Jakiej kontroli bezpieczeństwa wymaga specyfikacja: CHECK, ITHC i PTaaS

CHECK, ITHC, PTaaS, CREST i Cyber Essentials to nie pięć poziomów jednej pracy, lecz pięć różnych obiektów. Jak zrozumieć, którego z nich specyfikacja naprawdę wymaga i czy w ogóle dotyczy Państwa.

Otwierają Państwo specyfikację warunków zamówienia, znajdują w opisie przedmiotu zamówienia rozdział o bezpieczeństwie i czytają w nim pięć nazw: CHECK, ITHC, PTaaS, CREST i Cyber Essentials Plus. Obok stoją słowa „audyt bezpieczeństwa” i „test penetracyjny”, a całość napisana jest tak, jakby były to szczeble jednej i tej samej pracy — od najtańszej do najdroższej.

To nie są szczeble, lecz pięć różnych obiektów, które odpowiadają na pięć różnych pytań: kto może testować, co robi się z konkretną siecią, jak rozlicza się test, czy sam dostawca uporządkował własną infrastrukturę, i czy system spełnia normę. Oferta, która miesza dwa z nich, albo obiecuje to, czego obiecywać nie wolno, albo płaci za to, czego nie wymagano.

Ten artykuł nie sprzedaje CHECK i uczciwie trzeba to powiedzieć od razu: nie jesteśmy członkami schematu CHECK i ten tekst tego nie twierdzi. Artykuł wyjaśnia, czego specyfikacja naprawdę wymaga, żeby mogli Państwo zrozumieć, czy w ogóle Państwa dotyczy — i tylko wtedy, gdy wymaganie okazuje się zwykłą kontrolą bezpieczeństwa strony internetowej, wskazuje na nasz audyt bezpieczeństwa strony internetowej.

Cena różni się tu nie o procenty, lecz kilkukrotnie, bo oferta, która odpowiada na wymaganie Cyber Essentials, i oferta, która odpowiada na pełny test penetracyjny systemu o wielu rolach, to dwa różne budżety, a zamawiający, który składa je w jednej tabeli, porównuje to, czego porównać się nie da. Podobnie wykonawca, który odczyta wymaganie o jeden szczebel wyżej, niż jest napisane, przegrywa zamówienie ofertą całkowicie poprawną, tylko niepotrzebnie drogą.

Pięć nazw, które nie są pięcioma poziomami jednej pracy

• CHECK — schemat przedsiębiorstw brytyjskiego National Cyber Security Centre (NCSC). Określa, kto może testować systemy sektora publicznego i infrastruktury krytycznej oraz w jakiej formie sporządza się raport.
• ITHC — konkretna praca kontrolna o konkretnym zakresie, której wymaga przyłączenie do sieci administracji publicznej Wielkiej Brytanii. To zadanie, nie schemat.
• CREST — międzynarodowe stowarzyszenie branżowe z własnym statusem członkowskim i egzaminami. Nie jest synonimem CHECK, i właśnie to pomieszanie w ofertach zdarza się najczęściej.
• PTaaS — penetration testing as a service, to jest model dostawy i rozliczeń: platforma, subskrypcja, częstsze znaleziska. Nie mówi nic o tym, kto testuje i według jakiej normy.
• Cyber Essentials i Cyber Essentials Plus — certyfikacja pięciu kontroli podstawowych u samego dostawcy, a nie systemu, który jest dostarczany.

Wszystkie pięć to instrumenty brytyjskie albo międzynarodowe, i żaden z nich nie istnieje w polskich przepisach, i to jest pierwsza rzecz, którą trzeba mieć w pamięci, czytając polską specyfikację, w której któryś z nich został wpisany.

CHECK jest schematem dla przedsiębiorstw, nie metodą testu

CHECK jest schematem prowadzonym przez NCSC, do którego przyjmuje się przedsiębiorstwo, a nie metodą, którą mógłby zastosować dowolny wykonawca. Wskazówki NCSC dla nabywców przewidują, że pracę wykonuje członek schematu, że zespołem kieruje CHECK Team Leader i pracuje w nim CHECK Team Member, że te osoby mają brytyjskie poświadczenie bezpieczeństwa osobowego, i że raport sporządza się w formacie schematu, a ponadto poniżej określonego poziomu niejawności jego kopia trafia do NCSC. To znaczy, że CHECK nie jest czymś, co dałoby się „wykonać” testem dostatecznie dobrej jakości, bo przedsiębiorstwo albo jest w schemacie, albo nie jest, i żaden opis metodyki w ofercie tego faktu nie zastąpi. CHECK nie jest też ustawą: NCSC zapisuje to jako wskazówki schematu, a w przypadku sieci administracji publicznej jest to jedna z uznanych dróg, nie wymaganie przepisu.

