Cenu penetračního testu určuje počet dní práce testera, ne typ ani značka. Britský úřad NCSC píše, že rozsah testu se obvykle udává v člověkodnech. Jeden veřejný dokument to ukazuje: CESNET nabídl Západočeské univerzitě 30 člověkodnů hloubkových testů za základní cenu 720 000 Kč, tedy 24 000 Kč za den, a po slevě pro člena 480 000 Kč bez DPH. Český rozhlas odhadl hodnotu zakázky na test svých internetových služeb na 500 000 Kč bez DPH za 24 měsíců. To jsou čísla velkých institucí. Obecný ceník, který by se dal ověřit, jsme nenašli, a proto ho tu nenajdete.
- Cenu určuje počet člověkodnů testera, ne typ ani značka (NCSC).
- Veřejná nabídka CESNETu: 30 člověkodnů za základní cenu 720 000 Kč, tedy 24 000 Kč za den.
- Na obecný ceník se spolehnout nedá, porovnávejte dny, jména testerů a retest, ne celkovou částku.
- Nabídka na pár hodin práce je spíš sken než penetrační test.
Za co platíte: za dny, ne za výsledek
NCSC chce, aby z přípravy vznikl dokument s hranicemi testu, druhy testů a odhadem času a práce, obvykle v člověkodnech. Průvodce PCI SSC dodává, že test může trvat dny i týdny podle rozsahu a velikosti prostředí a může se prodloužit, když tester narazí na další systémy. Změna rozsahu za běhu podle NCSC pravděpodobně změní lhůty i cenu, nebo se vynechaná část zapíše jako limit testu.
Lumenax na své stránce uvádí, že menší web obvykle zabere 3 až 5 dní testování, větší systémy déle, a že cenu po krátké dohodě o rozsahu dostanete jako pevnou částku předem. Ceník tam není a nemáme ho ani my.
Co ukazují veřejné nabídky a výzvy
| Zdroj | Co se kupuje | Cena |
|---|---|---|
| CESNET pro Západočeskou univerzitu, nabídka 2022/23 | Hloubkové penetrační testy, 30 člověkodnů | Základ 720 000 Kč, po slevě o třetinu pro člena 480 000 Kč bez DPH (580 800 Kč s DPH) |
| CESNET pro Univerzitu Palackého, nabídka platí do 31. 12. 2025 | Hloubkové penetrační testy, rozsah v nabídce uvedený není | Základ 360 000 Kč, po slevě o třetinu 240 000 Kč bez DPH (290 400 Kč s DPH) |
| Český rozhlas, výzva č. j. MR48_2024 | Test internetových služeb a digitálních produktů, rámcová dohoda na 24 měsíců | Předpokládaná hodnota 500 000 Kč bez DPH |
Čtěte je opatrně. Nabídky CESNETu míří na veřejné instituce a obsahují slevu pro členy CESNETu, rozsah ve dnech uvádí jen první z nich. Číslo Českého rozhlasu je odhad zadavatele, ne zaplacená cena. Z pár dokumentů se tržní cena nepozná. Ukazují ale řád: u těchto institucí stovky tisíc korun. Přepočet na váš případ je jednoduchý: počet dní ze zadání krát sazba z nabídky, plus 21 % DPH, které nabídky CESNETu přičítají.
Z čeho se počet dní skládá
- Rozsah. Kolik webů, API, adres a serverů se testuje. Lumenax uvádí jako faktory počet aplikací a hloubku testu.
- Odkud a s čím. Zvenku, zevnitř, nebo obojí (článek o webu a interní síti). Podle PCI SSC může black box vyjít na víc času, peněz a práce než grey nebo white box (článek o typech testů).
- Zvláštní systémy. NCSC radí uvést neobvyklé systémy už při poptávce, aby dodavatel věděl, jaké lidi potřebuje.
- Kde se testuje. Podle PCI SSC test na produkci v pracovní době prodlužuje snaha o to, aby se nic nerozbilo. Oddělené prostředí shodné s produkcí test urychlí.
- Skrytý test. NIST ho označuje za časově náročný a drahý, protože se tester musí skrývat. Otevřený je levnější.
- Retest. Zda je v ceně a kolikrát. Lumenax uvádí, že retest oprav je u něj v ceně. U jiného dodavatele to zjistěte ve smlouvě (článek o retestu).
Když je nabídka podezřele levná
Průvodce PCI SSC srovnává dvě věci. Sken zranitelností běží typicky sekundy až minuty na jeden počítač a dělají ho automatické nástroje. Penetrační test je ruční práce, která může skener využít, trvá dny nebo týdny a končí popisem každé ověřené zranitelnosti včetně toho, jak a jak daleko se dá zneužít. NIST k tomu poznamenává, že ruční hledání najde nové nebo nenápadné zranitelnosti, které skener přehlédne, ale je mnohem pomalejší.
Nabídka na pár hodin práce tedy popisuje spíš sken než test. Sken má smysl a vyhláška č. 409/2025 Sb. ho v režimu vyšších povinností chce alespoň jednou ročně, ale penetrační test to není. Ptejte se proto, kolik dní a čí.
Jak porovnat dvě nabídky
- Dny. Kolik člověkodnů nabídka počítá a na co přesně. Stejné zadání dejte dvěma nebo třem dodavatelům.
