Ključne točke na prvi pogled
- U Austriji plaćanje otkupnine općenito nije zabranjeno. Međutim, ona je nedopustiva ako sredstva doprinesu sankcioniranim osobama ili organizacijama. Također, mora se provjeriti i zakonska dopustivost plaćanja otkupnine.
- Rokovi za podnošenje prijave vrijede neovisno o pregovorima ili plaćanju. To vrijedi za članak 33. GDPR-a (72 sata) i za NISG-2026 uređaje (rano upozoravanje u roku od 24 sata).
- Profesionalno pregovaranje daje vrijeme. IT forenzika i obnova podataka mogu se provoditi istovremeno. Bez obzira na eventualnu uplatu otkupnine, pregovorima se mogu dobiti vrijedne informacije za donošenje odluka. Vrijednost otkupnine se (skoro) uvijek može dogovoriti.
- Odluka o plaćanju je pitanje odgovornosti za rukovodstvo. Trebala bi biti donesena na temelju dokumentiranih informacija.
Što je pregovaranje s cyberkriminalcima?
Poslovni dijalog s kiberkriminalcima je strukturirana i strateški planirana komunikacija s počiniteljima ransomware napada ili prijetnje zaštićenim podacima. Ciljevi su ušteda vremena, provjera tvrdnji počinitelja, poboljšanje početnog stanja poduzeća i temeljita baza za donošenje odluka od strane rukovodstva.
Sudski postupak ne znači nužno i plaćanje. U mnogim slučajevima ona služi prije svega za prikupljanje informacija i omogućavanje vremena za obnovu podataka iz sigurnosnih kopija. O tome hoće li se na kraju platiti odlučuje tvrtka tek nakon pravne i ekonomične provjere. U našim vodom procesima već je više puta bilo slučajeva da smo utvrdili da počinitelji – suprotno njihovim tvrdnjama u pisanoj obavijesti o ucjeni – uopće nisu mogli ukrasti podatke.
Tipični scenariji iznuđivanja
Ransomware s dvostrukim ucjenama
Ransomware je zlonamjerna programska podrška koja šifrira podatke ili cijele IT sustave kako bi se zatražio otkupninu za otključavanje. U slučaju dvostrukog ucjene, prije šifriranja počinitelji dodatno kopiraju podatke i prijetnje njihovim objavljivanjem na stranici za objavljivanje ilegalnih materijala.
Obično se traži kriptovaluta, najčešće Bitcoin ili USDC/USDT. Sigurnosne kovanice poput Monero ili zCash u praksi se rijetko traže. Nasilnici postavljaju rokove i nakon isteka njihove valjanosti često povećavaju tražbinu.
Prikupljanje podataka bez šifriranja
Neki počinitelji ne šifriraju ništa. Otimaju podatke i traže novac za to da ih ne objave ili ne prodate. Sustavi i dalje funkcioniraju. Pritisak nastaje samo zbog prijetnje objavljivanja. Pravno je riječ o kršenju zaštite osobnih podataka ako su pogođeni osobni podaci.
Izvantjeralni ili navodni izvantjeralni ucjenjivanje
Posebna situacija je ucjena od strane osoba s informacijama iznutra, na primjer od aktualnih ili bivših zaposlenika. Također je vrlo često da vanjski počinitelji predstavljaju sebe kao informatore kako bi učinili svoju prijetnju vjerodostojnijom. Stoga je potrebno prvo utvrditi:
- da li navodni podaci zaista postoje,
- tko stoji iza zahtjeva,
- koje su dostupne pravne središte u području kaznenog, građanskog i radnog prava.
Neobazirana reakcija može otežati identifikaciju počinitelja.
Kako se odvija profesionalno rješavanje ransomwarea?
