Digitalna forenzika i zakon u Hrvatskoj: što vrijedi 2026.

Digitalna forenzika u Hrvatskoj nije samo tehnički posao. Svaki digitalni zapis koji bi jednog dana mogao poslužiti kao dokaz mora biti prikupljen, sačuvan i analiziran tako da zadrži svoj integritet i da prođe pred sudom. Okvir za to danas čine tri skupine propisa: Zakon o kaznenom postupku sa svojim izmjenama iz 2026., novi zakon o prekograničnom pribavljanju elektroničkih dokaza te Zakon o kibernetičkoj sigurnosti s pripadajućom uredbom. Za tvrtke, IT odjele i privatne osobe to u praksi znači jedno: kad se dogodi incident, kvar ili sumnja na zlouporabu, prvi koraci odlučuju hoće li podaci biti spašeni i hoće li vrijediti kao dokaz.

Ukratko

Pretraga i oduzimanje elektroničkih uređaja i podataka u kaznenom postupku smiju se provoditi samo u zakonskim okvirima, a dokaz pribavljen suprotno zakonu na sudu se ne može koristiti.
Izmjene Zakona o kaznenom postupku objavljene u veljači 2026. dodatno preciziraju koji se dokazi ne mogu upotrijebiti.
Od prosinca 2025. Hrvatska ima zakon kojim pravosudna tijela lakše dolaze do elektroničkih dokaza kod pružatelja usluga u drugim državama EU.
Zakon o kibernetičkoj sigurnosti obvezuje subjekte na koje se odnosi da prijavljuju značajne incidente i provode mjere zaštite.
Ako je uređaj oštećen ili su podaci važni, prestanite ga koristiti i obratite se laboratoriju: svako novo pisanje po disku može trajno uništiti i podatke i tragove.

Sadržaj

Što je digitalna forenzika i gdje je zakon dotiče
Zakonski okvir u Hrvatskoj: propisi koje treba poznavati
Tko u Hrvatskoj provodi forenzičke analize
Zašto dokaz mora ostati netaknut: lanac čuvanja
Prvi koraci kad sumnjate na incident ili kvar
Kada se forenzika i spašavanje podataka susretnu
Pogreške koje najčešće ruše dokaz
Što tvrtke mogu napraviti unaprijed
Česta pitanja
Izvori

Što je digitalna forenzika i gdje je zakon dotiče

Digitalna forenzika je postupak prikupljanja, čuvanja, analize i dokumentiranja digitalnih zapisa s računala, mobitela, USB memorija, diskova, servera i specijaliziranih uređaja. Razlika u odnosu na obično spašavanje podataka nije u opremi, nego u cilju. Kod spašavanja podataka cilj je vratiti datoteke vlasniku. Kod forenzike cilj je utvrditi što se dogodilo, kada i tko je to učinio, i to na način koji se može provjeriti i obraniti.

Zato forenzika nije samo “oporavak datoteka”. U Centru za forenzična ispitivanja, istraživanja i vještačenja “Ivan Vučetić” Služba za digitalnu forenziku provodi vještačenja digitalnih zapisa na računalima, mobilnim telefonima, medijima za pohranu i specijaliziranim uređajima. Prema opisu djelokruga službe, njezin posao obuhvaća i vještačenja digitalnih audio i video zapisa te poslove sustava upravljanja kvalitetom. Već i taj podatak pokazuje koliko je metodologija važna: rezultat mora biti ponovljiv, dokumentiran i razumljiv sucu, a ne samo tehničkom kolegi.

Zakon dotiče digitalnu forenziku na tri mjesta:

Kako se dokaz pribavlja: tko smije pretražiti uređaj, na temelju čega i uz koje uvjete.
Kako se dokaz čuva: može li se dokazati da zapis nije mijenjan od trenutka oduzimanja do analize.
Kako se incident prijavljuje: koje obveze ima tvrtka kad je pogođena napadom ili gubitkom podataka.

Ako Vas zanima tehnička strana postupka, korak po korak, opisali smo je u vodiču kako funkcionira digitalna forenzika diska.

