Revizija skladnosti po ZInfV-1: kdo jo izvede in kako se pripraviti

Kibernetski napadi so vse pogostejša grožnja, zato morajo organizacije redno preverjati, kako dobro so zaščitene. Za zavezance po Zakonu o informacijski varnosti (ZInfV-1) (Uradni list RS, št. 40/25) ima to preverjanje tudi predpisano obliko: bistveni subjekti morajo najmanj enkrat na dve leti izvesti oceno skladnosti – kot revizijo skladnosti, ki jo opravi revizor informacijskih sistemov, ali v okviru notranje revizije. Revizor pri tem preveri, ali imate uvedene zahtevane varnostne ukrepe in ali izpolnjujete predpise. Dokumenti in politike na papirju pa niso dovolj – pomembno je pokazati tudi, kako odporni so vaši sistemi v resnici. Tu nastopi penetracijski test (tudi vdorni test ali pentest), torej nadzorovan napad etičnih hekerjev na vaše lastne sisteme. V članku pojasnimo, kaj revizija skladnosti obsega in kdo jo izvede, zakaj so rezultati penetracijskih testov pomembni za njen nemoten potek ter kako kakovostno testiranje, kakršno izvajamo pri Haxorisu, olajša delo revizorjem in pomaga podjetjem izboljšati varnost. Članek je namenjen predvsem vodjem IT, svetovalcem za kibernetsko varnost in lastnikom podjetij, zato je napisan razumljivo tudi za tiste, ki na tem področju niso strokovnjaki.

Najprej razjasnimo vloge. Revizijo skladnosti po 25. členu ZInfV-1 lahko izvede le revizor informacijskih sistemov, vpisan v register Slovenskega inštituta za revizijo; Haxoris te revizije ne izvaja. Naše delo je tehnična priprava nanjo: penetracijski test, pregled ranljivosti in varnostni pregled informacijskega sistema dajo tehnične dokaze, ki jih lahko uporabite vi in vaš revizor.

Kaj je revizija skladnosti po ZInfV-1 in kaj obsega

Revizija skladnosti je sistematično preverjanje, ali organizacija izpolnjuje predpisane varnostne zahteve in izvaja ukrepe za zaščito svojih informacijskih sistemov. V Sloveniji jo ureja 25. člen ZInfV-1. Bistveni subjekti morajo oceno skladnosti izvajati najmanj enkrat na dve leti ali ob pojavu pomembnega incidenta, in sicer kot revizijo skladnosti s predpisi s področja informacijske varnosti ali v okviru notranje revizije. Revizijo skladnosti izvede revizor informacijskih sistemov. Po 48. točki 5. člena ZInfV-1 je to preizkušeni revizor informacijskih sistemov (PRIS), ki je strokovni naziv pridobil pri Slovenskem inštitutu za revizijo in je vpisan v njegov register aktivnih preizkušenih revizorjev informacijskih sistemov.

Pomembni subjekti izvedejo samooceno skladnosti, prav tako najmanj enkrat na dve leti ali ob pojavu pomembnega incidenta: dokumentirano preverijo, ali ravnajo skladno s svojo varnostno dokumentacijo in ali izvajajo ukrepe za obvladovanje tveganj. Revizijo skladnosti lahko odredi tudi inšpektor za informacijsko varnost, kadar pri nadzoru ugotovi kršitev (46.–49. člen ZInfV-1); tudi takšno revizijo izvede revizor informacijskih sistemov.

Revizor preveri, ali izpolnjujete zakonske obveznosti, in oceni, ali so sprejeti varnostni ukrepi – organizacijski, kadrovski in tehnični – skladni z zahtevami predpisov. Namen je tudi odkriti pomanjkljivosti v zaščiti in jih odpraviti, torej najti šibke točke, preden jih izkoristi pravi napadalec.

Revizija praviloma zajema več delov:

• Pregled dokumentacije in procesov: revizorji pregledajo vaše varnostne politike, pravila dostopa do podatkov, načrt odzivanja na incidente, načrte varnostnega kopiranja in podobno ter preverijo, ali ustrezajo zahtevam standardov oziroma zakona.


• Ocena organizacijskih in kadrovskih ukrepov: revizorji preverijo, ali so odgovornosti za varnost določene, ali se zaposleni usposabljajo, ali vodstvo varnost nadzira in podobno.


