Kibernetička sigurnost u 2026. više nije "IT tema" nego tema preživljavanja poslovanja. Male i srednje firme su posebno izložene iz jednostavnog razloga: imaju dovoljno vrijednih podataka i procesa da budu zanimljive napadačima, a često nemaju vremena ni ljudi da sve drže pod kontrolom. Dovoljno je da jedna osoba klikne krivi link, jedna lozinka "procuri", jedan laptop nestane ili jedan dobavljač zakaže, i odjednom stane prodaja, proizvodnja, isporuka ili naplata.
Zato u 2026. najvažnije nije imati "najskuplji alat", nego imati nekoliko ključnih stvari riješenih do kraja. Ono što slijedi su prioriteti koji stvarno smanjuju rizik i pomažu da se posao može nastaviti čak i kad se dogodi problem.
Točno znati što imaš i tko je za što odgovoran
Najveći kaos nastaje kad nitko ne zna: koje uređaje firma koristi, gdje su podaci, tko ima pristup i što je "kritično". Prvi korak je dosadan, ali presudan:
- popis korisničkih računa (zaposlenici, vanjski suradnici, servisi)
- popis uređaja (računala, mobiteli, serveri, mrežna oprema)
- popis sustava (mail, računovodstvo, CRM, webshop, NAS, cloud)
- popis najvažnijih podataka (ugovori, ponude, baze kupaca, financije)
Kad to imaš na jednoj stranici, odjednom je jasno gdje "gori" i što se mora zaštititi prvo.
Zaštititi prijave: jaka prijava umjesto jedne lozinke
U praksi, veliki dio provala krene tako da netko dođe do lozinke. Zato je najisplativiji potez u 2026. uvesti prijavu u više koraka (drugi korak uz lozinku, npr. aplikacija ili sigurnosni ključ) barem za:
- administraciju weba i clouda
- udaljeni pristup (VPN/remote)
- financijske sustave
Ovo nije "luksuz". Ovo je razlika između incidenta koji se ugasi u 10 minuta i incidenta koji traje tjednima.
Kratke smjernice koje se isplate
Kopije podataka koje se stvarno mogu vratiti
"Imamo backup" je rečenica koja ne vrijedi ništa dok se ne dokaže u praksi. U 2026. prioritet nije samo raditi kopije, nego imati kopije koje su:
- odvojene od glavnog sustava (da ih napad ne "pokupi")
- zaštićene od brisanja
- redovito testirane vraćanjem (ne samo "piše da je prošlo")
Najbolji backup je onaj koji se može vratiti brzo i koji vraća posao u normalu, a ne samo datoteke. Ako to ne želite održavati sami, pogledajte naše backup usluge.
Ažuriranja kao navika, ne kao projekt
Mnogo problema nastaje zato što "nije bilo vremena" za ažuriranja. Ali napadači upravo to čekaju: poznate rupe na sustavima koji kasne mjesecima. U 2026. je realnije postaviti ritam:
- redovno ažuriranje operativnih sustava i programa
- prioritetno ažuriranje sustava koji su izloženi internetu (web, mail, remote)
- uklanjanje zastarjelih dodataka i "napuštenih" aplikacija
Ako moraš birati gdje krenuti: mail i udaljeni pristup su najčešće ulazne točke.
Smanjiti ovlasti: svatko ima samo ono što treba
U malim firmama je normalno da "svi imaju sve" jer je tako brže. Problem je što napadač koji upadne u jedan račun tada dobije previše. U 2026. cilj je jednostavan:
- obični računi za svakodnevni rad
- posebni administrativni računi samo kad treba
- pristupi se gase odmah kad netko ode iz firme
- vanjskim suradnicima se daje minimalno potrebno i na ograničeno vrijeme
Ovo je jedna od rijetkih mjera koja smanjuje štetu čak i kad se provala dogodi.
E-mail kao najčešća ulazna vrata
E-mail je i dalje mjesto gdje se najlakše "uđe" u firmu. Ne treba ti komplicirana priča, treba ti disciplina:
- filtriranje neželjene pošte i opasnih privitaka
- upozorenje kad mail dolazi izvana (da se prepozna lažno predstavljanje)
- jasna pravila za plaćanja i promjene IBAN-a (uvijek provjera drugim kanalom)
Kad dođe poruka "hitno je, plati odmah", to nije brzina, to je najčešće zamka.
Plan za incident
Najgori dio incidenta nije sam napad, nego panika. U 2026. dobro je imati kratak, jasan dogovor:
- tko donosi odluke
- koga zovemo (IT, dobavljač, hosting, pravnik po potrebi)
- što se prvo gasi/odspaja
- gdje su kontakti i pristupi spremljeni
- kako obavijestiti klijente ako treba
To ne mora biti "roman". Dovoljna je jedna do dvije stranice koje su razumljive i kad je stres. Za scenarije u kojima želite da netko preuzme vođenje, tu je upravljanje incidentima.
