Penetrační testování pro NIS2, DORA, ISO 27001 a PCI-DSS.
Regulace i normy vyžadují nebo předpokládají nezávislé bezpečnostní testování — a důkaz, že proběhlo. Dodáme test a report, který lze předložit auditorovi, QSA nebo dohledovému orgánu. Testujeme, neauditujeme.
Zabezpečujeme české technologické firmy, které uspěly ve světě.
Penetrační testování pro compliance
Shodu s regulací nedoloží automatizovaný sken. Auditor očekává důkaz, že kvalifikovaný tester systém skutečně napadl, co zjistil, jak závažné to bylo a že bylo napraveno. Penetrační testování pro compliance u nás znamená test podle uznávané metodiky a report, jehož struktura odpovídá tomu, co auditor kontroluje: rozsah, metodika, nálezy s důkazem a závažností, náprava a retest. Níže je přehled toho, jak se test váže na rámce, s nimiž se setkáváme nejčastěji.
PCI-DSS — testování je povinné
PCI-DSS v4.x penetrační testování vyžaduje výslovně: požadavek 11.4 ukládá interní i externí penetrační test nejméně jednou za 12 měsíců a po každé významné změně, podle dokumentované metodiky vycházející z oborových standardů, s nálezy hodnocenými podle závažnosti a s retestem potvrzujícím nápravu; segmentace prostředí držitelů karet se ověřuje samostatně. Aplikační vrstva musí pokrýt třídy zranitelností podle požadavku 6.2.4 (odpovídají OWASP Top 10). Test dodáme v tomto rozsahu a report ve struktuře, kterou QSA očekává.
DORA — od testování ICT po TLPT
Nařízení DORA ukládá finančním subjektům program testování digitální provozní odolnosti (čl. 24–25): ICT systémy podporující kritické nebo důležité funkce se testují nejméně jednou ročně, včetně penetračních testů, a zjištěné nedostatky se odstraňují a ověřují. Subjekty určené dohledovým orgánem navíc podstupují penetrační testování na základě hrozeb (TLPT, čl. 26–27) podle metodiky TIBER-EU, prováděné nezávislými testery splňujícími požadavky nařízení. Pokrýváme celé spektrum: roční testy aplikací a infrastruktury podle čl. 25 i roli nezávislého red teamu v TLPT.
NIS2 — penetrační test jako důkaz souladu
Směrnici NIS2 provádí v České republice zákon č. 264/2025 Sb., o kybernetické bezpečnosti, účinný od 1. listopadu 2025, s dohledem NÚKIB. Poskytovatelé regulovaných služeb spadají do režimu vyšších nebo nižších povinností (vyhláška č. 408/2025 Sb.) a zavádějí bezpečnostní opatření podle vyhlášek č. 409/2025 Sb. a 410/2025 Sb. — mezi nimi bezpečnost při akvizici, vývoji a údržbě a provádění auditu kybernetické bezpečnosti. Penetrační test je důkaz, že opatření byla ověřena proti skutečnému útoku, nikoli pouze zdokumentována. Soulad s NIS2 nedoloží samotná dokumentace bezpečnostních opatření. Penetrační test prokáže, že opatření obstojí proti skutečnému útoku, a report využijete jako doklad při auditu kybernetické bezpečnosti. (U finančních subjektů má v testování ICT rizik přednost DORA.)
ISO 27001 — technické ověření pro váš ISMS
ISO/IEC 27001:2022 penetrační test výslovně nepředepisuje, ale opatření přílohy A jej předpokládají: 8.8 řízení technických zranitelností a 8.29 bezpečnostní testování při vývoji a akceptaci. Certifikační auditor očekává nezávislý důkaz, že tato opatření fungují. Náš report tento důkaz poskytuje — použijete jej v Prohlášení o aplikovatelnosti (SoA) i při dozorových auditech.
AI Act — kybernetická bezpečnost vysoce rizikových AI systémů
Nařízení o umělé inteligenci (AI Act) v čl. 15 požaduje, aby vysoce rizikové AI systémy byly odolné vůči pokusům třetích stran změnit jejich použití, výstupy nebo výkon zneužitím zranitelností — výslovně jmenuje otravu dat a modelu, adversariální vstupy (model evasion) a útoky na důvěrnost. Právě tyto útoky provádějí naše penetrační testy AI a LLM aplikací.
Závěrečný report
Výstup je pro všechny rámce stejný: report s vymezeným rozsahem a metodikou, nálezy seřazenými podle závažnosti (CVSSv3) s důkazem (proof of concept) a dopadem, konkrétními doporučeními k nápravě a retestem potvrzujícím opravu. Je psán pro dva čtenáře — vaše inženýry a vašeho auditora.
Každý test vedou certifikovaní seniorní specialisté. Na vašich systémech se neučí žádní junioři.
Testujeme, neauditujeme
Jsme testeři, nikoli váš auditor ani certifikační orgán. Právě toto oddělení dává testu hodnotu: nezávislý technický test je důkaz, který auditoři a regulátoři požadují. My dodáme výsledky; vy je se svým auditorem zapracujete do procesu compliance.
Často kladené dotazy, vždy zodpovězeny.
Certifikujete naši shodu s předpisy?
Ne. Provádíme penetrační testování, které tyto rámce vyžadují nebo předpokládají, a předáme vám report sloužící jako důkaz. Certifikaci nebo potvrzení shody provádí váš auditor či certifikační orgán.
Zajistíte nám soulad s NIS2?
Soulad s NIS2 zajišťuje organizace sama zavedením bezpečnostních opatření podle zákona o kybernetické bezpečnosti a jeho vyhlášek. My k němu přispíváme nezávislým penetračním testem, který ověří, že opatření fungují, a reportem, který výsledek doloží. Zavádění opatření ani posuzování shody neprovádíme.
Opravdu PCI-DSS vyžaduje penetrační test?
Ano. Požadavek 11.4 ukládá interní i externí penetrační test nejméně jednou ročně a po každé významné změně.
Jsme finanční instituce — platí pro nás NIS2, nebo DORA?
V oblasti testování ICT rizik má nařízení DORA jako specifičtější úprava (lex specialis) přednost před NIS2, resp. zákonem o kybernetické bezpečnosti. Testy provádíme tak, aby vyhověly požadavkům obou rámců.
Bude report stačit našemu auditorovi?
Report je strukturován právě pro tento účel: rozsah a metodika, nálezy podle závažnosti s důkazem, náprava a retest. Auditor a QSA jsou jeho zamýšlený druhý čtenář.
Pojďme to probrat.
Napište nám, co potřebujete otestovat — domluvíme si nezávazný hovor a navrhneme rozsah testu.
Domluvit nezávaznou konzultaci ›