- Lidé. Kdo test provede. Vyhláška č. 409/2025 Sb. chce v režimu vyšších povinností evidovat jména fyzických osob, které test dělaly, takže jména se dají chtít předem. Český rozhlas ve své výzvě požadoval 3 testery s praxí alespoň 5 let a 3 podobné zakázky po alespoň 200 000 Kč. PCI SSC k tomu píše, že certifikace nejsou povinné a samy o sobě nestačí: ptejte se na roky praxe, počet podobných zakázek a práci s vašimi technologiemi.
- Výstup. Zpráva s ověřenými nálezy, riziky a návodem k opravě (NCSC). Ne strojový seznam.
- Retest a změny. Zda je v ceně, a co se stane, když se rozsah za běhu změní.
- Mimořádně nízká cena. Český rozhlas ve výzvě po takové nabídce chtěl písemné zdůvodnění. Můžete se zeptat stejně.
Co udělat ve firmě o dvaceti lidech
Máte e-shop a interní síť. Sepište, co přesně chcete otestovat, a rozdělte to na dvě části: co je vidět z internetu, a co leží uvnitř (viz článek o přípravě). Požádejte o ceny dvě tři firmy a vyžádejte si u každé počet člověkodnů a jména testerů. Porovnejte dny, ne celkovou částku. Pak počítejte s opakováním: vyhláška 409/2025 Sb. chce test v režimu vyšších povinností alespoň jednou za 2 roky, PCI DSS pro platební karty alespoň jednou za 12 měsíců. Jednorázový výdaj to tedy nebude. Co se děje po startu, popisuje článek o průběhu testu.
Chyby, které se opakují
- Porovnává se jen celková částka. Dvě stejné částky mohou znamenat 5 a 10 dní.
- Zadání je vágní. Změna rozsahu za běhu podle NCSC mění čas i cenu.
- Retest se neřeší do podpisu. Pak se řeší, kdo ho zaplatí.
- Cena se bere jako důkaz kvality. NCSC píše, že kvalita testu úzce souvisí se schopnostmi testerů, ne s tím, kolik stál.
Časté otázky
Dá se cena snížit?
Zúžením rozsahu. Cena sleduje dny práce a NCSC píše, že změna rozsahu mění čas i cenu. Můžete začít u systému, kde je riziko největší. Kratší test zároveň ukáže jen tu část, kterou jste do rozsahu dali.
Je cena uvedená s DPH?
Ověřte to v nabídce. Veřejné nabídky CESNETu uvádějí cenu bez DPH a samostatně DPH 21 %.
Proplatí penetrační test pojišťovna nebo dotace?
Zdroje, které jsme otevřeli, to neřeší, a proto to netvrdíme. Zeptejte se přímo pojišťovny nebo poskytovatele dotace, co uznávají.
Je penetrační test jednorázový náklad?
Ne. Vyhláška 409/2025 Sb. chce test v režimu vyšších povinností alespoň jednou za 2 roky. PCI DSS chce test alespoň jednou za 12 měsíců a po významné změně. NIST píše, že kvůli ceně může stačit roční test.
Je retest v ceně testu?
U Lumenaxu ano, jak uvádí jeho stránka o penetračních testech. U jiného dodavatele to zjistěte ve smlouvě. PCI SSC dodává, že když oprava trvá dlouho, může být potřeba nový test.
Zdroje
- CESNET, Předběžná nabídka penetračních testů pro Západočeskou univerzitu v Plzni 2022/23, do 31. 12. 2023: https://smlouvy.gov.cz/smlouva/soubor/24459747/PRILOHA_9815_0009_22.doc
- CESNET, Nabídka penetračních testů pro Univerzitu Palackého v Olomouci, do 31. 12. 2025: https://smlouvy.gov.cz/smlouva/soubor/41391477/UPOL_-_penetracni_testy_2025_%281%29_Redig.pdf
- Český rozhlas, Výzva k podání nabídky č. j. MR48_2024, Penetrační testování internetových služeb a digitálních produktů: https://profily.proebiz.com/tender/4893/attachments/download/37072
- NCSC, Penetration testing, zveřejněno 8. 8. 2017, přezkoumáno 10. 1. 2022: https://www.ncsc.gov.uk/guidance/penetration-testing
- PCI SSC, Information Supplement: Penetration Testing Guidance, verze 1.1, září 2017, oddíly 2.1, 2.3.4, 3 a 4.3.2: https://listings.pcisecuritystandards.org/documents/Penetration-Testing-Guidance-v1_1.pdf
- NIST Special Publication 800-115, září 2008, oddíly 2.4.2, 5.2.1 a 5.2.2: https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-115.pdf
- Vyhláška č. 409/2025 Sb., § 24 odst. 5, účinná od 1. 11. 2025: https://www.zakonyprolidi.cz/cs/2025-409
- PCI DSS v4.0, SAQ D for Merchants, duben 2022, požadavky 11.4.2 a 11.4.3: https://listings.pcisecuritystandards.org/documents/PCI-DSS-v4-0-SAQ-D-Merchant.pdf
- Lumenax, Penetrační testy, zobrazeno 25. 10. 2026: https://www.lumenax.cz/penetracni-testy
Jak se připravit na penetrační test: pravidla, souhlasy a podklady
Retest po penetračním testu: kdy je povinný a co ověří
Black box, grey box, white box: jak vybrat typ penetračního testu
