Na kratko: Varnost IT sodi med naloge poslovodstva. O odgovornosti direktorja pri varnostnih vrzelih IT se razpravlja predvsem takrat, ko znana tveganja niso bila ustrezno obravnavana, odgovornosti niso bile urejene ali odločitve niso bile sprejete sledljivo. Ob položajih, kot je PHP2Shell, pomaga jasna, dokumentirana odločitev na podlagi razpoložljivih dejstev. Ta stran je splošna informacija in ne pravno svetovanje.
Ni pravno svetovanje: vprašanja odgovornosti so močno odvisna od posameznega primera, pravne oblike in pogodbenih ureditev. Konkretna vprašanja naj oceni odvetnica ali odvetnik za gospodarsko pravo.
Odgovornost direktorja in varnost IT: splošni okvir
Od direktorjev družbe GmbH (nemška družba z omejeno odgovornostjo) § 43 GmbHG (nemški zakon o družbah z omejeno odgovornostjo) zahteva skrbnost vestnega poslovneža. Za člane uprave delniške družbe § 93 AktG (nemški zakon o delniških družbah) vsebuje primerljivo pravilo; § 91 odst. 2 AktG poleg tega zahteva ustrezne ukrepe za zgodnje odkrivanje razvoja, ki ogroža obstoj družbe. Iz teh splošnih dolžnosti se v strokovni razpravi izpeljuje, da je treba ustrezno obvladovati tudi tveganja IT.
Za podjetniške odločitve obstaja prosta presoja. Kdor odloča na podlagi ustreznih informacij in v dobro družbe, po t. i. Business Judgment Rule praviloma ravna skladno z dolžnostmi, tudi če se odločitev pozneje izkaže za neugodno. Iz tega sledi praktičen nauk: odločilen je pogosto manj rezultat kot vprašanje, ali je bila odločitev sprejeta informirano in sledljivo.
Kaj doda NIS2
Za podjetja, ki spadajo pod NIS2, je odgovornost vodstva izrecno urejena. Poslovodstvo mora ukrepe obvladovanja tveganj odobriti, nadzirati njihovo izvajanje in se izobraževati o kibernetski varnosti. V Nemčiji izvajanje poteka prek NIS2UmsuCG (nemški zakon). Ali je vaše podjetje prizadeto in katere obveznosti posamično veljajo, povzemite iz navedb BSI. Splošen pregled daje stran NIS2 in varnost spletnih strežnikov.
Pridružijo se obveznosti iz varstva podatkov. Po GDPR mora podjetje sprejeti ustrezne tehnične in organizacijske ukrepe ter kršitve varstva osebnih podatkov po 33. členu oceniti, dokumentirati in po potrebi prijaviti.
Kaj od vodstva zahteva položaj, kot je PHP2Shell
PHP2Shell obsega dve kritični ranljivosti v samem PHP (CVE-2026-109618 in CVE-2026-109619, vsaka CVSS v4.0 9,2). BSI je razglasil opozorilno stopnjo 3 (oranžna) in priporoča takojšnjo posodobitev ter, če to ni mogoče, začasen odklop spletnih strežnikov z omrežja. Za vodstvo tako nastane tipičen premislek: promet in dosegljivost proti visokemu, javno znanemu tveganju.
Nihče ne zahteva, da direktorji sami popravljajo strežnike. Pričakovati pa je mogoče, da se s položajem seznanijo, razjasnijo odgovornosti, si dajo poročati in sprejmejo odločitev. Vprašanja, ki naj si jih zastavi vodstvo:
- Kateri naši sistemi uporabljajo PHP in kdo je zanje odgovoren, interno ali pri izvajalcu?
- So posodobitve nameščene in procesi znova zagnani ter ali za to obstaja dokazilo?
- Če ne: zakaj ne, kateri vmesni ukrepi tečejo in ali sistem odklopimo z omrežja?
