Plan odgovora na sajber incident: šablon za male firme

9. novembar 2026. · Lizzard Solutions

plan odgovora na incidentsajber bezbednostmala preduzećašablonpovreda podatakaZZPL

Autor: Nemanja Vukmirović, Lizzard Solutions. Poslednje ažurirano 9. novembra 2026.

Kada ransomver zaključa računare ili nečiji službeni mejl počne da šalje lažne fakture, prvi sat odlučuje koliko će šteta biti velika. Većina malih firmi taj sat izgubi na pitanja „koga da zovemo?“ i „da li da sve ugasimo?“.

Ovaj šablon plana odgovora na sajber incident to rešava. Dobijate osam delova za popunjavanje, tabelu ozbiljnosti, konkretan primer i test od 30 minuta koji možete da uradite ove nedelje. Prepišite ga u dokument, popunite praznine i odštampajte jedan primerak, da bi radio i kada vaši sistemi ne rade.

---

Šta je plan odgovora na incident?

Plan odgovora na incident (incident response plan) je pisani dokument koji vašem timu tačno govori kako da otkrije, zaustavi, sanira i izvuče pouke iz sajber incidenta. U njemu su imena odgovornih ljudi, brojevi telefona koji će vam trebati, šta se smatra ozbiljnim i koraci koje treba pratiti, da niko ne bi improvizovao pod pritiskom.

Velike kompanije prate okvire kao što je NIST SP 800-61 Rev. 3, koji odgovor na incidente smešta u NIST Cybersecurity Framework 2.0: priprema, otkrivanje, reagovanje i oporavak. Maloj firmi ne treba verzija od 100 strana. Treba joj dve do četiri strane koje ljudi zaista pročitaju.

Uradite danas: odlučite gde će stajati odštampan primerak, na primer u fioci u kancelariji i u kolima vlasnika.

---

Šta je incident? Uvedite jednostavnu skalu ozbiljnosti

Nije svaki čudan mejl hitan slučaj. Skala ozbiljnosti sprečava paniku zbog sitnica i obezbeđuje da se ozbiljne stvari brzo eskaliraju. Prilagodite ova tri nivoa svojoj firmi:

Uradite danas: upišite po dva primera iz svoje firme u svaki red. Stvarni primeri olakšavaju korišćenje skale.

---

Šablon plana odgovora na incident: 8 delova za popunjavanje

Prepišite svaki blok u svoj dokument i zamenite napomene svojim odgovorima. Ceo plan neka ne prelazi četiri strane.

1. Svrha i obuhvat

• Obuhvata: koje sisteme: mejl, sajt, knjigovodstveni program, laptopove, telefone, cloud skladište
• Vlasnik plana: ime i koliko često se plan proverava (na primer na šest meseci)
• Poslednji test: datum poslednje vežbe

2. Uloge i odgovornosti

• Vođa incidenta: jedna osoba koja donosi odluke, najčešće vlasnik ili direktor
• Tehnički vođa: vaš IT čovek ili spoljni IT partner
• Komunikacija: ko razgovara sa klijentima, zaposlenima i medijima
• Zamena za svaku ulogu: ako je prva osoba na odmoru

3. Kontakti za hitne slučajeve

• Interni: telefoni vođe, tehničkog vođe i zamena (na papiru, ne samo u telefonu)
• Spoljni: IT partner, hosting firma, registrar domena, banka (prijava prevare), advokat, osiguravač ako ga imate
• Institucije: Poverenik za informacije od javnog značaja i zaštitu podataka o ličnosti i Nacionalni CERT Republike Srbije

4. Otkrivanje i prva prijava

• Kako zaposleni prijavljuju: jedan kanal, na primer „pozovi vođu incidenta, ne šalji samo mejl“
• Šta zapisati: vreme, šta su videli, koji uređaj, na šta su kliknuli
• Zlatno pravilo: ne brisati dokaze i ne pokušavati sam da „očistiš“ uređaj

5. Zaustavljanje

• Isključivanje: izvucite mrežni kabl ili isključite Wi-Fi na zaraženom uređaju; ne gasite ga dok tehnički vođa ne kaže
• Nalozi: promenite lozinke i odjavite sve sesije na pogođenim nalozima; uključite dvofaktorsku autentifikaciju
• Sajt: postavite stranicu „u održavanju“ i promenite admin i hosting lozinke

6. Oporavak

• Vraćanje iz: kojih rezervnih kopija, gde su i ko može da ih vrati
• Redosled: na primer prvo mejl, pa fakturisanje, pa sajt
• Provera pre ponovnog rada: ažuriran softver, nove lozinke, skeniranje na malver

7. Komunikacija

• Klijenti: unapred napisano kratko obaveštenje: šta se desilo, koji podaci, šta preduzimate, šta oni treba da urade
• Zaposleni: šta smeju, a šta ne smeju da govore javno
• Pravno: da li je potrebna prijava povrede podataka o ličnosti (vidi deo o propisima ispod)

8. Pouke

• U roku od dve nedelje: sastanak od 30 minuta: šta se desilo, šta je radilo, šta nije
• Ispravke: ko menja šta i do kog datuma
• Ažuriranje: izmeniti ovaj plan i upisati datum

Oporavak zavisi od rezervnih kopija koje ste zaista testirali. Ako niste sigurni da vaše rade, pratite naš vodič za pravljenje rezervnih kopija po pravilu 3-2-1 pre nego što popunite deo 6.