Zakonski okvir u Hrvatskoj: propisi koje treba poznavati

Zakon o kaznenom postupku i izmjene iz 2026.

Temeljni propis za dokaze u kaznenim predmetima je Zakon o kaznenom postupku (pročišćeni tekst, NN 121/2011), koji je od tada više puta mijenjan. Pretraga i oduzimanje elektroničkih podataka i uređaja u njemu su posebna dokazna radnja. Kako objašnjava Ured za ljudska prava i prava nacionalnih manjina, pretraga i oduzimanje elektroničkih podataka i uređaja zadiru u privatnost, jer se na današnjim uređajima nalazi golema količina osobnih podataka.

Iz toga slijede dva načela koja vrijede za svaki digitalni dokaz:

Pretraga se provodi na temelju pisanog naloga nadležnog tijela i u granicama koje propisuje zakon.
Nezakonito pribavljen dokaz ne može se koristiti. Ako je uređaj pretražen bez naloga ili izvan zakonskih okvira, nalaz ne vrijedi, bez obzira na to koliko je tehnički točan.

U veljači 2026. objavljen je Zakon o izmjenama i dopunama Zakona o kaznenom postupku (NN 13/2026). Izmjenama se, među ostalim, proširuje popis dokaza koji se ne mogu upotrijebiti, pa se izrijekom navode i predmeti oduzeti suprotno zakonu te određene snimke i izvodi iz registara. Za digitalnu forenziku to znači da se postupanje s uređajem od prvog trenutka promatra jednako strogo kao i sama analiza.

Ako ste odvjetnik, branitelj ili predstavnik tvrtke u kaznenom predmetu, točno tumačenje tih odredbi za Vaš slučaj daje odvjetnik. Laboratorij može pomoći s tehničkom stranom: što je na mediju, je li zapis mijenjan i kako je postupak dokumentiran.

Prekogranični elektronički dokazi: NN 151/2025 i Uredba (EU) 2023/1543

Veliki dio podataka danas ne stoji na disku u uredu, nego kod pružatelja usluga e-pošte, oblaka ili komunikacijskih platformi, često u drugoj državi. Taj problem rješava Uredba (EU) 2023/1543 o europskim nalozima za dostavljanje i europskim nalozima za čuvanje elektroničkih dokaza u kaznenim postupcima, donesena 12. srpnja 2023.

Hrvatska je provedbu uredila Zakonom o prekograničnom pribavljanju elektroničkih dokaza u kaznenim postupcima (NN 151/2025), objavljenim 15. prosinca 2025. Pravosudna tijela time mogu nalog uputiti izravno pružatelju usluga u drugoj državi članici, bez posredovanja tamošnjih tijela, što ubrzava istragu.

Za tvrtke je ovo važno iz dva razloga. Prvo, podaci u oblaku nisu izvan dosega istrage. Drugo, upravo zato što se dokazi mogu prikupljati iz više izvora, lokalni zapisi (diskovi, prijenosna računala, mobiteli, snimači videonadzora) moraju biti sačuvani tako da se mogu usporediti s onima pribavljenima od pružatelja usluga. Ako lokalni zapis nedostaje ili je oštećen, slika događaja ostaje nepotpuna.

Usporedba lokalnih i prekograničnih izvora dokaza

Zakon o kibernetičkoj sigurnosti i Uredba

Treći stup je Zakon o kibernetičkoj sigurnosti (NN 14/2024), proglašen u veljači 2024., i Uredba o kibernetičkoj sigurnosti (NN 135/2024) od 22. studenoga 2024. Ovi propisi uspostavljaju nacionalni okvir: kategorizaciju subjekata, mjere upravljanja kibernetičkim rizicima i obvezu prijave značajnih incidenata nadležnim tijelima.

