Jaký je rozdíl mezi pentestem a bezpečnostním auditem podle NIS2?

Kdy objednat audit a kdy pentest · rozhodovací rámec pro subjekty NIS2

Rozhodnutí mezi pentestem a auditem není výběr jednoho místo druhého, ale určení pořadí a rozsahu obou aktivit v rámci dodržení směrnice NIS2. Pokud jste esenciální nebo důležitý subjekt, zákon vyžaduje opatření řízení rizik a bezpečnosti sítě i informačních systémů. Audit zjišťuje, zda váš řídicí systém · ISMS, politiky, procesy incidentů, správa dodavatelského řetězce · splňuje právní standard. Pentest ověřuje, zda technická implementace těchto politik v konkrétní síti, webové aplikaci nebo Active Directory skutečně drží. Typický scénář: firma s ročním obratem 200 milionů Kč v energetice nejprve provede gap analýzu proti NIS2, pak objedná audit řízení bezpečnosti pro důkaz dodržení před orgány, a teprve následně pentest kritické infrastruktury pro validaci technických kontrol. Pokud to prohodíte, riskujete, že pentest najde chyby, které audit ukáže jako systémové selhání procesů, a budete platit za opravy dvakrát.

Rozsah a metodologie · co konkrétně testuje co

Audit podle NIS2 pokrývá organizační a procesní rovinu: existenci bezpečnostních politik, přiřazení rolí (CISO, DPO), plán reakce na incidenty, správu přístupů, zálohování, školení zaměstnanců a smlouvy s dodavateli. Metodika je vzorová · auditoři porovnávají dokumenty a rozhovory s požadavky zákona o kybernetické bezpečnosti a souvisejícími nařízeními. Pentest se zaměřuje na technickou vrstvu: skenování zranitelností, manuální zneužití chyb v konfiguraci, testování segmentace sítě, pokusy o eskalaci práv, obejití WAF, testování API a sociálního inženýrství. V praxi to vypadá tak, že audit trvá dva až čtyři týdny a končí zprávou s nálezy kategorizovanými podle závažnosti a odkazem na konkrétní paragrafy zákona. Pentest trvá pět až dvanáct dnů podle rozsahu cíle (například interní síť, dvě webové aplikace, Wi-Fi) a končí technickou zprávou s kroky reprodukce a doporučením opravy kódu nebo konfigurace. Audit odpovídá na otázku „jsme v souladu se zákonem?“, pentest na otázku „dokáže útočník prolomit naši bránu?“.

Mapování požadavků NIS2 na konkrétní typ ověření

Zákon o kybernetické bezpečnosti v aktuálním znění (transpozice směrnice NIS2) specifikuje opatření, která subjekty musí zavést. Článek 21 a příloha vyžadují řízení rizik, bezpečnost dodavatelského řetězce, řízení incidentů, kontinuitu provozu a školení. Tato opatření jsou primárně doménou auditu · auditor ověří, zda máte proces klasifikace aktiv, zda riziková analýza existuje a je pravidelně aktualizována, zda máte pravidelně testované plány kontinuity. Technická opatření jako segmentace sítě, vícefaktorové ověřování, šifrování v klidu i přenosu, správa patchů a logování jsou předmětem obou: audit zkontroluje existenci politiky a důkazy o splnění (ticketing, reporty), pentest ověří, zda segmentace skutečně funguje, zda MFA nelze obejít, zda logy zachycují pokusy o únik dat. Pro esenciální subjekty (energetika, doprava, bankovnictví, zdravotnictví, vodní hospodářství, digitální infrastruktura, veřejná správa) s více než 250 zaměstnanci nebo obratem nad 50 miliony eur je povinnost registrace u NÚKIB a hlášení incidentů do 24 hodin. Audit připraví důkazy pro dozorový orgán, pentest snižuje pravděpodobnost incidentu, který byste museli hlásit.

