Ključni i važni subjekti
Redovita provjera ranjivosti svih sustava i sigurnosno testiranje, poput penetracijskih testova i red teaminga, prema procjeni rizika. Obvezno na svim razinama mjera.
KIBERNETIČKA SIGURNOST · TESTIRANJE
Penetracijsko testiranje.
Provjeravamo koliko su vaši sustavi otporni na stvarni napad: web aplikacije i API-je, vanjsku i unutarnju mrežu te usluge u oblaku. Opseg i pravila testiranja dogovaramo u pisanom obliku, a u izvješću su nalazi razvrstani po razini rizika, uz preporuke koje vaš tim može provesti. Rezultate možete predočiti revizoru, nadzornom tijelu ili poslovnom partneru.
300+ PROJEKATA U REGULIRANIM SEKTORIMA
- PBZ
- Fortenova
- Roche
- Inditex
- Končar
- Plodine
- Cromaris
ZKS · DORA · GDPR
Kada propisi traže sigurnosno testiranje
Uredba o kibernetičkoj sigurnosti i GDPR ne propisuju učestalost penetracijskog testiranja: određuje se procjenom rizika. DORA financijskim subjektima propisuje testiranje sustava koji podupiru ključne ili važne funkcije najmanje jednom godišnje, a subjektima koje odredi nadležno tijelo i TLPT najmanje svake tri godine. Nalaze testiranja treba pratiti do otklanjanja.
Financijski subjekti
Najmanje jednom godišnje primjereni testovi svih IKT sustava i aplikacija koji podupiru ključne ili važne funkcije, osim za mikropoduzeća. Penetracijsko testiranje jedna je od vrsta testova iz članka 25. TLPT najmanje svake tri godine za subjekte koje odredi nadležno tijelo.
Svi koji obrađuju osobne podatke
Ovisno o riziku i prema potrebi, proces za redovito testiranje, ocjenjivanje i procjenjivanje učinkovitosti sigurnosnih mjera.
ŠTO PROPISI TRAŽE
Provjera ranjivosti i testiranjePrilog II., 5.8.Periodična provjera ranjivosti svih sustava, a vrstu i učestalost testiranja (penetracijski testovi, red teaming, purple teaming) određujete prema procjeni rizika. Obvezno na svim razinama mjera.
Ranjivosti u vlastitom softveruPrilog II., 5.7.Ako sami razvijate programska rješenja: proces otkrivanja ranjivosti u kritičnim sustavima (SAST, DAST, provjera komponenti trećih strana, interni ili vanjski penetracijski testovi). Uvjetno obvezno na srednjoj i naprednoj razini.
Sigurnost u razvojuPrilog II., 9.4.Za sustave koje sami razvijate ili održavate: pravila sigurnog razvoja i otkrivanje ranjivosti, primjerice modeliranjem prijetnji, statičkim i dinamičkim testiranjem ili penetracijskim testom gotovog sustava. Uvjetno obvezno na srednjoj i naprednoj razini.
Socijalni inženjeringPrilog II., 4.11.Testiranje socijalnog inženjeringa i simulacije phishinga za sve zaposlenike. Dobrovoljna mjera.
Program testiranjaDORA, čl. 24.Testove provode neovisni provoditelji testiranja, unutarnji ili vanjski. Sustavi koji podupiru ključne ili važne funkcije testiraju se najmanje jednom godišnje, osim kod mikropoduzeća.
Vrste testovaDORA, čl. 25.Procjene i skeniranja ranjivosti, procjene mrežne sigurnosti, pregled izvornog koda, testiranja na temelju scenarija i penetracijsko testiranje.
TLPTDORA, čl. 26.Penetracijsko testiranje vođeno prijetnjama na produkcijskim sustavima koji podupiru ključne ili važne funkcije, najmanje svake tri godine za subjekte koje odredi nadležno tijelo.
Testiranje mjeraGDPR, čl. 32.Ovisno o riziku i prema potrebi, proces za redovito testiranje, ocjenjivanje i procjenjivanje učinkovitosti tehničkih i organizacijskih mjera.
Kontrole 8.8. i 8.29.ISO/IEC 27001Upravljanje tehničkim ranjivostima te sigurnosno testiranje u razvoju i prije prihvaćanja sustava, ako su kontrole odabrane u izjavi o primjenjivosti.