Jeszcze ważniejsze od samej treści schematu jest to, dla kogo CHECK w ogóle jest przeznaczony, i NCSC pisze to bez uników: schemat zbudowano dla centralnej administracji państwowej, instytucji sektora publicznego i infrastruktury krytycznej. Dla systemów administracji centralnej, w których przetwarza się dane z określonym oznaczeniem i wyżej, NCSC zaleca powierzenie oceny członkowi schematu, pozostałym instytucjom sektora publicznego stanowczo to rekomenduje, ale organizacji, która nie jest ani sektorem publicznym, ani infrastrukturą krytyczną, sam NCSC odsyła do zwykłych wskazówek zamawiania, nie do CHECK. Dla prywatnej firmy, która przygotowuje ofertę dla komercyjnego zamawiającego, oznacza to, że CHECK nie jest celem, do którego należy dążyć. To wewnętrzny porządek sektora publicznego innego państwa, a wzmianka o nim w ofercie komercyjnej raczej świadczy, że nazwę przepisano, niż że praca będzie jakościowo lepsza.

ITHC jest zadaniem dla konkretnej sieci

ITHC — IT Health Check — jest tym, czego brytyjska instytucja potrzebuje, żeby przyłączyć się do sieci administracji publicznej albo przy niej pozostać. Wytyczne pomocnicze Cabinet Office z 2022 r., do których proces przyłączenia nadal się odwołuje, opisują minimalny zakres: kontrola zarówno z zewnątrz, jak i od wewnątrz, w części wewnętrznej ze skanowaniem i analizą ręczną w całym środowisku, ale w dużych środowiskach dopuszcza się badanie próbkowe, i wtedy próba nie jest mniejsza niż jedna dziesiąta. Sam proces zgodności przyłączenia wymaga z kolei, żeby złożony raport nie był starszy niż rok i nie był już użyty w poprzednim wniosku o zgodność przyłączenia. W polszczyźnie nie ma na to własnego terminu i nie warto go wymyślać przez dosłowne przeniesienie angielskiej metafory lekarskiej, która niczego nie wyjaśnia; precyzyjniej jest zachować ITHC i raz wyjaśnić, że chodzi o kontrolę bezpieczeństwa przyłącza konkretnej sieci.

Sam zakres jest opisany znacznie dokładniej, niż zwykle trafia do oferty, bo w części zewnętrznej sprawdza się usługi osiągalne z internetu (poczta, serwery WWW, zapory sieciowe), dostęp zdalny i przyłącza stron trzecich. W części wewnętrznej obok skanowania wymagana jest analiza ręczna, a także konfiguracja stacji roboczych i serwerów, stan poprawek, sieci bezprzewodowe i brama przyłącza. W dużych środowiskach wolno badać próbkę, i właśnie tam pojawia się ta dziesiąta część, która w ofertach bywa gubiona. Wynik też ma wymagania: liczba, rodzaj i waga znalezisk w zrozumiałym podsumowaniu, w miarę możliwości z bazową oceną CVSS. Te liczby są wymaganiem ITHC Cabinet Office dla konkretnej sieci — to nie jest ani norma CHECK, ani polska norma, i nie jest poprawne przenosić je na polskie zamówienie jako ogólną miarę jakości.

Trzy nazwy, które z CHECK myli się najczęściej

Pozostałe trzy nazwy pojawiają się w specyfikacjach obok CHECK tak, jakby były jego odmianami, a każda z nich w istocie odpowiada na inne pytanie: jedna o to, kto egzaminował człowieka, druga o to, jak praca jest dostarczana i opłacana, trzecia o to, czy sam dostawca uporządkował własną infrastrukturę — i właśnie te trzy rodzą większą część źle przygotowanych ofert.