• Pregled tehničnih ukrepov: revizorji ocenijo varnost omrežij in sistemov – na primer nastavitve požarnih zidov, protivirusno zaščito, šifriranje občutljivih podatkov, upravljanje dostopnih pravic, spremljanje dnevniških zapisov in zaznavanje incidentov, pa tudi upravljanje ranljivosti, kamor spada redno testiranje ranljivosti.

Rezultat je poročilo o izvedeni oceni skladnosti, ki ga pripravi revizor informacijskih sistemov ali notranji revizor. V njem so povzete ugotovitve: področja, na katerih ste skladni, ter ugotovljene neskladnosti s priporočili za odpravo. Če poročilo vsebuje ugotovitve neskladnosti in revizorjeva priporočila za njihovo odpravo, mora bistveni subjekt po drugem odstavku 25. člena ZInfV-1 pripraviti načrt za odpravo neskladnosti ter določiti način in roke. Poročilo je koristno tudi za vodstvo, saj pokaže trenutno stanje kibernetske varnosti, pomembno pa je še za nadzor. Inšpektor za informacijsko varnost sme po 7. točki petega odstavka 45. člena ZInfV-1 »pregledati poročila o izvedbi revizije informacijskih sistemov ter izvedbi varnostnih pregledov omrežja in informacijskih sistemov«. Tudi poročilo o varnostnem pregledu ali penetracijskem testu je torej dokazilo, ki ga lahko zahteva.

Kje je v tem okviru mesto penetracijskega testa? ZInfV-1 ga ne omenja (stanje na dan 12. novembra 2026). Zahteva pa, da bistveni in pomembni subjekti izpolnjevanje varnostnih ukrepov preverjajo najmanj enkrat letno ali v rednih obdobjih, ki jih opredelijo v svoji politiki, in ob zaznanih ranljivostih (peti odstavek 22. člena). V varnostni dokumentaciji morajo imeti »politiko s postopki za presojo učinkovitosti varnostnih ukrepov za obvladovanje tveganj za informacijsko in kibernetsko varnost« (8. točka prvega odstavka 21. člena), ukrepi pa morajo biti »preverljivi tako, da se na zahtevo pristojnega organa lahko predložijo dokazila o njihovi izvedbi« (trinajsti odstavek 22. člena). Penetracijski test je uveljavljen način, kako to preverjanje izvesti in zanj pridobiti dokazila.

Kaj revizorji pričakujejo od tehničnih dokazov

Pri tehničnih dokazih o vaši kibernetski varnosti imajo revizorji visoka pričakovanja glede kakovosti in verodostojnosti. Ne želijo le »odkljukati polja«, da ste nekaj naredili – potrebujejo jasne in preverljive dokaze. Kaj to pomeni v praksi?

1. Neodvisno in aktualno testiranje: revizorji dajejo prednost tehničnim varnostnim testom (na primer penetracijskim testom), ki jih izvedejo neodvisni, usposobljeni strokovnjaki. Notranji testi vašega oddelka IT koristijo pri sprotnem delu, kot formalni dokaz v reviziji pa pogosto ne zadoščajo. Najbolje je predložiti poročilo zunanjega specializiranega izvajalca. Rezultati morajo biti tudi razmeroma sveži – test, starejši od 12 mesecev, za revizijo izgubi težo, saj se kibernetske grožnje hitro spreminjajo.


2. Kakovostna vsebina namesto surovih podatkov: tehnični rezultati ne smejo biti le neobdelani podatki iz skenerjev. Surov izpis avtomatiziranega skeniranja ranljivosti, poln tehničnih podrobnosti in brez konteksta, revizorja prej odvrne kot prepriča. Strokovnjaki opozarjajo, da poročila, ki vsebujejo le izpise skenerjev ali samodejne ugotovitve, v reviziji vzbujajo dvom – revizorji jim ne zaupajo in bodo verjetno zahtevali temeljitejše dokaze. Če pa predložite pregledno poročilo o penetracijskem testu z jasnimi ugotovitvami, pojasnjenim vplivom in potrditvijo vsake ugotovitve, bo revizor to cenil. (Razliko med avtomatiziranim skeniranjem in penetracijskim testom podrobneje opišemo v nadaljevanju.)


