spørgeskemaet spørger, om vi har udført en penetrationtest

Penetrationstest er bevis ved test, ikke et separat krav

En penetrationstest er ikke opført som en selvstændig forpligtelse i artikel 21, stk. 2 NIS2. Spørgsmålet hører til foranstaltning (f): politikkerne og procedurerne for at vurdere effektiviteten af sikkerhedsforanstaltningerne. En penetrationstest er én måde at teste det på, ved siden af eksempelvis en sårbarhedsscan eller en intern revision. Hvis kunden specifikt spørger efter en penetrationstest, vil han normalt gerne vide, om der nogensinde er foretaget uafhængig kontrol med, at de tekniske foranstaltninger også virker, ikke blot på papiret.

Hvis du har fået udført en penetrationstest, er rapporten (eller et resumé med dato, omfang og håndtering af resultater) bevisstedet. Hvis du ikke har det, så er "nej" det ærlige svar — det er ikke automatisk en afvisning, især ikke for mindre leverandører uden obligatorisk gældende enhedsstatus i henhold til direktivet. Vigtigere end ordet "penetrationstest" er, om du kan påvise, at du regelmæssigt kontrollerer sikkerhedsforanstaltningers effektivitet på en anden måde, og om det hænger sammen med en igangværende processen for at opdage og udbedre sårbarheder. Udfyld derfor ikke "ja" i mangel af en rapport, heller ikke hvis du har kørt en scan engang — en scan og en penetrationstest er i de fleste spørgeskemaer udtrykkeligt forskellige ting.

Hvor det stammer fra: artikel 21, stk. 2 og ISO 27001

Artikel 21, stk. 2 i Direktiv (EU) 2022/2555 nævner under punkt (f) "politikkerne og procedurerne for at vurdere effektiviteten af foranstaltninger vedrørende cybersikkerheds-risikoledelse" som en af de ti obligatoriske foranstaltninger; en penetrationstest falder ind under dette som testmetode, men nævnes ikke ved navn. ISO/IEC 27001 Annex A uddyber dette yderligere i kontrolforanstaltningerne omkring tekniske sårbarheder og uafhængig vurdering af informationssikkerhed, hvori penetrationstests som praksis er almindelige, men ligeledes ikke påbudt. Cybersikkerhedsloven, den danske gennemførelse af NIS2, træder i kraft den 15. august 2026 og skal indeholde de samme ti foranstaltninger; indtil da er direktivet selv det rammeværk, der skal følges.