--- title: "Testy penetracyjne dla projektów UE | Pentest ISO 27001" canonical: https://mkmlabs.pl/testy-penetracyjne/ last_modified: 2026-11-12 language: pl-PL --- # Testy penetracyjne dla projektów unijnych > Pentesty dla projektów z dofinansowaniem UE i KPO od 10 000 zł netto. Od analizy umowy po raport CVSS i retest. Zgodnie z ISO 27001, firma z ISO 9001. MKM Labs wykonuje testy penetracyjne (pentesty) aplikacji webowych, API, aplikacji mobilnych i infrastruktury w projektach finansowanych z Funduszy Europejskich i KPO. Prowadzimy cały proces od A do Z: od analizy umowy o dofinansowanie i regulaminu naboru, przez testy i raport z oceną CVSS, po retest i dokumenty do odbioru systemu. Testy realizujemy zgodnie z wymaganiami ISO/IEC 27001, a firma działa w certyfikowanym systemie zarządzania jakością ISO 9001:2015. [Zamów wycenę pentestu](https://mkmlabs.pl/kontakt/) Zobacz, co dostajecie Zgodność **ISO/IEC 27001** Certyfikat jakości **ISO 9001:2015** Zakres **od A do Z z retestem** Cena **od 10 000 zł netto** ## Kiedy projekt z dofinansowaniem potrzebuje pentestu Projekty cyfrowe z Funduszy Europejskich na Rozwój Cyfrowy (FERC), Funduszy Europejskich dla Nowoczesnej Gospodarki (FENG), Krajowego Planu Odbudowy (KPO) i regionalnych programów Funduszy Europejskich kończą się systemem, który trzeba odebrać, utrzymać i obronić podczas kontroli. Raport z testów penetracyjnych dokumentuje, jak system wypadł w testach bezpieczeństwa w uzgodnionym zakresie, i trafia do dokumentacji projektu. **Wymóg z umowy lub regulaminu naboru.** Zanim zaproponujemy zakres, czytamy Waszą umowę o dofinansowanie, wniosek i regulamin. Testujemy to, czego wymaga projekt. **Odbiór systemu od wykonawcy.** Pentest przed podpisaniem protokołu odbioru pokazuje, jakie podatności ma dostarczony system, zanim zapłacicie ostatnią transzę. **Kontrola i trwałość projektu.** Raport i retest dokumentują należytą staranność na wypadek kontroli instytucji pośredniczącej i w okresie trwałości projektu. **Dane osobowe i RODO.** E-usługi przetwarzają dane klientów lub mieszkańców, a art. 32 RODO wymaga regularnego testowania skuteczności zabezpieczeń. Pentest to praktyczny sposób, żeby to wykazać. ## Co testujemy Zakres dopasowujemy do systemu, który powstał w projekcie: od pojedynczego portalu e-usług po platformę z aplikacją mobilną, API i integracjami. Łączymy testy automatyczne z ręczną analizą, bo najgroźniejsze błędy w logice biznesowej i uprawnieniach znajduje człowiek, nie skaner. ### Aplikacje webowe i portale e-usług Uwierzytelnianie, autoryzacja i sesje, logika biznesowa, formularze i przesyłanie plików. Pokrycie OWASP Top 10 i metodyki OWASP WSTG. ### API i integracje REST i GraphQL, tokeny, dostęp do cudzych danych między kontami, integracje z systemami zewnętrznymi. Według OWASP API Security Top 10. ### Aplikacje mobilne Android i iOS według OWASP MASTG i MASVS: przechowywanie danych na urządzeniu, komunikacja z serwerem i backend aplikacji. ### Infrastruktura Usługi wystawione do internetu, konfiguracja serwerów i TLS, panele administracyjne, a przy testach wewnętrznych także segmentacja sieci. ### Retest po poprawkach Po naprawach sprawdzamy ponownie każdą zgłoszoną podatność i wydajemy raport z retestu, który pokazuje stan systemu po poprawkach. ### Usunięcie podatności Jesteśmy software housem. Jeśli wykonawca systemu nie może poprawić błędów, poprawki może przygotować nasz zespół deweloperski. ## Jak prowadzimy pentest krok po kroku Bierzemy na siebie cały proces, łącznie z dokumentami. Po Waszej stronie zostaje dostęp do systemu, kontakt techniczny i decyzja o poprawkach. 