Slučaj: Zašto je BaFin poduzela mjere protiv TeamViewera
Incident je pokrenut sajbernapadom na internu IT infrastrukturu kompanije TeamViewer u junu 2024. godine. Kompanija je sumnjala da je napad izvela navodno ruska grupa APT29, poznata i kao 'Midnight Blizzard'. Prema vlastitoj izjavi kompanije TeamViewer, pogođen je samo interni IT sistem – kompromitovani su imena zaposlenika, kontakt podaci i lozinke. Produktno okruženje, komunikacijska platforma i podaci korisnika nisu bili pogođeni.
TeamViewer je u početku pružao informacije samo putem vlastite web stranice i takozvanog 'Trust Centra' – a ne putem formalnog ad hoc saopćenja. Kompanija je objasnila da je pažljivo procijenila da li te informacije predstavljaju ad hoc saopćenje i da je odabrana metoda komunikacije putem Centra za povjerenje u skladu sa standardnom praksom u tehnološkom sektoru. Nakon objave, cijena dionice je privremeno pala za oko 10 posto.
BaFin je zauzeo drugačiji stav. Prema njihovoj procjeni, sajbernapad – upravo zato što je TeamViewer softverska kompanija – predstavljao je povjerljivu informaciju koja utječe na tržišnu cijenu, u smislu Uredbe o zloupotrebi tržišta (MAR). Ova informacija je trebala biti odmah objavljena. Odluka o izricanju novčane kazne zasniva se na članu 17. stavku 1. prvoj podstavici MAR-a; kazna može iznositi do 2,5 miliona eura ili do 2 posto ukupnog prometa. TeamViewer se i dalje može žaliti na kaznu.
Zašto je ovaj slučaj relevantan i izvan TeamViewera
Ovaj slučaj nije izolovan incident u Njemačkoj. On ističe regulatorni princip koji je također od direktne važnosti za austrijske kompanije: sajber-napad može predstavljati povjerljivu informaciju koja podliježe objavljivanju, čak i ako u početku nije jasno da li su pogođeni podaci o klijentima ili o proizvodima. Odlučujuće nije tehnička ozbiljnost napada, već njegov potencijalni utjecaj na cijene dionica – drugim riječima, da li bi informacija, ako bi postala javna, vjerovatno imala značajan utjecaj na cijenu finansijskog instrumenta.
Za upravu kompanije to znači da odluka o tome hoće li izdati ad hoc saopćenje ne smije biti odgođena dok se ne završi potpuna forenzička istraga incidenta. Ona se mora stalno preispitivati na osnovu trenutnog stanja znanja – i mora se ocjenjivati iz pravne perspektive, a ne iz ugla komunikacijske strategije.
MAR se također direktno primjenjuje u Austriji.
Uredba o zloupotrebi tržišta je uredba EU i stoga se direktno primjenjuje i na austrijske izdavatelje – bez potrebe za nacionalnim provedbenim zakonodavstvom. Nadležno nadzorno tijelo u Austriji je Agencija za tržišta kapitala (FMA), a ne BaFin. BaFin je odgovoran isključivo za izdavatelje sa sjedištem u Njemačkoj ili primarno uvrštene tamo. Berzanski austrijski subjekt pogođen sličnim sajber-napadom podlijegao bi istim suštinskim obavezama prema članu 17. MAR-a – samo s FMA kao nadležnim tijelom i uz austrijsko upravno krivično pravo kao okvir za sankcije.
Konkretno, to znači da je pravno obrazloženje u slučaju TeamViewer direktno primjenjivo na austrijske izdavatelje, iako se konkretna odluka o izricanju novčane kazne odnosi na njemački organ.
Kibernetički napadi rijetko sami po sebi pokreću obavezu izvještavanja.
Druga ključna tačka je da sajber napad praktično nikada nije relevantan isključivo prema zakonima o tržištima kapitala. U većini slučajeva istovremeno se primjenjuju više obaveza izvještavanja, s različitim rokovima, primateljima i uslovima. To značajno povećava složenost za upravu kompanije – i upravo tu se u praksi prave najveće greške.
GDPR – Obaveza prijave povreda zaštite ličnih podataka Kada su u pitanju lični podaci – kao što su, u slučaju TeamViewera, kontakt podaci zaposlenika i lozinke – primjenjuje se i članak 33. GDPR-a. Kontrolor mora, u principu, obavijestiti nadležno tijelo za zaštitu podataka o povredi u roku od 72 sata od saznanja za nju, pod uvjetom da postoji rizik za prava i slobode ispitanika. U Austriji je za to nadležna Austrijska agencija za zaštitu podataka. U slučaju visokog rizika postoji i obaveza obavještavanja samih ispitanika (članak 34. GDPR-a).
