Kunde fragt nach Pentest-Ergebnissen, aber wir haben nie einen Pentest durchgeführt

Kein durchgeführter Pentest ist keine automatische Ablehnung

Ein Pentest — ein Penetrationstest, bei dem jemand aktiv versucht, in deine Systeme einzudringen, um Schwachstellen zu finden — ist eine mögliche Prüfung der Wirksamkeit, aber nicht die einzige. Artikel 21 Absatz 2 der NIS2 verlangt "Richtlinien und Verfahren zur Bewertung der Wirksamkeit von Maßnahmen", ohne einen Pentest vorzuschreiben. Auch Anlage A der ISO/IEC 27001 nennt technisches Schwachstellenmanagement und Prüfung, erzwingt aber keine spezifische Testmethode. Du kannst also oft ehrlich "nein, noch nicht" ausfüllen, ohne dass dies eine blockierende Antwort ist — es ist eine von zehn Maßnahmen, nicht die einzige.

Was als Nachweis zählt: automatisierte Schwachstellenscans, ein Patch-Prozess oder eine Risikoanalyse, die zeigt, dass ein Pentest angesichts der Größe deiner Systeme noch nicht für erforderlich befunden wurde. Prüfe bei dem Prozess zur Erkennung und Behebung von Schwachstellen ob du dort bereits etwas laufen hast — oft auch, ohne dass es "Pentest" heißt. Wenn dein Dossier diesen Nachweis nicht enthält, schlägt das System kein "ja" vor: du erhältst dann eine Frage mit einer leeren Antwort, und du entscheidest selbst, ob du "nein" ausfüllst oder erst einen Scan durchlaufen lässt. Einige Kunden akzeptieren eine Zusage ("geplant in Q-soundso") als Zwischenantwort; das erfährst du erst nach der Einreichung bei ihrem Portal.

Worauf dies beruht: Artikel 21 Absatz 2 und Anlage A

Die Verpflichtung zur regelmäßigen Prüfung ergibt sich aus Artikel 21 Absatz 2 der Richtlinie (EU) 2022/2555, die "Richtlinien und Verfahren zur Bewertung der Wirksamkeit von Cybersicherheitsrisikomanagementmaßnahmen" als eine von zehn Maßnahmen nennt, neben — nicht anstelle von — Schwachstellenmanagement. ISO/IEC 27001 Anlage A konkretisiert dies in Kontrollmaßnahmen rund um technische Schwachstellen und Bewertung, ohne einen Pentest als erforderliches Instrument zu benennen. Ob deine Organisation selbst unter die unmittelbaren NIS2-Verpflichtungen fällt, hängt von Sektor und Größe ab — das bestimmst du unabhängig von dieser Frage, zum Beispiel über die Frage, ob das Unternehmen selbst unter NIS2 fällt.