Ali je penetracijski test obvezen po ZInfV-1 (NIS2)?

Po imenu ne. Zakon o informacijski varnosti (ZInfV-1) (Uradni list RS, št. 40/25), s katerim je Slovenija prenesla Direktivo (EU) 2022/2555 (NIS 2), ne vsebuje ne besede »penetracijski« ne izraza »vdorni test« (stanje na dan 12. novembra 2026). Kdor trdi, da zakon tak test predpisuje, se ne more sklicevati na noben člen.

Odgovor pa se tu ne konča. Zakon zahteva, da zavezanci ukrepe preverjajo, da znajo njihovo izvajanje dokazati in da obvladujejo tehnične ranljivosti. Penetracijski test (tudi vdorni test ali pentest) je uveljavljen način, kako tak dokaz pridobiti – ni pa edini in ni predpisan.

Kaj ZInfV-1 zahteva

Na preverjanje ukrepov se nanašajo štiri določbe.

Politika za presojo učinkovitosti (21. člen)

Varnostna dokumentacija mora po 8. točki prvega odstavka 21. člena vsebovati »politiko s postopki za presojo učinkovitosti varnostnih ukrepov za obvladovanje tveganj za informacijsko in kibernetsko varnost, vključno z določitvijo kazalnikov učinkovitosti in izvedeno analizo zbranih podatkov«. Kako boste učinkovitost merili, torej zapišete sami – metode zakon ne predpiše.

Ukrepi, pri katerih test pomaga (drugi odstavek 22. člena)

Med najmanj 17 področji ukrepov so tri, ki jih je brez tehničnega preverjanja težko dokazati:

• 12. točka: »varnostne mehanizme v posamezni aplikativni programski opremi za izvajanje dejavnosti, vključno z varnostjo pri pridobivanju, razvoju in vzdrževanju omrežnih in informacijskih sistemov ter obravnavanjem in razkrivanjem ranljivosti«;
• 13. točka: »upravljanje in preprečevanje izrab tehničnih ranljivosti«;
• 14. točka: »zaščito pred zlonamerno programsko kodo ter način zaznavanja poskusov vdorov in preprečevanja incidentov«.

Preverjanje najmanj enkrat letno (peti odstavek 22. člena)

»Bistveni ali pomembni subjekti morajo najmanj enkrat letno ali v rednih obdobjih, ki jih opredelijo v politiki in postopkih za presojo učinkovitosti ukrepov za obvladovanje tveganj za kibernetsko varnost, in ob zaznanih ranljivostih preverjati izpolnjevanje varnostnih ukrepov iz drugega odstavka tega člena. V primeru ugotovljenega pomanjkljivega ali neustreznega izvajanja varnostnih ukrepov morajo nemudoma sprejeti vse potrebne, ustrezne in sorazmerne popravne ukrepe.«

Zakon določi ritem in posledico (popravne ukrepe), ne pa načina preverjanja in ne izvajalca. Preverjanje zajema vse ukrepe iz drugega odstavka, tudi organizacijske; penetracijski test pokrije njihov tehnični del.

Preverljivost (trinajsti odstavek 22. člena)

Ukrepi morajo biti med drugim »preverljivi tako, da se na zahtevo pristojnega organa lahko predložijo dokazila o njihovi izvedbi«. Datirano poročilo o testu z obsegom, ugotovitvami in potrjeno odpravo je dokazilo te vrste.

Kaj lahko pregleda inšpektor

Nadzor izvajajo inšpektorji za informacijsko varnost pri Uradu Vlade Republike Slovenije za informacijsko varnost (URSIV). Po 7. točki petega odstavka 45. člena smejo »pregledati poročila o izvedbi revizije informacijskih sistemov ter izvedbi varnostnih pregledov omrežja in informacijskih sistemov«. Poročilo o varnostnem pregledu ali penetracijskem testu je torej listina, po kateri inšpektor lahko vpraša.

Preverja lahko tudi sam. Zakon pozna inšpekcijski varnostni pregled: postopek, v katerem inšpektor »izvede identifikacijo in oceno morebitnih ranljivosti v omrežnih in informacijskih sistemih ter preizkus učinkovitosti varnostnih ukrepov oziroma mehanizmov in izpostavljenosti kibernetskim grožnjam« (5. člen, 11. točka). To je postopek organa, ne storitev na trgu. URSIV v odgovorih na pogosta vprašanja pojasnjuje, da inšpektor praviloma najprej pregleda varnostno dokumentacijo, nato pa preveri, kako se ukrepi dejansko izvajajo.

