Sajber-napadi rastu, a više od polovine MSP nema IT stručnjake

"Direktore, imamo problem, baze su nam zaključane", opisuje za Bloomberg Adriju Nebojša Matić, direktor IT kompanije Mikroelektronika, trenutak kada mu je saopšteno da se njegova firma našla na meti hakerskog napada.  Mikroelekronika - koja ima oko 80 zaposlenih, pa se time svrstava među srednja preduzeća - suočila se sa problemom koji je trajao nedeljama, dok je njegovo rešavanje zahtevalo, kompletnu reinstalaciju mreže, servera i računara, kaže Matić. 

Ovaj primer iz 2025. nije usamljen. Srpske kompanije ulaze u period rastućeg sajber rizika. "Analiza istorijskih podataka pokazuje jasan i kontinuiran trend rasta ukupnog broja prijavljenih incidenata", kažu za Bloomberg Adriju iz Nacionalnog CERT-a, državnog tela zaduženog za zaštitu IKT sistema. Prema podacima RATEL-a, samo u 2025. prijavljeno je 1.759  sajber incidenata, od čega su 142 prijavila preduzeća. Ovakve incidente između 2020. i 2025 prijavilo je ukupno 760 firmi. 

Na udaru nisu samo pojedinačne kompanije, već čitavi poslovni sistemi. Istraživanje stručnjaka sa Ekonomskog fakulteta u Nišu, objavljeno ranije ove godine, pokazalo je da lanci snabdevanja povećavaju izloženost srpskih kompanija sajber incidentima, posebno kod firmi koje imaju ograničen uvid u to koliko su zaštićeni sistemi njihovih poslovnih partnera. 

Samo 18 odsto malih preduzeća zapošljava IT-jevce

 

Prema podacima NALED-a iz 2024. godine više od 80 odsto malih, kao i 94 odsto srednjih preduzeća ima sajt, ali iako je njihovo poslovanje usko vezano za tehnologiju, za sada su slaba karika kada je u pitanju zaštita od sajber napada.

Deo problema je manjak IT stručnjaka u ovim kompanijama, koji bi se bavili sajber bezbednošću. Samo 18 odsto malih i 40 odsto srednjih preduzeća smatra da ima potrebu za zapošljavanjem IT strunjaka. Iako većina preduzeća u MSP sektoru ni nema IT stručnjake, preostali se suočavaju sa učestalim problemima u pronalaženju odgovarajuće radne snage, pokazuje analiza NALED-a.

U takvim okolnostima, veliki deo kompanija oslanja se na postojeće zaposlene ili eksterne saradnike za održavanje IT sistema. U 32,8 odsto malih preduzeća poslove održavanja IT infrastrukture, Office softvera i poslovnih aplikacija obavljaju zaposleni kojima to nije primarno zaduženje, već dodatna obaveza. Kod srednjih preduzeća, 51,2 odsto ove poslove obavlja interno. 

"Svest o važnosti informacione bezbednosti je rastuća, ali je i dalje nedovoljna u MSP sektoru, jer upravo je ljudski faktor ključan u prevenciji", kaže za Bloomberg Adriju Ana Milovanović, šefica Jedinice za digitalizaciju pri NALED-u.

Povećano ulaganje u sajber bezbednost

Rastući broj sajber napada u poslednje dve godine, sa kojima su se suočile kako državne institucije u Srbiji, tako i privatne kompanije, naterao je pojedine da povećaju ulaganja u sajber bezbednost, naročito nakon gorkih iskustava.

"Posle napada, Mikroelektronika je ušla u višemesečni proces jačanja sajber zaštite", ističe Matić. Iako je ova IT kompanija sanirala posledice, incident pokazuje kako čak i tehnološki razvijenije domaće firme mogu biti pogođene osnovnim vektorima napada. Međutim, mnoge kompanije u Srbiji nisu spremne da govore o incidentima kojima su bili izloženi. "Pre svega, brinu za reputacioni rizik", pojašnjava Milovanović. 

Na meti je i javni sektor. U prethodne dve godine, u Srbiji je zabeležen porast broja hakerskih napada na državne institucije i administrativne sisteme, kao što su Elektroprivreda Srbije (EPS) i Republički geodetski zavod (RGZ). Niz institucija u Srbiji se zbog toga suočio sa privremenim prekidima u radu, što je dodatno skrenulo pažnju na potrebu za sistemskim ulaganjima u sajber bezbednost. Ugroženi su obični građani. Srbija se nalazi na 51. mestu u svetu po globalnom indeksu sajber-bezbednosti, a građani su najčešće na meti digitalnih prevara kao što su fišing i investicione prevare. 