Co ovlivňuje cenu auditu a pentestu

Cena auditu NIS2 závisí na počtu lokalit, složitosti organizace, rozsahu ISMS a požadované hloubce (pouze gap analýza versus plný certifikační audit). Komplexní audit řízení bezpečnosti zahrnuje gap analýzu, rozhovory a zpracování nápravných opatření; u velkých korporací s více datovými centry, OT sítěmi a mezinárodní strukturou cena výrazně stoupá. Pentest se cení podle rozsahu cílové plochy: externí perimetr, interní síť (Active Directory, segmentace, počet stanic), webové a mobilní aplikace a sociální inženýrství (phishing, vishing, fyzický přístup) se oceňují zvlášť. Klíčové faktory ovlivňující cenu: počet IP adres a aktiv, hloubka testování (black/white/grey box), požadavek na retest po opravách, termínová naléhavost (příplatek za rychlý start), a zda dodavatel používá automatizované skenery nebo ruční metodiky (OWASP Testing Guide, PTES, MITRE ATT&CK). Firmy často podceňují náklady na nápravu nalezených chyb, proto do rozpočtu zahrňte i implementaci oprav a retesty.

Kritéria výběru dodavatelů · akreditace, reference, metodiky

Při výběru auditorské firmy hledejte certifikaci ISO 27001 Lead Auditor či CISA/CRISC, reference z vašeho sektoru (energetika, finance, zdravotnictví) a zkušenosti s českým právním řádem (zákon o kybernetické bezpečnosti, GDPR, směrnice NIS2). Dodavatel musí ukázat vzorový výstup: strukturu zprávy, mapování na konkrétní paragrafy, doporučení náprav s prioritami a časovým horizontem. U pentestérů vyžadujte certifikace OSCP, OSEP, CRTO, eCPPT nebo CREST CRT/CCT, reference z podobných prostředí (velikost AD, technologický stack, OT/IoT), pravidla zapojení (Rules of Engagement), proces komunikace při nalezení kritické zranitelnosti (okamžité upozornění), a pojištění odpovědnosti za škodu způsobenou testováním. Důležité je oddělení rolí: stejná firma by neměla provádět audit i pentest ve stejném roce bez čínské zdi mezi týmy, aby se vyhnula zájmové kolizi. Ověřte, zda dodavatel poskytuje retest v ceně a zda report obsahuje management summary pro vedení i technické detaily pro adminy.

Modelové scénáře rozhodnutí podle velikosti a sektoru

Scénář A: Městská nemocnice, 800 zaměstnanců, esenciální subjekt dle NIS2, hybridní IT/OT. Krok 1: Gap analýza a audit řízení bezpečnosti do 3 měsíců od registrace u NÚKIB. Krok 2: Pentest interní sítě, pacientských systémů a perimetru v následujícím kvartálu. Krok 3: Pravidelný roční pentest perimetru a aplikací, dvouletý audit. Scénář B: Logistická firma, 150 zaměstnanců, důležitý subjekt, čistě IT, omezený rozpočet. Krok 1: Zjednodušený audit politik a procesů zaměřený na povinná opatření NIS2 (správa incidentů, zálohy, přístupy, školení). Krok 2: Cílený pentest VPN, e-mailové brány a webového portálu dodavatelů. Zbývající rozpočet na nápravu a monitoring. Scénář C: SaaS startup, 50 zaměstnanců, nepatří pod NIS2, ale klienti (banky) vyžadují ISAE 3402 / SOC 2. Zde audit NIS2 nenahradí SOC 2 audit, ale pentest produkce a CI/CD pipeline je klíčový pro prodej · objednejte pentest jako první, audit procesů až při růstu na enterprise klienty.

Co to znamená: Pokud jste povinný subjekt NIS2, začněte auditem řízení bezpečnosti, abyste měli přehled o shodě procesů se zákonem a připravili důkazy pro dozorový orgán. Pentest objednejte jako druhou aktivitu pro ověření technických kontrol, které audit identifikoval jako klíčová. Vyberte dodavatele s akreditací a referencemi ve vašem sektoru, vyžádejte retest v ceně a oddělte role auditora a pentestéra.