Zakaj penetracijski test ni revizija skladnosti

Od testiranja je treba ločiti 25. člen. Bistveni subjekti »morajo oceno skladnosti izvajati najmanj enkrat na dve leti ali v primeru pojava pomembnega incidenta«, in sicer kot revizijo skladnosti ali v okviru notranje revizije; pomembni subjekti v enakem ritmu izvedejo samooceno skladnosti. Revizijo skladnosti lahko po ugotovljeni kršitvi odredi tudi inšpektor, stroške pa praviloma krije zavezanec (46. in 47. člen).

Penetracijski test preverja, ali sistemi zdržijo napad. Revizija skladnosti preverja skladnost s predpisi s področja informacijske varnosti – celoto, ne le tehnike. Prvo je lahko gradivo za drugo, nadomestiti ga ne more. Revizijo skladnosti po 25. členu ZInfV-1 lahko izvede le revizor informacijskih sistemov, vpisan v register Slovenskega inštituta za revizijo; Haxoris te revizije ne izvaja. Kar lahko damo, so tehnični dokazi, ki jih zavezanec in njegov revizor uporabita pri svojem delu. Več v članku o pripravi na revizijo skladnosti po ZInfV-1.

Kaj svetujejo dokumenti URSIV

Dokumenti URSIV niso zakon, kažejo pa, kaj pristojni organ šteje za običajno prakso.

• Vzorčna politika za presojo učinkovitosti (različica 1.0, november 2025) med primeri kazalnikov navaja število priporočil za odpravo kritičnih ranljivosti iz varnostnih testov in v oklepaju pojasni, kaj šteje mednje: »varnostni pregledi in vdorni testi«. Učinkovitost naj se presoja »najmanj enkrat letno, po večjih spremembah … ali v primeru pojava pomembnih incidentov«.
• Vzorčni načrt varnostnih ukrepov (različica 1.0, november 2025) pri razvoju programske opreme predvideva analizo kode »ter, kjer je primerno, vdorno testiranje pred uvedbo v produkcijsko okolje«.
• Priporočila za upravljanje tveganj dobavnih verig (avgust 2026) v vzorčnem vprašalniku za dobavitelje sprašujejo: »Ali izvajate redne varnostne preglede in vdorne teste? Kdaj je bil zadnji in kdo ga je izvedel?«

Vsi trije dokumenti so pripomoček. Vzorčna politika sama opozarja, da oznaka »obvezni« pri kazalnikih ne pomeni, »da gre za neposredno zakonsko obveznost«, priporočila pa, da dokument »ni predpis«. Pravilno je torej reči, da vzorčna dokumentacija URSIV vdorne teste navaja kot primer – ne, da jih URSIV zahteva.

Kje je testiranje predpisano ali izrecno imenovano

Digitalni ponudniki: Izvedbena uredba (EU) 2024/2690

Uredba se neposredno uporablja za ponudnike storitev DNS, registre TLD imen, ponudnike storitev računalništva v oblaku, podatkovnih centrov in omrežij za dostavo vsebin, ponudnike upravljanih storitev in upravljanih varnostnih storitev, ponudnike spletnih tržnic, spletnih iskalnikov in platform za storitve družbenega mreženja ter ponudnike storitev zaupanja; ZInfV-1 nanjo napotuje v šestem odstavku 22. člena. Točka 6.5 priloge z naslovom »Varnostno testiranje« določa: »Zadevni subjekti vzpostavijo, izvajajo in uporabljajo politiko in postopke za varnostno testiranje.« Potrebo, obseg, pogostost in vrsto testov določijo na podlagi ocene tveganja. Penetracijske teste uredba omenja le v uvodni izjavi 15, kot eno od možnosti: varnostni testi »lahko vključujejo avtomatizirane ali ročne teste, penetracijske teste, pregledovanje ranljivosti, statične in dinamične varnostne teste za aplikacije, konfiguracijske teste in revizije varnosti«. Varnostno testiranje po dokumentirani politiki je zanje torej zavezujoče pravo EU; penetracijskega testa in intervala uredba ne predpisuje.

Finančni subjekti: uredba DORA

Za banke in infrastrukturo finančnega trga se IV. in IX. poglavje ZInfV-1 ne uporabljata (3. člen); zanje velja Uredba (EU) 2022/2554 (DORA). Finančni subjekti, ki niso mikropodjetja, po 24. členu »vsaj enkrat letno zagotovijo, da se ustrezno testirajo vsi sistemi in aplikacije IKT, ki podpirajo kritične ali pomembne funkcije«. Na seznamu ustreznih testov v 25. členu sta tudi »ocene in pregledi ranljivosti« in »penetracijsko testiranje«. Penetracijsko testiranje na podlagi analize groženj (TLPT) iz 26. člena morajo izvajati le subjekti, ki jih določijo pristojni organi, in sicer vsaj vsaka tri leta; naloge v zvezi z njim v Sloveniji izvaja URSIV (Uredba, Uradni list RS, št. 25/25). Haxoris TLPT ne izvaja. Naše delo sodi med teste iz 25. člena, ki jih finančni subjekt vključi v lasten program testiranja.

