el cliente pregunta si hemos realizado una prueba de penetración qué digo

Una prueba de penetración se incluye en la prueba, no en una casilla aparte

Una prueba de penetración (penetration test) es una forma de demostrar que la seguridad funciona — no es un requisito independiente. La pregunta corresponde al punto más amplio sobre prueba periódica de la eficacia de las medidas. Si has realizado una prueba de penetración en el último año llevada a cabo por un tercero, respondes sí y proporcionas el informe o el resumen ejecutivo como prueba. Algunos clientes solo quieren ver la fecha y el alcance de la prueba, no las vulnerabilidades encontradas en sí — para ello puedes usar el botón de confidencialidad en el portal si esa opción está disponible.

Si no has realizado una prueba de penetración, "no" es la respuesta correcta — no "sí" con una referencia a otra cosa. Un escaneo de vulnerabilidades, una revisión interna de código o la certificación ISO 27001 no son sustitutos de una prueba de penetración, aunque aborden el mismo tema. Si de hecho identificas y remedias vulnerabilidades de forma estructurada identificación y remediación de vulnerabilidades por otro medio, puedes explicarlo en el campo de texto libre, pero es un complemento, no un "sí" alternativo a la pregunta de la prueba de penetración en sí. Si dudas de si tu informe de prueba es lo suficientemente reciente para ser válido, la opción más segura es mencionarlo en la explicación en lugar de omitirlo.

Procedencia: artículo 21, apartado 2 y Anexo A

El artículo 21 apartado 2 de la Directiva NIS2 (Directiva (UE) 2022/2555) menciona explícitamente entre las diez medidas la prueba y evaluación de la eficacia de las medidas de ciberseguridad; una prueba de penetración es la forma de ejecución más concreta de esto. ISO/IEC 27001 Anexo A vincula esto con la medida de control sobre gestión de vulnerabilidades técnicas y evaluación independiente de la seguridad de la información. La Ley de Ciberseguridad, la transposición holandesa de NIS2 que entra en vigor el 15 de agosto de 2026, establece esta obligación para las entidades que caen bajo su ámbito — por lo tanto, pregunta si tu cliente representa a una de esas partes obligadas, y prueba por lo tanto si la empresa en cuestión está sujeta a NIS2 o a la transposición nacional para entender por qué esta pregunta está en la lista en primer lugar.