1. **Analiza dokumentów projektu** Przeglądamy umowę o dofinansowanie, wniosek, regulamin naboru i specyfikację systemu. Ustalamy, czego oczekuje instytucja i co trzeba przetestować. 2. **Zakres, harmonogram i upoważnienie** Spisujemy zakres testów, zasady, okno czasowe i kontakty awaryjne. Podpisujemy umowę o poufności i pisemne upoważnienie do testów. 3. **Testy penetracyjne** Testy w modelu black box, grey box lub white box, zależnie od wymagań. Preferujemy środowisko testowe odpowiadające produkcji. 4. **Raport z oceną CVSS** Każda podatność z dowodem, oceną krytyczności CVSS, opisem ryzyka i rekomendacją naprawy. Wyniki omawiamy z Wami i z wykonawcą. 5. **Poprawki i retest** Wykonawca lub nasz zespół usuwa podatności, a my sprawdzamy każdą z nich ponownie i wydajemy raport z retestu. 6. **Dokumenty do projektu** Raport końcowy, raport z retestu i oświadczenie o przeprowadzeniu testów, gotowe do dołączenia do protokołu odbioru i dokumentacji projektu. ## Zgodnie z ISO/IEC 27001 i uznanymi metodykami ISO/IEC 27001 to norma systemu zarządzania bezpieczeństwem informacji, a nie instrukcja wykonania pentestu. Dlatego testy planujemy i dokumentujemy pod zabezpieczenia z załącznika A normy ISO/IEC 27001:2022, a technicznie wykonujemy je według otwartych, uznanych metodyk. Raport możecie wykorzystać jako dowód w swoim systemie zarządzania bezpieczeństwem informacji. **ISO/IEC 27001:2022, A.8.8** Zarządzanie podatnościami technicznymi: wykrycie podatności, ocena ryzyka i plan ich usunięcia. **ISO/IEC 27001:2022, A.8.29** Testy bezpieczeństwa w procesie wytwarzania i odbioru systemu, czyli dokładnie moment, w którym kończy się projekt. **OWASP WSTG, ASVS i MASTG** Metodyki testów aplikacji webowych i mobilnych. OWASP ASVS służy jako lista wymagań, które weryfikujemy. **PTES, NIST SP 800-115 i CVSS** Fazy testu od rozpoznania po raport oraz jednolita skala krytyczności podatności. ## Co dostajecie po pentescie Dokumenty piszemy tak, żeby zrozumiał je zarząd, zespół techniczny i opiekun projektu w instytucji. Nie oddajemy surowego wyniku ze skanera. Dla zarządu i instytucji **Raport zarządczy** Poziom ryzyka, najważniejsze wnioski i rekomendacje w prostym języku. Dla zespołu technicznego **Raport techniczny** Każda podatność: opis, dowód, ocena CVSS, wpływ na system i konkretna rekomendacja naprawy. Do dokumentacji projektu **Retest i oświadczenie** Raport z retestu i oświadczenie o przeprowadzeniu testów do protokołu odbioru. ## Wycena i zapytanie ofertowe Testy penetracyjne kosztują **od 10 000 zł netto**. Ostateczna cena zależy od liczby aplikacji, ról użytkowników, punktów końcowych API i adresów IP. Dokładną wycenę przygotowujemy po krótkiej rozmowie i przeglądzie zakresu. Jeśli zamówienie w projekcie podlega zasadzie konkurencyjności, odpowiadamy na zapytanie ofertowe opublikowane w Bazie Konkurencyjności i przygotowujemy ofertę zgodną z jego wymaganiami. O tym, czy koszt pentestu jest kwalifikowalny, decydują umowa o dofinansowanie i regulamin naboru. Pomożemy to sprawdzić, ale nie składamy obietnic w imieniu instytucji. ## Jeden partner od dokumentów po retest ### ISO 9001:2015 nr 17489 Pracujemy w certyfikowanym systemie zarządzania jakością (QS Zürich AG), według