Koliko stane penetracijski test v Sloveniji?

Na vprašanje, koliko stane penetracijski test (tudi vdorni test ali pentest), večina izvajalcev odgovori: »Odvisno.« To drži, a pri načrtovanju proračuna ne pomaga. Zato odgovor razstavimo: v čem se meri delo, kaj oceno zviša ali zniža, koliko časa test traja in zakaj se dve ponudbi za isti sistem lahko razlikujeta za polovico.

Najprej številka. Pri Haxorisu osnovni penetracijski test spletne aplikacije stane od približno 2.000 € naprej, tipičen projekt pa obsega 5 do 15 delovnih dni. Cen drugih izvajalcev ne navajamo. Povemo svoje izhodišče in pojasnimo, kako nastane ponudba, da boste znali oceniti svoj obseg in pošteno primerjati ponudbe.

Članek je napisan za podjetja v Sloveniji. Na koncu zato odgovorimo še na tri domača vprašanja: kaj o testu pravi ZInfV-1, kako je z vavčerjem za kibernetsko varnost in kakšen račun izstavi izvajalec s sedežem v drugi državi EU.

Zakaj je »cena na aplikacijo« napačno vprašanje?

»Aplikacija« ni enota dela. Z isto besedo opišemo spletno stran s kontaktnim obrazcem in portal s tremi vrstami uporabniških računov, plačili, nalaganjem datotek in štiridesetimi končnimi točkami API. Prva je majhen projekt, drugi je nekajkrat večji – in tudi pri njem se je treba odločiti, česa ne bomo testirali.

Izvajalec, ki pove ceno na aplikacijo, še preden pozna obseg, je storil eno od dvojega: vračunal je rezervo za najslabši primer ali pa je izhajal iz najugodnejšega in bo obseg krčil med delom. Oboje se konča enako – s pogovorom o aneksu sredi projekta.

Vprašanje, ki prinese primerljive odgovore, se glasi drugače: koliko delovnih dni zahteva moj obseg in kaj natančno ta obseg zajema.

Enota je delovni dan

Delovni dan je dan dela enega penetracijskega testerja; v ponudbah ga boste srečali tudi kot človek-dan. V tej enoti se delo načrtuje in obračuna; samo z njo lahko dve ponudbi postavite drugo ob drugo. Cena penetracijskega testa je zmnožek dveh števil: delovnih dni, ki jih zahteva obseg, in dnevne postavke izvajalca.

Pri nas tipičen projekt obsega 5 do 15 delovnih dni. Večja omrežja, okolja v oblaku in obsegi z več sistemi zahtevajo več dni in zato stanejo več. Fiksno ceno pripravimo po kratkem pogovoru o obsegu; kaj za te dni dobite, opisujemo na strani penetracijski testi.

Kaj vpliva na ceno penetracijskega testa?

Vloge in pravice

Pri spletnih aplikacijah je to največja posamezna postavka. Avtorizacijo je treba preveriti za vsako vlogo posebej in nato še navzkrižno: ali uporabnik pride do podatkov drugega uporabnika, ali navaden račun doseže skrbniške funkcije. Pri treh vlogah je to že šest smeri dostopa. V povpraševanju zato navedite število vlog in za vsako pripravite testni račun.

Končne točke API in funkcije

Pri vmesnikih API enota ni zaslon, temveč končna točka (endpoint): vsaka ima svoje metode, parametre in pravila avtorizacije. Tu lahko oceno znižate, ne da bi krčili obseg – priložite dokumentacijo. Specifikacija OpenAPI ali zbirka Postman prihrani ure, ki bi sicer šle za ugibanje, katere končne točke sploh obstajajo.

Gostitelji in naslovi IP

Pri infrastrukturi šteje število delujočih gostiteljev in izpostavljenih storitev, ne velikost naslovnega prostora. Omrežje /24 z dvanajstimi strežniki pomeni manj dela kot šestdeset gostiteljev na treh lokacijah. Poleg seznama naslovov IP navedite, kaj na njih teče: domenski krmilnik, poštni strežnik in industrijski sistem zahtevajo vsak svojo mero previdnosti.

Black box, grey box ali white box

Tu intuicija najpogosteje zavede: manj ko tester o sistemu ve na začetku, več dela zahteva enaka pokritost. Pri testiranju black box začne brez informacij in del časa porabi za njihovo zbiranje. Testiranje grey box – z uporabniškimi računi in osnovnim opisom sistema – je najpogostejša izbira. Testiranje white box z dostopom do izvorne kode da največ ugotovitev na delovni dan. Razlike pojasnjujemo v članku kaj je penetracijski test.