---

Primer iz prakse: hakovan mejl nalog

Evo kako plan funkcioniše u čestom slučaju. Knjigovođa u firmi od 12 ljudi unese lozinku na lažnu stranicu za prijavu. Dva sata kasnije klijenti počinju da dobijaju mejlove o „novom broju računa“ sa njene prave adrese.

1. Otkrivanje: klijent zove da pita za novi račun. Osoba koja se javila odmah zove vođu incidenta, kako piše u delu 4.
2. Procena: mejl koji šalje prevare je visok nivo, pa se odmah obaveštavaju vlasnik, IT partner i advokat.
3. Zaustavljanje: IT partner menja lozinku, odjavljuje sve sesije, briše pravilo za prosleđivanje koje je napadač dodao i uključuje dvofaktorsku autentifikaciju.
4. Komunikacija: tim šalje unapred pripremljeno obaveštenje svim klijentima: zanemarite lažni broj računa i svaku promenu plaćanja potvrdite telefonom.
5. Pravne obaveze: napadač je mogao da čita mejlove sa imenima klijenata i podacima sa faktura, pa firma proverava da li je u pitanju povreda podataka koja se prijavljuje.
6. Pouke: sastanak donosi dve izmene: dvofaktorska autentifikacija na svakom mejl nalogu i pravilo da se promena računa uvek potvrđuje telefonom.

---

Propisi u Srbiji i EU koje plan mora da predvidi

Ako incident otkrije podatke o ličnosti, zakon uvodi rokove. Prema članovima 52 i 53 Zakona o zaštiti podataka o ličnosti (ZZPL), rukovalac mora da obavesti Poverenika bez nepotrebnog odlaganja, a ako je moguće u roku od 72 časa od saznanja za povredu koja može da proizvede rizik po prava i slobode ljudi. Ako je rizik visok, morate bez odlaganja obavestiti i same osobe čiji su podaci pogođeni.

Obaveštenje mora da opiše povredu, vrste i približan broj lica i podataka, kontakt osobu, moguće posledice i preduzete mere. ZZPL takođe traži da dokumentujete svaku povredu, čak i onu koju ne prijavljujete, pa deo 8 vašeg plana služi i kao ta evidencija. Naš vodič kroz Zakon o zaštiti podataka o ličnosti za vaš sajt objašnjava ostatak zakona jednostavnim jezikom.

Ako imate klijente u EU, ista logika od 72 časa važi i po GDPR-u. Za opštu pripremu, besplatne kontrolne liste nude i smernice američke agencije CISA za mala preduzeća. Incident možete prijaviti i Nacionalnom CERT-u. Ovaj deo je opšta informacija, a ne pravni savet.

Uradite danas: u deo 7 dodajte „Da li su pogođeni podaci o ličnosti? Ako jesu, zovi advokata i kreće rok od 72 časa.“

---

Testirajte plan za 30 minuta

Plan koji niko nije uvežbao pašće na prvom pravom incidentu. Uradite kratku „tabletop“ vežbu, sastanak na kom korak po korak prolazite kroz izmišljeni incident:

1. Izaberite scenario, na primer „u ponedeljak ujutru sajt prikazuje poruku hakera“.
2. Pitajte svaku ulogu šta bi prvo uradila, koristeći samo odštampan plan.
3. Pozovite jedan spoljni broj iz dela 3 da proverite da li još radi.
4. Zapišite svaku rupu: nepoznate lozinke, nepoznat pristup hostingu, nikad testirana rezervna kopija.
5. Popravite rupe i zakažite sledeći test za šest meseci.

Mnoge rupe se pokažu baš na sajtu: zaboravljeni admin nalozi, zastareli dodaci, nedostajuća bezbednosna zaglavlja. Besplatna provera bezbednosti sajta ih pronalazi pre napadača, a naš vodič za sajber bezbednost malih firmi pokriva prevenciju.

---

Česta pitanja

Da li maloj firmi zaista treba plan odgovora na incident?

Da. Mala firma ima manje ljudi i manje vremena za improvizaciju, pa joj pisani plan treba još više. Dve do četiri strane sa ulogama, kontaktima, nivoima ozbiljnosti i prvim koracima smanjuju zbrku u prvom satu, kada ransomver, lažni mejlovi ili hakovan sajt naprave najveću štetu.

Šta treba da sadrži šablon plana odgovora na incident?

Najmanje: svrhu i obuhvat, uloge, kontakte za hitne slučajeve, skalu ozbiljnosti, način prijave, korake zaustavljanja, oporavak iz rezervnih kopija, komunikaciju sa klijentima i institucijama i analizu pouka. Svaki deo treba da bude kratak i popunjen stvarnim imenima, brojevima i sistemima.

Koliko često treba ažurirati plan?

Proverite ga najmanje na šest meseci i posle svakog pravog incidenta ili vežbe. Ažurirajte ga i kad god se promene ključni ljudi, IT partner, hosting firma ili glavni softver, jer su zastareli brojevi telefona i pristupni podaci najčešći razlog zašto planovi ne uspeju.

Da li u Srbiji moramo da prijavimo sajber incident?

Ako su pogođeni podaci o ličnosti i povreda može da ugrozi ljude, ZZPL traži da obavestite Poverenika bez nepotrebnog odlaganja, ako je moguće u roku od 72 časa, a pogođene osobe ako je rizik visok. Incident možete prijaviti i Nacionalnom CERT-u. Konkretne obaveze proverite sa advokatom.