el cliente pregunta si hemos realizado recientemente una prueba de penetración

La prueba de penetración es prueba de evaluación, no un criterio separado

Una prueba de penetración es una de las formas de demostrar que la seguridad se evalúa periódicamente, no un requisito independiente en sí mismo. El artículo 21 apartado 2 NIS2 menciona en el punto f "políticas y procedimientos para evaluar la eficacia de las medidas", y una prueba de penetración es una forma de cumplir esto junto con, por ejemplo, un análisis de vulnerabilidades o una auditoría interna. Si la pregunta pregunta específicamente por una prueba de penetración, puede responderse con "sí" en cuanto disponga de un informe de prueba, independientemente del aspecto del resto del proceso de evaluación.

Si no ha realizado una prueba de penetración pero sí otras formas de evaluación — una auditoría de seguridad externa, una certificación ISO 27001 con sus correspondientes auditorías internas, o un análisis automatizado — entonces "no" es la respuesta correcta a la pregunta literal, con posiblemente una explicación sobre la evaluación alternativa en el campo de texto libre si existe. No responda "sí" porque "hace algo en materia de evaluación"; la pregunta es lo suficientemente específica como para tratarla como un hecho independiente. Este tema también afecta a la pregunta de si la eficacia de las medidas se evalúa periódicamente, y a menudo también a el proceso de identificación y corrección de vulnerabilidades, porque las pruebas de penetración y los análisis de vulnerabilidades en la práctica a menudo se preguntan indistintamente aunque son dos medidas diferentes.

Dónde se encuentra esto: artículo 21 apartado 2 letra f, Anexo A

El artículo 21 apartado 2 letra f de la Directiva (UE) 2022/2555 obliga a "políticas y procedimientos para evaluar la eficacia de las medidas de gestión de riesgos de ciberseguridad", sin prescribir específicamente una prueba de penetración. ISO/IEC 27001 Anexo A desarrolla esto en las medidas de control sobre vulnerabilidades técnicas y evaluación de la seguridad de la información, donde una prueba de penetración encaja como aplicación práctica pero no se menciona como instrumento obligatorio. La Ley de Ciberseguridad incorpora este requisito cuando entre en vigor, sin que se espere que en ella se vincule un tipo de prueba específico.