NIS2 / NISG 2026 – nova obaveza prijave incidenata kibernetičke sigurnosti u Austriji Austrija je prenijela Direktivu EU NIS2 kroz Zakon o sigurnosti mreža i informacionih sistema iz 2026. godine (NISG 2026). Zakon je usvojio Nacionalni savjet u decembru 2025. godine i stupiće na punu snagu 1. oktobra 2026. godine. Primjenjuje se na srednja i velika preduzeća u određenim sektorima – općenito govoreći, ona sa 50 ili više zaposlenih ili godišnjim prometom ili ukupnim bilansnim iznosom većim od 10 miliona eura. Nadležno tijelo je novoosnovani Savezni ured za cyber sigurnost, koji je podređen Saveznoj ministri unutrašnjih poslova; CERT.at djeluje kao operativni centar za odgovor na incidente (CSIRT).
Za značajne incidente u oblasti kibernetičke sigurnosti primjenjivat će se postupak izvještavanja u tri faze od dana stupanja na snagu zakonodavstva: rano upozorenje u roku od 24 sata, detaljniji izvještaj u roku od 72 sata i konačni izvještaj najkasnije mjesec dana nakon ranog upozorenja. Organizacije koje su pogođene također se moraju registrovati najkasnije do 31. decembra 2026.
Za organizacije koje su već bile pogođene sajber incidentom, to znači da je obaveza izvještavanja prema NIS2, u najvećoj mjeri, pitanje neposredne budućnosti – dok se obaveze prema zakonima o tržištima kapitala i zaštiti podataka već danas u potpunosti primjenjuju.
Usporedba obaveza izvještavanja: MAR, GDPR i NIS2/NISG 2026
| MAR (Uredba o zloupotrebi tržišta) | GDPR (članci 33 i 34) | NIS2 / NISG 2026 | |
|---|---|---|---|
| Ko je pogođen? | Emitenti finansijskih instrumenata na organizovanom tržištu | Svaki kontrolor koji obrađuje lične podatke | Preduzeća srednje i velike veličine u sektorima NIS (50 ili više zaposlenih, ili promet/ukupna aktiva veći od 10 miliona eura) |
| Šta treba prijaviti | Interna informacija – tačna informacija koja će vjerovatno uticati na cijenu dionice i koja nije javno poznata. | Povreda zaštite ličnih podataka | Značajan kibernetički incident kako je definisano od strane NISG 2026 |
| Rok | Bez odlaganja, bez ikakvog krivog oklijevanja | U roku od 72 sata od otkrivanja slučaja | Rano upozorenje u roku od 24 sata, izvještaj u roku od 72 sata, završni izvještaj u roku od mjesec dana |
| Nadležni organ u Austriji | FMA | Austrijska agencija za zaštitu podataka | Savezni ured za cyber sigurnost / CERT.at |
| Okvir za sankcije | Do 2,5 miliona eura ili do 2,1% ukupnog prometa | Do 20 miliona eura ili 4 % globalnog godišnjeg prometa | Administrativne kazne prema NISG-u 2026, uključujući novčane kazne do 50.000 odnosno 100.000 eura za kršenje obaveze registracije; dodatne kazne za kršenje obaveza izvještavanja i upravljanja rizicima |
Napomena: Informacije o NISG 2026 odnose se na Zakon koji neće stupiti na punu snagu prije 1. oktobra 2026. godine. Pojedinosti mogu biti razjašnjene propisima koji tek treba da budu doneseni.
Uobičajene greške u praksi
Na osnovu našeg iskustva u pružanju pravne podrške u kibernetičkim incidentima, možemo identificirati niz ponavljajućih izvora grešaka:
- Komunikacija putem web stranice umjesto formalnog obavještenja. Obavijest na vlastitoj web stranici kompanije ne predstavlja zakonom propisano ad hoc saopćenje, obavijest prema GDPR-u niti obavijest prema NIS2. Upravo je ta greška bila u središtu slučaja TeamViewer.
- Sačekajte dok se forenzička istraga u potpunosti ne završi. Obaveza prijavljivanja obično nastaje čim se incident otkrije – a ne tek nakon što se u potpunosti istraži. Svako ko odgodi prijavu dok se ne završi forenzička istraga rizikuje da propusti rok.
