Kazne prema ZKS-u: tko plaća, koliko, i zašto se to tiče uprave osobno

U razgovorima o usklađivanju sa Zakonom o kibernetičkoj sigurnosti brojka koja se najčešće spominje je deset milijuna eura. Točna je, ali nepotpuna, i sama po sebi rijetko pomiče stvari s mrtve točke.

Ono što ih pomiče je članak 88. stavak 2. i njegov parnjak za važne subjekte - odredba po kojoj fizičke osobe odgovorne za upravljanje mjerama odgovaraju osobno.

Rasponi kazni

Kod pravnih osoba primjenjuje se viši od dva iznosa - fiksni ili postotak prometa. Za subjekt s prometom od 400 milijuna eura gornja granica nije 10 milijuna nego 8 milijuna po postotku, pa se primjenjuje fiksni iznos. Za subjekt s prometom od milijardu, postotak nadmašuje fiksni iznos.

Tko je "odgovorna osoba"

Članak 29. je precizan i širi nego što se očekuje. Za provedbu mjera odgovorni su:

• članovi upravljačkih tijela ključnih i važnih subjekata
• čelnici tijela državne uprave i drugih državnih tijela
• izvršna tijela jedinica lokalne i područne samouprave

Stavak 4. proširuje krug i na druge fizičke osobe koje na temelju ovlasti za nadzor nad vođenjem poslova, punomoći ili druge ovlasti za zastupanje sudjeluju u donošenju odluka o mjerama ili u njihovoj provedbi.

Dvije obveze koje uprava ne može delegirati

Članak 29. stavak 2. traži da odgovorne osobe odobravaju mjere i kontroliraju njihovu provedbu. Stavak 3. dodaje obvezu koja se redovito previđa:

• odgovorne osobe dužne su same pohađati odgovarajuća osposobljavanja
• i zaposlenicima omogućiti pohađanje osposobljavanja

Uprava koja nije prošla edukaciju ne ispunjava zakonsku obvezu, bez obzira na to koliko je dobar sustav ispod nje. To je jedan od rijetkih zahtjeva gdje dokaz mora glasiti na ime člana uprave.

Što utječe na visinu kazne

Članak 85. nabraja okolnosti koje nadležno tijelo uzima u obzir:

• ozbiljnost povrede i važnost prekršene odredbe
• trajanje povrede
• ranije povrede istog subjekta
• uzrokovana šteta, uključujući financijske gubitke, učinak na druge usluge i broj pogođenih korisnika
• je li subjekt postupao s namjerom ili nepažnjom
• mjere poduzete radi sprječavanja ili ublažavanja štete
• postupanje sukladno kodeksima ponašanja i uvjetima certificiranja
• razina suradnje odgovornih osoba s nadležnim tijelima

Neće vas kazniti dvaput za istu stvar

Odredba koja se rijetko spominje, a vrijedi je znati: ako je za povrede osobnih podataka koje proizlaze iz istog postupanja Agencija za zaštitu osobnih podataka već izrekla upravnu novčanu kaznu prema Općoj uredbi, u stručnom se nadzoru za to isto postupanje ne može podnijeti prijava ovlaštenom tužitelju ni izdati prekršajni nalog.

To ne znači da se obveze preklapaju - znači da se za isto djelo ne kažnjava dvaput. Prijava incidenta nadležnom CSIRT-u i prijava AZOP-u ostaju dvije odvojene obveze s vlastitim rokovima.

Kako o ovome razgovarati s upravom

Iz iskustva, tri stvari mijenjaju ton sastanka:

1. Osobna odgovornost. Raspon od 1.000 do 6.000 eura nije velik novac za tvrtku, ali je vrlo konkretan za pojedinca koji ga plaća iz svog džepa.
2. Suradnja se boduje. Razina suradnje s nadležnim tijelom izrijekom utječe na kaznu. Organizacija koja sama prijavi propust i ima plan popravka nije u istoj poziciji kao ona koja čeka nadzor.
3. Edukacija uprave je zakonska obveza, ne preporuka. To je najlakša stavka za zatvoriti i najčešće otvorena.