Článok 21(2)(f) NIS2 vyžaduje ročné testy bezpečnosti kritických systémov. Dozviete sa, čo presne musíte robiť, ako vybrať poskytovatela a koľko to stojí.
Zarezervujte penetračný test teraz →NIS2 článok 21(2)(f) stanovuje povinnosť zaviesť politiky a postupy na hodnotenie účinnosti opatrení riadenia kyberbezpečnostného rizika. V praxi to znamená: ročné penetračné testy kritických systémov.
Táto požiadavka sa vzťahuje na:
Nie je to iba odporúčanie – je to právne vymáhateľná povinnosť. Porušenie môže viesť k pokutám do 10 mil. EUR alebo 2 % globálneho ročného obratu.
Penetračný test je simulovaný útok na vašu IT infraštruktúru vykonaný kvalifikovanými bezpečnostným odborníkmi.
Rozsah typického testu:
Trvanie: 1–3 týždne v závislosti od rozsahu. Výstup: detailná správa s priehľadom zraniteľností, ich závažnosti a konkrétnych odporúčaní na nápravu.
Skenovanie zraniteľností: Automatizované nástroje vyhľadávajú známe bezpečnostné chyby (napr. zastarané pluginy, slabé hesla). Rýchle, lacné, ale povrchné.
Penetračný test: Reálni ľudia pracujú ako hackeři. Kombinujú automatizáciu s manuálnym analytickým myslením, aby objavili zraniteľnosti, ktoré skenery premeškajú. Zisťujú, či by útočník mohol skutočne získať prístup k citlivým údajom.
Pre NIS2: Požiadavka explicitne vyžaduje penetračné testovanie (nie len skenovanie). PenTest as a Service platformy ako Cobalt.io vám umožňujú kombinovať obe metódy efektívne.
Kľúčové kritériá:
Dôležité: Rezervujte si teraz – nasledujúce sloty sú Often obsadené na 4 týždne.
Cobalt.io ponúka inovatívny model:
Ideálne pre SME, ktoré potrebujú compliance bez vysokych fixných nákladov na interných testerov.
Fáza 1 – Triedenie (Triage): Identifikujte kritické zraniteľnosti (critical & high severity). Začnite opravou tých najnižšie zavesených ovocia.
Fáza 2 – Oprava (Remediation): Pracujte so svojím IT tímom na otvorení ticketov, alokácii zdrojov a implementácii opráv. Typicky 4–12 týždňov.
Fáza 3 – Re-test: Požiadajte o validáciu opráv (skúsený test). Väčšina testovacích spoločnosti ponúkajú rabat na re-test pre klientov.
Dokumentácia: Uložte si celú správu a log opráv – audítori NIS2 budú chcieť dôkaz, že ste test vykonali a reagovali ste na zistenia.
Všetci majitelia a operátori subjektov kľúčovej infraštruktúry (KIS) v sektore energie, dopravy, bankovníctva, zdravotníctva atď. Tiež dôležité digitálne subjekty (DSU) s viac ako 250 zamestnancami alebo výnosmi nad 50 mil. EUR. Úplný zoznam nájdete v Národnom úrade bezpečnosti informácií.
Minimálne raz ročne podľa článku 21(2)(f). Pre kritické systémy alebo v prípade významných zmien infraštruktúry (napríklad migrácia do cloudu) by ste mali zvážiť testovanie dvakrát ročne alebo ad-hoc testovanie.
Pre malý až stredný podnik: €3,000–15,000 za ročný test v závislosti od rozsahu aplikácií, servery a počtu testovateľov. Cobalt.io ponúka pevné ceny; tradičné agentúry môžu byť drahšie. Zarezervujte si 1–2 dni pred koncom finančného roka na rozpočtovanie.
Presne preto existujú PenTest as a Service platformy ako Cobalt.io, HackerOne a Synack. Môžete si najať externého testera bez investície do interného personálu. Správu z testu môžete zdieľať s vaším IT poskytovateľom na opravu.
Typicky 2–4 týždne od spustenia testu po finálnu správu. Vždy si rezervujte čas dopredu – máj až september sú najzapnutejšie mesiace. Zarezervujte si test v marci/apríli, ak chcete výsledky na leto.
Penetračné testovanie podľa NIS2 článku 21(2)(f) nie je voliteľné. Audit nie je ďaleko. Zarezervujte si svoj slot teraz – kapacity sa rýchlo zaplňujú.
Zarezervujte penetračný test