# Izbira ponudnika IT-varnosti: 12 vprašanj pred naročilom

> Iskanje ponudnika IT-varnosti: 12 vprašanj, s katerimi stvarno primerjate ponudnike za spletne strežnike in PHP, ter značilni opozorilni znaki v ponudbah.

Vir: https://phpsos.de/sl/blog/sicherheitsdienstleister-auswaehlen/  
Stanje: 25.10.2026  
Ponudnik: PHP SOS, Nujna pomoč za PHP in varnost strežnikov. Takojšnja pomoč po WhatsAppu: https://wa.me/491736494914?text=Pozdravljeni%2C%20PHP%20SOS%2C%20potrebujemo%20pomo%C4%8D%20z%20na%C5%A1im%20stre%C5%BEnikom%20PHP.%20Podjetje%3A%20%E2%80%A6%20Spletna%20stran%3A%20%E2%80%A6

**Na kratko:** Ponudnika IT-varnosti najlažje najdete, preden ga nujno potrebujete. Ponudnike primerjajte s konkretnimi vprašanji: kako postopajo, kdo dela na vaših sistemih, kako zavarujejo dokaze, kaj piše v poročilu in kje so meje njihove ponudbe. Resni ponudniki na ta vprašanja odgovorijo jasno in pisno. Absolutne obljube, pritisk in nejasni opisi storitev so opozorilni znaki.

## Zakaj je izbira ravno zdaj težka

Po razmerah, kot je PHP2Shell, povpraševanje po varnostnih storitvah skokovito naraste. Hkrati se pojavijo ponudbe, ki zvenijo hitro, obsežno in poceni. Za podjetja brez lastnega varnostnega oddelka je težko ločiti kakovost od dobrega trženja.

K temu pride časovni pritisk. Kdor sumi vdor, želi takoj pomoč in nima tedna za primerjavo. Zato se splača izbiro opraviti v mirnih časih in ključne točke razjasniti vnaprej. Ali sploh potrebujete ponudnika, odgovarja naš prispevek [Odpraviti sami ali poiskati ponudnika?](https://phpsos.de/sl/blog/selbst-beheben-oder-dienstleister/). Tu gre za to, kako najdete pravega.

## Iskanje ponudnika IT-varnosti: 12 vprašanj

Ta vprašanja zastavite vsakemu ponudniku, ki ga razmišljate. Odgovori naj bodo konkretni in po možnosti pisni.

1. **Katere sisteme poznate iz lastnega dela?** Ponudnik omrežne varnosti ni samodejno izkušen s PHP-FPM, Plesk ali vsebniki. Vprašajte po okoljih, v katerih ekipa redno dela.
2. **Kdo konkretno dela na naših sistemih?** Lastni zaposleni, partnerji ali podizvajalci? Pri partnerjih mora biti jasno, kdo prevzame katero nalogo in kdo ostane odgovoren do vas.
3. **Kakšen je vaš postopek v prvih korakih?** Dobri odgovori navajajo zajezitev, zavarovanje dokazov in popis pred vsakim čiščenjem, kot predvideva tudi [Kontrolni seznam po vdoru](https://phpsos.de/sl/ratgeber/checkliste-nach-dem-hack/).
4. **Kako zavarujete dokaze?** Ali se dnevniki in datoteke zavarujejo pred spremembami, s časovnim žigom in kontrolno vsoto? To je pomembno za zavarovalnico, prijave in morebitno ovadbo.
5. **Katere dostope potrebujete in kako ravnate z njimi?** Resni ponudniki zahtevajo samo potrebne pravice, uporabljajo osebne račune in dostope po zaključku vrnejo.
6. **Ali obstaja pisni dogovor pred dostopom?** K temu sodijo obseg, pooblastila in pri osebnih podatkih pogodba o obdelavi po naročilu. Več na strani [Obdelava po naročilu, ko ponudniki dostopajo do strežnikov](https://phpsos.de/sl/blog/auftragsverarbeitung-serverzugriff/).
7. **Kdo odloča o daljnosežnih korakih?** Izklop, brisanje, ponovna postavitev: ponudnik naj take korake predlaga in utemelji, odločitev ostane pri vas.
8. **Kaj piše v sklepnem poročilu?** Vprašajte po primeru brez podatkov strank. Dobro poročilo ločuje dokazano, verjetno in neznano ter navaja odprte točke.
9. **Kako komunicirate med naročilom?** Ali obstajajo stalne kontaktne osebe, redni vmesni stanja in jasen kanal za nujna vprašanja?
10. **Kje so meje vaše ponudbe?** Pravnega svetovanja, komunikacije z organi ali forenzičnih izvedenskih mnenj za sodišča ne prevzame vsak. Resen ponudnik to pove sam.
11. **Kako se obračunava?** Po porabljenem času, pavšalno ali kot okvirna pogodba? Naj vam razložijo, kaj je vključeno in kaj ne, da pozneje ni presenečenj.
12. **Kaj se zgodi po incidentu?** Ali ponudnik podpira pri naknadni obdelavi, utrjevanju in trajni oskrbi ali se naročilo konča s čiščenjem?

