v dotazníku se ptají, zda jsme nechali provést test penetrace

Pentest je důkazem při testování, nikoli samostatným požadavkem

Penetrační test se v článku 21 odst. 2 NIS2 neuvádí jako samostatná povinnost. Otázka spadá pod opatření (f): politiky a postupy pro vyhodnocování účinnosti bezpečnostních opatření. Pentest je jedním ze způsobů, jak to testovat, společně s např. skenováním chyb nebo interní auditací. Pokud zákazník konkrétně žádá pentest, obvykle chce vědět, zda byla někdy nezávisle ověřena skutečnost, že technická opatření skutečně fungují, a ne pouze na papíře.

Pokud jsi provedl pentest, pak je zpráva (nebo shrnutí s datem, rozsahem a řešením zjištění) dokladem. Pokud tomu tak není, pak je "ne" správná odpověď — to není automatické zamítnutí, zvláště ne u menších dodavatelů bez povinně aplikované entity status v rámci směrnice. Důležitější než slovo "pentest" je, zda můžeš prokázat, že účinnost bezpečnostních opatření pravidelně ověřujete jiným způsobem, a zda to souvisí s probíhajícím proces pro zjišťování a nápravu zranitelností. Nevyplňuj tedy "ano" v případě absence zprávy, a to ani v případě, že jste někdy spustili sken — sken a pentest jsou ve většině otázkářů výslovně různé věci.

Odkud to pochází: článek 21 odst. 2 a ISO 27001

Článek 21 odst. 2 směrnice (EU) 2022/2555 uvádí v bodě (f) "politiky a postupy pro hodnocení účinnosti opatření na řízení rizik kybernetické bezpečnosti" jako jedno z deseti povinných opatření; pentest sem spadá jako testovací metoda, ale není výslovně uveden. ISO/IEC 27001 Annex A to dále rozpracovává v kontrolních opatřeních kolem technických zranitelností a nezávislého hodnocení bezpečnosti informací, v nichž jsou pentesty běžnou praxí, ale nejsou stanoveny jako povinné. Zákon o kybernetické bezpečnosti, nizozemská transpozice NIS2, vstoupí v účinnost 15. srpna 2026 a bude obsahovat stejných deset opatření; do té doby je sama směrnice rámcem, kterého se je třeba придržovat.