Za IT odjel to ima izravnu forenzičku posljedicu. Da biste incident mogli prijaviti i opisati, morate znati što se dogodilo. Da biste to znali, morate sačuvati tragove: zapise sustava, stanje diskova, sadržaj zahvaćenih poslužitelja. Brzo “čišćenje” i ponovna instalacija sustava mogu vratiti poslovanje, ali istodobno brišu upravo ono što je potrebno za prijavu, za osiguravatelja i za eventualni sudski postupak. Je li Vaša organizacija obveznik zakona i koji su točni rokovi prijave, provjerite u samom zakonu i uredbi ili s pravnim savjetnikom.

Pregled propisa

Propis	Objava	Što uređuje	Što znači za Vas
Zakon o kaznenom postupku	NN 121/2011, pročišćeni tekst	Pretraga, oduzimanje i dokazi u kaznenom postupku	Dokaz pribavljen suprotno zakonu ne vrijedi
Izmjene ZKP-a	NN 13/2026	Proširen popis neupotrebljivih dokaza	Postupanje s uređajem od prve minute je pod povećalom
Zakon o prekograničnom pribavljanju e-dokaza	NN 151/2025	Nalozi pružateljima usluga u EU	Podaci u oblaku dostupni su istrazi
Uredba (EU) 2023/1543	12. srpnja 2023.	Europski nalozi za dostavljanje i čuvanje	Jedinstveni okvir za cijeli EU
Zakon o kibernetičkoj sigurnosti	NN 14/2024	Obveze subjekata, prijava incidenata	Tragovi incidenta moraju biti sačuvani
Uredba o kibernetičkoj sigurnosti	NN 135/2024	Provedbene mjere	Konkretne mjere zaštite i upravljanja

Tko u Hrvatskoj provodi forenzičke analize

U praksi se digitalnim dokazima bave tri vrste sudionika, i svaki ima svoju ulogu.

Sudionik	Kada nastupa	Na što paziti
Državna forenzička služba (Centar “Ivan Vučetić”)	Kazneni postupci, na zahtjev policije i pravosuđa	Ne radi po narudžbi tvrtki ni građana
Sudski vještak informatičke struke	Kada ga odredi tijelo koje vodi postupak	Nalaz i mišljenje daje u okviru postupka
Specijalizirani laboratorij za podatke	Interni incidenti, oštećeni mediji, priprema podataka, sigurno brisanje	Iskustvo s fizički oštećenim medijima i dokumentiran postupak
Interni IT odjel	Prvi odgovor na incident	Ne smije mijenjati izvorni medij

Poseban izazov za policiju opisuje i Policijska akademija u materijalu o postupanju s elektroničkim dokazima na mjestu događaja: kaznena djela u ovom području sofisticirana su po načinu počinjenja i po prikrivanju identiteta, pa se od onoga tko prvi dođe do uređaja očekuje stručno postupanje.

Privatni laboratorij nije zamjena za državna tijela u kaznenom postupku. Njegova vrijednost je drugdje: kada tvrtka mora utvrditi što se dogodilo s podacima, kada je medij fizički oštećen pa ga treba osposobiti prije bilo kakve analize, ili kada odvjetnik treba tehničko objašnjenje stanja uređaja.

Zašto dokaz mora ostati netaknut: lanac čuvanja

Lanac čuvanja (engl. chain of custody) je dokumentirani put dokaza od prvog kontakta s uređajem do završnog izvješća. Zapisuje se tko je uređaj preuzeo, kada, u kakvom stanju, gdje je bio pohranjen i tko mu je sve imao pristup. Ako u tom lancu postoji praznina, otvara se prostor za sumnju da je izvorni zapis mijenjan, a sumnja je dovoljna da dokaz izgubi težinu.

Tehnički, integritet se čuva na nekoliko načina:

Forenzička slika medija: radi se potpuna kopija, bit po bit, uključujući prazan i obrisani prostor. Analiza se zatim provodi na kopiji, a izvornik ostaje netaknut.
Hardverska zaštita od pisanja (write-blocker): uređaj između diska i radne stanice fizički sprječava bilo kakav upis na izvorni medij.
Kontrolne vrijednosti (hash): matematički “otisak” izvornika i kopije dokazuje da su identični i da se ništa nije promijenilo.
Zapisnik o svakom koraku: fotografije, serijski brojevi, stanje kućišta i kabela, vrijeme svake radnje.

