vragenlijst vraagt of we een penetratietest hebben uitgevoerd

Pentest is bewijs, geen losstaande eis

Een pentest — een penetratietest, waarbij iemand actief probeert in te breken in een systeem — staat in geen van de tien maatregelen van artikel 21 lid 2 als apart verplicht element. De vraag komt meestal uit de maatregel over risicobeheer en kwetsbaarheden: de klant wil weten of je test of je beveiliging in de praktijk standhoudt, niet alleen op papier. Hetzelfde geldt bij ISO/IEC 27001: Annex A noemt geen verplichte pentest, maar wel technische kwetsbaarheidsbeheersing, en een pentest is daarvan de meest concrete invulling die auditors herkennen.

Heb je nooit een pentest laten uitvoeren, dan is "nee" het juiste antwoord — een "ja" voorstellen zonder rapport is niet te onderbouwen. Veel bedrijven vullen dit in met wat ze wél hebben: een kwetsbaarhedenscan, een externe audit, of een lopend proces voor het opsporen en verhelpen van kwetsbaarheden. Dat is niet hetzelfde als een pentest, maar het laat zien dat er wel iets staat. Of je dat verschil toelicht bij de klant, is aan jou; het antwoordveld zelf blijft feitelijk. Heb je wél een pentest gedaan, dan is het rapport — of een samenvatting ervan — het bewijsstuk dat bij een "ja" past, eventueel met de vertrouwelijkheidsknop als je de details niet wilt delen.

Waar dit vandaan komt: artikel 21 en Annex A

Artikel 21 lid 2 van Richtlijn (EU) 2022/2555 noemt kwetsbaarheidsbeheer en de beoordeling van de doeltreffendheid van maatregelen als verplichte onderdelen, zonder een pentest als methode voor te schrijven. De Cyberbeveiligingswet neemt deze verplichting over zodra die in werking treedt. ISO/IEC 27001 Annex A werkt dit verder uit onder de beheersmaatregelen voor technisch kwetsbaarhedenbeheer, waar een pentest als gangbare praktijk onder valt. Wie kan aantonen dat de doeltreffendheid van de beveiligingsmaatregelen periodiek getoetst wordt, heeft vaak al een deel van het antwoord staan, ook zonder dat het woord pentest in het eigen dossier voorkomt.