Penetrační test a trestní zákoník: § 230–232, písemné oprávnění a co v něm nesmí chybět

Penetrační test dělá v podstatě totéž co útočník – překonává bezpečnostní opatření a zkouší získat přístup. Rozdíl je v tom, že jde o činnost oprávněnou: trestný čin podle § 230 trestního zákoníku (zákon č. 40/2009 Sb.) spáchá ten, kdo „překoná bezpečnostní opatření, a tím neoprávněně získá přístup k počítačovému systému“, nebo do systému či dat neoprávněně zasáhne. Proto je základem každého testu písemné oprávnění podepsané osobou, která za systém smí rozhodovat, s přesně vymezeným rozsahem, termínem, zdrojovými adresami a kontakty. Pozor na systémy, které vám nepatří – cloudové služby, hosting, pronajatý e-shop nebo systémy partnera: tam potřebujete souhlas jejich provozovatele nebo musíte respektovat jeho pravidla pro testování. Text není právní poradenství; u složitějšího rozsahu doporučujeme konzultaci s advokátem.

Článek patří do sekce chyby a zdroje.

Co říkají § 230–232

Ustanovení	Co postihuje	Základní trestní sazba
§ 230 odst. 1	překonání bezpečnostního opatření a neoprávněný přístup k počítačovému systému	odnětí svobody až 2 roky, zákaz činnosti nebo propadnutí věci
§ 230 odst. 2	neoprávněné užití, vymazání, změna, vložení dat nebo jiný zásah	až 3 roky
§ 230 odst. 3 a násl.	kvalifikované případy (úmysl způsobit škodu, omezit funkčnost, větší škoda)	vyšší sazby
§ 231	výroba, opatření, přechovávání nástrojů nebo hesel v úmyslu, aby byly použity ke spáchání trestného činu	až 2 roky, kvalifikovaně více
§ 232	zásah do dat nebo systému z hrubé nedbalosti při porušení povinnosti (i smluvně převzaté), pokud vznikne značná škoda	až 6 měsíců, při škodě velkého rozsahu až 2 roky

Poznámky:

§ 231 vyžaduje úmysl, aby nástroj posloužil k trestnému činu. Legitimní testovací nástroje používané na základě oprávnění tímto úmyslem obvykle nejsou – i to dokládá písemné oprávnění.
§ 232 je důležitý i pro správce a poskytovatele služeb: hrubá nedbalost při porušení smluvně převzaté povinnosti, která způsobí značnou škodu, může být trestná. Proto mají smlouvy a postupy změn smysl i pro poskytovatele.

Kdo smí test povolit

Systém	Kdo dává oprávnění
Vlastní servery a síť firmy	osoba oprávněná jednat za firmu (statutární orgán nebo pověřená osoba)
Pronajatý server / hosting	vy pro svou část + respektovat podmínky poskytovatele hostingu, případně jeho souhlas
Cloudové služby (pošta, úložiště, platformy)	podle pravidel provozovatele pro penetrační testy; některé typy testů zakazují
E-shop na pronajaté platformě	provozovatel platformy
Systémy partnera nebo zákazníka	jen s jejich písemným souhlasem
Zaměstnanci (phishing, sociální inženýrství)	vedení firmy; zvažte i pracovněprávní a GDPR aspekty

Modelová situace (smyšlená): firma objedná test „všeho, co je na naší doméně“. Na doméně ale běží i rezervační systém dodavatele na jeho serverech. Tester bez jeho souhlasu testuje cizí systém – riziko pro testera i objednatele. Prevence: v oprávnění vyjmenovat konkrétní IP adresy a adresy aplikací a ověřit vlastnictví.