- Posebno razmatranje obaveza izvještavanja. MAR, GDPR i, u budućnosti, NIS2 se provode paralelno i imaju različite rokove. Izolovana revizija samo jednog pravnog područja redovno zanemaruje druge obaveze.
- Nedostatak dokumentacije o procesu donošenja odluka. Da li je i kada određena informacija klasificirana kao interna informacija ili kao događaj koji se mora prijaviti, treba biti u potpunosti dokumentirano – ne samo da bi se osigurao provjerljiv dokaz u slučaju naknadne regulatorne revizije.
Šta pogođene kompanije trebaju uraditi u praksi odmah
U hitnom slučaju svaki sat je važan. Ima smisla slijediti strukturirani pristup:
- Neposredna procjena da li informacije mogu predstavljati povjerljive informacije u smislu MAR-a – bez obzira na fazu tehničke istrage.
- Paralelna procjena radi utvrđivanja da li su lični podaci pogođeni i da li je potrebna notifikacija prema GDPR-u u roku od 72 sata.
- Za organizacije koje su obuhvaćene opsegom NISG-a 2026: pravovremena priprema internih procesa izvještavanja u skladu s procedurom koja stupa na snagu 1. oktobra 2026.
- Sveobuhvatna dokumentacija svih odluka, datuma i koraka revizije.
- Rano uključivanje pravnih savjetnika specijaliziranih za kibernetički kriminal i pravo kapitalnih tržišta, radi koordinacije rokova, sadržaja izvještaja i vanjske komunikacije.
Zaključak: Pravna sigurnost u vanrednoj situaciji zahtijeva pripremu.
Slučaj TeamViewera pokazuje da nadležna tijela sve više dosljedno primjenjuju zahtjeve za izvještavanje prema zakonima o tržištima kapitala i na kibernetičke incidente. Za austrijske kompanije važi sljedeće: MAR je već na snazi, obaveza izvještavanja prema GDPR-u je uspostavljena praksa, a s NISG-om 2026 od oktobra 2026. godine bit će uvedena treća, zasebna razina izvještavanja. Svako ko bude nepripremljen u slučaju incidenta izgubiće dragocjeno vrijeme – upravo ono vrijeme koje je ključno za pravovremeno i zakonito podnošenje izvještaja.
ATB.LAW pomaže kompanijama u Austriji u pravnoj procjeni i upravljanju sajber incidentima – od početne procjene rizika, preko koordinacije s tijelom za zaštitu podataka, FMA i CSIRT-om, do komunikacije s klijentima i investitorima. U slučaju hitnog ransomwarea ili sajber incidenta, ATB.LAW je dostupan 24 sata dnevno. Molimo vas da nas kontaktirate što je prije moguće – u prvim satima nakon incidenta polaže se temelj za naknadnu pravnu procjenu.
Pogođeni mogu kontaktirati ATB.LAW 24/7 – Uvijek smo tu da vam pomognemo. telefonom dostupan.
Često postavljana pitanja:
Ne, nije svaki kibernetički napad automatski predmet obaveze izvještavanja. Odlučujući faktor u svakom slučaju je da li su ispunjeni zakonski uslovi relevantne uredbe – na primjer, da li postoji povjerljiva informacija osjetljiva na cijenu u smislu MAR-a, da li su lični podaci pogođeni (GDPR) ili da li je došlo do značajnog incidenta sajber sigurnosti u smislu NISG 2026. U praksi su, međutim, ozbiljni incidenti često relevantni iz nekoliko ovih perspektiva istovremeno.
Koji je rok za prijavu sajber napada?
To zavisi od relevantne pravne osnove. Prema MAR-u, povjerljive informacije moraju biti objavljene odmah, bez ikakvog krivog kašnjenja. Prema GDPR-u, općenito postoji rok od 72 sata od trenutka kada postane poznato da je došlo do povrede podataka. Prema NISG-u 2026, od 1. oktobra 2026. primjenjivat će se postupak u tri faze, pri čemu se početno rano upozorenje mora izdati u roku od 24 sata.
Šta se dešava ako se sajber napad ne prijavi na vrijeme?
Postoji rizik od regulatornih sankcija, čija se ozbiljnost značajno razlikuje ovisno o pravnoj osnovi – od novčanih kazni u visokom petocifrenom do šestocifrenog ranga prema MAR-u do kazni do 20 miliona eura ili 4 posto globalnog godišnjeg prometa prema GDPR-u. Uz to dolaze i redovni reputacijski gubici i gubitak povjerenja među investitorima, klijentima i nadzornim tijelima.
