Od 11. septembra 2026. proizvođači softvera i povezanih uređaja obuhvaćenih evropskim Cyber Resilience Act-om moraju da prijavljuju aktivno iskorišćene ranjivosti i teške bezbednosne incidente. Prvo upozorenje dospeva najkasnije narednog dana, a potpunije obaveštenje u naredna tri dana. Za firmu iz Srbije koja svoj digitalni proizvod nudi u Evropskoj uniji to više nije samo posao IT tima. U istom incidentu mogu se otvoriti pitanja regulatorne prijave, odgovornosti prema kupcu, zaštite podataka, aktiviranja sajber osiguranja i odgovornosti uprave.
Zašto je Cyber Resilience Act sada najaktuelnija tema
Cyber Resilience Act, Uredba (EU) 2024/2847, stupio je na snagu 10. decembra 2024, ali se primenjuje u fazama. Glavne obaveze za bezbednost proizvoda počinju 11. decembra 2027. Ipak, član 14, koji uređuje prijavljivanje ranjivosti i incidenata, primenjuje se od 11. septembra 2026.
Evropska komisija je 27. jula 2026. objavila praktične smernice, a jedinstvena platforma za prijavljivanje koju vodi ENISA počela je da radi 11. septembra. To ovoj temi daje neposredan poslovni značaj: rokovi već teku, iako se deo kompanija još priprema za punu primenu Uredbe.
CRA obuhvata proizvode sa digitalnim elementima, što može uključiti komercijalni softver, mobilne aplikacije, mrežnu opremu, pametne uređaje i druge hardverske ili softverske proizvode koji su povezani sa uređajem ili mrežom. Tačna kvalifikacija zavisi od proizvoda, njegove namene, načina distribucije i zakonskih izuzetaka.
Kada firma iz Srbije može biti pogođena pravilima EU
Sedište van Evropske unije samo po sebi ne uklanja rizik. Ako firma iz Srbije stavlja softver ili povezani uređaj na tržište EU, njen proizvod ulazi u lanac u kojem CRA određuje obaveze proizvođača, ovlašćenog zastupnika, uvoznika i distributera.
Prvi korak nije pitanje gde je programer zaposlen, već:
- ko se na proizvodu i dokumentaciji predstavlja kao proizvođač;
- da li se proizvod komercijalno nudi ili isporučuje u EU, uključujući besplatnu ponudu povezanu sa poslovnom delatnošću;
- ko je uvoznik ili distributer u Evropskoj uniji;
- ko donosi odluke o bezbednosti, ažuriranjima i otklanjanju ranjivosti;
- da li ugovor pravilno raspodeljuje obaveze, troškove i odgovornost.
Kod startapa je ovo često povezano sa širim pitanjem ko poseduje softver i ko kontroliše ključne odluke. Zato je korisno da se vlasništvo nad kodom i ovlašćenja uprave urede zajedno sa pravilima o udelima, što smo objasnili u tekstu Osnivački akt DOO: šta partneri moraju dogovoriti pre registracije.
Rokovi od 24 i 72 časa menjaju odgovor na incident
Proizvođač koji sazna za aktivno iskorišćenu ranjivost podnosi rano upozorenje bez nepotrebnog odlaganja, najkasnije u roku od 24 časa. Za teški incident koji utiče na bezbednost proizvoda važe početno upozorenje u istom dnevnom roku i potpunije obaveštenje najkasnije 72 časa od saznanja. Prijava se podnosi preko jedinstvene platforme, nadležnom CSIRT-u i ENISA-i u skladu sa pravilima CRA.
To praktično znači da kompanija ne može da čeka završetak forenzičke analize da bi prvi put uključila pravnike, osiguravača ili poslovno rukovodstvo. U prvim satima često još nije poznat pun obim incidenta, ali mora biti jasno ko odlučuje, ko čuva dokaze i ko šalje koju prijavu.
Minimalni interni plan treba da odredi:
- osobu koja prima prijavu o ranjivosti ili incidentu;
- tehnički tim koji utvrđuje da li je ranjivost aktivno iskorišćena;
- pravno lice koje nastupa kao proizvođač;
- kanal za obaveštavanje uvoznika, distributera, korisnika i osiguravača;
- način čuvanja logova, verzija koda, odluka i komunikacije;
- ovlašćeno lice koje odobrava regulatornu prijavu i javno saopštenje.
Sličan problem dokazivosti postoji kada softver samostalno preduzima radnje. Tekst AI agent je zaobilazio pravila: šta to znači za firme i građane u Srbiji pokazuje zašto su zapis aktivnosti, ograničenje ovlašćenja i mogućnost ljudske intervencije važni i van klasičnog sajber incidenta.
Gde se u priču uključuje sajber osiguranje
Polisa ne zamenjuje usklađenost sa zakonom. Ona može ublažiti deo finansijskih posledica, ali samo ako konkretno pokriće odgovara stvarnom poslovnom modelu i ako osiguranik poštuje ugovorene rokove i procedure.