Profesionalno rješavanje ransomwarea provodi se u skladu s usklađenom strategijom i u bliskoj suradnji s IT forenzikom, osiguravateljima i rukovodstvom. Svaka poruka upućena počiniteljima unaprijed je planirana i dokumentirana.
| Faza | Sadržaj | Svrha |
|---|---|---|
| Procjena situacije | Identifikacija skupine počinitelja, poznati postupak, pouzdanost u prethodnim slučajevima | Realistička procjena mogućnosti |
| Uštedjeno vrijeme | Organizirana i kontrolirana komunikacija | IT forenzika i obnova podataka rade paralelno |
| Verifikacija | „Proof of Life“: Dokaz da počinitelji posjeduju podatke ili funkcionalni ključ, na primjer putem testnog šifriranja pojedinačnih datoteka | Nema plaćanja za prazne prijetnje |
| Posavjetovanje | Pravovaljan razgovor o visini, uvjetima i tijeku | Poboljšanje početnog stanja |
| Dokumentacija | Nepostradna evidencija svih komunikacija | Dokazivanje prema osiguravateljima, tijelima vlasti i društvenim organizacijama |
Mag. Roman Taudes, LL.M., završio je specijalizirane programe za osposobljavanje u području Ransomware Negotiation Tactics. ATB.LAW već nekoliko godina provodi pregovore s skupinama počinitelja. „U našoj praksi je moguće % smanjiti početnu zahtjev u više od 50 slučajeva.“ Svaki je slučaj drugačiji. Stoga se ne može garantirati određeni rezultat pregovora.
Je li u Austriji dopušteno plaćanje otkupnine?
Plaćanje otkupnine napadačima ransomwarea općenito nije zabranjeno u Austriji. Međutim, ona je neprimjenjiva ako je primatelj osoba ili organizacija koja podliježe EU sankcijama. U tom slučaju plaćanje može biti kažnjivo prema Zakonu o sankcijama iz 2010. godine.
Podmetnuto poduzeće je pravno gledano žrtva ucjene. Sam plaćanje nije kazneno djelo. Pravne rizike nastaju prije svega iz triju područja:
- Zakon o sankcijama: Uredba (EU) 2019/796 omogućuje zamrzavanje imovine osoba i organizacija odgovornih za kibernapade. Postoji zabrana osiguravanja sredstava. Popis je zadnji put proširen u srpnju 2026. Osim toga, potrebno je razmotriti i druge sankcijske režime, posebno sankcije protiv Rusije.
- Financiranje terorizma: Ako je vidljivo povezanost s terorističkom organizacijom, primjenjuje se članak 278d StGB.
- Odgovornost za organe: Plaćanje bez odgovarajućeg provjere može dovesti do osobne odgovornosti rukovodstva.
Ne poznaje se austrijska najviša sudska odluka o dopuštenosti plaćanja otkupnine za ransomware. Stoga je još važnije pažljivo provjeriti sve detalje prije svake uplate.
Koje obveze prijavljivanja vrijede u slučaju ransomware napada?
Ransomware napad može uzrokovati više nezavisnih obaveza izvješćivanja. Najvažniji su podaci koji se dostavljaju Agenciji za zaštitu podataka u skladu s člankom 33. GDPR-a i, za obrade koji se obavljaju u skladu s NISG 2026. Ova roka počinje teći bez obzira na to je li došlo do pregovora ili plaćanja.
| Pravna osnova | Primatelj | Rok | Zahtjev |
|---|---|---|---|
| Članak 33. GDPR-a | Austrijska agencija za zaštitu podataka | Odmah, po mogućnosti u roku od 72 sata od saznanja | Kršenje zaštite osobnih podataka, osim ako vjerojatno ne postoji rizik za ispitanike |
| Članak 34. GDPR-a | Pogođeni pojedinci | Odmah | Očekuje se da će to predstavljati visok rizik za pojedince koji su pogođeni |
| NISG 2026 – Rano upozorenje | Pristojni CSIRT | U roku od 24 sata od saznanja | Značajan kibernetički incident u bitnoj ili važnoj ustanovi |
| NISG 2026 – Izvješće o incidentu | Pristojni CSIRT | U roku od 72 sata od saznanja | kao što je gore navedeno |
| NISG 2026 – završno izvješće | Pristojni CSIRT | U principu u roku od jednog mjeseca nakon prijavljivanja incidenta | kao što je gore navedeno |
| Pravo industrije (npr. DORA) | Odgovorna nadzorna agencija (npr. FMA) | Odvojene, ponekad kraće rokove | Financijske tvrtke |
NISG 2026 (BGBl. I br. 94/2025) stupa na snagu od 1. listopada 2026. Nadomjestio je NISG 2018 i obuhvaća znatno više poduzeća nego dosad. Čl. 31 NISG 2026 izričito preuzima odgovornost za upravljačka tijela za upravljanje kibersigurnosnim rizicima. Više o tome u našem NIG 2 članku.
