1. Uvod: Što se događa tijekom ransomware napada?
Tipičan slijed događaja u ransomware incidentu:
-
Napadači šifriraju poslužitelje, baze podataka i radne stanice.
-
Važni podaci tvrtke i sigurnosne kopije postaju nedostupni.
-
Osim toga, podaci se često iznose.
-
Počinitelji prijete objaviti te podatke na dark webu.
-
Zahtijeva se otkupnina – obično u kriptovalutama.
U mnogim slučajevima postoje dva specifična zahtjeva:
-
Otkupnina za funkcionalni ključ za dešifriranje (Ključ za dešifriranje).
-
Otkupnina zauzvrat za obećanje o brisanju ili neobjavljivanju izvučenih podataka (Iznuđivanje zbog curenja podataka).
Ovaj članak se točno bavi tim dvjema scenarijima.
2. Porečno načelo: Poslovni razlozi kao polazna točka
Prema austrijskom zakonu o porezu na dohodak, poslovni troškovi definirani su kao svi izdaci nastali u tijeku poslovanja. Jednostavno rečeno:
-
Mora postojati jasan ekonomski vez s tvrtkom.
U slučaju isplata otkupnine za ransomware, ta je veza često očita:
-
Ovo obično utječe na poslovne IT sustave i podatke tvrtke.
-
Svrha uplate je,
-
obnoviti operativni kapacitet tvrtke (dekriptacija), ili
-
kako bi se spriječila daljnja značajna šteta proizašla iz objave podataka (izbrisanje/sprječavanje curenja).
-
Stoga postoji snažan argument za klasificiranje ovih isplata, u suštini, kao poslovnih troškova. U ekonomskom smislu, one su usporedive s troškovima nastalim ograničavanjem štete i vraćanjem statusa quo.
3. Zabranu odbitka "kriminalnih isplata" – utječe li to na žrtvu?
Očiti protuargument je odjeljak 20(1)(5)(a) Zakona o porezu na dohodak (EStG). Jednostavno rečeno, navodi se da darovi čije je davanje ili primanje kažnjivo zakonom nisu porezno priznati.
Stručna literatura ovdje jasno razlikuje:
-
Standard je prvenstveno namijenjen pokrivanju korumpiranih isplata i mita.
-
Ovo se odnosi na slučajeve u kojima plaćatelj namjerno stječe nezakonitu prednost.
Situacija je drugačija kada je riječ o plaćanju otkupnine za ransomware:
-
Tvrtka je žrtva ucjene.
-
Cilj je minimizirati postojeću štetu i osigurati neprekidan rad poslovanja.
-
Nije pitanje počinjenja kaznenog djela samog ili nezakonitog utjecaja na nekoga.
Stoga se uvjerljivo tvrdi da odredba članka 20. stavka 1. točke 5. podtočke a Zakona o porezu na dohodak (EStG) ne bi, kao pravilo, trebala dovesti do uskraćivanja odbitka poslovnih troškova žrtvi ransomware napada, pod uvjetom da se radi isključivo o dešifriranju ili neotkrivanju podataka tvrtke.
Granice mogu prolaziti tamo gdje:
-
jasno je da se otkupnina očito plaća sankcioniranoj ili terorističkoj organizaciji, ili
-
Tvrtka se namjerno dovodi u položaj suučesnika u kriminalnoj aktivnosti.
Međutim, u tipičnim anonimnim slučajevima ransomwarea ovo se scenarij obično ne događa.
4. Identifikacija primatelja: Što je s člankom 162. Saveznog poreznog zakona (BAO) ako su počinitelji anonimni?
Još jedno ključno pitanje je identifikacija primatelja u skladu s člankom 162. Saveznog poreznog zakona (BAO). Porezne vlasti mogu zahtijevati od društva da točno identificira primatelja uplate. Ako se to ne učini, poslovni trošak može biti odbijen.
Problem u praksi:
-
Napadači ransomwarea su anonimni,
-
Uplata se vrši na adresu kripto novčanika,
-
Ne postoji realna mogućnost utvrđivanja imena ili adrese primatelja.
Prema gledištu koje se zastupa u literaturi, vrijedi sljedeće:
-
Članak 162 BAO-a zahtijeva 'odbijanje' imenovanja primatelja.
-
Ako primatelj ne može biti objektivno identificiran, to ne predstavlja odbijanje, već nemogućnost.
U kontekstu ransomwarea, ovo znači:
-
Ako tvrtka dokumentira napad i uplatu na način koji je lako provjeriti,
-
i objašnjava da, unatoč razumnim naporima, nije moguće identificirati počinitelje,
-
Poslovni trošak ne smije biti odbijen isključivo na temelju toga što primatelj nije naveden.
5. Otkupnina za dešifriranje naspram otkupnine za brisanje podataka
Za porezne svrhe u praksi nema suštinske razlike u tome plaća li se otkupnina za:
-
Dekriptacija korporativnih podataka
-
Cilj: Obnova sposobnosti za rad.