CREST nie jest CHECK

To najczęstszy błąd i jednocześnie najużyteczniejsza różnica, jaką ten artykuł może powiedzieć, bo zmienia treść oferty: CREST jest stowarzyszeniem ze statusem członkowskim i egzaminami, natomiast CHECK jest schematem NCSC z własnym członkostwem i własnymi rolami. Sam CREST opisuje to jako osobną drogę — jego certyfikat może być jednym ze sposobów, w jaki człowiek wykazuje kompetencję, ale z tego automatycznie nie wynika, że przedsiębiorstwo jest członkiem CHECK. Praktyczny skutek przy porównywaniu ofert jest prosty: jeśli specyfikacja wymaga CHECK, to certyfikat CREST wymagania nie spełnia, i odwrotnie — jeśli specyfikacja wymaga CREST, to członkostwo w CHECK jest czymś więcej, niż wymagano, i najpewniej zapłacono za to za dużo.

PTaaS jest modelem rozliczeń, nie schematem

PTaaS opisuje to, jak usługa jest dostarczana i opłacana: platforma z panelem informacyjnym, subskrypcja, znaleziska, które pojawiają się stale, i ponowna kontrola po poprawkach. Opisy branżowe formułują to wprost jako model dostawy, i nie ma tam ani wymagania kwalifikacyjnego, ani instytucji, która by to zatwierdzała. Dlatego na pytanie „czy PTaaS spełnia wymaganie CHECK albo ITHC” odpowiedzią nie jest „tak” albo „nie” — to pytanie o dwa różne obiekty. Model rozliczeń po prostu nie może spełnić wymagania o to, kto może testować i według jakiej metodyki, więc jeśli w specyfikacji stoją oba, trzeba je czytać osobno: jedno mówi wymaganie kompetencji, drugie — jak praca jest organizowana w czasie.

Cyber Essentials sprawdza dostawcę, nie dostarczane

Cyber Essentials jest certyfikacją pięciu kontroli podstawowych w infrastrukturze samego dostawcy, a wersja Plus dodaje do nich kontrolę standardowymi narzędziami. Certyfikat odnawia się raz w roku, a wskazówka polityki zamówień PPN 014 wiąże to z bezpieczeństwem łańcucha dostaw. Z tego wynika granica, którą oferty przekraczają często: Cyber Essentials Plus nie jest tym testem penetracyjnym, którego specyfikacja wymagała wobec wytwarzanego systemu. To poświadczenie o komputerach i kontach samego dostawcy, więc firma może być certyfikowana Cyber Essentials Plus i dostarczyć system, który nigdy nie był testowany.

Trzy twierdzenia, którym nie należy wierzyć

Wokół tych nazw powstała warstwa twierdzeń, które przepisuje się z jednego opisu usługi do drugiego, i wszystkie trzy najczęstsze są albo nieprawdziwe, albo nieaktualne, więc warto je przeczytać obok tego, co odpowiednie źródło naprawdę mówi.

„CHECK-u wymaga prawo brytyjskie.” Żadna ustawa nie wymienia CHECK, a NCSC w swoich wskazówkach używa słów „powinno się” i „stanowczo rekomendujemy”, i także podręcznik cyfrowych usług państwowych dopuszcza poziom równoważny. Jedynym miejscem, w którym wymaganie jest twarde, są warunki przyłączenia konkretnej sieci, i tam również schemat jest jedną z kilku uznanych dróg.

„Żeby zostać członkiem CHECK, przedsiębiorstwo musi najpierw mieć akredytację CREST.” To było prawdziwe wobec starszej drogi przyjęcia i nadal powtarza się w tekstach usługodawców, ale w najnowszym standardzie schematu na poziomie przedsiębiorstwa wymagane jest coś innego. Częściowo prawdziwe pozostaje to wobec ludzi, bo egzamin CREST może być jednym z poświadczeń kompetencji pod odpowiednim tytułem zawodowym. Właśnie tę różnicę między poziomem przedsiębiorstwa a poziomem człowieka ogłoszenia przemilczają.

„Bez CHECK nie wolno testować brytyjskich systemów państwowych.” Granicę prawną wyznacza nie schemat, lecz zgoda: nieuprawniony dostęp do systemu komputerowego jest czynem zabronionym niezależnie od tego, czy tester jest w schemacie. CHECK jest polityką zamawiającego co do tego, komu powierzyć pracę, nie zastępnikiem zgody, i te dwa pytania warto trzymać osobno. Praktyczne znaczenie jest takie, że pisemna zgoda jest potrzebna zawsze, także wtedy, gdy żaden schemat i żaden przepis wprost jej nie wymagają.

