišljenju, opravdano je tretirati isplatu otkupnine od strane austrijskih kompanija nakon ransomware napada – bilo za dešifriranje podataka ili za obavezu brisanja ili suzdržavanja od objavljivanja izvučenih poslovnih podataka – kao porezno priznat poslovni trošak.
pod uslovom da je poslovni razlog jasan, da je veza sa sankcijama i terorizmom isključena i da je incident u potpunosti dokumentovan.
Za dodatne informacije, molimo kontaktirajte Roman Taudes i njegov tim se može kontaktirati u bilo koje vrijeme na office@atb.law ili telefonom na 01 39 12345 dostupno.