3. Konkretnost in poudarek na odpravi: revizorji pričakujejo tudi, da za vsako ugotovljeno težavo obstaja načrt odprave. Seznam ranljivosti ni dovolj – pomembno je, da veste, kako jih boste odpravili, in da to že počnete. Dobri tehnični dokazi zato vsebujejo priporočila za odpravo vsake ranljivosti in beležijo, kako odprava napreduje. Revizorji ne želijo videti le, da se tveganj zavedate, ampak tudi dokumentirano prizadevanje, da jih v razumnem času zmanjšate. Tako dokažete, da vaše varnostne kontrole delujejo v praksi in ne le na papirju.

Skratka, revizorji iščejo verodostojne dokaze, da vaše podjetje svojo kibernetsko odpornost dejavno in redno preverja ter odkrite pomanjkljivosti odpravlja. Dobra novica: s kakovostnimi rezultati penetracijskih testov večino teh pričakovanj izpolnite.

Zakaj je penetracijski test pomemben za uspešno revizijo

Številne varnostne ukrepe lahko uvedete sami – napišete politike, usposobite zaposlene, namestite varnostna orodja. Penetracijski test pa je poseben v tem, da v praksi preveri, ali ti ukrepi delujejo in kje ste ranljivi. To je tako, kot bi najeli »dobrega hekerja«, ki poskusi vdreti v vaše omrežje, preden to storijo pravi napadalci. Zakaj je to z vidika revizije tako pomembno?

• Preverjanje učinkovitosti ukrepov: revizija predvsem na podlagi dokumentacije in dokazil preveri, ali imate na primer požarni zid, protivirusno zaščito in varnostne kopije. Šele penetracijski test pa pokaže, ali požarni zid nevaren promet res ustavi ali pa napadalec najde drugo pot v omrežje. Preprosto povedano: penetracijski test razkrije, kako varno je vaše poslovanje v resnici, revizija pa preverja predvsem, ali znate svojo varnost formalno dokazati. Oboje se dopolnjuje – brez penetracijskega testa imate lahko lažen občutek varnosti.


• Odkrivanje resničnih ranljivosti: penetracijski test razkrije zelo konkretne šibke točke – na primer mesta v omrežju, skozi katera bi napadalec lahko vdrl, neupravičen dostop do sistemov ali uhajanje občutljivih podatkov. Na podlagi takih ugotovitev lahko obrambo okrepite takoj. Brez testa bi številne ranljivosti ostale skrite, dokler jih ne bi razkril resničen napad ali revizor med revizijo.


• Manj neprijetnih ugotovitev v reviziji: predstavljajte si, da revizor pri vas odkrije resno varnostno pomanjkljivost, za katero niste vedeli – na primer podatkovno zbirko, ki je prosto dostopna z interneta. To lahko pomeni ugotovitev neskladnosti v poročilu. Bolje je, da take vrzeli najdete in odpravite vnaprej. Penetracijski test vam daje priložnost, da napake odpravite še pred revizijo, tako da revizor naleti na zavarovane sisteme ali vsaj vidi, da odprava že poteka.


• Izpolnjevanje zahtev predpisov in standardov: nekateri standardi redno penetracijsko testiranje zahtevajo neposredno. Standard PCI DSS za plačilne sisteme na primer predpisuje redne zunanje in notranje penetracijske teste okolja s podatki o imetnikih kartic, okviri, kot sta SOC 2 in ISO/IEC 27001, pa testiranje ranljivosti poudarjajo kot del varnostnih kontrol. Če za vaše podjetje velja tak standard, penetracijski test ni le prostovoljna »dobra praksa«, ampak dejansko nuja. ZInfV-1 penetracijskega testa, kot rečeno, ne omenja, zahteva pa redno preverjanje varnostnih ukrepov – in penetracijski test je uveljavljen način, kako ga opraviti. Tudi kadar ni formalna obveznost, ostaja preverjen način za večjo varnost: naložba vanj se povrne z manjšim tveganjem za incident in bolj tekočo revizijo.


• Verodostojnost in ugled: z opravljenim penetracijskim testom dobite dokaz (poročilo), da je bila vaša varnost preverjena, kar poveča verodostojnost podjetja v očeh partnerjev, strank in revizorjev. Kot navajajo strokovni viri, podjetje z dokazilom o opravljenem testiranju postane bolj vredno zaupanja in prispeva k varnejšemu spletnemu okolju. Svetu tako pokažete, da varnost jemljete resno in da ste jo dali neodvisno preveriti.

