Retest po penetračním testu: kdy je povinný a co ověří

Retest znamená, že tester po opravách zopakuje útoky z penetračního testu a řekne, jestli každá oprava drží. Pokud vaše služba spadá do režimu vyšších povinností podle zákona č. 264/2025 Sb., retest dělat musíte: § 24 odst. 6 vyhlášky č. 409/2025 Sb. ukládá znovu otestovat každý nález ze skenu zranitelností i z penetračního testu. Ostatním firmám ho zákon nenařizuje. Chtít ho ale mají i tak, protože bez něj víte jen to, že jste něco změnili, ne že je zranitelnost zavřená.

Co retest ověřuje a co ne

Tester se vrátí ke každému nálezu z původní zprávy a zopakuje stejný postup, kterým ho předtím zneužil. U každého nálezu pak napíše jedno ze tří slov: opraveno, opraveno jen částečně, neopraveno. Americký průvodce NIST SP 800-115 k tomu říká, že tým opravu potvrdí jen tehdy, když provede zrcadlovou kopii původního testu.

Retest není nový penetrační test. Nehledá další zranitelnosti v celé aplikaci a rozsah nemění. Odpovídá na jedinou otázku: zabrala oprava, nebo ne? Jak vypadá celý test od dohody o rozsahu po zprávu, popisuje článek o průběhu penetračního testu.

Co říká zákon

Zákon č. 264/2025 Sb. platí od 4. srpna 2025 a účinný je od 1. listopadu 2025. Poskytovatele regulovaných služeb dělí do dvou režimů a každý má vlastní vyhlášku. Co musíte s testem udělat, se mezi nimi liší hodně.

Vyhláška 409/2025 Sb. dovoluje v odůvodněných případech rozdělit penetrační test na části, pak ale musí být celý rozsah hotový nejpozději do 5 let. U každého testu firma eviduje termín a jména lidí, kteří ho provedli. Zákon sám popisuje penetrační test jako hledání zranitelností simulovaným útokem a dává úřadu NÚKIB možnost ho nařídit.

Do kterého režimu patříte, určuje podle § 8 zákona velikost, počet uživatelů a význam služby. Kdo je pod zákonem, ukazuje stránka o NIS2 . Pokud pod něj nespadáte, o retestu nerozhoduje zákon, ale smlouva s dodavatelem.

Proč opravy selhávají

Oprava, která vypadá správně, často útok jen zamaskuje. Typický příklad je SQL injection. Vývojář vstup „ošetří“ ručním escapem a útok z testu přestane procházet. OWASP ale ruční escape výslovně označuje za silně nedoporučený a píše, že záleží na dialektu SQL a na tom, jak je databáze nastavená. Správná oprava je parametrizovaný dotaz. Tester při retestu zkusí útok znovu a jinak zapsaný, a ruční escape ho nezastaví.

Druhý důvod je prostý: oprava se mohla pokazit, když ji někdo nasadil. NIST radí změnu nejdřív vyzkoušet na testovacím systému a dodává, že to riziko nepříznivé reakce systému výrazně snižuje, ale nevylučuje. Oprava, která přežije test, se na produkci může chovat jinak. Retest běží proti systému, který opravdu používáte.

Třetí důvod je organizační. Nález má v ruce vývojář, který potvrdí, že změnil kód. Neověří ale, že útok už neprojde. „Hotovo“ a „nefunguje“ jsou dvě různé věci.

Jak retest probíhá krok za krokem

1. Domluvte ho při objednávce. Zeptejte se, kolik kol retestu smlouva zahrnuje, v jaké lhůtě po opravách proběhne a co se stane, když některá oprava neprojde.
2. Rozdělte nálezy. U každého určete vlastníka a termín. Nález, který opravit nechcete nebo nemůžete, zapište jako přijaté riziko i s důvodem. Vyhláška 409/2025 Sb. výslovně chce, aby firma výsledky penetračních testů vzala v úvahu při řízení rizik.
3. Opravujte přes změnový proces. NIST upozorňuje, že správci chtějí opravovat hned a čekají, že tester systém okamžitě přezkouší. I tak se mají držet vlastních pravidel pro změny.
4. Napište testerovi, co přesně se změnilo. Nemusí pak hádat, kde hledat, a retest je kratší.
5. Tester zopakuje útoky. Použije stejný postup jako v původním testu.
6. Dostanete výsledek ke každému nálezu a doplněnou zprávu. Uložte ji k té původní. U regulovaných služeb poslouží jako doklad, že jste nález uzavřeli.

Co udělat ve firmě o dvaceti lidech

Vezměte firmu, kde opravy dělá jeden správce nebo externí dodavatel IT a bezpečnostní tým nikdo nemá. Postup je krátký.

• Z původní zprávy si udělejte tabulku: nález, jak je vážný, kdo opravuje, do kdy, stav.
• Začněte nejvážnějšími nálezy a retest si domluvte pro celou dávku oprav, ne po jednom nálezu. Dodavatel dostane jednu zprávu o změnách a vy jeden výsledek.
• Ptejte se, jestli je oprava na produkci, ne jen v repozitáři nebo na testovacím prostředí.
• Chtějte od dodavatele výsledek ke každému nálezu zvlášť, ne obecné „vše v pořádku“.

Cena retestu se liší podle počtu nálezů a rozsahu. Co ovlivňuje cenu testu jako celku, rozebírá článek o ceně penetračního testu. Retest má být uvedený ve smlouvě předem. Na vlastní stránce o penetračních testech Lumenax uvádí, že retest je v ceně a po opravách ověří, že jsou nálezy skutečně vyřešené.

Chyby, které se opakují

• Retest se zamění za sken. Vyhláška 409/2025 Sb. sken zranitelností a penetrační test rozlišuje jako dvě činnosti. Sken nezopakuje konkrétní útok z vašeho testu.
• Oprava jde ven bez změnového procesu, protože se spěchá. NIST na tuhle situaci výslovně upozorňuje.
• Zpráva z retestu se neuloží. Za rok o ní nikdo neví a při kontrole nemáte co ukázat.
• Nález se potichu zavře. Kdo ho nechce opravit, má ho zapsat jako přijaté riziko, ne ho nechat zmizet ze seznamu.
• Retest se neobjedná vůbec. Zpráva zůstane seznamem nálezů, u kterých nikdo neví, jak dopadly.

Jak se na test připravit, aby nálezů vyšlo méně, shrnuje článek o přípravě na penetrační test.

Zdroje

• Zákon č. 264/2025 Sb., znění účinné od 1. 11. 2025: https://www.zakonyprolidi.cz/cs/2025-264
• Vyhláška č. 409/2025 Sb., účinná od 1. 11. 2025: https://www.zakonyprolidi.cz/cs/2025-409
• Vyhláška č. 410/2025 Sb., účinná od 1. 11. 2025: https://www.zakonyprolidi.cz/cs/2025-410
• NIST Special Publication 800-115, Technical Guide to Information Security Testing and Assessment, září 2008, oddíly 7 a 8.3: https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-115.pdf
• OWASP Cheat Sheet Series, SQL Injection Prevention Cheat Sheet, zobrazeno 25. 10. 2026: https://cheatsheetseries.owasp.org/cheatsheets/SQL_Injection_Prevention_Cheat_Sheet.html
• Lumenax, Penetrační testy, zobrazeno 25. 10. 2026: https://www.lumenax.cz/penetracni-testy