Ključne tačke na prvi pogled
- Plaćanje otkupnine u Austriji nije generalno zabranjeno. Međutim, ona je nedopuštena ako sredstva koriste sankcioniranim osobama ili organizacijama. Također se mora provjeriti krivičnopravna dopuštenost isplate otkupnine.
- Rokovi za prijavu teku neovisno o pregovorima ili uplati. To vrijedi za čl. 33. GDPR-a (72 sata) i za subjekte prema NISG-2026 (rano upozorenje u roku od 24 sata).
- Profesionalni pregovori kupuju vrijeme. IT forenzika i oporavak mogu se odvijati paralelno. Bez obzira na eventualnu isplatu otkupnine, kroz pregovore se mogu dobiti vrijedne informacije za donošenje odluka. Iznos otkupnine se (skoro) uvijek može smanjiti pregovorima.
- Odluka o plaćanju je pitanje odgovornosti za upravu. Trebala bi biti donesena na temelju dokumentiranih informacija.
Šta je pregovaranje sa sajber kriminalcima?
Pregovori sa sajber kriminalcima su strukturirana, strateški vođena komunikacija sa počiniocima ransomware napada ili iznude podataka. Ciljevi su dobijanje na vremenu, provjera tvrdnji počinilaca, poboljšanje početne pozicije preduzeća i temeljna osnova za donošenje odluka uprave.
Pregovaranje ne znači automatski da će se i platiti. U mnogim slučajevima ono prvenstveno služi za prikupljanje informacija i dobijanje vremena za oporavak iz sigurnosnih kopija. O tome hoće li se na kraju platiti, kompanija odlučuje tek nakon pravne i ekonomske provjere. U pregovorima koje smo mi vodili, već se nekoliko puta dogodilo da smo mogli utvrditi da počinioci – suprotno njihovoj tvrdnji u ucjenjivačkom pismu – uopće nisu uspjeli izvući podatke.
Tipični scenariji ucjene
Ransomware s dvostrukom iznudom
Ransomware je zlonamjerni softver koji šifrira podatke ili cijeli IT sistem kako bi izudio novčanu otkupninu za dešifriranje. Kod dvostruke iznude (Double Extortion) počinioci dodatno kopiraju podatke prije šifriranja. Oni potom prijete njihovim objavljivanjem na stranici curenja podataka.
Zahtjev se obično odnosi na kriptovalutu, najčešće Bitcoin ili USDC/USDT. Sigurnosni novčići poput Monera ili zCasha se u praksi rijetko traže. Počinioci postavljaju rokove i često povećavaju zahtjev nakon njihovog isteka.
Iznuda podataka bez enkripcije
Neki počinioci ništa ne šifriraju. Oni kradu podatke i traže novac u zamjenu za to da ih neće objaviti ili prodati. Sistemi nastavljaju raditi. Pritisak nastaje samo zbog prijetnje objavljivanjem. Pravno gledano, radi se o povredi zaštite podataka ako su pogođeni lični podaci.
Iznuda od strane unutarnjih lica ili navodnih unutarnjih lica
Posebna konstellacija je ucjena od strane osoba s internim znanjem, poput sadašnjih ili bivših zaposlenika. Isto tako, vanjski počinitelji se često izdaju samo kao insideri kako bi svoju prijetnju učinili uvjerljivijom. Prije svakog odgovora stoga treba razjasniti:
- da li navedeni podaci zaista postoje,
- ko stoji iza zahtjeva,
- koja su kaznena, građanska i radnopravna sredstva na raspolaganju.
NePromišljena reakcija može otežati identifikaciju počinilaca.
Kako izgleda profesionalni pregovor o otkupnini za ransomware?