Zaradi vsega naštetega je penetracijski test ključno orodje pri pripravi na revizijo skladnosti. Ni dodatna ovira, temveč način, da se izognete težavam in pokažete, da varnost vašega podjetja ni le formalna, ampak resnična.

Kako rezultati penetracijskega testa pomagajo revizorjem in naročnikom

Kakovosten penetracijski test, kakršnega izvajamo pri Haxorisu, prinese več pomembnih rezultatov: poročilo o testiranju, opis metodologije, seznam odkritih ranljivosti in priporočila za njihovo odpravo. Poglejmo, kako vsakega od njih uporabite vi kot naročnik in zakaj ga cenijo revizorji:

• Podrobno poročilo o testiranju: to je glavni dokument, ki povzame celoten potek in rezultate penetracijskega testa. Poročilo običajno vsebuje povzetek za vodstvo – razumljiv pregled najresnejših tveganj in njihovih posledic. Sledi tehnični del s podrobnim opisom odkritih ranljivosti. Kakovostno poročilo navede tudi uporabljeno metodologijo testiranja (na primer OWASP ali PTES), da bralec vidi, na kakšen način in kako poglobljeno je test potekal. Za revizorja je tako poročilo zelo dragoceno, saj dobi v roke zaokrožen dokaz o varnostnem testiranju. Če je poročilo pregledno, revizor v njem hitro najde odgovore na svoja vprašanja: katere ranljivosti so bile preverjene, kako resna tveganja pomenijo in kaj je podjetje naredilo, da jih odpravi. Dobro pripravljeno poročilo je revizorju prijazno – vse informacije, ki jih potrebuje, so v razumljivi strukturi. Za vas kot naročnika pa je dragocena podlaga za izboljšave – berete ga lahko kot navodilo, čemu se posvetiti pri krepitvi varnosti.


• Seznam ranljivosti z oceno tveganja: del rezultatov je pregledna tabela ali seznam odkritih ranljivosti. Vsaka ranljivost mora imeti določeno prioriteto ali oceno tveganja, da je jasno, katere ugotovitve so kritične, katere srednje in katere manj resne. Kakovostni penetracijski testi ne navedejo le splošne ocene (na primer CVSS), ampak tveganje ocenijo v konkretnem okolju vaše organizacije. Poročilo torej pojasni, kako lahko posamezna ranljivost vpliva prav na vaše sisteme in poslovanje (na primer uhajanje podatkov o strankah, finančna izguba ali izpad storitve). Revizorju tak kontekst močno olajša delo – vidi, da podjetje svoja tveganja pozna in jih razume. Vi kot naročnik pa dobite jasno sliko, katerih težav se lotiti najprej. Če poročilo nekatere ranljivosti označi kot kritične, jih je smiselno odpraviti še pred revizijo in revizorju v poročilu pokazati, da so že odpravljene.


• Priporočila in načrt odprave: sam seznam napak ne bi pomenil veliko, če ne bi vseboval tudi predlogov rešitev. Rezultati penetracijskega testa zato vedno vključujejo konkretna priporočila, kako odpraviti vsako odkrito ranljivost ali zmanjšati tveganje. Kakovostno poročilo vsebuje podrobna navodila za odpravo, razvrščena po prioriteti, da vaša ekipa IT natanko ve, kaj je treba popraviti in zakaj. Priporoči lahko na primer nadgradnjo programske opreme na določeno različico, spremembo konfiguracije strežnika, uvedbo dvofaktorske avtentikacije ali usposabljanje skrbnikov za varne nastavitve sistema. Za revizorja so taka priporočila dokaz, da pomanjkljivosti niste le odkrili, ampak imate tudi načrt, kako jih odpraviti. Vidi, da se varnosti lotevate dejavno – ne gre za enkratno odkritje težave, temveč za stalen proces izboljšav. Za vas kot naročnika so priporočila morda najdragocenejši del, saj vam jasno pokažejo, kaj storiti naprej. Številna podjetja ugotovijo, da lahko s temi nasveti v razmeroma kratkem času občutno izboljšajo varnost in na revizijo pridejo precej bolje pripravljena.