udokumentowanych procedur. Audyt recertyfikacyjny z 15.07.2026 zakończył się wynikiem zero niezgodności. [Zobacz certyfikat](https://mkmlabs.pl/certyfikaty/). ### Budujemy to, co testujemy Sami projektujemy i wdrażamy [aplikacje webowe](https://mkmlabs.pl/dedykowane-oprogramowanie-dla-firm/), systemy CRM/ERP i aplikacje mobilne. Wiemy, gdzie powstają błędy, i umiemy je naprawić. ### Bez przerzucania między firmami Analiza dokumentów, testy, raport, poprawki i retest u jednego partnera. Jeden kontakt przez cały projekt. ## FAQ Osiem pytań o obowiązek pentestu, koszty kwalifikowalne, ISO 27001, cenę, czas, bezpieczeństwo testów i zapytania ofertowe. Obowiązek testów penetracyjnych w projekcie z dofinansowaniem UE nie wynika z jednego przepisu, tylko z dokumentów konkretnego projektu: umowy o dofinansowanie, regulaminu naboru, wniosku albo specyfikacji systemu. W projektach e-usług i systemów, które przetwarzają dane osobowe, pentest jest też praktycznym sposobem spełnienia art. 32 RODO, który wymaga regularnego testowania skuteczności zabezpieczeń. Przed wyceną sprawdzamy, czego wymagają Wasze dokumenty. O tym, czy koszt pentestu jest kwalifikowalny, decydują umowa o dofinansowanie, regulamin naboru i budżet zatwierdzony we wniosku. W wielu projektach cyfrowych usługi bezpieczeństwa można ująć w budżecie, ale nie jest to regułą. Pomagamy to sprawdzić w dokumentach, nie składamy jednak obietnic w imieniu instytucji pośredniczącej. MKM Labs posiada certyfikat ISO 9001:2015 nr 17489 wydany przez QS Zürich AG, czyli certyfikowany system zarządzania jakością. Normę ISO/IEC 27001:2022 stosujemy jako ramę testów: planujemy i dokumentujemy je pod zabezpieczenia z załącznika A, przede wszystkim A.8.8 (zarządzanie podatnościami technicznymi) i A.8.29 (testy bezpieczeństwa w wytwarzaniu i odbiorze). Raport możecie wykorzystać jako dowód w swoim systemie zarządzania bezpieczeństwem informacji. Testy penetracyjne w MKM Labs kosztują od 10 000 zł netto. Ostateczna cena zależy od zakresu: liczby aplikacji i ról użytkowników, liczby punktów końcowych API, aplikacji mobilnych i adresów IP infrastruktury. Dokładną wycenę przygotowujemy po krótkiej rozmowie i przeglądzie zakresu, a przy zasadzie konkurencyjności w formie oferty na zapytanie ofertowe. Czas testów penetracyjnych zależy od wielkości systemu i ustalamy go razem z zakresem. Harmonogram dopasowujemy do terminu odbioru lub rozliczenia projektu. Najlepiej zgłosić się z wyprzedzeniem, żeby przed odbiorem zostało miejsce na poprawki i retest. Ryzyko ograniczamy ustaleniami przed startem: testy prowadzimy w uzgodnionym oknie czasowym, z kontaktem awaryjnym po obu stronach, a testów przeciążeniowych nie wykonujemy bez Waszej wyraźnej zgody. Jeśli to możliwe, testujemy na środowisku testowym, które odpowiada produkcji. Tak. Jeśli zamówienie pentestu w Waszym projekcie podlega zasadzie konkurencyjności, odpowiadamy na zapytanie ofertowe opublikowane w Bazie Konkurencyjności i przygotowujemy ofertę zgodną z jego wymaganiami. Możemy też wcześniej omówić zakres, żeby opis przedmiotu zamówienia był kompletny. Każdą podatność opisujemy z dowodem, oceną CVSS i rekomendacją naprawy, a wyniki omawiamy z Wami i z wykonawcą systemu. Podatności usuwa wykonawca albo nasz zespół deweloperski. Po poprawkach wykonujemy retest i wydajemy raport, który pokazuje stan systemu po naprawach. --- **Źródło:** https://mkmlabs.pl/testy-penetracyjne/