Posebno je osjetljiv trenutak kada je uređaj još uključen. Analiza “živog” sustava razlikuje se od analize isključenog medija, jer radna memorija može sadržavati enkripcijske ključeve i podatke o aktivnim procesima. Pogreška u toj prvoj fazi, primjerice nestručno gašenje, kasnije se ne može ispraviti. Ako je uređaj šifriran, gubitak ključa može značiti da do sadržaja više nema puta. O tome koliko je šifriranje dvosjekli mač pisali smo u tekstu o kriptiranju i zaštiti podataka.

Prvi koraci kad sumnjate na incident ili kvar

Bilo da je riječ o napadu, sumnji na zlouporabu od strane zaposlenika ili fizičkom kvaru diska na kojem su važni podaci, redoslijed postupanja je sličan.

Prestanite koristiti uređaj. Svako daljnje pisanje po disku, pa i samo pokretanje operacijskog sustava, može prebrisati obrisane datoteke, metapodatke i tragove aktivnosti.
Ne gasite poslužitelj naglo i ne reinstalirajte sustav dok ne odlučite trebaju li Vam tragovi. Ako ne znate, pretpostavite da trebaju.
Odvojite uređaj od mreže ako sumnjate na napad, ali ga ne rastavljajte i ne pokušavajte popraviti.
Zapišite sve što znate: vrijeme kada ste primijetili problem, poruke na ekranu, tko je imao pristup, što je zadnje rađeno.
Ne pokušavajte sami vraćati podatke s oštećenog ili sumnjivog medija. Kod fizički oštećenog diska svaki pokušaj pokretanja može oštetiti podatkovne ploče i glave za čitanje.
Uključite pravnog savjetnika ako postoji mogućnost sudskog ili radnog spora, te provjerite obveze prijave prema Zakonu o kibernetičkoj sigurnosti i propisima o zaštiti osobnih podataka.
Obratite se laboratoriju

Najčešće pogreške u prvim satima nakon incidenta, i zašto su skupe, detaljno smo opisali u tekstu što odmah prestati raditi kod incidenta s podacima. Za brzu orijentaciju pri kvaru pogledajte i hitne korake za oporavak podataka i kada zvati laboratorij.

Kada se forenzika i spašavanje podataka susretnu

U stvarnim slučajevima rijetko je sve uredno. Disk s ključnim zapisima pao je sa stola, NAS je prestao raditi usred incidenta, snimač videonadzora s događajem ne pokazuje snimke, mobitel je oštećen vodom. U tim situacijama forenzika ne može početi dok se podaci ne spase.

Tu je razlika između pokušaja kod kuće i laboratorija najvidljivija:

Mehanički oštećen hard disk otvara se isključivo u čistoj komori, jer čestica prašine na podatkovnoj ploči može uzrokovati trajnu štetu. Više o tome u tekstu o mehaničkim oštećenjima nakon pada laptopa ili diska.
RAID i NAS sustavi traže rekonstrukciju rasporeda podataka na više diskova. Pogrešan redoslijed ili pokušaj ponovne izgradnje polja može trajno pomiješati podatke, što objašnjavamo u članku o spašavanju podataka s RAID polja.
Videonadzor je čest izvor dokaza, a snimke se na mnogim sustavima automatski prepisuju. Kako ih zaštititi unaprijed, opisujemo u vodiču za zaštitu podataka CCTV-a.
SSD diskovi imaju vlastite mehanizme upravljanja memorijom koji mogu brisati obrisane blokove, pa je kod njih brzina reakcije posebno važna.

Kako Vam InfoLAB može pomoći

Datarecovery.hr (InfoLAB) od 1993. radi kao laboratorij za spašavanje podataka i jedini je u regiji s potvrdom ISO 9001:2015. Uz spašavanje podataka s hard diskova, SSD-ova, RAID polja, NAS uređaja, mobitela, flash medija i sustava videonadzora, nudimo dijagnostiku i sigurno brisanje podataka s izdavanjem certifikata. Fizički oštećene diskove obrađujemo u čistim komorama klase CLASS 100/10, a vrijedi pravilo “no Data, no Money”: ako podatke ne spasimo, ne plaćate spašavanje. Ako je Vaš disk oštećen ili sumnjate na incident, a podaci su Vam važni, obratite nam se za spašavanje podataka u Zagrebu prije bilo kakvog pokušaja popravka.