Profesionalni pregovori o otkupnini prate usklađenu strategiju i usko su povezani s IT forenzikom, osiguravačima i upravom. Svaka poruka počiniocima se unaprijed planira i dokumentuje.
| Faza | Sadržaj | Svrha |
|---|---|---|
| Procjena stanja | Identifikacija grupe počinilaca, poznati način djelovanja, pouzdanost u ranijim slučajevima | Realistična procjena opcija |
| Uštedjeno vrijeme | Strukturirana, kontrolisana komunikacija | IT forenzika i oporavak odvijaju se paralelno |
| Verifikacija | „Proof of Life“: Dokaz da počinioci posjeduju podatke ili funkcionalan ključ, na primjer kroz testnu dešifriranje pojedinačnih datoteka | Nema plaćanja za prazne prijetnje |
| Pregovori | Objektivni pregovori o iznosu, uslovima i toku | Poboljšanje početne pozicije |
| Dokumentacija | Potpuna evidencija cjelokupne komunikacije | Dokaz osiguravatelju, organima vlasti i upravnim tijelima društva |
Mag. Roman Taudes, LL.M. završio je specijaliziranu obuku o taktikama pregovaranja u slučajevima iznuđivanja podataka pomoću zlonamjernog softvera (ransomware). ATB.LAW već nekoliko godina vodi pregovore s grupama počinitelja. „U našoj praksi prvobitni zahtjev je u velikom broju slučajeva smanjen za više od 50 %.“ Svaki slučaj je drugačiji. Stoga se ne može garantirati određeni ishod pregovora.
Da li je u Austriji dozvoljeno plaćanje otkupnine?
Plaćanje otkupnine počiniteljima ucjenjivačkog softvera (ransomwarea) u Austriji nije generalno zabranjeno. Međutim, ona je nedopustiva ako se primalac može pripisati osobi ili organizaciji koja podliježe sankcijama EU-a. U ovom slučaju, plaćanje može biti kažnjivo prema Zakonu o sankcijama iz 2010. godine.
Iznuđeno preduzeće je krivično-pravno žrtva iznude. Sama isplata nije krivično djelo. Pravni rizici prvenstveno proizlaze iz tri oblasti:
- Pravo sankcija Uredba (EU) 2019/796 omogućava zamrzavanje imovine osoba i organizacija koje su odgovorne za sajber napade. Na snazi je zabrana stavljanja sredstava na raspolaganje. Lista je posljednji put proširena u julu 2026. godine. Pored toga, treba provjeriti i druge režime sankcija, posebno sankcije protiv Rusije.
- Finansiranje terorizma: Ako je vidljiva veza s terorističkom organizacijom, u obzir dolazi član 278d Austrijskog krivičnog zakona (StGB).
- Odgovornost članova organa Plaćanje bez adekvatne provjere može dovesti do osobne odgovornosti uprave.
O austrijskoj odluci najvišeg suda o dopuštenosti plaćanja otkupnine kod ucjenjivačkog softvera (ransomware) se ne zna. Tim je važnija pažljiva provjera prije svakog plaćanja.
Koje obaveze prijavljivanja važe u slučaju napada ucjenjivačkim softverom (ransomware)?
Ransomware-napad može pokrenuti nekoliko međusobno nezavisnih obaveza prijavljivanja. Najvažnije su prijava nadležnom tijelu za zaštitu podataka u skladu s čl. 33. GDPR-a i, za obuhvaćene subjekte, prijava u skladu sa Zakonom o sigurnosti mrežnih i informacionih sistema (NISG) 2026. Ovi rokovi teku bez obzira na to pregovara li se ili se plaća.
| Pravna osnova | Adresat | Rok | Preduslov |
|---|---|---|---|
| Član 33 GDPR-a | Austrijska agencija za zaštitu podataka | Bez odlaganja, po mogućnosti u roku od 72 sata od saznanja | Povreda zaštite ličnih podataka, osim ako je vjerovatno da ne postoji rizik za ispitanike |
| Član 34. GDPR-a | Pogođene osobe | Odmah | Očekivano visok rizik za pogođene osobe |
| NISG 2026 – Rani znakovi upozorenja | Nadležni CSIRT | U roku od 24 sata od saznanja | Značajan incident kibernetičke sigurnosti u bitnoj ili važnoj entitetu |
| NISG 2026 – Prijava incidenta | Nadležni CSIRT | U roku od 72 sata od saznanja | kao gore |
| NISG 2026 – Završni izvještaj | Nadležni CSIRT | U načelu u roku od mjesec dana od prijave incidenta | kao gore |
| Propisi specifični za industriju (npr. DORA) | Nadležni regulatorni organ (npr. FMA) | Posebni, djelimično kraći rokovi | Finansijska kompanija |
NISG 2026 (BGBl. I br. 94/2025) je na snazi od 1. oktobra 2026. godine. Zamijenio je NISG 2018 i obuhvata znatno više kompanija nego ranije. Član 31. NISG 2026 izričito stavlja upravljačka tijela u odgovornost za upravljanje rizicima sajber sigurnosti. Više o tome u našem NIG 2 članku.
