la lista pregunta si hemos realizado una prueba de penetración

La prueba de penetración es una prueba, no un requisito independiente

Una prueba de penetración —una prueba de penetración, en la que alguien intenta activamente acceder sin autorización a un sistema— no figura como elemento obligatorio independiente en ninguna de las diez medidas del artículo 21, apartado 2. La pregunta suele provenir de la medida sobre gestión de riesgos y vulnerabilidades: el cliente quiere saber si pruebas o si tu seguridad se mantiene en la práctica, no solo sobre papel. Lo mismo se aplica en ISO/IEC 27001: Annex A no menciona una prueba de penetración obligatoria, pero sí la gestión técnica de vulnerabilidades, y una prueba de penetración es la materialización más concreta de esta que los auditores reconocen.

Si nunca has realizado una prueba de penetración, "no" es la respuesta correcta —sugerir un "sí" sin informe no es defendible. Muchas empresas lo rellenan con lo que sí han hecho: un escaneo de vulnerabilidades, una auditoría externa, o un proceso de identificación y corrección de vulnerabilidades. Eso no es lo mismo que una prueba de penetración, pero muestra que hay algo en marcha. Si explicas esa diferencia al cliente o no es decisión tuya; el campo de respuesta en sí sigue siendo fáctico. Si sí has realizado una prueba de penetración, entonces el informe —o un resumen del mismo— es el documento de prueba que acompaña a un "sí", posiblemente con el botón de confidencialidad si no quieres compartir los detalles.

De dónde procede: artículo 21 y Annex A

El artículo 21, apartado 2 de la Directiva (UE) 2022/2555 menciona la gestión de vulnerabilidades y la evaluación de la eficacia de las medidas como componentes obligatorios, sin prescribir un método de prueba de penetración. La Ley de ciberseguridad asume esta obligación una vez que entre en vigor. ISO/IEC 27001 Annex A lo desarrolla aún más en las medidas de control para la gestión técnica de vulnerabilidades, donde una prueba de penetración entra como práctica corriente. Quien puede demostrar que evalúa periódicamente la eficacia de las medidas de seguridad ya tiene a menudo parte de la respuesta, incluso sin que la palabra prueba de penetración figure en su propio expediente.