Produkcijsko ali testno okolje

Test na produkciji zahteva previdnost, ta pa čas: časovna okna zunaj prometnih konic, usklajevanje z ekipo, ki sistem vzdržuje, in izključitev nekaterih tehnik. Testno okolje večino teh omejitev odpravi – če je res kopija produkcije. Test okolja, ki produkciji ne ustreza, je cenejši in brez vrednosti.

Delež ročnega dela

Tu se ponudbe najbolj razhajajo. Skener sistem pregleda samodejno in izpiše, kar ima v svoji zbirki: je hiter, poceni in najde znane ranljivosti. Logike aplikacije pa ne razume – ne bo opazil, da račun A vidi naročila računa B, ker ne ve, da jih ne bi smel. Ročni test izvaja človek, ki to logiko razume in jo namerno poskuša zaobiti. Zahteva nekajkrat več dela, zato stane več. Če je ena ponudba občutno cenejša od drugih, najprej vprašajte, kolikšen je delež ročnega dela.

Zahteve za poročilo

Poročilo je izdelek, ne stranski proizvod. Naše ima povzetek za vodstvo in tehnični del z dokazi. Dodatno delo nastane, če potrebujete posebno obliko: povezavo ugotovitev z zahtevami standarda ali predpisa, predlogo, ki jo predpiše vaša stranka, ali ločena poročila za več sistemov. To povejte že v povpraševanju.

Ponovni test

Po odpravi ranljivosti je treba preveriti, ali popravki delujejo. Ponovno testiranje (retest) ni ponovitev celotnega testa – preveri samo mesta, kjer so bile ugotovljene ranljivosti. Pri nas je ponovni test po odpravi ranljivosti brezplačen. Pri drugih ponudbah preverite, ali je vključen: brez njega vam ostane dokumentirana težava namesto dokumentirane rešitve.

Kar cene ne spremeni

Velikost podjetja. Testiramo sistem, ne bilance. Majhno podjetje z zahtevnim portalom plača več kot veliko podjetje s preprosto spletno stranjo.

Število najdenih ranljivosti. Plačate delo, ne rezultata. Izvajalec, plačan po ugotovitvi, ima razlog, da stopnjo resnosti napihuje.

Razlog za test. Zahteva stranke, standard ali zakon ne spremenijo števila delovnih dni – več spodaj.

Koliko časa traja penetracijski test?

Tipičen projekt obsega 5 do 15 delovnih dni. To je obseg dela; koledarsko projekt traja dlje, ker ima tri dele:

1. Priprava – obseg, pravila izvedbe testa, izključitve, testni računi in dostopi. Večina tega dela je na strani naročnika.
2. Testiranje – v dogovorjenem časovnem oknu.
3. Poročilo – nastane po testiranju, ne med njim.

Ponovni test sledi pozneje, ko ranljivosti odpravite. Če poročilo potrebujete do določenega datuma, na primer zaradi razpisa ali zahteve stranke, pogovor o obsegu začnite pravočasno; datum začetka in datum oddaje poročila naj bosta zapisana v ponudbi.

Kaj napisati v povpraševanje

Ponudba brez obsega je ugibanje, primerjava dveh ugibanj pa ne pove ničesar. Naročniki zato pogosto vprašajo: »Katere informacije potrebujete za pripravo ponudbe?« Potrebujemo:

• seznam ciljev: domene, naslovi IP, imena aplikacij, mobilne različice
• število vlog in testni računi za vsako
• število končnih točk API in dokumentacija (OpenAPI, zbirka Postman)
• način testiranja: black box, grey box ali white box, z informacijo o dostopu do izvorne kode
• okolje: produkcija ali testna kopija, časovna okna, tehnike, ki jih izključujete
• sistemi tretjih oseb v obsegu (gostovanje, oblak, SaaS), ker imajo ponudniki za testiranje pogosto svoja pravila
• zahteve za poročilo: oblika, jezik, morebitna povezava ugotovitev z zahtevami standarda ali predpisa
• želeni rok in kontaktna oseba za tehnična vprašanja

Na povpraševanje s temi podatki dobite ponudbe, ki jih je mogoče primerjati. Če vseh podatkov nimate, jih zberemo skupaj v kratkem pogovoru o obsegu.