Prijave kaznenog djela nisu zakonska obveza. Međutim, obično su korisne, npr. za slučajevi osiguranja, moguće zahtjeve od trećih strana i međunarodne istrage.
Koje se kaznene radnje odnose na ransomware i krađu podataka?
Prema austrijskom pravu, ransomware napadi često uključuju više kaznenih djela iz Zakona o kaznenom postupku. U središtu su iznude i zločini protiv računalnih sustava i podataka.
| Kazneni postupak | Sadržaj |
|---|---|
| Članak 118a Njemačkog kaznenog zakonika (StGB) – Neovlašteni pristup računalnom sustavu | Provaljivanje u informacijski sustav |
| Članak 126a Njemačkog kaznenog zakonika (StGB) – Oštećenje podataka | Šifriranje, mijenjanje ili uništavanje podataka |
| Članak 126b Njemačkog kaznenog zakonika (StGB) – Ometawe rada računalnog sustava | Zaustavljanje rada |
| članci 144., 145. StGB – ucjena, teška ucjena | Traženje novca pod prijetnjom smrću |
| članci 122., 123. StGB, članci 26a. i dalje UWG | Oštećenje ili istraživanje poslovnih i poslovnih tajni, posebno u slučaju insidera |
Oštećeno poduzeće se može uključiti u kazneni postupak kao privatni dioničar. To je osobito važno ako se utvrde počinitelji ili ako se mogu osigurati imovinske imovine.
Prema izvješću Cybercrimereport 2025 Federalnog kriminalističkog ureda, broj prijava cyberkriminaliteta u užem smislu pojma porastao je s 20.246 u 2024. godini na 21.988 u 2025. godini (+8,6 %). Radi se o napadima usmjerenim protiv samih informacijskih sustava.
Je li rukovodstvo odgovorno za odluku o plaćanju?
Odluka o tome hoće li se platiti otkupnina je poslovna odluka o procjeni situacije. Prema § 25. stavku 1.a GmbHG-a i § 84. stavku 1.a AktG-a, voditelj poslovanja postupat će odgovorno ako se, neovisno o vanjskim interesima, i na temelju odgovarajućih informacija, odluči u dobrobit društva. Ova pravila nazivaju se Business Judgment Rule.
Za praksu to znači: Odluka bi se trebala dokumentirati. To posebno uključuje:
- tehnička situacija (backupovi, vrijeme obnove, opseg podataka),
- ekonomske posljedice duljeg stanja mirovanja,
- rezultat provjere sankcija,
- pozicija kibersigurnosnog osiguravatelja,
- pravne rizike obje opcije.
Odlučivanje „iznutra“ pod pritiskom vremena predstavlja najveći rizik od odgovornosti.
Što je potrebno uzeti u obzir pri osiguranju od kibernapada?
O tome da li kibernomadna osiguranja pokriva otkupninu, troškove pregovaranja ili prekide poslovanja ovisi o konkretnim uvjetima osiguranja. Mnogi policajci predviđaju pridržaje, obveze prijavljivanja i zahtjeve za odabir pružatelja usluga.
Kršenje obveze može dovesti do nepostojanja obveze prema Zakonu o osiguranju (VersVG) i time do nepostojanja prava osiguranika na naknadu štete. Stoga bi osiguravatelj trebao biti informiran i uključen u fazu važnih koraka prije njihove provedbe. To vrijedi posebno za plaćanje premije.
