kunde spørger, om vi har ladet udføre en penetrationstest, hvad siger jeg

Pentest falder under test, ikke under en separat rubrik

En pentest (penetrationstest) er én måde at påvise, at sikkerhedsforanstaltningerne fungerer — ikke et selvstændigt krav. Spørgsmålet hører til det bredere område om periodisk test af effektiviteten af foranstaltninger. Hvis du har fået en pentest udført af en ekstern part i løbet af det seneste år, svarer du ja og leverer rapporten eller managementsummary som bevis. Nogle kunder ønsker kun at se datoen og omfanget af testen, ikke de fundne sårbarheder selv — til det formål kan du bruge fortrolighedsknappen i portalen, hvis den mulighed er tilgængelig.

Hvis du ikke har fået en pentest udført, er "nej" det rigtige svar — ikke "ja" med en henvisning til noget tredje. En sårbarhedsscan, en intern kodegennemgang eller ISO 27001-certificering er ingen erstatning for en pentest, selvom de behandler det samme emne. Hvis du dog systematisk sårbarheder identificerer og udbedrer via anden vej – kan du præcisere det i fritekstsfeltet, men det er et supplement, ikke et erstatnings-"ja" på selve pentestspørgsmålet. Hvis du er i tvivl om, hvorvidt din testraport er gammel nok til stadig at være gyldig, så er det sikrest at nævne det i præciseringen i stedet for at udelade det.

Hvor dette kommer fra: artikel 21, stk. 2 og Bilag A

Artikel 21, stk. 2 i NIS2-direktivet (Direktiv (EU) 2022/2555) nævner eksplicit blandt de ti foranstaltninger test og vurdering af effektiviteten af cybersikkerhedsforanstaltninger; en pentest er den mest konkrete gennemførelsesform heraf. ISO/IEC 27001 Annex A knytter dette til kontrolmålet vedrørende teknisk svaghedshåndtering og uafhængig vurdering af informationssikkerhed. Cybersikkerhedsloven, den danske implementering af NIS2 som træder i kraft den 15. august 2026, fastsætter denne forpligtelse for enheder, der falder under loven – spørg derfor din kundes repræsentant, om denne muligvis er en sådan pålagt part, og test derfor om virksomheden selv falder under NIS2 eller den nationale implementering for at forstå, hvorfor dette spørgsmål overhovedet er på listen.