Czego naprawdę wymaga polska specyfikacja zamówienia

W Polsce najpierw warto ustalić, skąd takie wymaganie w ogóle się bierze, bo odpowiedzi nie ma tam, gdzie zwykle się jej szuka: Prawo zamówień publicznych określa procedurę, jawność, równe traktowanie i to, co wchodzi w opis przedmiotu zamówienia, ale nie wymienia ani testu penetracyjnego, ani CHECK, ani ITHC, ani PTaaS. Także artykuł 134 Prawa zamówień publicznych, który wylicza treść specyfikacji warunków zamówienia, nie przewiduje konkretnego rodzaju kontroli bezpieczeństwa. To znaczy, że wymaganie bezpieczeństwa jest w specyfikacji dlatego, że zamawiający sam je napisał — zwykle dlatego, że sam ma obowiązek, który wynika skądinąd. Dlatego właściwe pytanie nie brzmi „czego wymaga prawo zamówień”, lecz „jaki obowiązek ma sam zamawiający i czy tą umową jest przekazywany Państwu”.

W Polsce ten obowiązek tworzy ustawa o krajowym systemie cyberbezpieczeństwa w brzmieniu nadanym nowelizacją, która weszła w życie 3 kwietnia 2026 roku. Właśnie artykuł 15 tej ustawy jest jedynym polskim przepisem, który cykliczną kontrolę bezpieczeństwa systemu informacyjnego nazywa z imienia: ustęp 1 wymaga od podmiotu kluczowego audytu bezpieczeństwa co najmniej raz na trzy lata — wyroku o zgodności, nie testu penetracyjnego. Ustawa testu penetracyjnego z nazwy nie wymienia w żadnym artykule; artykuł 8 wymaga testowania systemu informacyjnego oraz polityk i procedur oceny skuteczności środków technicznych i organizacyjnych, nadal nie nazywając testu penetracyjnego. Szczegółowiej o samej pracy i jej granicach jest napisane osobno w artykule o tym, czym jest test penetracyjny.

W Polsce kwalifikuje się osoby, nie członków CHECK

To ta różnica, która wyjaśnia większą część nieporozumień wokół CHECK, i jest zapisana w samej ustawie: artykuł 15 ustęp 2 określa, kto może przeprowadzić audyt z ustępu 1, i formułuje to przez osobę albo przez akredytowaną jednostkę, nie przez członkostwo w zagranicznym schemacie. Pierwsza droga to jednostka oceniająca zgodność, akredytowana w zakresie ocen bezpieczeństwa systemów informacyjnych. Druga droga to co najmniej dwóch audytorów, którzy mają certyfikaty określone w przepisach wydanych na podstawie artykułu 15 ustępu 8, albo co najmniej trzyletnią praktykę w audycie bezpieczeństwa systemów informacyjnych, albo dwuletnią praktykę i dyplom studiów podyplomowych w tym zakresie, i którzy — tak samo — nie realizują w podmiocie audytowanym zadań z artykułu 8 oraz artykułów 9–13 i nie realizowali ich w ciągu roku przed rozpoczęciem audytu.

Drugą drogę norma dzieli jednak według tego, kim jest zamawiający: podmiotowi kluczowemu wystarcza kalendarzowy obowiązek z artykułu 15 ustępu 1. Podmiot ważny, który nie ma tego kalendarzowego audytu, podlega mu dopiero wtedy, gdy organ właściwy nakaże audyt zewnętrzny po incydencie poważnym albo innym naruszeniu ustawy. Jeśli system przetwarza informacje niejawne, od zewnętrznego testera dodatkowo wymaga się poświadczenia bezpieczeństwa, i dopiero wtedy wolno mu pracę wykonać. Osobno zespoły CSIRT mogą przeprowadzić ocenę bezpieczeństwa, za zgodą podmiotu albo na zlecenie organu. Nie ma tu schematu dla firm, rejestru członkostwa ani listy akredytowanych przedsiębiorstw CHECK, do której można by przystąpić. W Polsce nie ma własnego CHECK, do którego można przystąpić, a wykaz certyfikatów przy audycie z artykułu 15 to przykłady kwalifikacji audytora, nie zamknięty katalog na test penetracyjny. Firmie, która przygotowuje ofertę do polskiej specyfikacji, oznacza to, że do wykazania jest kwalifikacja i niezależność konkretnych osób — albo status akredytowanej jednostki — a nie status firmy w CHECK.