Kako se obavlja plaćanje otkupnine?
Plaćanje otkupnine u kriptovaluti trebalo bi biti izvršeno tek nakon pravne provjere, provjere sankcija i dogovora s osiguravateljem. Obradak se provodi kontrolirano i potpuno dokumentiran.
- Provjera sankcija i pranja novca grupe počinitelja i adrese primatelja.
- Analiza blockchaina za adresu primatelja na veze s sankcioniranim subjektima ili poznatim grupama počinitelja.
- Nabava kriptovalute od reguliranog pružatelja usluga.
- Kontrolirana plaćanja, ako je to primjereno, prvo kao dio iznosa.
- Dokumentacija za osiguranje, knjigovodstvo, vlasti i društvene organizacije.
Važno: Plaćanje ne jamči da će počinitelji stvarno izbrisati podatke ili da ih neće ponovno napasti.
Što poduzeća ne bi trebala raditi u slučaju ozbiljnog incidenta
- Ne komunicirajte sami s počiniteljima. Svaka nepromišljena poruka može oslabiti poziciju u pregovorima.
- Nema plaćanja bez provjere sankcija i dogovora s osiguravateljem.
- Ne prebrzo ponovno pokrenite sustave. Time se gube dokazi koji su potrebni za kazneni postupak i za potrebe osiguranja.
- Ne gubite iz vida rokove za podnošenje prijava. One se pokreću nakon što se sazna, a ne nakon završetka analize.
- Nema javnih izjava bez usklađene komunikacije o krizama.
Tako ATB.LAW pruža podršku u slučaju ransomwarea i prijetnji za informacijske sustave
ATB.LAW povezuje upravljanje pregovorima, pravnu kontrolu, analizu blockchaina i obradu plaćanja. U tom procesu odvjetnička tvrtka surađuje sa specijaliziranim IT forenzičarima, pružateljima usluga incidentnog odgovora i analitičarima blockchaina. IT stručnjaci obavljaju kontrolu, analizu i obnavljanje. ATB.LAW se bavi pregovorima, pravnim savjetovanjem, provjerom sankcijskih popisa i obradom plaćanja.
- Prvi kontakt: Rješavanje najvažnijih koraka.
- Okretne mjere: Suradnja s IT forenzičarima i osiguravateljima, provjera rokova za podnošenje prijava u skladu s GDPR-om i NISG-om za 2026. godinu.
- Situacija: Procjena skupine počinitelja, podataka o kojima je riječ i mogućnosti djelovanja.
- Sudski postupak: Komunikacija s počiniteljima u skladu s dogovorenom strategijom.
- Prijedlog odluke: Pravna i faktualna priprema za rukovodstvo.
- Obrada: Po potrebi provjera sankcija, organizacija i praćenje plaćanja.
- Proračun: Obavijesti, kaznena prijava, privatni podaci o osumnjičenom, obrada osiguranja i zahtjevi trećih strana.
Kao odvjetnici podliježemo obvezi poslovne tajne. Naš je članak pregled svih tema koje se tiču ove teme. „Kiberkriminalitet u Austriji“.
Koliko brzo može ATB.LAW djelovati?
ATB.LAW JE DOSTUPAN 24/7 -> Broj za hitne slučajeve 0043 650 8601778
Zaključak
U slučaju ransomwarea i prijetnje povjerljivim podacima, u prvim satima odlučuje se hoće li poduzeće ostati aktivno. Pregovori, obveze prijavljivanja, provjera sankcija, osiguranje i zapljenu su međusobno povezani. Ne mogu se obraditi jedan za drugim. Od stupanja na snagu NISG-a 2026. godine vremenski pritisak za mnoge tvrtke se dodatno povećao. Onaj koji koordinira pregovore i pravnu kontrolu od samog početka stvara osnovu za gospodarski razumnu i odgovornu odluku.
