Slučaj: Zašto je BaFin poduzeo mjere protiv TeamViewera
Incident je pokrenut kibernetičkim napadom na internu IT infrastrukturu tvrtke TeamViewer u lipnju 2024. Tvrtka je sumnjala da je napad izvela navodno ruska grupa APT29, poznata i kao 'Midnight Blizzard'. Prema vlastitoj izjavi tvrtke TeamViewer, pogođen je samo interni IT sustav – kompromitirani su imena, kontaktni podaci i lozinke zaposlenika. Okruženje proizvoda, komunikacijska platforma i podaci korisnika nisu bili pogođeni.
TeamViewer je u početku pružao informacije samo putem vlastite web-stranice i takozvanog 'Trust Centra' – a ne putem formalnog ad hoc priopćenja. Tvrtka je objasnila da je pažljivo procijenila predstavljaju li te informacije ad hoc vijest te da je odabrana metoda komunikacije putem Centra za povjerenje u skladu sa standardnom praksom u tehnološkom sektoru. Nakon objave cijena dionice je privremeno pala za oko 10 posto.
BaFin je zauzeo drugačiji stav. Prema njegovoj procjeni, kibernetički napad – upravo zato što je TeamViewer softverska tvrtka – predstavljao je povlaštenu informaciju osjetljivu na cijenu u smislu Uredbe o trgovanju povlaštenim informacijama (MAR). Ta se informacija trebala odmah objaviti. Odluka o izricanju novčane kazne temelji se na članku 17. stavku 1. prvoj podstavci MAR-a; kazna može iznositi do 2,5 milijuna eura ili do 2 posto ukupnog prometa. TeamViewer se još uvijek može žaliti na kaznu.
Zašto je ovaj slučaj relevantan i izvan TeamViewera
Ovaj slučaj nije izoliran incident u Njemačkoj. On ističe regulatorno načelo koje je također izravno relevantno za austrijske tvrtke: kibernetički napad može predstavljati povlaštenu informaciju podložnu objavi, čak i ako u početku nije jasno jesu li pogođeni podaci o klijentima ili o proizvodima. Odlučujuće nije tehnička ozbiljnost napada, već njegov potencijalni utjecaj na tržišnu cijenu – drugim riječima, hoće li informacija, kad postane javna, vjerojatno imati značajan utjecaj na cijenu financijskog instrumenta.
Za upravu društva to znači da odluka o tome hoće li izdati ad hoc priopćenje ne smije biti odgođena dok se ne dovrši potpuna forenzička istraga incidenta. Mora se neprestano preispitivati na temelju trenutačnog stanja znanja – i mora se ocjenjivati iz pravnog, a ne iz komunikacijskog kuta.
MAR se također izravno primjenjuje u Austriji.
Uredba o zlouporabi tržišta je uredba EU-a i stoga se izravno primjenjuje i na austrijske izdavatelje – bez potrebe za nacionalnim provedbenim zakonodavstvom. Nadležno nadzorno tijelo u Austriji je Financijsko tržišno tijelo (FMA), a ne BaFin. BaFin je odgovoran isključivo za izdavatelje sa sjedištem u Njemačkoj ili primarno uvrštene tamo. Uvrštena austrijska tvrtka pogođena usporedivim kibernetičkim napadom podlijegala bi istim materijalnim obvezama prema članku 17. MAR-a – samo s FMA kao nadležnim tijelom i uz austrijsko upravno kazneno pravo kao okvir za sankcije.
Konkretno, to znači da je pravno obrazloženje u slučaju TeamViewer izravno primjenjivo na austrijske izdavatelje, iako je konkretna novčana kazna izrečena od strane njemačkog tijela.
Kibernetički napadi rijetko sami po sebi pokreću obvezu izvještavanja.
Druga ključna točka: kibernetički napad gotovo nikada nije relevantan isključivo prema zakonodavstvu o tržištima kapitala. U većini slučajeva istovremeno se primjenjuju više obveza izvještavanja, s različitim rokovima, primateljima i uvjetima. To znatno povećava složenost za upravu društva – i upravo se tu u praksi događaju najveće pogreške.
GDPR – Obveza prijave povreda zaštite osobnih podataka Kada su u pitanju osobni podaci – kao što su, u slučaju TeamViewera, kontaktni podaci zaposlenika i lozinke – primjenjuje se i članak 33. GDPR-a. Voditelj obrade mora, načelno, obavijestiti nadležno tijelo za zaštitu podataka o povredi u roku od 72 sata od saznanja za nju, ako postoji rizik za prava i slobode ispitanika. U Austriji je za to nadležna Austrijska agencija za zaštitu podataka. U slučaju visokog rizika postoji i obveza obavještavanja samih ispitanika (članak 34. GDPR-a).