Pre incidenta treba proveriti najmanje sledeće:
- da li polisa pokriva forenziku, prekid poslovanja, obnovu podataka, pravne troškove i komunikaciju sa korisnicima;
- da li obuhvata odgovornost zbog propusta dobavljača usluge u oblaku ili drugog podizvođača;
- postoje li isključenja za poznate, a neotklonjene ranjivosti ili netačne podatke date pri ugovaranju;
- da li je za angažovanje stručnjaka i nastanak troška potrebna prethodna saglasnost osiguravača;
- u kom roku i na koji način se prijavljuje osigurani slučaj;
- da li su novčane kazne, ugovorne kazne i čista ugovorna odgovornost pokrivene ili isključene.
CRA predviđa da povrede ključnih obaveza mogu biti sankcionisane do 15 miliona evra ili do 2,5 odsto ukupnog svetskog godišnjeg prometa, zavisno od toga koji je iznos viši. To ne znači da će svaka greška dovesti do maksimalne kazne, niti da je takva kazna osigurljiva. Upravo zato polisu, ugovore i plan reagovanja treba pregledati kao jednu celinu.
O odnosu automatizacije, osiguranja i dokazivanja odluka detaljnije govori tekst AI u osiguranju 2026: obrada šteta, diskriminacija i rizici za firme. CRA otvara drugo pitanje: da li je sam digitalni proizvod dovoljno bezbedan i da li je proizvođač pravilno reagovao kada se ranjivost pojavila.
Šta se paralelno proverava po pravu Srbije
CRA ne potiskuje domaće propise. Jedan događaj može istovremeno aktivirati više režima, a rokovi ne moraju početi u istom trenutku.
Novi Zakon o informacionoj bezbednosti Republike Srbije za operatore IKT sistema od posebnog značaja propisuje upravljanje rizicima, mere zaštite, uređivanje odnosa sa trećim licima i prijavljivanje incidenata sa značajnim uticajem. Takav incident prijavljuje se bez odlaganja, najkasnije 24 časa od saznanja. Ne spada svaka firma automatski u ovu kategoriju, pa najpre treba utvrditi status subjekta i delatnost.
Ako incident obuhvata podatke o ličnosti, primenjuje se i Zakon o zaštiti podataka o ličnosti. Rukovalac obaveštava Poverenika o povredi koja može proizvesti rizik po prava i slobode fizičkih lica bez nepotrebnog odlaganja, ako je moguće najkasnije 72 časa nakon saznanja. Kada postoji visok rizik, može nastati i obaveza obaveštavanja pogođenih lica.
Treći sloj čine obligacioni odnosi. Kupac može zahtev zasnivati na ugovoru, garanciji, nivou usluge, kašnjenju u otklanjanju problema ili naknadi štete. Zato ugovor sa kupcem, distributerom, programerom i cloud dobavljačem treba da sadrži usklađene rokove za eskalaciju incidenta. Rok od pet radnih dana u ugovoru sa dobavljačem nije upotrebljiv ako proizvođač prema propisu mora da reaguje za jedan dan.
Kod tehnoloških sistema koji obrađuju podatke zaposlenih mogu se otvoriti i posebna pitanja transparentnosti i kontrole. Praktične smernice nalaze se u tekstu AI u zapošljavanju posle avgusta 2026: obaveze firmi iz Srbije.
Pet poteza koje firma može sprovesti odmah
1. Napravite mapu digitalnih proizvoda
Odvojite proizvode koje firma razvija pod svojim imenom od internih alata i usluga koje samo koristi. Zabeležite tržišta, kupce, distributere, komponente otvorenog koda i spoljne dobavljače.
2. Odredite pravnu ulogu u svakom lancu
Za svaki proizvod utvrdite ko je proizvođač, uvoznik i distributer. Marketinška oznaka i ugovorna terminologija ne moraju same rešiti pitanje pravne kvalifikacije.
3. Uskladite ugovore sa rokovima za incidente
Ugovorite brzo obaveštavanje, pristup tehničkim podacima, saradnju u istrazi, čuvanje dokaza, sanaciju, regres i granice odgovornosti. Posebno proverite da li podizvođač mora da prijavi problem dovoljno rano da biste vi ispunili dnevni regulatorni rok.
4. Povežite incidentni plan i polisu
U istu proceduru unesite regulatornu prijavu, obaveštavanje Poverenika, prijavu osiguravaču, kontakt sa korisnicima i odluku o korektivnoj meri. Ne dozvolite da svaki tim vodi zasebnu vremensku liniju.
5. Dokumentujte odluke uprave
Uprava treba da dobija sažete i proverljive informacije o kritičnim ranjivostima, nerešenim rizicima i statusu osiguranja. Zapis o odluci ne uklanja odgovornost, ali pokazuje da je rizik razmatran i da je određena mera, rok i odgovorno lice.
Pravna provera pre prvog incidenta
Najskuplji trenutak za čitanje polise i ugovora jeste dan kada je napad već počeo. Firma koja izvozi softver ili povezane uređaje u EU sada treba da proveri obuhvat CRA, put prijavljivanja, ugovore u lancu isporuke, domaće obaveze i stvarni domet osiguranja.
Ako razvijate ili distribuirate digitalni proizvod, obratite se Advokatskoj kancelariji Ivošević radi ciljane provere ugovora, regulatornih uloga, incidentne procedure i dokumentacije za osiguranje. Pregled pre incidenta omogućava da se rokovi i odgovornosti urede dok još postoji prostor za mirnu odluku.
