Doneta metodologija procene rizika: akt više nije slobodna forma

Objavljeno: avgust 2026 · Ažurirano: 12.08.2026 · Izvor: Pravilnik o metodologiji procene rizika IKT sistema od posebnog značaja („Sl. glasnik RS" br. 63/2026)

Organ koji obavlja poslove Nacionalnog CERT-a doneo je 24. jula 2026. Pravilnik o metodologiji procene rizika — dokument koji je Zakon o informacionoj bezbednosti najavio u čl. 11 st. 4. Od sada akt o proceni rizika mora biti izrađen u skladu sa propisanom metodologijom, a ne po slobodnoj proceni.

Šta metodologija propisuje

• Korake procene: identifikacija i vrednovanje imovine (poslovni procesi, informaciona dobra, hardver, softver, osoblje, lokacije) → identifikacija pretnji i ranjivosti po katalozima → analiza → ocena → tretman → rezidualni rizik → praćenje
• Kataloge pretnji po grupama: prirodne nepogode, tehnički kvarovi, nenamerne ljudske greške, namerni napadi, rizici trećih strana i cloud usluga
• Skale ocenjivanja: verovatnoća i uticaj na skali 1-5, sa maticom nivoa rizika
• Oslonac na priznate okvire: ENISA-in alat za upravljanje rizikom, NIST SP 800-30 i ISO/IEC 27005 — ko već radi po tim standardima, na poznatom je terenu

Šta to praktično znači za firme

1. Improvizacija otpada. Akt „od oka", pisan pre metodologije, trebalo bi uskladiti — stručni nadzor Kancelarije od 01.01.2027. kontroliše upravo adekvatnost procene (čl. 49).

2. Rok se nije pomerio. Oba akta i dalje moraju biti doneta do 30.04.2027 — ali sada je jasno i KAKO se prvi od njih radi. Neizvesnost je manja, izgovora je manje.

3. Popis pre svega. Metodologija kreće od popisa imovine i poslovnih procesa. Firma koja ne zna šta sve ima u IT okruženju ne može ni da počne — zato je snimak stanja (GAP analiza) prirodni prvi korak.

4. Dobra vest za uredne. Firme sa ISO 27001 sistemom koji pokriva zahteve metodologije ne moraju poseban akt (čl. 11 st. 5) — proverite obim svog sertifikata pre nego što platite dupli posao.

Povezano: Akt o proceni rizika · Svi rokovi · 37 mera zaštite