le client demande si nous avons fait effectuer un pentest, que dois-je répondre

Le rapport de pentest est une preuve, non une exigence isolée

Un pentest — un test de pénétration, au cours duquel quelqu'un tente activement de s'introduire dans vos systèmes — n'est nulle part mentionné comme document séparé obligatoire dans l'article 21, paragraphe 2 de la NIS2. La demande de votre client relève de la mesure concernant les tests et l'évaluation de l'efficacité des mesures de cybersécurité, et un rapport de pentest est la pièce justificative la plus concrète qui existe à ce sujet. Si vous en avez un, la réponse est généralement oui. Si vous n'avez jamais fait réaliser de pentest, la réponse est non — et ce n'est en soi pas un problème, à condition que vous puissiez démontrer ailleurs que vous testez régulièrement l'efficacité des mesures de sécurité, par exemple au moyen d'audits internes ou d'analyses de vulnérabilités.

Lors du remplissage, prêtez attention à ce qui est exactement demandé : le rapport de pentest lui-même, ou seulement la confirmation que des tests ont été effectués. Certains portails demandent le rapport en pièce jointe — il s'agit d'une demande différente d'une question oui/non, et les rapports contiennent souvent des détails techniques sensibles. À cet effet, il existe le bouton de confidentialité : vous décidez vous-même si et avec qui vous partagez le document complet, indépendamment de la question de savoir si la réponse est oui ou non. Si vous avez réalisé un pentest mais qu'il manque le lien avec le suivi des vulnérabilités découvertes, vérifiez également si votre processus de détection et de correction des vulnérabilités en fait déjà partie — de nombreux clients le demandent en effet dans la même section.

Où cela découle de la norme ISO 27001 et de la NIS2

L'annexe A de la norme ISO/IEC 27001 ne contient pas de point de contrôle séparé « pentest », mais les mesures de contrôle concernant la gestion technique des vulnérabilités et l'évaluation indépendante de la sécurité de l'information sont en pratique souvent étayées par les résultats de pentests. La NIS2, article 21, paragraphe 2, mentionne parmi les dix mesures tant les tests et l'évaluation de la politique que la gestion des vulnérabilités et leur divulgation comme des éléments distincts — un rapport de pentest sert généralement de preuve pour le premier, et son suivi pour le second.