Vidljivost: barem osnovno praćenje i upozorenja
Ne moraš gledati logove cijeli dan. Ali moraš znati kad se dogodi nešto sumnjivo: prijava iz čudne lokacije, masovno brisanje datoteka, pokušaji provale. U 2026. minimalno korisno je:
- upozorenja za sumnjive prijave
- praćenje kritičnih sustava (mail, web, baze, backup)
- pregled ključnih događaja barem jednom dnevno ili tjedno, ovisno o firmi
Cilj je otkriti problem rano, prije nego postane katastrofa.
Dobavljači i "tuđi sustavi" su i tvoj rizik
Mala firma često ovisi o vanjskim servisima: hosting, računovodstvo, CRM, payment, agencije, freelancerima. U 2026. treba barem znati:
- tko ima pristup čemu
- što se događa ako dobavljač padne
- kako se iz sustava može izvući kopija podataka (izvoz)
- postoji li podrška i rokovi reakcije kad nešto pukne
Ne treba paranoja, treba kontrola. Ako ti je sustav bitan, moraš znati kako ga vratiti pod svoju kontrolu.
Ljudi nisu problem, ljudi su rješenje
Najbolji alati ne pomažu ako ekipa ne zna osnovna pravila. Dovoljno je uvesti kratke, praktične navike:
- ne otvarati sumnjive privitke "jer izgleda kao račun"
- provjera zahtjeva za uplatu ili promjenu računa uvijek drugim kanalom
- zaključavanje ekrana, posebno u uredu i na terenu
- prijava svake sumnje odmah, bez straha od "glupog pitanja"
Edukacija nije predavanje. Edukacija je 30 minuta stvarnih primjera koji se mogu dogoditi baš toj firmi.
Kako to posložiti bez kaosa
Ako želiš najjednostavniji redoslijed, može ovako:
- Prijava u više koraka za e-mail i administraciju
- provjeren backup + test vraćanja
- popis sustava i pristupa + gašenje starih računa
- ažuriranja za kritične sustave
- osnovni plan za incident (1-2 strane)
- pravila za e-mail i plaćanja
- minimalno praćenje i upozorenja
To je jezgra. Sve ostalo dolazi lakše kad je ovo riješeno.
Jedna lozinka više nije dovoljna.
U 2026. kibernetička sigurnost za male i srednje firme ne izgleda kao "kupili smo novi alat pa smo mirni". Izgleda kao skup praktičnih odluka koje štite posao: sigurne prijave, kopije podataka koje se mogu vratiti, ažuriranja, kontrola pristupa, jasna pravila i plan kad se dogodi problem.
Ako jedna stvar vrijedi zapamtiti: cilj nije "da se nikad ništa ne dogodi". Cilj je da, kad se dogodi, firma ne stane, i da se oporavi brzo, bez velikih gubitaka.
Kako sigurnost podići na višu, sustavnu razinu, pročitajte u našem vodiču kroz ISO standarde i certifikaciju.
Praktične smjernice Agencije EU za kibernetičku sigurnost potražite na ENISA-inim stranicama.
Često postavljana pitanja
Odakle mala tvrtka treba početi s kibernetičkom sigurnošću?
Od nekoliko jeftinih, ali najučinkovitijih koraka: testiran backup, višefaktorska prijava (MFA) na svemu važnome, redovite nadogradnje i kratka edukacija zaposlenika o phishingu. Tek nakon toga ima smisla ulagati u naprednije alate. Redoslijed za vašu situaciju odredi procjena rizika.
Je li kibernetička sigurnost obavezna po zakonu?
Za dio tvrtki jest: Zakon o kibernetičkoj sigurnosti (NIS2) propisuje mjere obveznicima iz ključnih i važnih sektora. No i za sve ostale je preduvjet poslovanja bez skupih zastoja, neovisno o zakonskoj obvezi.
Što učiniti u trenutku kad se dogodi sigurnosni incident?
Odmah prijaviti dogovorenoj osobi ili IT podršci, ne gasiti i ne popravljati ništa na svoju ruku i ne brisati tragove. Brza reakcija je razlika između incidenta od sat vremena i krize od tjedan dana. Tehnički odgovor pokriva usluga upravljanja incidentima.
Koliko košta osnovna kibernetička zaštita za malu tvrtku?
Veći dio osnovnih mjera (MFA, backup, edukacija, ažuriranja) košta malo ili ništa, a ulazi u redovito održavanje kroz Managed IT paket od 49 EUR mjesečno. Ozbiljnije provjere i implementacije su u cjeniku.
