klant vraagt naar pentest resultaten maar wij hebben nooit een pentest gedaan

Geen pentest gedaan is geen automatische nee

Een pentest — een penetratietest, waarbij iemand actief probeert in te breken in je systemen om zwakke plekken te vinden — is één mogelijke toets van doeltreffendheid, maar niet de enige. Artikel 21 lid 2 van NIS2 vraagt om "beleid en procedures om de doeltreffendheid van maatregelen te beoordelen", zonder een pentest voor te schrijven. Ook Annex A van ISO/IEC 27001 noemt technisch kwetsbaarhedenbeheer en toetsing, maar dwingt geen specifieke testmethode af. Je kunt dus vaak eerlijk "nee, nog niet" invullen zonder dat dit een blokkerend antwoord is — het is een van de tien maatregelen, niet de enige.

Wat wel telt als alternatief bewijs: geautomatiseerde kwetsbaarheidsscans, een patchproces, of een risicoanalyse waaruit blijkt dat een pentest nog niet nodig werd geacht gezien de omvang van je systemen. Check bij het proces voor het opsporen en verhelpen van kwetsbaarheden of je daar al iets voor hebt lopen — vaak wel, ook zonder dat het "pentest" heet. Als je dossier dat bewijsstuk niet heeft, stelt het systeem geen "ja" voor: je krijgt dan een vraag met een leeg antwoord, en je beslist zelf of je "nee" invult of eerst een scan laat draaien. Sommige klanten accepteren een toezegging ("wordt in Q-zoveel gepland") als tussenantwoord; dat weet je pas na indienen bij hun portaal.

Waar dit op stoelt: artikel 21 lid 2 en Annex A

De verplichting tot periodieke toetsing volgt uit artikel 21 lid 2 van Richtlijn (EU) 2022/2555, dat "beleid en procedures voor de beoordeling van de doeltreffendheid van cyberbeveiligingsrisicobeheersmaatregelen" als één van de tien maatregelen noemt, naast — niet in plaats van — kwetsbaarhedenbeheer. ISO/IEC 27001 Annex A werkt dit uit in beheersmaatregelen rond technische kwetsbaarheden en beoordeling, zonder een pentest als verplicht instrument te benoemen. Of je organisatie zelf onder de directe NIS2-verplichtingen valt, hangt af van sector en omvang — dat bepaal je los van deze vraag, bijvoorbeeld via de vraag of de onderneming zelf onder NIS2 valt.