                      

Srbija dobila nacionalnu platformu za prijavu visokotehnoloških napada Srbija je dobila novu platformu za prijavu i prevenciju različitih oblika visokotehnološkog kriminala, saopštilo je Ministarstvo unutrašnjih poslova 1. juna. Platforma, pod nazivom "Sajber straža", dostupna je na adresi https://sajberstraza.gov.rs.   Kompanije, ali i građani, sada putem platforme mogu da prijave internet prevare, zloupotrebe naloga, kompromitaciju digitalnih sistema, zlonamerne linkove i sadržaje, krađu i zloupotrebu ličnih podataka, digitalno nasilje, ucene, kao i druge incidente. "Kada se utvrdi da se određeni račun, internet domen ili digitalni resurs koristi za prevare ili druge oblike visokotehnološkog kriminala, nadležni organi će moći brže da reaguju, razmenjuju podatke i preduzimaju mere u cilju sprečavanja dalje štete i zaštite građana", rekao je ministar unutrašnjih poslova Ivica Dačić.

  

Luke MacGregor/Bloomberg

Ranjivost malih igrača ugrožava čitave lance snabdevanja

Dok se u Srbiji čeka na zvanične podatke i istraživanja za 2025. i 2026, platforma StateGlobe, procenjuje da je samo tokom 2026. u Srbiji registrovano oko 1.850 sajber incidenata. Govoreći na prošlogodišnjoj Nacionalnoj sajber konferenciji, direktor sektora za informacionu bezbednost u RATEL-u Duško Kodžić izjavio je da je broj incidenata prijavljenih Nacionalnom CERT-u "porastao za više od 70 odsto u odnosu na 2023. godinu".

Mala i srednja preduzeća često prave istu grešku, pokazala je analiza NALED-a. "MSP sektor često pogrešno procenjuje rizik - veruj da nisu dovoljno veliki da bi bili meta napada". Međutim, realnost je mnogo drugačija. "MSP sektor je često prva meta sajber napada upravo zato što raspolaže ograničenim resursima i nema razvijene mehanizme zaštite“, navodi šefina Jedinice za digitalizaciju pri NALED-u.

Šteta, do koje mogu da dovedu sajber napadi, nije samo tehnička, već direktno utiče na kontinuitet poslovanja. "Jedan ozbiljan incident može dovesti do prekida rada, gubitka podataka, finansijske štete, ali i gubitka poverenja klijenata i partnera“, ističe Milovanović. Kako dodaje, najveće prepreke ulaganjima su nedostatak znanja, ograničeni budžeti i percepcija da su mali sistemi manje interesantni napadačima.

Hakeri često koriste male, ranjive kompanije kao ulaznu tačku za napade na veće sisteme. Time se riziku izlažu i njihovi poslovni partneri, a ponekad i čitavi lanci dobavljača, podseća Milovanović. To dodatno povećava sistemski rizik po kompanije u sklopu čitave privrede jedne zemlje. 

Sa hakerskim napadima suočavaju se firme širom sveta, među kojima su i velike kompanije. Globalnu pažnju je 2024. privukao ransomware napad na američki Change Healthcare 2024. godine, jednog od najvećih kojim su pogođeni zdravstveni sistemi. Napad je izazvao višenedeljne poremećaje širom Amerike, koji je pogodio bolnice, apoteke, laboratorije i osiguravajuće kuće.

 

Depositphotos

Novi Zakon o informacionoj bezbednosti i spore promene

 

Srbija je 2025. godine usvojila novi Zakon o informacionoj bezbednosti. Propisi su usklađeni sa relevatnom evropskom regulativom EU NIS2, a uveo je strože obaveze u pogledu procene rizika i prijave incidenata. Najznačajnija reforma propisa u oblasti sajber bezbednosti u poslednjih 10 godina značajno je proširila broj kompanija i institucija koje posležu obavezama da uvedu neki oblik zaštite. 

Prethodni zakon uglavnom je bio usredsređen na kritičnu infrastrukturu poput energetike, telekomunikacija, bankarstva i državnih sistema. Od kada je pre godinu i šest meseci uveden novi zakon, njima su sada obuhvaćeni proizvođači hrane, računara i elektronske opreme, logistika i kurirske službe, istraživačke institucije i digitalni servisi poput aplikacija za dostavu hrane. 

Šest meseci otkako je donet novi Zakon o informacionoj bezbednosti, njegova primena nije u potpunosti zaživela. "Implementacija u MSP sektoru i dalje zaostaje za regulatornim okvirom, posebno kada je reč o osnovnim merama poput rezervnih kopija, enkripcije i višefaktorske autentikacije", kaže Milovanović. 

Jedna od najvažnijih novina jeste obaveza brzog prijavljivanja sajber incidenata - kompanije sada imaju rok od 24 sata za početno obaveštenje nadležnim organima nakon otkrivanja ozbiljnog incidenta, uz dodatne izveštaje u narednim fazama istrage. To predstavlja veliku promenu za domaće kompanije, od kojih su mnoge do sada incidente rešavale interno i bez javnog prijavljivanja.

Međutim, još uvek je rano da se mere efekti Zakona o informacionoj bezbednosti i njegov uticaj na broj prijavljenih slučajeva, kažu iz Nacionalnof CERT-a. "S obzirom na to da je novi zakon usvojen u oktobru 2025. godine, relevantni statistički podaci još uvek nisu javno dostupni", naveli su u pisanom odgovoru.