Kako primerjati dve ponudbi

Če sta na mizi dve ponudbi in je ena za polovico cenejša, skoraj zagotovo ne kupujete iste stvari. Pet vprašanj to razjasni:

1. Koliko delovnih dni? Če ponudba tega števila nima, ni česa primerjati.
2. Kolikšen je delež ročnega dela? Vprašajte naravnost.
3. Po kateri metodologiji in do katere ravni? Sam OWASP Top 10 pomeni drugačno pokritost kot OWASP ASVS na ravni 2 – metodologije testiranja globino opišejo preverljivo.
4. Kdo bo testiral in katere certifikate ima? Kako preveriti izvajalca, pišemo v članku etični heker: kako izbrati izvajalca penetracijskega testa.
5. Je ponovni test vključen in do kdaj ga lahko izkoristite? Če ni, ga prištejte.

Ponudba z dvema delovnima dnevoma za aplikacijo s petimi vlogami ni prihranek. Je drug obseg, opisan z istim stavkom.

Kdaj je cenejša storitev prava izbira?

Pošten odgovor je, da penetracijskega testa včasih ne potrebujete. Če želite redno spremljati znane ranljivosti na velikem številu sistemov, je prava izbira pregled ranljivosti, ki ga naročniki poznajo tudi kot sistemski varnostni pregled. Temelji na avtomatiziranem skeniranju, katerega rezultate strokovnjak preveri in razvrsti po prioriteti, zato je cenejši in ga je smiselno ponavljati.

Ne odgovori pa na vprašanje, kako daleč bi prišel napadalec, ki ranljivosti poveže med seboj – to pokaže šele penetracijski test. Razliko podrobneje opisujemo v članku pregled ranljivosti ali penetracijski test. Najdražji test je tisti, ki ste ga naročili za napačno vprašanje.

Ali penetracijski test zaradi skladnosti stane več?

Sam test ne. Ceno določa obseg, ne razlog, zaradi katerega test naročate.

ZInfV-1 (Uradni list RS, št. 40/25) penetracijskega testa ne omenja in ne predpisuje ne njegove pogostosti ne cene (stanje na dan 12. novembra 2026). Od bistvenih in pomembnih subjektov zahteva nekaj drugega: da najmanj enkrat letno ali v rednih obdobjih, ki jih opredelijo sami, in ob zaznanih ranljivostih preverjajo izpolnjevanje varnostnih ukrepov (peti odstavek 22. člena). Kako in s kom to preverijo, zakon ne določa. Penetracijski test je uveljavljen način, da to preverjanje podprejo s tehničnimi dokazi – več v članku ali je penetracijski test obvezen po ZInfV-1.

Spremeni se lahko oblika dokaza. Če mora poročilo ugotovitve povezati z zahtevami (pri standardu ISO/IEC 27001 na primer s kontrolo 8.8 o upravljanju tehničnih ranljivosti), je to delo pri poročilu, ne pri testu. Več na straneh penetracijski testi za NIS2 in ZInfV-1 in penetracijski testi za ISO 27001.

Penetracijski test tudi ni revizija skladnosti. Revizijo skladnosti po 25. členu ZInfV-1 lahko izvede le revizor informacijskih sistemov, vpisan v register Slovenskega inštituta za revizijo; Haxoris te revizije ne izvaja. Poročilo o testu je tehnični dokaz, ki ga lahko uporabite vi in vaš revizor.

Vavčer za kibernetsko varnost in račun

Vavčer. Haxoris ni vpisan v Katalog strokovnjakov DIH Slovenije, zato naših storitev z vavčerjem za kibernetsko varnost Slovenskega podjetniškega sklada ni mogoče sofinancirati. Na dan 12. novembra 2026 tudi ni bil odprt noben poziv za ta vavčer.

Račun. Haxoris OÜ je podjetje s sedežem v Estoniji, torej v EU, zato slovenskim zavezancem za DDV račun izstavimo po pravilu obrnjene davčne obveznosti – DDV obračunate sami.

Fiksno ceno pripravimo po kratkem pogovoru o obsegu: dogovorite se za brezplačen posvet.

Cena penetracijskega testa – pogosta vprašanja

Povezane storitve: penetracijski testi spletnih aplikacij in infrastrukture · penetracijski testi spletnih aplikacij in vmesnikov API · penetracijski testi omrežja in infrastrukture · pregled ranljivosti sistemov in aplikacij