Računovodski servis danes ne hrani več le številk, ampak celotno življenje podjetja v digitalni obliki: plače zaposlenih, pogodbe, davčne številke, bančne izpiske, zdravstvene podatke za obračun bolniških odsotnosti. To pomeni, da je vsak tak servis hkrati tudi skrbnik izjemno občutljivih osebnih podatkov.
Zato je vprašanje varnosti po pravilih GDPR postalo enako pomembno kot samo računovodstvo.
Računovodski servis kot “obdelovalec podatkov”
Po evropski uredbi GDPR (Splošna uredba o varstvu podatkov) računovodski servis skoraj vedno nastopa kot obdelovalec podatkov, podjetje pa kot upravljavec.
To v praksi pomeni:
- podjetje določa, katere podatke se obdeluje,
- računovodski servis jih obdeluje v njegovem imenu,
- oba imata pravne obveznosti glede varnosti in zaščite.
In tukaj se začne resna odgovornost: če pride do vdora ali izgube podatkov, niso v igri samo tehnične težave, ampak tudi pravne in finančne posledice.
Kaj se lahko sploh zgodi?
V računovodskem okolju so najpogostejši scenariji:
- vdor v e-poštni račun ali strežnik servisa,
- ransomware napad (zaklep podatkov in izsiljevanje),
- izguba podatkov zaradi napake zaposlenega,
- pošiljanje občutljivih podatkov napačnemu prejemniku,
- kraja prenosnika ali neustrezno zaščitenih datotek.
Vsak od teh primerov lahko sproži:
- prijavo nadzornemu organu,
- obveščanje strank,
- tožbe zaradi škode,
- visoke stroške sanacije sistema.
Ali standardno zavarovanje to pokrije?
Klasično zavarovanje poklicne odgovornosti (ki ga ima večina računovodij) ni dovolj za digitalna tveganja.
To zavarovanje praviloma krije:
- strokovne napake pri delu (napačni izračuni, poročila),
- finančno škodo stranke zaradi napačnega računovodskega ravnanja.
A pri podatkovnih incidentih se stvari zapletejo.
Cyber zavarovanje – sodobna nujnost
Zato se vse pogosteje uporablja ločeno cyber zavarovanje (zavarovanje kibernetskih tveganj).
To je danes dejansko “digitalna zasilna zavora”.
Tipično lahko krije:
- stroške obveščanja strank o vdoru,
- forenzično IT preiskavo,
- obnovo in povrnitev izgubljenih podatkov,
- stroške odprave posledic napada (npr. ransomware),
- pravno pomoč in odvetniške stroške,
- krizno komunikacijo (ugled podjetja),
- v nekaterih primerih tudi odškodninske zahtevke tretjih oseb.
Kaj pa GDPR kazni?
Tu velja stara in zelo jasna logika zavarovalnic:
- stroški obrambe in postopkov so pogosto kriti,
- globe in upravne kazni po GDPR pa praviloma niso kritje.
Razlog je preprost: zakonodaja ne dovoli, da bi se kazen “prevalila” na zavarovalnico, ker bi to zmanjšalo njen odvračilni učinek.
Z drugimi besedami:
zavarovanje lahko pomaga popraviti škodo, ne pa izbrisati odgovornosti.
Ali polica pokriva vdor ali izgubo podatkov?
V dobrih cyber policah običajno DA, vendar pod pogoji.
Krito je lahko:
- obnova podatkov iz varnostnih kopij,
- stroški IT strokovnjakov,
- analiza vzroka vdora,
- pravna podpora,
- obveščanje strank (GDPR zahteva to v 72 urah),
- pomoč pri obnovi poslovanja.
Ni vedno krito:
- izguba dobička zaradi prekinitve poslovanja (odvisno od police),
- škoda zaradi slabega upravljanja IT sistemov,
- incidenti, ki so posledica namerne malomarnosti.
Kje nastane največ težav v praksi?
Izkušnje kažejo, da se spori najpogosteje vrtijo okoli treh stvari:
1. “Ali je šlo za napako ali za slabo varnost?”
Če računovodski servis nima osnovne zaščite (šibka gesla, brez šifriranja), zavarovalnica lahko zavrne kritje.
2. “Ali je bila škoda pravočasno prijavljena?”
Pri kibernetskih incidentih je čas ključnega pomena. Zavarovalnice pričakujejo takojšnje ukrepanje.
3. “Ali gre za neposredno ali posredno škodo?”
Izguba podatkov je lahko krita, izguba poslovne priložnosti pa pogosto ne.
GDPR kot pravni okvir – stroga pravila igre
GDPR ni le birokratska formalnost, ampak sistem, ki temelji na odgovornosti:
- varnost mora biti “ustrezna tveganju”,
- dokumentacija mora dokazovati ukrepe,
- pogodbe med stranko in računovodskim servisom morajo biti natančne,
- vsak incident ima rok poročanja.
Zavarovanje tukaj ne nadomesti obveznosti, ampak jo dopolni.
Kaj pomeni dobra praksa za računovodski servis?
Tradicionalno gledano, zavarovanje je zadnja obrambna linija. Pred tem mora biti urejeno:
- redno varnostno kopiranje podatkov,
- šifriranje občutljivih datotek,
- večstopenjska avtentikacija,
- omejen dostop do podatkov,
- izobraževanje zaposlenih,
- jasni postopki za incidente.
Brez tega je tudi najboljša polica le papir.
Sklep
Računovodski servis je danes hkrati finančna in podatkovna institucija. To pomeni dvojno odgovornost: strokovno in digitalno.
Zavarovanje pomaga, a z jasno mejo:
- pokriva stroške sanacije, forenzike in odškodnin tretjih oseb,
- ne pokriva pa glob in kazni zaradi kršitev GDPR,
- ne odpravlja posledic slabe varnostne kulture.
Po starem, preprostem pravilu:
zavarovanje je ščit pred udarcem, ne pa nadomestilo za previdnost.