• Metodologija in obseg testa: pomembno je tudi, po kateri metodologiji je bil penetracijski test izveden. Pri Haxorisu na primer uporabljamo uveljavljene postopke in standarde – spletne aplikacije testiramo po standardu OWASP ASVS. V praksi to pomeni, da test pokrije res širok nabor možnih ranljivosti, ne le nekaj najbolj znanih. Penetracijski tester preveri različne scenarije napada, več pomanjkljivosti poveže v en vdor ter preizkusi odpornost avtentikacije, upravljanja sej, šifriranja, varnostnega kopiranja in podobno. V poročilu je metodologija običajno povzeta, da je jasno, kaj vse je bilo testirano. Revizorju to daje gotovost, da je bil test temeljit in da nič bistvenega ni ostalo spregledano. Dobra metodologija pomeni tudi, da lahko neodvisni revizor nekatere teste ponovi ali jim sledi in rezultate preveri. Podjetju pa je taka metodologija zagotovilo, da penetracijski test ni bil opravljen površno, temveč sistematično in po standardih – kar poveča verodostojnost rezultatov.

Rezultati penetracijskega testa so tako most med tehničnim svetom in revizijo. Za tehnično ekipo podjetja so vir konkretnih nalog za izboljšanje varnosti. Revizorju pokažejo, da podjetje kibernetsko varnost obvladuje – tveganja je prepoznalo in ukrepa. Dobro opravljen penetracijski test ekipe Haxoris olajša delo obema stranema: revizor hitreje pride do informacij, ki jih potrebuje, vi pa dobite dragoceno povratno informacijo in podporo pri izpolnjevanju varnostnih zahtev.

Kakovosten penetracijski test in avtomatizirano skeniranje: v čem je razlika?

Za konec si oglejmo še razliko med resnično kakovostnim penetracijskim testom in navadnim avtomatiziranim skeniranjem ranljivosti. Manj izkušeni ta pojma včasih zamenjujejo, a z vidika koristi za varnost (in za revizijo) je razlika med njima ogromna:

• Globina in ustvarjalnost namesto površinskega pregleda: avtomatiziran skener (na primer orodje za skeniranje vrat in znanih ranljivosti) sledi vnaprej določenim podpisom in testom. Odkrije očitne pomanjkljivosti (na primer znane ranljivosti brez nameščenih popravkov, odprta vrata ali šibka gesla iz slovarja), ničesar novega pa si ne more izmisliti. Izkušen penetracijski tester se dela loti ustvarjalno – išče zapletene logične napake in povezuje več ranljivosti, da pride dlje, tako kot bi to storil pravi napadalec. Kakovosten penetracijski test zato odkrije tudi ranljivosti, ki jih samo skeniranje nikoli ne bi (na primer napako v logiki poslovnega procesa, ki omogoča obhod avtentikacije, ali zaporedje manjših napak, ki omogoči dvig pravic v sistemu).


• Ročno preverjanje namesto lažnih alarmov: avtomatizirana orodja pogosto ustvarijo dolg seznam morebitnih težav, vendar vseh ni mogoče tudi zares izkoristiti. Med njimi so lažno pozitivni rezultati – stvari, ki so videti nevarne, a v resnici niso grožnja. Penetracijski tester te izpise ročno pregleda in preveri vsako ugotovitev, s čimer lažne alarme izloči. V končno poročilo tako pridejo le resnične, potrjene ranljivosti. Za podjetje je to prihranek časa (ni se vam treba ukvarjati s stotinami postavk iz skeniranja, ampak se posvetite morda desetim bistvenim ugotovitvam), za revizorja pa večja verodostojnost – poročilo je natančno in ni zasuto z balastom.


• Kontekst in prioritete namesto splošne ocene: kot smo že omenili, kakovosten penetracijski test tveganja oceni v okolju konkretnega podjetja. Ne pove le, da »ima ta ranljivost oceno CVSS 7,5«, ampak pojasni, kaj bi njena izraba pomenila za vaše poslovanje. Avtomatiziran skener vsaki ugotovitvi običajno pripiše le splošno stopnjo resnosti (visoka, srednja, nizka) po vnaprej določenih merilih, ne glede na vaše okolje. Poročilo o penetracijskem testu pa vam pove, da bi na primer ranljivost SQL injection (vrivanje SQL) v aplikaciji napadalcu omogočila dostop do celotne zbirke podatkov o strankah – kar je za vas kritična posledica. Takih resničnih scenarijev in posledic avtomatizirano orodje ne ponudi. Zato vam penetracijski test bolje pomaga določiti, čemu se posvetiti, revizorju pa pokaže, da varnost razumete v kontekstu.