-
-
Obveza brisanja ili neobjavljivanja eksfiltriranih podataka tvrtke
-
Cilj: spriječiti daljnju štetu (po ugled, poslovne tajne, rizike u vezi s GDPR-om, tužbe za naknadu štete od strane ispitanika itd.).
-
U oba slučaja uplata je usko povezana s poslovnim aktivnostima tvrtke. Ona služi za minimiziranje gubitaka i zaštitu tvrtke.
Zaključak: U načelu se može tvrditi da obje opcije predstavljaju porezno priznate poslovne troškove, pod uvjetom da su ispunjeni ostali uvjeti (status žrtve, nema očitih kršenja sankcija i jasno dokumentiran slučaj, uključujući procjenu činjenične i pravne dopuštenosti isplate otkupnine).
6. Tehnička pozadina
Mi smo odvjetnici, a ne porezni savjetnici. Međutim, tijekom našeg rada u timovima za odgovor na incidente često se susrećemo s pitanjem poreznog tretmana isplata otkupnine i redovito surađujemo sa stručnim poreznim savjetnicima.
Informacije iznesene u ovom članku temelje se na našem trenutnom razumijevanju pravne situacije i ne tvrde da su točne, potpune ili ažurirane. Koliko se može utvrditi, trenutno ne postoje konačne odluke austruskih najviših sudova o ovdje raspravljenim pitanjima, što znači da se procjena može promijeniti kao rezultat buduće sudske prakse ili upravne prakse.
Dijelovi ove analize temelje se osobito na znanstvenom radu autora Bräumanna, Koflera i Tumpela, "Jesu li isplate otkupnine u slučaju ransomware napada porezno priznate?", SWK 26/2021, 1194–1205, iako to nije namijenjeno kao zamjena za porečno savjetovanje.
7. ČPP: Često postavljana pitanja o poreznom tretmanu otkupnina za ransomware
Jesu li isplate otkupnine porezno priznate u Austriji?
Da, pod uvjetom da se radi o dešifriranju ili neotkrivanju poslovnih podataka, da je tvrtka očito žrtva i da je incident pravilno dokumentiran, ti se plaćanja u načelu mogu smatrati poslovnim troškovima.
Jesu li isplate otkupnine također porezno priznate ako je jedini cilj spriječiti objavu izvučenih podataka?
Da. Ako je plaćanje namijenjeno sprječavanju otkrivanja podataka o tvrtki i time izbjegavanju štete za poslovanje (npr. poslovne tajne, rizici odgovornosti, šteta ugledu), postoji i jasno poslovno opravdanje.
Moram li poreznoj upravi reći tko je primatelj uplate otkupnine?
U načelu porezne vlasti mogu zahtijevati da se primatelj imenuje. Međutim, u tipičnim slučajevima ucjenjivačkog softvera počinitelji ostaju anonimni. Ako identifikacija nije moguća unatoč razumnim naporima, to predstavlja slučaj nemogućnosti imenovanja. Poslovni trošak stoga ne bi trebao biti odbijen samo na toj osnovi.
Postoji li razlika u porezne svrhe ako se otkupnina plati kriptovalutama?
Plaćanje kriptovalutama ne mijenja osnovnu poreznu klasifikaciju kao poslovni trošak. Najvažnije je dokumentirati transakciju (novčanik, ID transakcije, konverzija u EUR) i klasificirati je kao trošak povezan s gubitkom.
Sprječava li odjeljak 20. stavak 1. točka 5. Zakona o porezu na dohodak ("nezakonite isplate") odbitnost isplate otkupnine?
Prema relevantnoj literaturi, općenito ne. Odredba je prvenstveno usmjerena na mito i korumpirane isplate, a ne na isplate koje su žrtve dale u situaciji ucjenjivanja. U tipičnim slučajevima ransomwarea tvrtka je žrtva i samo pokušava ograničiti masovnu štetu. Posebni slučajevi u kojima je jasno da se uplate usmjeravaju prema sankcioniranim ili terorističkim organizacijama mogu biti problematični.
8. Kratak sažetak
Prema trenutačnom mišljenju stručnjaka, austrijske tvrtke koje, nakon ransomware napada, plate otkupninu kako bi dekriptirale podatke ili osigurale obvezu da će izvučeni podaci tvrtke biti izbrisani ili neće biti objavljeni, mogu opravdano to priznati kao porezno priznat poslovni trošak –
pod uvjetom da je poslovno opravdanje jasno, da je povezanost sa sankcijama i terorizmom isključena i da je incident sveobuhvatno dokumentiran.
Za daljnje informacije, molimo kontaktirajte Roman Taudes i njegov tim se može kontaktirati u bilo koje vrijeme na office@atb.law ili telefonom na 01 39 12345 dostupno.
