in de vragenlijst wordt gevraagd of we een penetratietest hebben laten uitvoeren

Pentest is bewijs bij toetsing, geen apart vereiste

Een penetratietest staat niet als zelfstandige verplichting in artikel 21 lid 2 NIS2. De vraag hoort bij maatregel (f): het beleid en de procedures om de doeltreffendheid van de beveiligingsmaatregelen te evalueren. Een pentest is één manier om dat te toetsen, naast bijvoorbeeld een kwetsbaarhedenscan of een interne audit. Als de klant specifiek naar een pentest vraagt, wil hij meestal weten of er ooit onafhankelijk is gecontroleerd of de technische maatregelen ook echt werken, niet alleen op papier.

Heb je een pentest laten uitvoeren, dan is het rapport (of een samenvatting met datum, scope en afhandeling van bevindingen) het bewijsstuk. Heb je dat niet, dan is "nee" het eerlijke antwoord — dat is geen automatische afkeuring, vooral niet bij kleinere leveranciers zonder verplicht toepasselijke entiteitsstatus onder de richtlijn. Belangrijker dan het woord "pentest" is of je kunt laten zien dat je de doeltreffendheid van de beveiligingsmaatregelen periodiek toetst op een andere manier, en of dat samenhangt met een lopend proces voor het opsporen en verhelpen van kwetsbaarheden. Vul dus niet "ja" in bij afwezigheid van een rapport, ook niet als je wel eens een scan hebt gedraaid — een scan en een pentest zijn in de meeste vragenlijsten uitdrukkelijk verschillende dingen.

Waar dit vandaan komt: artikel 21 lid 2 en ISO 27001

Artikel 21 lid 2 van Richtlijn (EU) 2022/2555 noemt onder punt (f) de "beleidslijnen en procedures om de doeltreffendheid van maatregelen op het gebied van cybersecurityrisicobeheer te beoordelen" als een van de tien verplichte maatregelen; een pentest valt hieronder als toetsingsmethode maar wordt niet met naam genoemd. ISO/IEC 27001 Annex A werkt dit verder uit in de beheersmaatregelen rond technische kwetsbaarheden en onafhankelijke beoordeling van informatiebeveiliging, waarin pentesten als praktijk gangbaar zijn maar evenmin verplicht worden gesteld. De Cyberbeveiligingswet, de Nederlandse omzetting van NIS2, treedt op 15 augustus 2026 in werking en zal dezelfde tien maatregelen bevatten; tot die datum is de richtlijn zelf het aan te houden kader.