il cliente chiede i risultati dei test di penetrazione ma non abbiamo mai eseguito un test

Nessun pentest eseguito non è un "no" automatico

Un pentest — un test di penetrazione, in cui qualcuno tenta attivamente di entrare nei tuoi sistemi per trovare punti deboli — è uno dei possibili test di efficacia, ma non l'unico. L'articolo 21 paragrafo 2 di NIS2 richiede "politiche e procedure per valutare l'efficacia delle misure", senza prescrivere un pentest. Anche l'Allegato A della ISO/IEC 27001 cita la gestione delle vulnerabilità tecniche e i test, ma non impone alcun metodo di test specifico. Spesso puoi quindi compilare onestamente "no, non ancora" senza che questa sia una risposta bloccante — è una delle dieci misure, non l'unica.

Cosa conta come prova alternativa: scansioni automatiche delle vulnerabilità, un processo di patch, o un'analisi dei rischi che dimostri che un pentest non era ancora ritenuto necessario data la dimensione dei tuoi sistemi. Verifica con il processo di identificazione e correzione delle vulnerabilità se hai già qualcosa in corso — spesso sì, anche senza che si chiami "pentest". Se il tuo dossier non contiene quel documento di prova, il sistema non suggerisce un "sì": riceverai una domanda con una risposta vuota, e decidi tu stesso se compilare "no" o prima far eseguire una scansione. Alcuni clienti accettano un impegno ("pianificato nel Q-tot") come risposta intermedia; lo scopri solo dopo aver inviato nel loro portale.

Su cui si basa: articolo 21 paragrafo 2 e Allegato A

L'obbligo di valutazione periodica deriva dall'articolo 21 paragrafo 2 della Direttiva (UE) 2022/2555, che cita "politiche e procedure per la valutazione dell'efficacia delle misure di gestione dei rischi di cybersicurezza" come una delle dieci misure, accanto a — non al posto di — la gestione delle vulnerabilità. ISO/IEC 27001 Allegato A sviluppa questo in controlli relativi alle vulnerabilità tecniche e alla valutazione, senza nominare un pentest come strumento obbligatorio. Se la tua organizzazione rientra direttamente negli obblighi NIS2 dipende dal settore e dalla dimensione — lo determini indipendentemente da questa domanda, ad esempio tramite la domanda se l'azienda stessa rientra nell'ambito NIS2.