NIS2 / NISG 2026 – nova obveza prijave kibernetičkih incidenata u Austriji Austrija je prenijela Direktivu EU NIS2 Zakonom o sigurnosti mreža i informacijskih sustava iz 2026. (NISG 2026). Zakon je usvojio Nacionalni savjet u prosincu 2025. i stupit će na snagu 1. listopada 2026. Primjenjuje se na srednja i velika poduzeća u određenim sektorima – općenito govoreći, ona s 50 ili više zaposlenika ili s godišnjim prometom ili ukupnom bilancom većom od 10 milijuna eura. Nadležno tijelo je novoosnovani Savezni ured za kibernetičku sigurnost, koji je odgovoran Saveznoj ministraciji unutarnjih poslova; CERT.at djeluje kao operativni centar za odgovor na incidente (CSIRT).
Za značajne incidente u kibernetičkoj sigurnosti primjenjivat će se postupak izvještavanja u tri faze od dana stupanja na snagu zakonodavstva: rano upozorenje u roku od 24 sata, detaljnije izvješće u roku od 72 sata i konačno izvješće najkasnije mjesec dana nakon ranog upozorenja. Pogođene organizacije također se moraju registrirati najkasnije do 31. prosinca 2026.
Za organizacije koje su već bile pogođene kibernetičkim incidentom, to znači da je obveza izvještavanja prema NIS2 u velikoj mjeri stvar bliže budućnosti – dok se obveze prema zakonima o tržištima kapitala i zaštiti podataka već danas u potpunosti primjenjuju.
Usporedba obveza izvještavanja: MAR, GDPR i NIS2/NISG 2026
| MAR (Uredba o zlouporabi tržišta) | GDPR (članci 33. i 34.) | NIS2 / NISG 2026 | |
|---|---|---|---|
| Tko je pogođen? | Emitenti financijskih instrumenata na organiziranom tržištu | Svaki voditelj obrade koji obrađuje osobne podatke | Poduzeća srednje veličine i velika poduzeća u sektorima NIS-a (50 ili više zaposlenika, ili promet/ukupna imovina veći od 10 milijuna eura) |
| Što treba prijaviti | Interna informacija – točna informacija koja bi mogla utjecati na cijenu dionice i koja nije javno poznata | Povreda zaštite osobnih podataka | Značajan kibernetički incident kako je definirano NISG-om 2026 |
| Rok | Bez odgađanja, bez ikakvog krivog oklijevanja | U roku od 72 sata od otkrivanja slučaja | Rano upozorenje u roku od 24 sata, izvještaj u roku od 72 sata, završno izvješće u roku od mjesec dana |
| Nadležno tijelo u Austriji | FMA | Austrijska agencija za zaštitu podataka | Savezni ured za kibernetičku sigurnost / CERT.at |
| Okvir za sankcije | Do 2,5 milijuna eura ili do 2,1 % ukupnog prometa | Do 20 milijuna eura ili 4 % globalnog godišnjeg prometa | Upravne kazne prema NISG-u 2026, uključujući novčane kazne do 50.000 € odnosno 100.000 € za kršenje obveze registracije; dodatne kazne za kršenje obveza izvještavanja i upravljanja rizicima |
Napomena: Informacije o NISG-u 2026 odnose se na zakon koji neće stupiti na punu snagu prije 1. listopada 2026. Pojedinosti mogu biti razjašnjene propisima koji tek trebaju biti doneseni.
Uobičajene pogreške u praksi
Na temelju našeg iskustva u pružanju pravne podrške u kibernetičkim incidentima, možemo identificirati niz ponavljajućih izvora pogrešaka:
- Komunikacija putem web stranice umjesto službenog obavještenja. Obavijest na vlastitoj web-stranici tvrtke ne predstavlja zakonom propisano ad hoc priopćenje, obavijest prema GDPR-u niti obavijest prema NIS2. Upravo je ta pogreška bila u središtu slučaja TeamViewer.
- Pričekajte dok se forenzička istraga u potpunosti ne dovrši. Obveza prijave općenito nastaje kad se sazna za incident – a ne kad se dovrši njegova cjelovita istraga. Tko god odgodi prijavu dok se ne dovrši forenzička istraga, riskira da propusti rok.
