Oprogramowanie · Prywatne AI · Testy penetracyjne · NIS2/KSC · DORA
Tworzymy dedykowane oprogramowanie dla dużych firm i korporacji, wdrażamy prywatne AI na lokalnych modelach językowych i niezależnie audytujemy bezpieczeństwo - od testów penetracyjnych po przygotowanie do wymogów NIS2/KSC i DORA. Bezpieczeństwo wbudowujemy od pierwszego dnia, a dane zostają w UE.
innovix-audit --target api.firma.example --wstg v4.2[*] OWASP WSTG v4.2 scan initiatedOKTLS: A+ hardened (TLS 1.3, HSTS preload)OKSecurity headers: compliant!!/api/users/:id - IDOR (CVSS 7.5)!!/api/upload - missing rate limitOKCSRF tokens: HMAC-SHA256OKSession: HttpOnly + Secure + SameSite=Strict14 findings · CVSS median 4.74,7
Mediana CVSS
14 podatności w raporcie
87%
Zgodność z NIS2
142 z 156 kontroli
Przykładowy przebieg testu - dane demonstracyjne
Pracujemy dla sektorów:
Metodyki i ramy:
01Usługi
Budujemy systemy dla firm i korporacji, uruchamiamy modele AI w infrastrukturze, nad którą masz kontrolę, i niezależnie sprawdzamy bezpieczeństwo - także systemów zbudowanych przez innych dostawców.
Software house
Projektujemy i budujemy dedykowane systemy - od architektury po wdrożenie, rozwój i utrzymanie. Bezpieczeństwo i zgodność z regulacjami są częścią architektury, a nie dokumentem na końcu projektu.
Sztuczna inteligencja
Modele językowe uruchamiamy w Twojej infrastrukturze albo w chmurze prywatnej w UE, więc dokumenty i zapytania pracowników nie trafiają do zewnętrznych dostawców AI. Model dobieramy do zadania i warunków licencji - także spośród polskich modeli Bielik i PLLuM - a do modelu sprzęt, na którym ma działać.
Bezpieczeństwo
Testujemy aplikacje (także z modelami językowymi), API, chmurę i infrastrukturę według OWASP i PTES - każda podatność z dowodem technicznym i oceną CVSS. Przygotowujemy firmy do wymogów NIS2/KSC i DORA, a audyt z ustawy o KSC przeprowadzamy we współpracy z partnerem.
Pentest
Uwierzytelnianie, autoryzacja, logika biznesowa i konfiguracja - z retestem każdej podatności po poprawkach.
NIS2/KSC
Analiza luk względem wymagań ustawy o KSC i plan wdrożenia z priorytetami.
AI
Odpowiedzi z procedur, umów i bazy wiedzy z odnośnikiem do źródła - tylko z dokumentów, do których pytający ma dostęp.
Red team
Wieloetapowa symulacja ataku pod cele uzgodnione z zarządem - bez phishingu, socjotechniki i testów DoS.
Działamy w całej Polsce. Testy aplikacji i chmury, przegląd kodu i rozwój oprogramowania prowadzimy zdalnie z Wrocławia, a do Twojej siedziby przyjeżdżamy, gdy zakres tego wymaga: przy teście sieci wewnętrznej, rozmowach z zespołem albo warsztacie z przyszłymi użytkownikami systemu.
Obszar działania i wizyty na miejscu02NIS2/KSC
Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, która wdraża dyrektywę NIS2, obowiązuje od 3 kwietnia 2026 r. Podmioty kluczowe i ważne mają 12 miesięcy na wdrożenie obowiązków, a podmioty kluczowe - 24 miesiące na pierwszy audyt bezpieczeństwa.
Nowelizacja ustawy o KSC w mocy
Przepisy wdrażające dyrektywę NIS2 obowiązują od tego dnia.
Wniosek o wpis do wykazu
Koniec terminu na wnioski o wpis do wykazu podmiotów kluczowych i ważnych (harmonogram Ministra Cyfryzacji).
Dziś
najbliższy terminWdrożenie wymagań
Podmioty objęte ustawą od dnia wejścia w życie wdrażają obowiązki, w tym system zarządzania bezpieczeństwem informacji.
Pierwszy audyt podmiotów kluczowych
Termin pierwszego audytu bezpieczeństwa, a następnie co najmniej raz na 3 lata.
03Realizacje
Systemy oddane do produkcji - z naszego szerszego portfolio.
InsurTech · Document AI
System produkcyjny u klienta z branży ubezpieczeniowej. Dedykowany model językowy ekstrahuje dane z polis PDF, bez transferu do zewnętrznych dostawców AI.
Zrealizowany
Consumer AI · Platforma multimodalna
Komercyjna platforma AI agregująca modele wiodących dostawców - natywnie na iOS i Android, w przeglądarce oraz na Windows, macOS i Linux, z lokalizacją w 40 językach.
Zrealizowany
04Współpraca
Ten sam przebieg dla projektu oprogramowania i dla testów bezpieczeństwa - zmienia się tylko zakres.