Vaš sljedeći korak
Vaše poduzeće je pogođeno ransomware napadom ili krađom podataka? Mi preuzimamo pregovore s napadačima i provjeravamo vaše obveze izvješćivanja prema GDPR-u i NISG 2026. Na zahtjev pratimo provjeru sankcija, organiziramo otkupninu i eventualnu plaćanje. Radimo povjerljivo i u suradnji s vašom IT forenzičkom službom i vašim osiguravateljem.
Pošaljite nam poruku na:
- Mag. Roman Taudes, LL.M. – Ransomska opasnost, kazneno pravo i kriptovalute: taudes@atb.law
- Dr. Stefan Knotzer LL.M. – Zaštita podataka, NISG 2026, cyberresilience: knotzer@atb.law
- Mag. Anela Blöch LL.M. – Provjera sankcija i pranja novca: bloech@atb.law
Često postavljana pitanja: Nagodba i plaćanje otkupnine:
U Austriji plaćanje otkupnine općenito nije zabranjeno. Međutim, nije dopušteno ako sredstva dospijevaju sankcioniranim osobama ili organizacijama. EU je za to uspostavila vlastiti sankcijski režim za cyber napade u Uredbi (EU) 2019/796. Njegov popis se redovito proširuje. Povreda može biti kažnjiva prema Zakonu o sankcijama iz 2010. Stoga bi prije svake uplate trebalo provjeriti skupinu počinitelja i adresu primatelja te dokumentirati rezultat.
Je li vrijedno pregovaranja s napadačima ransomwarea?
Profesionalno rješavanje spora pruža prije svega vrijeme za IT forenziku i obnavljanje podataka. Osim toga, može se provjeriti ima li počinitelji zapravo na raspolaganju podatke ili funkcionalan ključ. U mnogim slučajevima moguće je i smanjenje traženog iznosa. Sudsko rješenje ne obvezuje na plaćanje. Nije moguće zajamčiti određeni rezultat.
Morate li prijaviti ransomware napad nadležnim tijelima za zaštitu podataka?
Ako su osobne podatke pogođena povreda, prema članku 33. GDPR-a, povreda se u principu mora prijaviti austrijskoj agenciji za zaštitu podataka bez odgode i što je prije moguće, a najkasnije u roku od 72 sata od saznanja o povredi. To vrijedi i ako se isplati otkupninu. Izuzetak postoji samo ako se vjerojatno ne očekuje da će za pojedince koji su pogođeni biti prijetnja. U slučaju visokog rizika, prema članku 34. GDPR-a, također se mora obavijestiti pogođena osoba.
Koje obveze prijavljivanja vrijede prema NISG-u 2026?
Osnovne i važne ustanove u smislu NISG 2026 moraju prijaviti odgovarajućem CSIRT-u znatne incidente u pogledu kibernetičke sigurnosti. Izvješće o incidentu mora se dostaviti u roku od 24 sata, a izvješće o incidentu u roku od 72 sata od trenutka saznanja. Nakon toga slijedi završno izvješće. NISG 2026 je na snazi od 1. listopada 2026. Ova obveza postoji uz obavezu prijavljivanja prema GDPR-u.
Što učiniti ako zaposlenik prijeti objavljivanjem podataka?
Prije svega treba utvrditi je li prijetnja vjerodostojna i tko je zapravo iza nje. Često se vanjski počinitelji predstavljaju kao izvori. Nakon toga mogu se razmotriti podnošenje kaznenog prijavljivanja, tužbe iz područja građanskog prava prema §§ 26a i dalje Zakona o radu i radnička prava. Komunikacija s ucjenjivanjem treba biti usmjerena i usklađena s profesionalnim pregovaračima kako ne bi se ugrozili dokazi.
Cyber osiguranje preuzima novac za otkupninu?
Ovisi o konkretnim uvjetima osiguranja. Mnoge police sadrže uvjete odobrenja, obveze prijavljivanja i odredbe za pružatelje usluga. Ako se uvjeti krše, osiguravatelj može biti neovlašten za isplatu premije prema § 6 VersVG. Stoga bi osiguravatelj trebao biti uključen u postupak rane i prije plaćanja.