Co má obsahovat písemné oprávnění

Strany – objednatel (kdo za něj podepisuje a na základě čeho), tester (firma a jména testerů).
Rozsah – konkrétní IP adresy, rozsahy, domény, aplikace, role; výslovně co je mimo rozsah.
Typ testu – vnější / vnitřní / webová aplikace / sociální inženýrství; black box / grey box.
Povolené a zakázané techniky – např. zákaz testování odolnosti proti zahlcení (DoS), zákaz mazání dat.
Termín a časová okna – data a hodiny, kdy smí test probíhat.
Zdrojové IP adresy testera – aby je správce rozeznal a nebral jako útok.
Kontakty pro okamžité zastavení – 24/7 telefon na obou stranách.
Postup při nálezu kritické zranitelnosti nebo stop skutečného útočníka – okamžité oznámení.
Nakládání s daty – co tester smí stáhnout jako důkaz, jak ho chrání a kdy smaže; zpracovatelská smlouva podle GDPR, pokud přijde do styku s osobními údaji.
Mlčenlivost a uložení zprávy.
Souhlasy třetích stran – hosting, cloud, partneři – jako příloha.

Koordinace s poskytovatelem MDR

Pokud máte MDR nebo SOC, informujte je předem – jinak test vyvolá poplach a možná izolaci strojů. Současně je test dobrou zkouškou: zda MDR test zachytí. Někdy se proto informuje jen vedoucí poskytovatele, ne analytici (tzv. test detekce) – i to musí být v oprávnění popsáno.

Souvislost s povinnostmi a cenou

Vyhláška č. 409/2025 Sb. vyžaduje u režimu vyšších povinností skenování zranitelností alespoň jednou ročně a penetrační testování z vnitřní i vnější sítě alespoň jednou za 2 roky, s evidencí termínu a konkrétních testerů (§ 24 odst. 4 a 5). I zákon č. 264/2025 Sb. u činností NÚKIB a Národního CERT počítá s penetračními testy „se souhlasem toho, kdo je testováním dotčen“ – souhlas je tedy klíčový i z pohledu zákonodárce. Cenu a rozsah testu rozebírá článek cena penetračního testu. Související: GDPR a hlášení incidentů, dodavatelé regulovaných firem.

Phishingové testy zaměstnanců

Simulovaná phishingová kampaň je užitečná, ale zasahuje do pracovního vztahu a do osobních údajů zaměstnanců. Doporučení:

oprávnění dává vedení firmy a test je popsán v interním pravidle,
výsledky vyhodnocujte souhrnně (kolik procent kliklo), ne jako podklad k postihu jednotlivců,
neshromažďujte skutečná hesla – testovací stránka má zaznamenat jen to, že se uživatel pokusil přihlásit,
pokud tester zpracovává e-mailové adresy a jména, potřebujete zpracovatelskou smlouvu,
po kampani nabídněte krátké školení – cílem je naučit, ne nachytat,
nenapodobujte skutečné třetí strany (banku, úřad) způsobem, který by mohl vyvolat škodu nebo zmatek mimo firmu.

U testu fyzického přístupu (vstup do budovy) mějte s sebou podepsané oprávnění a kontakt na odpovědnou osobu – pro případ, že testera zastaví ostraha nebo policie.

Časté otázky

Stačí oprávnění e-mailem?

Prakticky lze, ale doporučuje se podepsaný dokument (i elektronicky) s přílohou rozsahu. E-mail „klidně to otestujte“ bez rozsahu a podpisu oprávněné osoby je slabý důkaz.

Může zaměstnanec IT sám otestovat firemní systémy?

Jen pokud má od zaměstnavatele výslovné oprávnění k testování v daném rozsahu. Bez něj může jít o neoprávněný přístup, i když je zaměstnanec.

Co když tester při testu najde stopy skutečného útoku?

Má test přerušit a okamžitě vás informovat podle oprávnění. Pak jde o incident – postupujte podle plánu reakce a případně hlaste NÚKIB, Národnímu CERT nebo ÚOOÚ.

Zdroje

Zákony pro lidi – zákon č. 40/2009 Sb., trestní zákoník, § 230–232
e-Sbírka – úplné znění trestního zákoníku a vyhlášky č. 409/2025 Sb.
Národní úřad pro kybernetickou a informační bezpečnost – doporučení k testování
Policie České republiky – oznámení trestného činu