Co z tego wpisać do oferty

Z tego, że w Polsce kwalifikuje się osobę, a nie członkostwo w CHECK, wynika także to, co w ofercie trzeba wykazać, i ogólny opis firmy tu nie pomaga; pomaga certyfikat albo opis doświadczenia konkretnego człowieka oraz oświadczenie o niezależności od wytwarzania i utrzymania tego systemu w ostatnich latach. Jeśli w zespole jest kilku testerów, warto nazwać, który z nich spełnia który warunek, bo zamawiający musi to móc sprawdzić, nie czytając między wierszami.

Warto też nie odczytywać listy przykładów jako zamkniętego wymagania, bo certyfikaty nazwane w specyfikacji są zwykle właśnie przykładami, i to znaczy, że inny międzynarodowo uznany certyfikat testów penetracyjnych spełnia wymaganie równie dobrze, a udokumentowana praktyka jest samodzielną, równoważną drogą. Oferta, która wyjaśnia to w jednym akapicie, ułatwia zamawiającemu ocenę bardziej niż stos kopii certyfikatów bez wyjaśnienia.

Audyt zgodności nie jest testem penetracyjnym także w Polsce

W ustawie o krajowym systemie cyberbezpieczeństwa obok testowania systemu stoi audyt bezpieczeństwa z artykułu 15, i to są dwie różne prace z dwiema różnymi miarami. Test penetracyjny szuka, jak daleko dochodzi napastnik; audyt zgodności sprawdza, czy system i procesy spełniają normę, a jego wynikiem jest wyrok o zgodności, nie lista technicznych słabości.

Najwyraźniej pokazują to właśnie wymagania kwalifikacyjne, które w obu przypadkach są napisane inaczej: dla wykonawcy testu penetracyjnego w specyfikacjach bywają podawane jako przykłady certyfikaty takie jak CEH i OSCP, to jest certyfikaty techniki ataku; audytowi zgodności z artykułu 15 ustęp 2 — zupełnie inne, certyfikaty zarządzania i audytu. Jeśli w specyfikacji wymagany jest jeden zestaw certyfikatów, a opisana treść drugiej pracy, to jest sprzeczność, którą warto dostrzec przed złożeniem oferty, bo zwykle znaczy, że zamawiający sam jeszcze nie rozstrzygnął, co kupuje.

W innych krajach są własne instrumenty

Polska własnego CHECK nie ma, ale kilka państw europejskich ma własne rozwiązania tego samego pytania, i jeśli czytają Państwo specyfikację w innym języku, znalezienie tam CHECK byłoby równie podejrzane jak w polskiej specyfikacji. We Francji krajowa agencja bezpieczeństwa systemów informacyjnych kwalifikuje usługodawców audytu bezpieczeństwa, i ta kwalifikacja obejmuje pięć czynności audytowych, wśród których testy penetracyjne są jedną osobną czynnością obok audytu architektury, konfiguracji, kodu źródłowego i audytu organizacyjnego. Francuska specyfikacja zwykle nazywa więc konkretną czynność, nie całą kwalifikację łącznie, i wykonawca musi odczytać, która z pięciu tam jest wymagana.

W Hiszpanii krajowy schemat bezpieczeństwa wymaga audytu bezpieczeństwa co najmniej raz na dwa lata dla systemów o wyższej kategorii, a wskazówki metodyczne osobno rozdzielają audyt techniczny, w którym zespół naprawdę działa na systemie, od audytu zgodności, który opiera się na wywiadach i dowodach. Audyt zgodności może żądać przedstawienia wcześniejszego raportu z testu penetracyjnego, ale sam takim się nie staje. W obu przypadkach wniosek jest ten sam, co w Polsce: nazwa należy do konkretnego państwa, a przeniesiona na inny rynek nic już nie znaczy.

