Vyhláška 409/2025 očima pentestera: co z opatření prověří test

Vyhláška č. 409/2025 Sb. stanoví bezpečnostní opatření pro poskytovatele regulované služby ve vyšším režimu. Bezpečnostní opatření jsou pravidla a nástroje, kterými se riziko drží pod kontrolou, a dělí se na organizační, tedy jak se bezpečnost řídí, a technická, tedy co je nastavené v systémech.

Rozsah platí pro vyšší režim; firmy v nižším režimu se řídí vyhláškou č. 410/2025 Sb., která ukládá méně. Který subjekt do kterého režimu patří, řeší zákon spolu s vyhláškou o regulovaných službách, a kdo spadá do vyššího režimu a co to znamená, je na samostatné stránce. Tenhle rozdíl nerozvádíme.

Úplný katalog najdete v plném znění vyhlášky č. 409/2025 Sb., tady ho opisovat nemá smysl. Užitečnější je vědět, kterou jeho část umí doložit penetrační test a kterou ne.

Penetrační test se dotýká technické části opatření a odpovídá na jednu otázku: drží to nastavení i proti někomu, kdo se ho snaží obejít. U organizačních opatření to neumí, protože ta nejsou o konfiguraci, ale o procesech. U technických oblastí ale test ukáže rozdíl mezi tím, co je na papíře, a tím, co reálně funguje.

U sítě a doménového prostředí tohle mapování dělá test infrastruktury, který opatření prokáže. Výstupem není odškrtnutý požadavek vyhlášky, ale doklad, že opatření drží proti reálnému pokusu, nebo naopak seznam míst, kde nedrží.

Velkou část vyhlášky penetrační test nedoloží, protože nejde o konfiguraci. Systém řízení bezpečnosti informací, řízení rizik, bezpečnost dodavatelského řetězce, kontinuita provozu a školení lidí jsou opatření, která se prokazují dokumentací a auditem, ne pokusem o průnik.

Školení je dobrý příklad hranice. Vyhláška ho ve vyšším režimu žádá v § 10 odst. 3 písm. d), tedy pravidelné ověřování bezpečnostního povědomí, ale to, že proběhlo, doloží prezenční listina a záznam, ne penetrační test. Test nanejvýš ukáže, jestli lidé na cvičný útok reagují, což je jiná informace než splněná povinnost školit.

Rozdíl mezi tím, co pokryje audit a co test, rozebírá samostatné heslo. Pro doložení shody s vyhláškou platí, že test a audit se nezastupují, ale doplňují: audit řekne, jestli opatření existuje, test jestli funguje.

Jedno opatření vyhláška jmenuje výslovně. V § 24 odst. 5 ukládá poskytovatelům ve vyšším režimu provádět penetrační testování pravidelně, nejméně jednou za dva roky, a k tomu před uvedením systému do provozu a při významné změně. Není to tedy jednorázová věc, ale opakovaná povinnost.

Vedle testu žádá vyhláška i skenování zranitelností, a to jsou dvě různé věci. Sken podle § 24 odst. 4 běží alespoň jednou ročně a hlídá známé chyby průběžně, test jde do hloubky a hledá i to, co sken nevidí. Kde přesně zákon rozlišuje sken a penetrační test, popisuje slovníkové srovnání. Po opravách navíc § 24 odst. 6 žádá nález znovu ověřit.

Kdy přesně se co poprvé splní a od jakého okamžiku běží lhůty, sem nepatří. Termíny drží časová osa lhůt nZKB v samostatném článku, tady jde jen o obsah opatření.

Ano, ve vyšším režimu. Vyhláška č. 409/2025 Sb. v § 24 odst. 5 ukládá provádět penetrační testování pravidelně, nejméně jednou za dva roky, a navíc před uvedením systému do provozu a při významné změně. Je to výslovná povinnost, ne doporučení, a týká se poskytovatelů regulované služby ve vyšším režimu.

Ve vyšším režimu nejméně jednou za dva roky, tak to stanoví § 24 odst. 5 vyhlášky č. 409/2025 Sb. K pravidelnému intervalu se přidávají dvě situace mimo něj: před uvedením systému do provozu a při významné změně. Skenování zranitelností se podle § 24 odst. 4 dělá častěji, alespoň jednou ročně.

Ne, jen s technickou částí opatření. Penetrační test doloží, jestli drží řízení přístupů, segmentace, ověřování, šifrování a řízení zranitelností. Systém řízení bezpečnosti, řízení rizik, dodavatelský řetězec, kontinuita provozu a školení zůstávají na auditu a na dokumentaci. Pro doložení shody s vyhláškou proto potřebujete obojí, test i audit.

Ne. Nižší režim se řídí vyhláškou č. 410/2025 Sb., která ukládá méně a penetrační testování nepředepisuje. V § 12 žádá pravidelné skenování zranitelností, samotný test v ní jako povinnost není. Vyhláška č. 409/2025 Sb. s pentestem a širším katalogem opatření platí pro vyšší režim.