Poznajemy cel, kontekst i ograniczenia. Przed wymianą szczegółów podpisujemy umowę o zachowaniu poufności.
Warsztat discovery dla projektu oprogramowania albo ustalenie zakresu testów - systemy, środowiska, konta testowe i okna czasowe.
Harmonogram, koszt i mierzalne kryteria akceptacji - wiesz, co dostaniesz i kiedy. Od czego zależy cena testu, wyjaśniamy na stronie o koszcie testu penetracyjnego.
Pracujemy etapami i regularnie raportujemy postęp. Testy prowadzimy wyłącznie na pisemne zlecenie właściciela systemu.
Odbiór według kryteriów akceptacji, retest poprawek albo wdrożenie i utrzymanie w ramach SLA.
Model rozliczeń dopasowujemy do profilu klienta - licencja, subskrypcja albo model hybrydowy. Każdy projekt prowadzimy pod NDA, umową i SLA z mierzalnymi kryteriami akceptacji.
Modele współpracy05Dlaczego Innovix
Budujemy oprogramowanie i sami testujemy jego bezpieczeństwo - testy penetracyjne są częścią cyklu wytwórczego, a nie osobnym zamówieniem na końcu. Testy i audyty wykonujemy też dla systemów innych dostawców.
Zobacz trzy obszary usług.
Każda podatność ma dowód techniczny - dosłowny wynik polecenia, bez sformułowań w rodzaju „prawdopodobnie możliwe”. Ocena CVSS 3.1 z kontekstem biznesowym, retest po poprawkach i podsumowanie dla zarządu.
Testy penetracyjne: OWASP WSTG, PTES i CVSS 3.1.
Hosting, bazy danych, trenowanie modeli i logi utrzymujemy w centrach danych UE, bez transferów do państw trzecich. Modele językowe dla firm uruchamiamy w chmurze prywatnej w UE albo w infrastrukturze klienta.
Przykłady: Broker-Innovix i LegalAI Analytics.
NIS2/KSC, DORA i RODO - a jeśli stosujesz ISO/IEC 27001, także tę normę - uwzględniamy w architekturze oprogramowania od analizy wymagań, a nie w dokumentach końcowych. Wyniki testów odnosimy do konkretnych przepisów i punktów normy.
Zobacz terminy NIS2/KSC.
06Produkty
Trzy własne produkty w realizacji. Dat premiery ani cen jeszcze nie publikujemy.
Cybersecurity · SaaS · Compliance
Zgodność z NIS2 i ustawą o KSC w jednym miejscu: kwalifikacja, analiza luk, polityki i zgłaszanie incydentów do CSIRT.
W realizacji
Legal Tech · Neuro-Symbolic AI
Analiza akt sądowych lokalnym modelem językowym - akta nie opuszczają infrastruktury kancelarii.
W realizacji
Enterprise DLP · Zero Trust
Narzędzia AI dla pracowników bez utraty kontroli nad danymi - treści wrażliwe są pseudonimizowane przed wysyłką do modeli publicznych.
W realizacji
Chcesz sprawdzić któryś z produktów w swojej organizacji przed premierą? Napisz - odpowiemy, na jakim etapie jest produkt i czy pilotaż ma sens w Twoim przypadku.
Zapytaj o pilotaż07Wiedza
Testy penetracyjne
Red teaming a test penetracyjny: cel, zakres, wiedza obrońców, czas i wynik, miejsce TLPT z DORA i purple teamingu oraz który test zamówić.
AI w firmie
OWASP Top 10 for LLM Applications 2026 po polsku: 10 ryzyk aplikacji LLM z przykładami i środkami zaradczymi, zmiany od 2025 i lista pytań przed testem.
AI w firmie
Prywatny ChatGPT dla firmy: plany Claude, Gemini i Copilot, pytania do OpenAI o ChatGPT Business, czat w chmurze UE albo model on-premise. RODO i AI Act.
08FAQ
Tak. Gdy system ma funkcje oparte na modelu językowym, np. asystenta na dokumentach firmy, przed wydaniem nasi pentesterzy testują aplikację, API i te funkcje razem - także pod kątem pośredniego prompt injection - tym samym zespołem i w jednym raporcie. Zakres części dotyczącej modelu opisujemy na stronie testów bezpieczeństwa aplikacji LLM.
Decyduje sektor działalności wymieniony w załącznikach do ustawy oraz wielkość firmy, a część podmiotów jest objęta ustawą niezależnie od wielkości. Wstępny wynik pokaże kwalifikator na stronie kogo dotyczy NIS2, a gdy sytuacja jest niejednoznaczna, status przeanalizujemy w ramach audytu zerowego.
Jednym zapytaniem w formularzu kontaktowym: wybierz temat głównej części projektu, a pozostałe obszary opisz w wiadomości. Po temacie kierujemy wiadomość do właściwego zespołu.
Opisz krótko, czego potrzebujesz - odpowiadamy w 24 godziny robocze i proponujemy kolejne kroki.
lub zadzwoń pod numer +48 575 621 877