- Ali obstajajo znaki vloma in kdo oceni morebitne obveznosti prijave?
Dokumentirajte odločitve
Stanje, možnosti, odločitev in obrazložitev na kratko zapišite, z datumom in uro. Tak zapisnik ni nujno dolg. Pozneje pokaže, da je bilo vodstvo informirano in je tehtalo. To izrecno velja tudi za odločitev, da sistem kljub tveganju še omejen čas obratuje.
| Vsebina | Primer |
|---|---|
| Stanje | BSI opozorilna stopnja 3, popravki na voljo od 21. 10. 2026 |
| Prizadeti sistemi | Spletna trgovina, portal za stranke, interna namestitev wikija |
| Možnosti | takoj popraviti, vmesni ukrepi, odklop z omrežja |
| Odločitev | Trgovina popravljena, wiki do posodobitve brez povezave |
| Obrazložitev in odgovorni | Dokazilo izvajalca, kontrola s strani vodje IT |
Popravek ne odstrani že vnesene škodljive programske opreme. Tudi odločitev, ali se išče sledi, sodi v zapisnik.
Trajno organizirati namesto improvizirati v resni situaciji
Najboljša preventiva je jasna organizacija: imenovan odgovorni za informacijsko varnost, postopek za varnostne posodobitve, redna poročila vodstvu, preizkušen načrt ukrepanja ob IT-incidentu in neodvisen pregled v smiselnih presledkih. Kot metodološki okvir je primerna osnovna zaščita IT (IT-Grundschutz) urada BSI.
K organizaciji sodi tudi, da so poročila oblikovana tako, da jih vodstvo razume. Pogosto zadošča kratko, redno poročilo z nekaj navedbami: koliko sistemov je na aktualnem stanju, kje so izjeme in zakaj, kateri incidenti ali skorajšnji incidenti so bili, katere odločitve so na vrsti. Kdor taka poročila prejema, postavlja vprašanja in rezultate zapiše, lahko pozneje pokaže, da je nadzor dejansko potekal. To velja ne glede na to, ali je tehnika interna ali pri izvajalcu.
Kako PHP SOS konkretno pomaga?
- Pripravimo razumljivo sliko stanja vaših spletnih strežnikov za poslovodstvo, z jasnimi možnostmi.
- Izbrano možnost izvedemo in zagotovimo pisno tehnično dokazilo.
- Z varnostnim pregledom ali penetracijskim testom ustvarimo neodvisno podlago za vaše odločitve.
- Z varnostno pogodbo o vzdrževanju trajno uredimo posodobitve in poročila.
Pogosta vprašanja
Ali direktor osebno odgovarja za hekerski napad?
Sam napad ne utemeljuje osebne odgovornosti. O odgovornosti se razpravlja predvsem takrat, ko so bile kršene dolžnosti skrbnosti, na primer če so bila znana tveganja prezrta ali odgovornosti niso bile urejene. Ali je tako v posameznem primeru, presodi samo pravno svetovanje.
Ali lahko varnost IT popolnoma prepustim IT-oddelku ali izvajalcu?
Naloge je mogoče delegirati, odgovornost za izbiro, opremo in nadzor pa ostane pri vodstvu. Dajte si redno poročati in zapišite, katere odločitve so bile sprejete na kateri podlagi.
Kaj NIS2 spremeni pri odgovornosti poslovodstva?
NIS2 od vodstva prizadetih podjetij zahteva, da odobri ukrepe obvladovanja tveganj, nadzira njihovo izvajanje in se udeležuje usposabljanj. Podrobnosti izhajajo iz nemškega izvedbenega zakona in navedb BSI.
Ali pomaga zavarovanje D&O?
Zavarovanje odgovornosti članov organov lahko krije nekatera tveganja odgovornosti vodstva, pogoji pa se močno razlikujejo. Obseg razjasnite s posrednikom ali zavarovalnico.