Zákazník sa pýta, či sme vykonali penetračný test, čo mám povedať

Pentest patrí pod testovanie, nie pod samostatný oddiel

Pentest (penetračný test) je jeden spôsob, ako preukázať, že bezpečnosť funguje — nie je to samostatná požiadavka. Otázka patrí k širšiemu bodu o periodické testovanie účinnosti opatrení. Ak ste v uplynulom roku nechal urobiť pentest externe tretou stranou, odpovedáte áno a ako dôkazný materiál poskytnete správu alebo zhrnutie pre manažment. Niektorí klienti chcú vidieť iba dátum a rozsah testu, nie samotné zistené zraniteľnosti — na to môžete v portáli použiť tlačidlo dôvernosti, ak je táto možnosť dostupná.

Ak ste pentest neuskutočnil, potom je "nie" správna odpoveď — nie "áno" s odkazom na niečo iné. Skenovanie zraniteľností, interná recenzia kódu alebo certifikácia ISO 27001 nie sú náhradou za pentest, aj keď sa týkajú tej istej témy. Ak však štruktúrne odhaľujete a odstraňujete zraniteľnosti iným spôsobom, môžete to vysvetliť v poli voľného textu, ale to je doplnok, nie náhradné "áno" na samotnú otázku na pentest. Ak si nie ste istí, či je vaša testovacia správa dosť staršia na to, aby bola stále platná, najbezpečnejšia možnosť je to uvedomiť si v poznámke namiesto toho, aby ste to vynechali.

Odkiaľ to pochádza: článok 21 odsek 2 a príloha A

Článok 21 odsek 2 smernice NIS2 (Smernica (EÚ) 2022/2555) explicitne spomína medzi desiatimi opatreniami testovanie a posúdenie účinnosti opatrení v oblasti kybernetickej bezpečnosti; pentest je z toho najpraktickejšia forma vykonávania. ISO/IEC 27001 Príloha A to spája s bezpečnostným opatrením v oblasti správy technických zraniteľností a nezávislého hodnotenia bezpečnosti informácií. Zákon o kybernetickej bezpečnosti, nizozemská transpozícia NIS2, ktorá nadobúda účinnosť 15. augusta 2026, stanovuje túto povinnosť pre subjekty spadajúce pod zákon — preto sa ponorite alebo sa informujte, či podnik sám spadá pod NIS2 alebo jej národnú transpozíciu aby ste pochopili, prečo je táto otázka vôbec na zozname.