Podnošenje krivične prijave nije zakonska obaveza. Međutim, ono je obično svrsishodno, na primjer u slučajevima osiguranja, mogućih potraživanja prema trećim licima i međunarodnih istraga.
Koja krivična djela postoje kod ucjene softverom (ransomware) i iznude podataka?
Ransomware-napadi po austrijskom pravu redovno ostvaruju nekoliko krivičnih djela Krivičnog zakona (StGB). U fokusu su iznuda i krivična djela protiv računarskih sistema i podataka.
| Činjenično stanje | Sadržaj |
|---|---|
| Član 118a Njemačkog krivičnog zakonika (StGB) – Neovlašteni pristup računarskom sistemu | Upad u IT sistem |
| Član 126a Njemačkog krivičnog zakonika (StGB) – Oštećenje podataka | Šifriranje, mijenjanje ili uništavanje podataka |
| Član 126b Njemačkog krivičnog zakonika (StGB) – Ometanje funkcionisanja računarskog sistema | obustava rada |
| §§ 144, 145 StGB – Iznuda, teška iznuda | Ucjena iznudom novca uz prijetnju |
| čl. 122, 123 Krivičnog zakona (StGB), čl. 26a i dalje Zakona o suzbijanju nepoštene tržišne utakmice (UWG) | Povreda odnosno odavanje poslovnih i fabričkih tajni, posebno u slučajevima unutrašnje trgovine (insider-slučajevima) |
Oštećeno preduzeće može se pridružiti krivičnom postupku kao privatni tužilac. To je posebno relevantno ako se počinioci identifikuju ili se imovina može oduzeti.
Prema izvještaju o visokotehnološkom kriminalu za 2025. godinu Savezne kriminalističke službe, prijave za sajber-kriminal u užem smislu porasle su sa 20.246 u 2024. godini na 21.988 u 2025. godini (+8,6 %). Pod tim se podrazumijevaju napadi usmjereni na same IT sisteme.
Da li je uprava odgovorna za odluku o plaćanju?
Odluka o tome hoće li se platiti otkupnina predstavlja poslovnu diskrecionu odluku. Prema članu 25. stav 1a Zakona o društvima s ograničenom odgovornošću (GmbHG) i članu 84. stav 1a Zakona o dioničkim društvima (AktG), član uprave postupa u skladu sa dužnom pažnjom ako donosi odluke u najboljem interesu društva, bez uticaja vanjskih interesa i na osnovu odgovarajućih informacija. Ovo pravilo se naziva pravilo poslovne procjene (Business Judgment Rule).
Za praksu to znači: Odluka treba da bude dokumentovana. To posebno obuhvata:
- tehnička situacija (sigurnosne kopije, vrijeme oporavka, obim podataka),
- ekonomske posljedice duže obustave rada,
- rezultat provjere sankcija,
- pozicija sajber osiguravača,
- pravni rizici obje opcije.
Odluka „iz stomaka“ pod vremenskim pritiskom najveći je rizik od odgovornosti.
Na šta treba obratiti pažnju kod sajber osiguranja?
Da li sajber osiguranje pokriva otkupninu, troškove pregovora ili prekid poslovanja zavisi od konkretnih uslova osiguranja. Mnoge polise predviđaju klauzule o odobrenju, obaveze prijavljivanja i smjernice za izbor pružalaca usluga.
Povreda obaveze može prema članu 6. Zakona o ugovornom osiguranju (VersVG) dovesti do oslobođenja osiguravača od obaveze plaćanja. Osiguravač bi stoga trebao biti obaviješten i uključen prije preduzimanja bitnih koraka. To posebno važi prije vršenja plaćanja.