- Posebno razmatranje obveza izvještavanja. MAR, GDPR i, u budućnosti, NIS2 djeluju paralelno i imaju različite rokove. Izolirani pregled samo jednog područja prava često zanemaruje druge obveze.
- Nedostatak dokumentacije procesa donošenja odluka. Treba u potpunosti dokumentirati je li i kada je određena informacija klasificirana kao povjerljiva informacija ili kao događaj koji se mora prijaviti – ne samo radi pružanja provjerljivih dokaza u slučaju naknadne regulatorne revizije.
Što bi pogođene tvrtke trebale konkretno učiniti u ovoj fazi
U hitnim slučajevima svaki sat je važan. Ima smisla slijediti strukturirani pristup:
- Neposredna procjena je li informacija mogla predstavljati povlaštenu informaciju u smislu MAR-a – neovisno o napretku tehničke istrage.
- Paralelna procjena radi utvrđivanja jesu li osobni podaci pogođeni i je li potrebna obavijest prema GDPR-u u roku od 72 sata.
- Za organizacije koje podliježu NISG-u 2026: pravovremena priprema internih procesa izvještavanja u skladu s postupkom koji stupa na snagu 1. listopada 2026.
- Sveobuhvatna dokumentacija svih odluka, datuma i koraka revizije.
- Rano uključivanje pravnih savjetnika specijaliziranih za kibernetički kriminal i pravo tržišta kapitala, radi koordinacije rokova, sadržaja izvještaja i vanjske komunikacije.
Zaključak: Pravna sigurnost u hitnim situacijama zahtijeva pripremu.
Slučaj TeamViewera pokazuje da nadležna tijela sve više dosljedno primjenjuju zahtjeve za izvještavanje prema zakonodavstvu o tržištima kapitala na kibernetičke incidente. Za austrijske tvrtke vrijedi sljedeće: MAR je već na snazi; obveza izvještavanja prema GDPR-u je ustaljena praksa; a s NISG-om 2026 od listopada 2026. uvest će se treća, zasebna razina izvještavanja. Tko god bude nepripremljen u hitnoj situaciji, izgubit će dragocjeno vrijeme – upravo ono vrijeme koje je ključno za pravovremeno i zakonito podnošenje izvješća.
ATB.LAW pomaže tvrtkama u Austriji u pravnoj procjeni i upravljanju kibernetičkim incidentima – od početne procjene rizika, preko koordinacije s tijelom za zaštitu podataka, FMA-om i CSIRT-om, do komunikacije s klijentima i ulagačima. U slučaju hitnog ransomwarea ili kibernetičkog incidenta, ATB.LAW je dostupan 24 sata dnevno. Molimo vas da nas kontaktirate u najkraćem mogućem roku – u prvih nekoliko sati nakon incidenta postavljaju se temelji za naknadnu pravnu procjenu.
Pogođeni se mogu obratiti ATB.LAW 24 sata dnevno, 7 dana u tjednu – Uvijek smo tu da vam pomognemo. telefonom dostupan.
Često postavljana pitanja:
Ne, nije svaki kibernetički napad automatski predmet obveze izvještavanja. Odlučujući čimbenik u svakom slučaju jest ispunjavaju li se pravni uvjeti relevantne uredbe – na primjer, postoji li povjerljiva informacija o cijeni u smislu MAR-a, jesu li osobni podaci pogođeni (GDPR) ili je došlo do značajnog kibernetičkog incidenta u smislu NISG-a 2026. U praksi su, međutim, ozbiljni incidenti često relevantni iz nekoliko tih perspektiva istovremeno.
Koji je rok za prijavu kibernetičkog napada?
To ovisi o relevantnoj pravnoj osnovi. Prema MAR-u, povjerljive informacije moraju se objaviti bez nepotrebnog odgađanja. Prema GDPR-u, općenito postoji rok od 72 sata od trenutka kada je povreda podataka poznata. Prema NISG-u 2026, od 1. listopada 2026. primjenjivat će se postupak u tri faze, pri čemu se početno rano upozorenje mora izdati u roku od 24 sata.
Što se događa ako se kibernetički napad ne prijavi na vrijeme?
Postoji rizik regulatornih sankcija čija se ozbiljnost znatno razlikuje ovisno o pravnoj osnovi – od novčanih kazni u visokom petocifrenom do šestocifrenog ranga prema MAR-u do novčanih kazni do 20 milijuna eura ili 4 posto globalnog godišnjeg prometa prema GDPR-u. Uz to dolaze i redovita šteta po ugled te gubitak povjerenja među ulagačima, klijentima i regulatornim tijelima.
