zákazník se ptá, zda jsme nechali provést penetrační test, co řeknu

Pentest spadá pod testování, nikoli pod samostatnou kategorii

Pentest (test penetrace) je jedním ze způsobů, jak prokázat, že bezpečnostní opatření fungují — není to samostatný požadavek. Otázka patří k širšímu bodu o periodickém testování účinnosti opatření. Pokud jste v loňském roce nechali provést pentest externí stranou, odpovídáte ano a jako důkaz předloží zprávu nebo manažerský souhrn. Někteří zákazníci chtějí vidět pouze datum a rozsah testu, nikoliv zjištěné chyby zabezpečení — k tomu můžete v portálu použít tlačítko důvěrnosti, pokud je taková možnost dostupná.

Pokud jste pentest neprovádeli, je "ne" správná odpověď — ne "ano" s odkazem na něco jiného. Skenování zranitelností, interní přezkoumání kódu nebo certifikace ISO 27001 nejsou náhradou za pentest, i když se týkají stejného tématu. Pokud strukturálně zjišťujete a odstraňujete zranitelnosti jiným způsobem, můžete to vysvětlit v poli volného textu, ale je to doplnění, nikoli náhradní "ano" na samotnou otázku penetračního testu. Pochybujete-li, zda je váš testovací protokol dostatečně čerstvý, aby ještě platil, nejbezpečnější volbou je to uvést v poznámce místo aby se to vynechalo.

Odkud to pochází: článek 21 odst. 2 a příloha A

Článek 21 odstavec 2 Směrnice NIS2 (Směrnice (EU) 2022/2555) výslovně zmiňuje mezi deseti opatřeními testování a posuzování účinnosti bezpečnostních opatření; pentest je jeho nejkonkrétní formou provádění. ISO/IEC 27001 Příloha A to váže na kontrolní opatření týkající se správy technických zranitelností a nezávislého posouzení bezpečnosti informací. Zákon o kybernetické bezpečnosti, česká transpozice NIS2, která vstoupí v platnost 15. srpna 2026, zavádí tuto povinnost pro subjekty, které spadají pod zákon — zeptejte se svého zákazníka, zda podnik, kterého zastupuje, v důsledku toho podnik sám spadá pod NIS2 nebo její národní transpozici aby bylo jasné, proč je tato otázka vůbec v seznamu.