Kako se vrši isplata otkupnine?
Plaćanje otkupnine u kriptovaluti trebalo bi uslijediti tek nakon pravne provjere, provjere sankcija i usklađivanja sa osiguravateljem. Izvršenje se odvija na kontrolisan i u potpunosti dokumentovan način.
- Provjera sankcija i pranja novca grupe počinitelja i adrese primatelja.
- Analiza blokovianog lanca adrese primaoca na veze sa sankcionisanim subjektima ili poznatim grupama počinitelja.
- Nabavka kriptovalute preko regulisanog ponuđača.
- Kontrolisano plaćanje, ako je smisleno najprije kao djelimični iznos.
- Dokumentacija za osiguranje, računovodstvo, organe vlasti i društvena tijela.
Važno: Plaćanje ne garantuje da će počinioci zaista izbrisati podatke ili da neće ponovo napasti.
Šta preduzeća ne bi trebala raditi u hitnim slučajevima
- Nemojte samoinicijativno komunicirati sa počiniocima. Svaka nepromišljena poruka može oslabiti pregovaračku poziciju.
- Nema plaćanja bez provjere sankcija i usklađivanja s osiguravateljem.
- Sisteme ne ponovo instalirati prerano. Time se gube dokazi koji su potrebni za krivične postupke i osiguranje.
- Ne gubiti iz vida rokove za prijavu. One ističu od saznanja, a ne od završetka analize.
- Nema javnih istupa bez usklađene krizne komunikacije.
Ovako ATB.LAW pomaže kod ucjene softverom (ransomware) i iznuđivanja podataka
ATB.LAW kombinuje pregovaranje, pravno upravljanje, analizu blokčejna (blockchaina) i obradu plaćanja. Advokatska kancelarija pri tome sarađuje sa specijalizovanim IT forenzičarima, pružaocima usluga za reagovanje na incidente i analitičarima blokčejna (blockchaina). IT stručnjaci preuzimaju suzbijanje, analizu i oporavak. ATB.LAW preuzima pregovaranje, pravno savjetovanje, provjeru sankcionih lista i obradu plaćanja.
- Prvi kontakt: Razjašnjenje najhitnijih koraka.
- Hitne mjere: Koordinacija sa IT forenzikom i osiguravajućim društvom, provjera rokova za prijavu u skladu sa GDPR-om i NISG-om 2026.
- Trenutna situacija Procjena grupe počinilaca, pogođenih podataka i mogućnosti djelovanja.
- Pregovori Komunikacija sa počiniocima po usaglašenoj strategiji.
- Prijedlog odluke: Pravna i činjenična priprema za upravu.
- Provođenje Po potrebi provjera sankcija, organizacija i praćenje plaćanja.
- Naknadna obrada: Prijave, krivična prijava, pridruživanje privatnoj tužbi, obrada osiguranja i potraživanja prema trećim licima.
Kao advokati podliježemo advokatskoj obavezi čuvanja tajne. Pregled cjelokupne teme nudi naš prilog „Kibernetički kriminal u Austriji“.
Koliko brzo ATB.LAW može početi s radom?
ATB.LAW JE DOSTUPAN 24/7 -> Hitni broj 0043 650 8601778
Zaključak
Kod ransomwarea i iznuđivanja podataka u prvim se satima odlučuje hoće li preduzeće ostati sposobno za djelovanje. Pregovori, obaveze prijavljivanja, provjera sankcija, osiguranje i odgovornost organa upravljanja pritom se isprepliću. Oni se ne mogu rješavati jedno za drugim. Stupanjem na snagu Zakona o sigurnosti mrežnih i informacionih sistema (NISG 2026) vremenski pritisak za mnoga preduzeća se dodatno povećao. Ko od samog početka koordinira pregovore i pravno upravljanje, stvara temelj za ekonomski razumnu i s aspekta odgovornosti pravno prihvatljivu odluku.
