Die Frageliste fragt, ob wir einen Penetrationstest durchgeführt haben

Pentest ist Nachweis, keine isolierte Anforderung

Ein Pentest — ein Penetrationstest, bei dem jemand aktiv versucht, in ein System einzubrechen — ist in keiner der zehn Maßnahmen von Artikel 21 Absatz 2 als separates Pfllichtelement vorgesehen. Die Frage kommt meist aus der Maßnahme zur Risikobewertung und Schwachstellenbehandlung: Der Kunde möchte wissen, ob du testest, dass deine Sicherheit in der Praxis hält, nicht nur auf dem Papier. Gleiches gilt für ISO/IEC 27001: Annex A nennt keinen obligatorischen Pentest, aber technische Schwachstellenbewirtschaftung, und ein Pentest ist deren konkreteste Ausgestaltung, die Prüfer erkennen.

Hast du noch nie einen Pentest durchgeführt, dann ist "nein" die richtige Antwort — ein "ja" vorzuschlagen ohne Bericht lässt sich nicht begründen. Viele Unternehmen füllen dies mit dem aus, was sie immerhin haben: einen Schwachstellen-Scan, ein externes Audit oder eine laufende Prozess zur Erkennung und Behebung von Schwachstellen. Das ist nicht dasselbe wie ein Pentest, aber es zeigt, dass es etwas gibt. Ob du diesen Unterschied bei der Kundenkommunikation erläuterst, bleibt dir überlassen; das Antwortfeld selbst bleibt faktisch. Hast du tatsächlich einen Pentest durchgeführt, dann ist der Bericht — oder eine Zusammenfassung davon — das Nachweisdokument, das zu einem "ja" passt, gegebenenfalls mit dem Vertraulichkeitsschutz, falls du die Details nicht teilen möchtest.

Woher dies stammt: Artikel 21 und Annex A

Artikel 21 Absatz 2 der Richtlinie (EU) 2022/2555 nennt Schwachstellenbewirtschaftung und die Bewertung der Wirksamkeit von Maßnahmen als obligatorische Komponenten, ohne einen Pentest als Methode vorzuschreiben. Das Cybersicherheitsgesetz übernimmt diese Verpflichtung, sobald es in Kraft tritt. ISO/IEC 27001 Annex A arbeitet dies weiter aus unter den Controlmaßnahmen für technische Schwachstellenbewirtschaftung, unter die ein Pentest als bewährte Praxis fällt. Wer nachweisen kann, dass die Wirksamkeit der Sicherheitsmaßnahmen regelmäßig überprüft wird, hat oft schon einen Teil der Antwort vorliegen, auch ohne dass das Wort Pentest in der eigenen Dokumentation vorkommt.