## Opozorilni znaki v ponudbah

Nekatere izjave naj vas zbudijo. Sem sodijo obljube absolutne varnosti, trditev, da po čiščenju »gotovo ničesar več« ni na strežniku, in izjave, ki rezultat poznajo že brez popisa. Dobri ponudniki govorijo o verjetnostih in dokazih.

Previdnost je upravičena tudi, če ponudnik sili v dostope, preden sta razjasnjena obseg in pooblastila, ali če vas nepovabljen kontaktira po e-pošti ali telefonu in trdi, da je vaš strežnik vdrt. V kriznih tednih goljufi uporabljajo takšne zvijače. Pošiljatelja preverite po neodvisni poti, preden se odzovete.

Še en namig: logotipe, pečate in nagrade je lahko postaviti na spletno stran. V dvomu vprašajte, kdo je pečat podelil in kaj je bilo zanj preverjeno.

## Javne orientacijske pomoči

BSI objavlja sezname kvalificiranih ponudnikov za določena področja, na primer za odziv na tako imenovane napade APT, torej ciljne, dolgotrajne napade, in za obrambo pred napadi DDoS. Ti seznami so za organizacije z ustrezno potrebo dobra orientacija. Značilen incident na posameznem spletnem strežniku pogosto ne spada v te kategorije; tu pridejo v poštev tudi ponudniki, ki tam niso navedeni.

Koristna so tudi priporočila iz lastnega omrežja, na primer panožnih združenj, zbornic, vaše zavarovalnice ali drugih podjetij, ki so doživela incident. Nekatere kibernetske zavarovalnice v pogojih navajajo lastne kontaktne osebe ali ponudnike za škodni primer. Preverite svojo polico, preden naročite sami.

> **Nasvet:**
> Odgovore na dvanajst vprašanj zabeležite v kratko tabelo in jo priložite načrtu za nujne primere. V skrajnem primeru potem takoj veste, koga poklicati in kaj je dogovorjeno.

## Pogodbeno zapisati, kar šteje

Tudi pri dobri izbiri naj bodo najpomembnejše točke pisno urejene: obseg storitev, dostopi in njihova vrnitev, zaupnost, ravnanje z dokazi, obveznosti poročanja in obračun. Katere klavzule so smiselne, opisuje [Pogodbe z IT-ponudniki: jasna ureditev varnostnih obveznosti](https://phpsos.de/sl/blog/dienstleistervertrag-sicherheit/). Ali je vaša pogodba pravno ustrezna, preveri odvetnik; mi dostavimo tehnične točke.

## Kako PHP SOS pomaga konkretno?

- Dvanajst vprašanj za lastno ponudbo pisno odgovorimo, preden nas naročite, tudi o mejah naše storitve.
- Odkrito navedemo, katere naloge prevzamemo sami in kje delamo s specializiranimi partnerji, na primer pri forenziki ali penetracijskih testih.
- Obseg, pooblastila in po potrebi obdelavo po naročilu dogovorimo pred prvim dostopom.
- Ob incidentu delamo po poteku našega [odziva na incidente](https://phpsos.de/sl/leistungen/incident-response/): zajeziti, zavarovati, očistiti, dokumentirati.

## Sklep

Pravega ponudnika varnosti ne prepoznate po najglasnejši obljubi, ampak po jasnih odgovorih na konkretna vprašanja. Kdor dvanajst vprašanj zastavi v mirnih časih in rezultate zabeleži, v skrajnem primeru odloča hitreje in bolje.


## Pogosta vprašanja

**Po čem prepoznam resnega ponudnika IT-varnosti?**  
Po jasnih izjavah o postopku, pristojnostih in mejah, po pisnem dogovoru pred dostopom in po poročilu, ki ločuje dokazano od domnevnega. Nezaupanje je upravičeno pri absolutnih obljubah in pritisku, naj takoj izročite dostope.

**Ali BSI vodi seznam ponudnikov?**  
BSI objavlja sezname kvalificiranih ponudnikov za določena področja, na primer za odziv na napade APT in za obrambo pred napadi DDoS. Ti seznami zadevajo posebne razmere; za značilen incident na spletnem strežniku pridejo v poštev tudi drugi ponudniki.

**Ali naj pridobim več ponudb?**  
Pri načrtljivih naročilih, kot so utrjevanje, revizija ali pogodba o vzdrževanju, da. V akutnem nujnem primeru za to pogosto zmanjka časa. Toliko pomembneje je ponudnika izbrati vnaprej in razjasniti ključne točke, preden se kaj zgodi.

**Ali sme ponudnik sam izklopiti sisteme ali izbrisati podatke?**  
Samo če ste to izrecno dogovorili. Dober ponudnik pri daljnosežnih korakih vpraša in dokumentira vašo odločitev. Vnaprej določite, kdo na vaši strani sme sprejemati takšne odločitve.

## Viri

- [BSI: kvalificirani ponudniki](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Qualifizierte-Dienstleister/qualifizierte-dienstleister_node.html)
- [GDPR čl. 33](https://dsgvo-gesetz.de/art-33-dsgvo/)
- [php.net: varnostna obvestila](https://www.php.net/)