Jeśli w specyfikacji jednak wpisano „CHECK”

Jeśli w polskiej specyfikacji pojawia się CHECK, ITHC albo Cyber Essentials, są dwa wiarygodne wyjaśnienia, i warto je rozróżnić przed pisaniem oferty. Pierwsze jest takie, że zamawiający naprawdę jest brytyjskim nabywcą albo pracuje z systemem brytyjskim, i wtedy wymaganie jest prawdziwe, dotyczy członka schematu i dla większości polskich wykonawców po prostu nie jest spełnialne. Drugie — i w praktyce częstsze — jest takie, że specyfikację przejęto z angielskiego wzoru, a jej autor nie zauważył, że skopiował instrument innego państwa.

Rozróżnić je można po pozostałej treści dokumentu: jeśli obok stoją odesłania do ustawy o krajowym systemie cyberbezpieczeństwa albo do artykułu 15, to mowa o polskim obowiązku i CHECK trafił tam przez pomyłkę. To warto zadać jako pytanie zamawiającemu w trybie wyjaśnień treści specyfikacji, a nie odgadywać w ofercie, bo odpowiedź zmienia i cenę, i to, czy w ogóle mogą Państwo przystąpić.

Co znaczy słowo „równoważny”

W wielu specyfikacjach obok nazwy schematu stoi zastrzeżenie „lub równoważny”, i to jest najważniejszy akapit w całym rozdziale o bezpieczeństwie, bo właśnie on rozstrzyga, czy mogą Państwo przystąpić. Problem w tym, że samo słowo „równoważny” w specyfikacjach rzadko bywa zdefiniowane, i dlatego znaczy różne rzeczy w zależności od tego, kto je czyta.

W praktyce znaczy to, że ciężar dowodu przechodzi na wykonawcę: muszą Państwo pokazać, w którym zakresie oferowane jest równoważne. Dlatego odpowiedzią nie jest nazwa certyfikatu, lecz porównanie według cech — kto testuje i z jaką kwalifikacją, czy znalezione podatności są wykorzystywane, jaki jest zakres, jaka jest forma raportu i czy po poprawkach następuje ponowna kontrola. Jeśli te cechy się zgadzają, równoważność da się opisać; jeśli różni się choć jedna istotna, uczciwiej jest to powiedzieć, niż mieć nadzieję, że nikt nie porówna. Brak zastrzeżenia „lub równoważny” jest z kolei równie czytelnym sygnałem w przeciwną stronę, bo specyfikacja, która wymaga jednego konkretnego zagranicznego schematu bez alternatywy, zawęża krąg wykonawców do kilku firm, i to jest pytanie, które warto zadać zamawiającemu, zanim przyjmie się, że udział nie jest możliwy.

Jak długo raport pozostaje aktualny

Terminy w specyfikacjach pojawiają się na trzy sposoby, które pochodzą z zupełnie różnych miejsc i dlatego nie są wzajemnie zastępowalne: przy przyłączeniu do sieci brytyjskiej raport nie może być starszy niż rok i nie można go użyć ponownie w następnym wniosku o zgodność przyłączenia. W Polsce artykuł 15 ustawy o krajowym systemie cyberbezpieczeństwa wymaga od podmiotu kluczowego audytu bezpieczeństwa co najmniej raz na trzy lata, licząc od podpisania poprzedniego raportu, natomiast w umowie komercyjnej termin jest po prostu taki, jaki strony zapisały, i to znaczy, że można się o niego umówić.

We wszystkich trzech przypadkach samego terminu kalendarzowego nie wystarcza, bo raport z testu penetracyjnego opisuje konkretny system w konkretnym dniu, więc po istotnej zmianie, takiej jak nowa integracja, nowy układ ról albo przebudowa przepływu płatności, raport starzeje się szybciej, niż robi to czas. Właśnie dlatego zarówno terminy przepisowe, jak i standardy branżowe obok interwału zwykle nazywają także zmianę.

W praktyce znaczy to dwie rzeczy, które w ofercie warto zapisać osobno. Po pierwsze, warto jasno powiedzieć, której wersji albo wydania systemu raport dotyczy, bo właśnie to później rozstrzyga spór o to, czy znalezisko jest nowe. Po drugie, warto osobno umówić się o ponowną kontrolę po poprawkach, bo znalezisko, które zostało poprawione, i znalezisko, o którym ktoś myśli, że zostało poprawione, różnią się.

