kunde spørger efter penetrationstestresultater, men vi har aldrig lavet en penetrationstest

Ingen pentest udført er ikke et automatisk nej

En pentest — en penetrationtest, hvor nogen aktivt forsøger at bryde ind i dine systemer for at finde svage punkter — er én mulig test af effektivitet, men ikke den eneste. Artikel 21 stk. 2 i NIS2 kræver "politikker og procedurer til vurdering af effektiviteten af foranstaltninger", uden at foreskrive en pentest. Også Annex A i ISO/IEC 27001 nævner teknisk sårbarhedsstyring og test, men tvinger ingen specifik testmetode. Du kan derfor ofte ærligt udfylde "nej, ikke endnu" uden at det er et blokerende svar — det er én af ti foranstaltninger, ikke den eneste.

Hvad der tæller som alternativt bevis: automatiserede sårbarhedsscans, en patchproces, eller en risikovurdering, der viser, at en pentest endnu ikke blev anset for nødvendig givet systemernes omfang. Tjek hos processen for identificering og udbedring af sårbarheder om du allerede har noget kørende dér — ofte tilfældet, selv uden at det hedder "pentest". Hvis dit dossier ikke har det bevisstykke, foreslår systemet ikke "ja": du får så et spørgsmål med et tomt svar, og du bestemmer selv, om du udfylder "nej" eller først kører en scan. Nogle kunder accepterer en tilsagn ("planlagt i kvartal-sådan-og-sådan") som mellempasvar; det ved du først efter indgivelse til deres portal.

Hvor dette bygger på: artikel 21 stk. 2 og Annex A

Forpligtelsen til periodisk test stammer fra artikel 21 stk. 2 i Direktiv (EU) 2022/2555, som nævner "politikker og procedurer til vurdering af effektiviteten af cybersikkerhedsrisikostyringsforanstaltninger" som én af ti foranstaltninger, ved siden af — ikke i stedet for — sårbarhedsstyring. ISO/IEC 27001 Annex A præciserer dette i kontrolforanstaltninger omkring tekniske sårbarheder og vurdering, uden at nævne en pentest som obligatorisk instrument. Hvorvidt din organisation selv falder under de direkte NIS2-forpligtelser, afhænger af sektor og størrelse — du afgør det uafhængigt af dette spørgsmål, for eksempel via hvorvidt virksomheden selv falder ind under NIS2.