UČESTALOST
Penetracijski testprema rizikuZa ključne i važne subjekte učestalost se određuje procjenom rizika, a nalazi se prate do otklanjanja (Prilog II., 5.8.).
Testovi ključnih sustavajednom godišnjeFinancijski subjekti testiraju sve sustave i aplikacije koji podupiru ključne ili važne funkcije (DORA, članak 24.).
TLPT3 godineNajmanje svake tri godine, za financijske subjekte koje odredi nadležno tijelo (DORA, članak 26.).
Testiranje mjeraredovitoGDPR ne propisuje rok, ali traži proces redovitog testiranja (članak 32.).
SURADNJA
Načini suradnje
JEDNOKRATNO
Penetracijski test
Za provjeru određenog sustava prije puštanja u rad, revizije ili na zahtjev naručitelja.
- Pisani dogovor o opsegu i pravilima testiranja
- Testiranje aplikacije, API-ja, mreže ili usluga u oblaku
- Izvještaj s nalazima po razini rizika i preporukama
- Prezentacija nalaza tehničkom timu i upravi
SVAKE GODINE
Program testiranja
Za obveznike Zakona i financijske subjekte koji testiranje planiraju prema riziku.
- Plan testiranja prema procjeni rizika i kritičnoj imovini
- Redovita provjera ranjivosti
- Penetracijski testovi ključnih sustava
- Praćenje nalaza do otklanjanja
- Izvještaj za upravu i revizora
ZAPOSLENICI
Simulacije phishinga
Za tvrtke koje žele provjeriti prepoznaju li zaposlenici napad.
- Scenariji prilagođeni vašoj tvrtki
- Rezultati po odjelima
- Edukacija nakon simulacije
- Ponavljanje i praćenje napretka
OPSEG RADA
Što testiramo
01 / 04
Aplikacije
- Web aplikacije
- API-ji
- Prijava i upravljanje sesijama
- Prava pristupa i podaci korisnika
02 / 04
Infrastruktura
- Vanjska mreža i javno izloženi servisi
- Unutarnja mreža
- Usluge u oblaku
- Konfiguracija poslužitelja i mrežne opreme
03 / 04
Ljudi
- Simulacije phishinga
- Phishing edukacija
- Sigurnosna svijest zaposlenika
- Upute zaposlenicima nakon simulacije
04 / 04
Nakon testa
- Izvještaj s ocjenom rizika
- Plan otklanjanja nalaza
- Dokazi za revizora i nadzorno tijelo
- Usluge kibernetičke sigurnosti
PITANJA
Česta pitanja o penetracijskom testiranju
Što je penetracijsko testiranje?
Kontrolirani napad na vaše sustave, uz vaše pisano dopuštenje, kojim se provjerava mogu li se ranjivosti stvarno iskoristiti i do kojih podataka ili sustava napadač može doći. Za razliku od automatiziranog skeniranja, ispitivač ručno provjerava i povezuje nalaze.
Koja je razlika između procjene ranjivosti i penetracijskog testa?
Procjena ranjivosti alatima pronalazi poznate ranjivosti i propuste u konfiguraciji na što više sustava. Penetracijski test ide dublje na dogovorenom opsegu: provjerava koje se ranjivosti mogu iskoristiti i što bi napadač time postigao. Uredba o kibernetičkoj sigurnosti provjeru ranjivosti traži od svih ključnih i važnih subjekata, a potrebu, vrstu i učestalost penetracijskog testiranja subjekt određuje procjenom rizika (mjera 5.8.).
Je li penetracijski test obvezan?
Ključni i važni subjekti moraju redovito provjeravati ranjivosti i, prema procjeni rizika, odrediti vrstu i učestalost sigurnosnog testiranja (Prilog II., mjera 5.8. Uredbe). Financijski subjekti testove provode u sklopu programa testiranja prema DORA-i. GDPR, ovisno o riziku, traži proces redovitog testiranja sigurnosnih mjera. Test često traže i naručitelji i natječaji.
Koliko često treba provoditi penetracijski test?