Pogreške koje najčešće ruše dokaz

Iz prakse se ponavlja nekoliko obrazaca koji dokaze čine slabima ili neupotrebljivima:

Pregledavanje sadržaja na izvornom uređaju. Već samo otvaranje datoteka mijenja vremena pristupa i druge metapodatke.
Kopiranje datoteka umjesto izrade slike medija. Obična kopija ne sadrži obrisani prostor ni sistemske tragove, a datumi se pri kopiranju mogu promijeniti.
Pokretanje oštećenog diska “još jednom”. Kod mehaničkog kvara svaki novi pokušaj povećava štetu na površini ploča.
Nedokumentirana predaja uređaja. Ako se ne zna tko je uređaj imao i kada, lanac čuvanja je prekinut.
Prerano vraćanje sustava u rad. Reinstalacija i vraćanje iz sigurnosne kopije bez prethodnog čuvanja zahvaćenog stanja brišu tragove napada.
Nepouzdane sigurnosne kopije. Kad se tek u incidentu otkrije da backup ne radi, ostaje samo oštećeni original. Redovitu provjeru opisujemo u vodiču za provjeru integriteta sigurnosnih kopija.

Zajedničko svim ovim pogreškama je da su nepovratne. Zato je najsigurniji izbor, kad niste sigurni, ne dirati uređaj i potražiti stručnu procjenu. Ako niste sigurni što se uopće pokvarilo, laboratorijska dijagnostika kvara daje odgovor bez rizika za podatke.

Što tvrtke mogu napraviti unaprijed

Najbolja forenzika je ona za koju ste se pripremili prije incidenta. Nekoliko mjera izravno olakšava i usklađenost sa Zakonom o kibernetičkoj sigurnosti i kasniju analizu:

Plan odgovora na incident s jasnim imenima: tko odlučuje o isključenju sustava, tko zove pravnika, tko kontaktira laboratorij.
Popis kritičnih uređaja s lokacijom, serijskim brojevima i vlasnicima, kako bi se lanac čuvanja mogao započeti odmah.
Sinkronizirano vrijeme na poslužiteljima, kamerama i mrežnoj opremi, jer bez toga je teško složiti vremenski slijed događaja.
Čuvanje zapisa sustava dovoljno dugo i izvan sustava koji bi mogao biti kompromitiran.
Dokumentirano sigurno brisanje pri otpisu opreme, s certifikatom, kako stari diskovi ne bi postali izvor curenja podataka.

Šire o tome pišemo u tekstovima o sigurnosti podataka u poslovnom okruženju i laboratorijskom planu oporavka od katastrofe.

Česta pitanja

Vrijedi li nalaz privatnog laboratorija na sudu?

U kaznenom postupku vještačenje određuje tijelo koje vodi postupak, a dokazi pribavljeni suprotno zakonu ne mogu se koristiti. Dokumentirana forenzička slika i zapisnik o lancu čuvanja mogu pomoći odvjetniku i vještaku, ali o upotrebi dokaza odlučuje sud. Zato je važno da se postupak od prvog dana vodi metodično i bilježi.

Može li se forenzika provesti na fizički oštećenom disku?

Može, ali najprije se medij mora osposobiti za čitanje, kod mehaničkih kvarova u čistoj komori. Tek tada se izrađuje slika i provodi analiza. Svaki pokušaj pokretanja oštećenog diska prije toga smanjuje šanse za uspjeh.

Koliko brzo trebam reagirati?

Što prije. Na SSD diskovima i snimačima videonadzora podaci se mogu automatski brisati ili prepisivati, a na svakom aktivnom sustavu tragovi se s vremenom gube. Prestanite koristiti uređaj i javite se laboratoriju istog dana.