Internom istragom Službe za poslove sa strancima Bosne i Hercegovine o propustima koji su prethodili kompromitaciji e-mail servera utvrđeno je da postoji osnov za ispitivanje odgovornosti Novice Koromana, službenika koji je godinama bio kontakt-osoba za Microsoft/ESA licenciranje.
Kako je još ranije objavljeno, e-mail server Službe za poslove sa strancima prije nekoliko dana je kompromitiran, pri čemu su hakeri ukrali podatke koji sadrže korisnička imena i lozinke zaposlenih. Ukradeni podaci potom su slani nazad na isti e-mail server, što ukazuje na to da su hakeri imali kontinuiran udaljeni pristup serveru i koristili ga za pohranu i distribuciju podataka.
Služba za poslove sa strancima je još 19. maja 2015. godine imenovala Novicu Koromana za kontakt-osobu za poslove vezane za Microsoft/ESA licenciranje, komunikaciju s nadležnim institucijama, kao i planiranje i produženje Microsoft licenci. Koroman je te poslove obavljao i u periodu na koji se odnose utvrđeni propusti.
Problem je nastao tokom priprema za novi ugovorni period s Microsoftom, koji obuhvata razdoblje od 2025. do 2028. godine. Ministarstvo komunikacija i prometa Bosne i Hercegovine u više navrata je od Koromana tražilo da dostavi plan potreba Službe za Microsoft licence, kao i planove potreba za naprednu tehničku podršku i edukaciju. Međutim, Koroman tražene podatke nikada nije dostavio, iako mu je jasno stavljeno do znanja da je krajnji rok 31. decembar 2024. godine te da se planovi dostavljeni nakon tog roka neće uzimati u razmatranje.
Osmog novembra 2024 godine Branislav Zimonjić, menadžer korisničke podrške Ministarstva komunikacija i prometa BiH uputio je mail Novici Koromanu u kojem ga obavještava da plan potreba za licence za Microsoftove proizvode mora dostaviti najkasnije do 31. decembra 2024. godine. U narednim danima, prije isteka roka, Zimonjić nadležnim službenicima u institucijama BiH, među kojima je bio i Novica Koroman, šalje još dvije elektronske poruke s detaljnim uputstvima o načinu izrade i dostavljanja planova nabavke Microsoft licenci za ESA ugovorni period 2025–2028. godine. Ponovo ih upozorava da je krajnji rok 31. decembar.
Nakon što mjesecima nisu dobili nikakvu povratnu informaciju, iz Ministarstva se početkom marta 2025. godine ponovo obraćaju Službi za poslove sa strancima i podsjećaju da je svaka institucija dužna imenovati kontakt-osobu odgovornu za pravilno i efikasno izvršavanje odredbi ESA ugovora:
U skladu s članom 5. Odluke o upravljanju softverskom imovinom u upotrebi i standardizaciji korisničkog softvera u institucijama Bosne i Hercegovine definirane su dužnosti i obaveze kontakt-osobe korisnika, odnosno, u konkretnom slučaju, dužnosti i obaveze gospodina Novice Koromana. Ministarstvo komunikacija i prometa BiH u tri navrata se obraćalo kontakt-osobi vaše institucije radi dostavljanja plana potreba za Microsoft licencama za ugovorni period 2025–2028. godine, kao i planova potreba za naprednu tehničku podršku i edukaciju, što je kontakt-osoba dužna učiniti u skladu s navedenom odlukom. Međutim, traženi podaci nisu dostavljeni.“
Iz Službe za poslove sa strancima Ministarstvu se obraćaju tek 2. juna 2025. godine, kada je krajnji rok već odavno bio prekoračen. Tada se raspituju o mogućnosti naknadnog uključivanja Službe u postupak planiranja i usklađivanja potreba s postojećim planom nabavke Microsoft licenci, piše ‘Istraga’.
Budući da do sada nismo formalno pristupili okviru, molimo Vas za informaciju postoji li još mogućnost uključivanja naše institucije u postojeći plan, koji su naredni koraci s naše strane (formalnosti, rokovi, kontakt-osobe) te da li je moguće, na osnovu trenutnog ugovora, osigurati licence koje su nam potrebne za tekuću godinu“, navodi se u dopisu IT stručnjaka Službe Ramiza Šikala upućenom Branislavu Zimonjiću.
Zimonjić odgovara da je Ministarstvo već objavilo tender za nabavku Microsoft licenci za novi ugovorni period, koji se zatvara 20. juna 2025. godine, nakon čega će biti potpisani ESA ugovori, te da više nije moguće vršiti bilo kakve izmjene u vezi s nabavkom licenci.
U skladu s prethodno navedenim, zamolio bih vas da mi dostavite sljedeće informacije: da li je gospodin Novica Koroman i dalje zaposlenik vaše institucije te, ukoliko jeste, iz kojih razloga ne ispunjava dužnosti i obaveze definirane članom 5. prethodno navedene Odluke. Ukoliko gospodin Novica Koroman više nije zaposlenik vaše institucije, zbog čega institucija nije, u skladu s članom 4. stav (3) navedene Odluke, imenovala novu kontakt-osobu?“, pita Zimonjić.
Odgovora nije bilo. Međutim, iz dostupne dokumentacije proizlazi jasna hronologija događaja: zaposlenik Službe za poslove sa strancima Novica Koroman, zadužen za Microsoft licence, bio je upoznat s propisanim rokovima. Traženi planovi nisu dostavljeni, a Služba je tek nekoliko mjeseci kasnije pokušala naknadno riješiti nastali problem. U međuvremenu je njen e-mail sistem kompromitiran, a službeni korisnički podaci su ukradeni.