Vaš sljedeći korak
Vaša kompanija je pogođena ransomware napadom ili iznudom podataka? Mi preuzimamo pregovore sa počiniocima i provjeravamo vaše obaveze prijavljivanja u skladu sa GDPR-om i NISG 2026. Na zahtjev, pratimo provjeru sankcija, organizujemo otkupninu i eventualnu isplatu. Radimo povjerljivo i u koordinaciji sa vašom IT forenzikom i vašim osiguravačem.
Pišite nam na:
- Magistar Roman Taudes, LL.M. – Pregovori o otkupnini, krivično pravo, kriptovalute: taudes@atb.law
- Dr. Stefan Knotzer LL.M. – Zaštita podataka, NISG 2026, sajber otpornost: knotzer@atb.law
- Mag. Anela Blöch LL.M. – Provjera sankcija i pranja novca: bloech@atb.law
FAQ Pregovori o otkupnini i isplata otkupnine:
Plaćanje otkupnine u Austriji nije generalno zabranjeno. Međutim, nedopušteno je ako sredstva koriste sankcionisanim osobama ili organizacijama. EU je s Uredbom (EU) 2019/796 u tu svrhu stvorila poseban režim sankcija za sajber napade. Njena se lista redovno proširuje. Kršenje može biti kažnjivo prema Zakonu o sankcijama iz 2010. godine. Prije svake isplate stoga treba provjeriti grupu počinilaca i adresu primatelja te dokumentovati rezultat.
Isplati li se pregovaranje s ucjenjivačima (ransomware-kriminalcima)?
Profesionalno pregovaranje prije svega osigurava vrijeme za IT forenziku i oporavak. Osim toga, omogućava provjeru da li napadači zaista posjeduju podatke ili funkcionalan ključ. U mnogim slučajevima zahtjev se može i smanjiti. Pregovaranje ne obavezuje na plaćanje. Određeni ishod se ne može garantovati.
Mora li se ransomware napad prijaviti agenciji za zaštitu podataka?
Ako su lični podaci pogođeni, povreda se u načelu mora bez odlaganja i, ako je moguće, u roku od 72 sata od saznanja prijaviti austrijskoj Agenciji za zaštitu podataka u skladu s čl. 33. GDPR-a. To vrijedi i ako se plati otkupnina. Izuzetak postoji samo ako vjerovatno ne postoji rizik za pogođene osobe. U slučaju visokog rizika, u skladu s čl. 34. GDPR-a moraju se obavijestiti i pogođene osobe.
Koje obveze prijave vrijede prema NISG-u 2026?
Bitne i važne ustanove u smislu Zakona o sigurnosti mreža i informacionih sistema (NISG 2026) moraju prijaviti značajne incidente u oblasti sajber sigurnosti nadležnom CSIRT-u. Rani obavijest se mora podnijeti u roku od 24 sata, a prijava incidenta u roku od 72 sata od saznanja. Nakon toga slijedi završni izvještaj. Zakon NISG 2026 je stupio na snagu 1. oktobra 2026. godine. Ove obaveze postoje pored prijave u skladu sa Opštom uredbom o zaštiti podataka (GDPR).
Šta učiniti kada zaposleni prijeti objavljivanjem podataka?
Prvo treba razjasniti da li je prijetnja uvjerljiva i ko se zapravo krije iza nje. Nije rijetkost da se vanjski počinioci izdaju samo za upućene osobe (insajdere). Nakon toga dolazi u obzir podnošenje krivične prijave, građanskopravni zahtjevi prema paragrafima 26a i dalje Zakona o suzbijanju nelojalne konkurencije (UWG) i mjere radnog prava. Komunikaciju s osobom koja ucjenjuje trebaju voditi profesionalni pregovarači i to na usklađen način, kako se ne bi ugrozili dokazi.
Da li sajber osiguranje pokriva otkupninu?
To ovisi o konkretnim uvjetima osiguranja. Mnoge police sadrže rezerve pristanka, obveze obavještavanja i smjernice o pružateljima usluga. Ako se obveze prekrše, osiguravatelj može biti oslobođen obveze plaćanja u skladu s § 6 Zakona o ugovorima o osiguranju (VersVG). Stoga bi osiguravatelja trebalo uključiti rano i prije bilo kakve isplate.