Kartični podatki: PCI DSS

PCI DSS ni zakon, temveč varnostni standard kartične industrije. Zahteva redne zunanje in notranje penetracijske teste okolja, v katerem so podatki o imetnikih kartic.

Certificirani sistemi: ISO/IEC 27001

Standard je prostovoljen in penetracijskega testa po imenu ne omenja. Kontrola 8.8 iz Dodatka A zahteva upravljanje tehničnih ranljivosti, kontrola 8.29 varnostno testiranje pri razvoju in prevzemu. Več v članku o tem, ali ISO 27001 zadošča za NIS2 in ZInfV-1.

Dobavitelji: pogodbe in vprašalniki

Zavezanec mora po 10. točki drugega odstavka 22. člena ključnim dobaviteljem določiti minimalne varnostne zahteve, po četrtem odstavku pa lahko preverja, kako jih izvajajo. Podjetje, ki samo ni zavezanec, lahko tako dobi vprašalnik z vprašanjem o zadnjem vdornem testu – in pogodbo, ki ga k testu zaveže, čeprav ga zakon ne. Več v članku ZInfV-1 in dobavitelji.

Pregled po predpisih

Roki in globe

• Samoregistracija. Subjekti, ki so merila izpolnjevali ob uveljavitvi zakona, so prvo registracijo pri URSIV morali opraviti do 19. decembra 2025 (60. člen); sicer velja rok 30 dni od izpolnitve meril (8. člen).
• Ukrepi. Rok za sprejetje ukrepov iz 21. in 22. člena je 19. december 2026 (62. člen).
• Globe. Za kršitev 21. ali 22. člena, tudi petega in trinajstega odstavka 22. člena, se pravna oseba, ki je bistveni subjekt, kaznuje z globo »od 0,5 odstotka do 2 odstotka skupnega letnega prometa pravne osebe, doseženega v preteklem poslovnem letu, vendar ne manj kot 10.000 eurov in ne več kot 10.000.000 eurov« (52. člen), pravna oseba, ki je pomembni subjekt, pa z globo »od 0,3 odstotka do 1,4 odstotka skupnega letnega prometa pravne osebe, doseženega v preteklem poslovnem letu, vendar ne manj kot 7.000 eurov in ne več kot 7.000.000 eurov« (53. člen). Odgovorna oseba se kaznuje z globo od 1.000 do 10.000 evrov oziroma od 1.000 do 7.000 evrov.

Kaj pripraviti za inšpektorja in revizorja

Oblike poročila zakon ne predpisuje; dokazilo mora na zahtevo pokazati, da je bil ukrep izveden in preverjen (trinajsti odstavek 22. člena, 45. člen). Naslednjih pet sestavin je naše priporočilo, ne zakonska zahteva.

1. Obseg. Kateri sistemi so bili testirani, kdaj in po kateri metodologiji.
2. Pisno pooblastilo naročnika. 221. člen Kazenskega zakonika (KZ-1) se začne z besedami »Kdor neupravičeno vstopi ali vdre v informacijski sistem …«. Test od tega dejanja loči pisno pooblastilo tistega, ki ga je upravičen dati.
3. Poročilo. Ugotovitve z dokazi in stopnjo resnosti, priporočila za odpravo, povzetek za vodstvo.
4. Odprava. Kdo je za posamezno ugotovitev odgovoren in do kdaj; peti odstavek 22. člena zahteva popravne ukrepe »nemudoma«.
5. Ponovno testiranje (retest). Pisna potrditev, katere ugotovitve so odpravljene.

Tako sestavljamo dokumentacijo pri penetracijskih testih za NIS2 in ZInfV-1.

Kako pogosto je smiselno testirati

Pogostosti penetracijskih testov zakon ne določa; določa le ritem preverjanja ukrepov. Vzorčna politika URSIV dodaja večje spremembe in pomembne incidente.

Naše priporočilo, ločeno od zakona:

• penetracijski test ključnih sistemov – zlasti tistih, ki so dostopni z interneta ali podpirajo regulirane storitve – enkrat letno in po vsaki večji spremembi sistema ali arhitekture;
• pregled ranljivosti med testi, da nove ranljivosti zaznate sproti;
• ponovni test po odpravi ugotovitev.

Vrstni red naj določi analiza tveganj, ne koledar. Razliko med pristopoma pojasnjujemo v članku o pregledu ranljivosti in penetracijskem testu.

Penetracijski test in ZInfV-1 – pogosta vprašanja

Povezane storitve: penetracijski testi za NIS2 in ZInfV-1 · penetracijski testi spletnih aplikacij in infrastrukture · pregled ranljivosti sistemov in aplikacij · varnostni pregled informacijskega sistema