Jak odczytać wymaganie przed przygotowaniem oferty

W praktyce wystarczą cztery pytania, zadane w określonej kolejności, bo każde następne ma sens tylko wtedy, gdy poprzednie zostało odpowiedziane. Pierwsze jest to, który system jest kontrolowany — dostarczany czy samego dostawcy, i to jedno pytanie oddziela Cyber Essentials od wszystkiego innego, więc od niego warto zacząć. Drugie jest to, czy wymaganie nazywa status wykonawcy, czy kwalifikację konkretnego człowieka: status prawie zawsze wskazuje na zagraniczny schemat, a kwalifikacja — na artykuł 15 ustęp 2 albo na warunek udziału zapisany przez zamawiającego, i to jest granica między wymaganiem, które polska firma może spełnić, a takim, którego nie może. Trzecie jest to, czy znalezione podatności trzeba wykorzystać, bo jeśli tak, mowa o teście penetracyjnym, a jeśli wystarczy lista znalezisk, to skanowanie, które kosztuje zupełnie inne pieniądze. Czwarte jest to, na którą normę zamawiający się powołuje, i jeśli na żadną, to wymaganie jest jego własnym wyborem, co znaczy, że o zakresie da się rozmawiać.

Jak to wygląda w praktyce, najlepiej widać na jednym całkiem typowym sformułowaniu, jakie bywa w specyfikacji: „Wykonawca zapewni audyt bezpieczeństwa systemu zgodnie z CHECK lub metodyką równoważną.” Pierwsze pytanie odpowiada od razu — kontrolowany jest system dostarczany, więc Cyber Essentials odpada. Drugie pokazuje, że nazwano status wykonawcy, i to jest zagraniczny schemat. Trzecie zostaje bez odpowiedzi, bo słowo „audyt” nie mówi, czy podatności będą wykorzystywane. Czwarte jest rozstrzygające: jeśli dalej w dokumencie nie ma odesłania do żadnej normy, to wymaganie jest wyborem zamawiającego, zastrzeżenie „lub równoważnej” jest otwartą furtką, i pytanie, które trzeba zadać, jest tylko jedno — czy znalezione podatności trzeba wykorzystać. Jeśli odpowiedzi na te pytania w specyfikacji nie ma, warto ich żądać na piśmie, i to nie jest formalność: specyfikacja, która nazywa schemat, ale nie mówi zakresu, daje całkowicie nieporównywalne oferty, i to jest strata zamawiającego, nie wykonawcy.

Kiedy okazuje się zwykłą kontrolą bezpieczeństwa strony internetowej

W części przypadków, zwłaszcza w mniejszych zamówieniach, za wszystkimi tymi nazwami stoi znacznie prostsza potrzeba: zamawiający chce wiedzieć, czy jego strona internetowa albo aplikacja jest bezpieczna przed przekazaniem do eksploatacji. Nie ma tam ani podmiotu kluczowego, ani sieci administracji publicznej, ani wymagania łańcucha dostaw — jest tylko chęć, żeby nie wypuścić do eksploatacji czegoś, co zostaje złamane w pierwszym miesiącu.

Tę granicę warto rozpoznać uczciwie także od strony wykonawcy, nie tylko zamawiającego. Jeśli specyfikacja naprawdę wymaga członkostwa w zagranicznym schemacie, to prawidłowa odpowiedź brzmi: nie przystępować albo przystępować w partnerstwie z tym, kto członkostwo ma — a nie opisywać własnej metodyki tak, żeby wyglądała podobnie. Komisja oceniająca to zauważa, a cena reputacji jest większa niż jedno przegrane zamówienie.

Właśnie w tym przypadku jest miejsce na nasz audyt bezpieczeństwa strony internetowej, w którym jest też miejsce na kontrolę ręczną z pisemną zgodą. To nie jest CHECK, nie jest ITHC i nie jest za takie wydawane; to jest ta praca, która odpowiada na pytanie, jakie naprawdę zadano. Jeśli mają Państwo specyfikację na stole i nie jest jasne, do której z tych kategorii wpada, proszę przesłać rozdział specyfikacji dotyczący bezpieczeństwa, a powiemy, który instrument tam nazwano — także wtedy, gdy odpowiedź brzmi, że to nie jest praca dla nas.