klant vraagt of we een penetratietest hebben laten uitvoeren wat zeg ik

Pentest valt onder toetsing, niet onder een apart vakje

Een pentest (penetratietest) is één manier om aan te tonen dat de beveiliging werkt — geen losstaande eis. De vraag hoort bij het bredere punt over periodieke toetsing van de doeltreffendheid van maatregelen. Heb je het afgelopen jaar een pentest laten uitvoeren door een externe partij, dan antwoord je ja en lever je het rapport of de managementsamenvatting aan als bewijsstuk. Sommige klanten willen alleen de datum en de scope van de test zien, niet de gevonden kwetsbaarheden zelf — daarvoor kun je in het portaal de vertrouwelijkheidsknop gebruiken als die optie er is.

Heb je geen pentest laten doen, dan is "nee" het juiste antwoord — niet "ja" met een verwijzing naar iets anders. Een kwetsbaarhedenscan, een interne code-review of ISO 27001-certificering zijn geen vervanging voor een pentest, ook al raken ze hetzelfde onderwerp. Als je wél structureel kwetsbaarheden opspoort en verhelpt via andere weg, kun je dat toelichten in het vrije tekstveld, maar dat is een aanvulling, niet een vervangend "ja" op de pentest-vraag zelf. Twijfel je of jouw testrapport oud genoeg is om nog te gelden, dan is de veiligste keuze om dat te vermelden in de toelichting in plaats van het weg te laten.

Waar dit vandaan komt: artikel 21 lid 2 en Annex A

Artikel 21 lid 2 van de NIS2-richtlijn (Richtlijn (EU) 2022/2555) noemt onder de tien maatregelen expliciet het testen en beoordelen van de doeltreffendheid van cyberbeveiligingsmaatregelen; een pentest is daarvan de meest concrete uitvoeringsvorm. ISO/IEC 27001 Annex A koppelt dit aan de beheersmaatregel rond technische kwetsbaarhedenbeheer en onafhankelijke beoordeling van informatiebeveiliging. De Cyberbeveiligingswet, de Nederlandse omzetting van NIS2 die op 15 augustus 2026 in werking treedt, legt deze verplichting neer voor entiteiten die onder de wet vallen — vraag je klant vertegenwoordigt dus mogelijk zo'n verplichte partij, en test daarom of de onderneming zelf onder NIS2 of de nationale omzetting valt om te begrijpen waarom deze vraag überhaupt op de lijst staat.