min forsikringsgiver vil gerne se en pentestrapport, hvad skal jeg levere

Hvad et forsikringsselskab med "pentest-rapport" mener

Normalt anmoder forsikringsselskabet ikke om den fulde tekniske rapport, men om et sammendrag: hvilket omfang blev testet, hvornår, af hvem, og hvad var resultaterne på højt og mellemstort niveau. Et executive summary med dato, testbureau og status for opfølgningen er i praksis ofte tilstrækkeligt. Den fulde rapport med exploit-detaljer sender du kun, hvis der specifikt bliver spurgt efter det, og det er fornuftigt at overveje, hvad du afskærmer via fortrolighedsknappen — et forsikringsselskab har interesse i konklusionen, ikke i de tekniske sårbarhederne i sig selv.

Hvis du ikke har gennemført en pentest, er "nej, ikke planlagt endnu" et mere ærligt svar end at lade feltet være tomt eller sende en gammel rapport fra et andet system. Mange forsikringsselskaber stiller dette spørgsmål som en del af et bredere billede over en proces for at identificere og afhjælpe sårbarheder: en pentest er der én dokumentation af, ikke hele svaret. Hvis pentesten mangler, kan du ofte stadig demonstrere, om der kører scans, patchbeleid eller en anden opdagelsesproces — det vejer med, også uden testrapport.

Hvor dette kommer fra: artikel 21, stk. 2 og Bilag A

En pentest i sig selv er ikke anført som en selvstændig forpligtelse i artikel 21, stk. 2 i NIS2-direktivet; denne opstiller ti kategorier af foranstaltninger, herunder håndtering af sårbarhederne og vurdering af effektiviteten af foranstaltningerne. En pentest er én måde at påvise denne effektivitet på, ved siden af for eksempel en intern revision — se også eller at effektiviteten af sikkerhedsforanstaltningerne kontrolleres regelmæssigtI ISO/IEC 27001 Annex A forekommer penetrationstestning heller ikke som et separat kontrolpunkt; det falder under håndteringsforanstaltningerne for tekniske sårbarheder. Forsikringsselskaber anmoder dog ofte om det uafhængigt af denne regulering som deres egen risikoindicator ved siden af de lovpligtige eller normative krav — det er en forsikringspraksis, ikke en juridisk forpligtelse fra NIS2 eller Cybersikkerhedsloven.