• Priporočila in odprava namesto golega seznama ranljivosti: izpis skenerja je praviloma le seznam odkritih ranljivosti, morda s kratkim opisom in splošnim nasvetom, kot je »posodobite sistem«. Kakovosten penetracijski test gre dlje – ponudi konkretna priporočila po meri. Penetracijski tester vam na primer predlaga, kako natančno nastaviti glavo HTTP za zaščito pred napadom cross-site scripting (XSS) v določeni aplikaciji, kateri modul izklopiti ali katero logiko spremeniti. Dobri izvajalci (tudi Haxoris) po uvedbi popravkov pogosto ponudijo še ponovno testiranje (retest), s katerim preverijo, ali so ranljivosti res odpravljene, in poročilo posodobijo. Vsega tega avtomatizirano skeniranje ne ponudi.


• Standardi in pokritost namesto omejenega obsega: avtomatizirani skenerji večinoma preverjajo le znane ranljivosti in konfiguracije. Penetracijski tester dela po preverjenih standardih (na primer po že omenjenem OWASP ASVS), kar pomeni sistematično in globlje pokritje varnostnih področij, daleč onkraj preprostega seznama desetih najpogostejših ranljivosti. Kakovosten penetracijski test torej vaš sistem preveri po desetinah kategorij možnih pomanjkljivosti (mehanizmi avtentikacije, upravljanje sej, kriptografija, obravnava vhodnih podatkov, ločevanje omrežij in podobno), avtomatizirano skeniranje pa lahko nekatera od teh področij izpusti.

Iz napisanega je jasno, da niso vsi penetracijski testi enaki. Če opravite le hitro avtomatizirano skeniranje (ali površno izveden test), to v reviziji morda ne bo zadoščalo. Kakovosten penetracijski test, ki ga opravijo strokovnjaki, prinese precej globlje rezultate in s tem večjo vrednost – za vašo varnost in za revizijo.

Sklep: na revizijo se pripravite s penetracijskim testom

Revizije skladnosti se ni treba bati, če ste nanjo dobro pripravljeni. Kot smo pokazali, lahko penetracijski testi in njihovi rezultati k uspešni reviziji veliko prispevajo: pomagajo vnaprej odkriti in odpraviti pomanjkljivosti, revizorjem dajo prepričljive dokaze o vaši varnosti in okrepijo zaupanje, da zaščito svojih sistemov jemljete resno. Navsezadnje ne gre le za »kljukico« pri reviziji, ampak predvsem za to, da je vaše podjetje zares bolj odporno proti kibernetskim napadom.

Haxoris je izkušen izvajalec penetracijskih testov, zato vam pri tem lahko pomagamo. Naše storitve etičnega hekanja vam dajo podrobna poročila, preverjene metodologije testiranja in praktična priporočila, ki jih boste cenili vi in vaš revizor. Varnosti ne prepuščajte naključju in ne čakajte, da pomanjkljivosti odkrije šele revizor ali celo napadalec. Vložite v kakovosten penetracijski test – rezultat ne bo le bolj tekoča revizija skladnosti, ampak predvsem boljša zaščita vašega podjetja pred kibernetskimi grožnjami. In to je vrednost, ki se zagotovo izplača.

Še enkrat o vlogah, da ne bo nesporazuma. Revizijo skladnosti po 25. členu ZInfV-1 lahko izvede le revizor informacijskih sistemov, vpisan v register Slovenskega inštituta za revizijo; Haxoris te revizije ne izvaja. Opravimo tehnično delo pred njo – penetracijske teste, preglede ranljivosti in varnostne preglede. Kako se to delo povezuje z zahtevami zakona, opisujemo na strani Penetracijski testi za NIS2 in ZInfV-1.

Povezane storitve: varnostni pregled informacijskega sistema · penetracijski testi pri pripravi na certifikacijo ISO 27001