klant vraagt of we een pentest hebben laten uitvoeren, wat moet ik antwoorden

Pentestrapport is bewijs, geen losse eis

Een pentest — een penetratietest, waarbij iemand actief probeert in te breken in je systemen — staat nergens als apart verplicht document in artikel 21 lid 2 van NIS2. De vraag van je klant valt onder de maatregel over het testen en evalueren van de doeltreffendheid van cyberbeveiligingsmaatregelen, en een pentestrapport is daarvoor het meest concrete bewijsstuk dat er bestaat. Heb je er een, dan is het antwoord meestal ja. Heb je nog nooit een pentest laten uitvoeren, dan is het antwoord nee — en dat is op zichzelf geen probleem, zolang je elders kunt laten zien dat je de doeltreffendheid van de beveiligingsmaatregelen periodiek toetst, bijvoorbeeld met interne audits of kwetsbaarhedenscans.

Let bij het invullen op wat er precies gevraagd wordt: een pentestrapport zelf, of alleen de bevestiging dát er getest wordt. Sommige portalen vragen om het rapport als bijlage — dat is een ander verzoek dan een ja/nee-vraag, en rapporten bevatten vaak gevoelige technische details. Daarvoor bestaat de vertrouwelijkheidsknop: je bepaalt zelf of en met wie je het volledige document deelt, los van de vraag of het antwoord ja of nee is. Heb je wel een pentest gehad maar ontbreekt de koppeling met opvolging van gevonden kwetsbaarheden, check dan ook of je proces voor het opsporen en verhelpen van kwetsbaarheden daar al bij hoort — veel klanten vragen dat namelijk in dezelfde sectie.

Waar dat uit ISO 27001 en NIS2 volgt

Annex A van ISO/IEC 27001 kent geen apart controlepunt "pentest", maar de beheersmaatregelen over technische kwetsbaarhedenbeheer en over onafhankelijke beoordeling van informatiebeveiliging worden in de praktijk vaak met pentestresultaten onderbouwd. NIS2, artikel 21 lid 2, noemt onder de tien maatregelen zowel het testen en evalueren van beleid als het beheer van kwetsbaarheden en de openbaarmaking daarvan als afzonderlijke onderdelen — een pentestrapport dient meestal als bewijs bij de eerste, en de opvolging ervan bij de tweede.