Prema procjeni rizika. Financijski subjekti sustave za ključne ili važne funkcije testiraju najmanje jednom godišnje. Preporučujemo test i nakon značajnih promjena sustava, prije puštanja nove aplikacije u rad i nakon većeg incidenta.
Zašto je potrebno pisano ovlaštenje?
Neovlašteni pristup računalnom sustavu kazneno je djelo (članak 266. Kaznenog zakona). Zato prije testa pisano dogovaramo opseg, sustave, vrijeme i pravila testiranja, a ovlaštenje potpisuje osoba koja smije odobriti pristup tim sustavima. Za sustave kod pružatelja usluga u oblaku ili drugih dobavljača treba poštovati i njihova pravila za testiranje.
Što dobivamo nakon testa?
Izvještaj sa sažetkom za upravu i tehničkim dijelom za vaš tim: opis svakog nalaza, dokaze, ocjenu rizika i preporuke za otklanjanje. Nalaze predstavljamo i dogovaramo redoslijed otklanjanja.
Može li test oštetiti produkcijske sustave?
Rizik postoji, zato ga unaprijed smanjujemo: dogovaramo vremenske okvire, kontakt osobe, tehnike koje se ne koriste i postupak ako sustav prestane raditi. Osjetljive sustave možemo testirati u testnom okruženju koje odgovara produkciji.
Provodite li TLPT prema DORA-i?
TLPT provode samo financijski subjekti koje odredi nadležno tijelo, a provoditelji moraju ispuniti uvjete iz članka 27. Uredbe DORA, uključujući akreditaciju ili formalni kodeks ponašanja i osiguranje od profesionalne odgovornosti. Za ostale financijske subjekte provodimo penetracijska testiranja u sklopu godišnjeg programa testiranja.
Kako počinje suradnja?
Pošaljite nam koje sustave želite testirati, gdje rade i do kada vam treba izvještaj. Nakon besplatne konzultacije šaljemo prijedlog opsega i pravila testiranja.
POVEZANO
Vodiči i povezane usluge
- Penetracijski testovi i procjena ranjivosti VODIČMetodologija, opseg, izvještaj i otklanjanje nalaza.
- Usluge kibernetičke sigurnosti USLUGAVanjski CISO, vođenje i održavanje sigurnosti, procjena rizika.
- ISO 27001 savjetovanje USLUGASustav upravljanja informacijskom sigurnošću i priprema za certifikaciju.
- NIS2 savjetovanje i usklađivanje USLUGAMjere iz Uredbe o kibernetičkoj sigurnosti za ključne i važne subjekte.
- DORA usklađenost USLUGAOkvir za IKT rizike, incidenti, testiranje i registar informacija.
- Phishing edukacija EDUKACIJAKako zaposlenici prepoznaju lažne poruke i što učiniti kad ih prime.
IZVORI
Propisi i službeni izvori
Propisi i podaci provjereni 3. studenoga 2026.
- Uredba o kibernetičkoj sigurnosti (NN 135/2024)
Prilog II.: mjere 4.11., 5.7., 5.8. i 9.4. s razinama mjera.
- Zakon o kibernetičkoj sigurnosti (NN 14/2024)
Članci 101. i 102.: prekršajne odredbe.
- Uredba (EU) 2022/2554 (DORA)
Članci 24. do 27.: program testiranja, vrste testova, TLPT i provoditelji testiranja.
- Zakon o provedbi Uredbe (EU) 2022/2554 o digitalnoj operativnoj otpornosti za financijski sektor (NN 136/2024)
Članak 19.: kazne do 3 % ukupnog prihoda i za odgovornu osobu do 15.000 €.
- Opća uredba o zaštiti podataka (EU) 2016/679
Članak 32. stavak 1. točka (d): testiranje sigurnosnih mjera.
- Kazneni zakon (pročišćeni tekst)
Članak 266.: neovlašteni pristup računalnom sustavu, razlog za pisano ovlaštenje za testiranje.
KONTAKT
Zatražite besplatnu konzultaciju
Pošaljite nam koje sustave želite testirati i do kada vam treba izvještaj. Javit ćemo se s prijedlogom opsega i pravila testiranja.
- ODGOVOR U 1 RADNOM DANU
- UGOVOR O POVJERLJIVOSTI NA ZAHTJEV
- BEZ OBVEZE