mijn verzekeraar wil een pentestrapport zien, wat moet ik aanleveren

Wat een verzekeraar met "pentestrapport" bedoelt

Meestal vraagt de verzekeraar niet om het volledige technische rapport, maar om een samenvatting: welke scope is getest, wanneer, door wie, en wat waren de bevindingen op hoog en middel niveau. Een executive summary met datum, testbureau en de status van de opvolging is in de praktijk vaak genoeg. Het volledige rapport met exploit-details stuur je alleen als daar specifiek om gevraagd wordt, en dan is het verstandig om te bekijken wat je via de vertrouwelijkheidsknop afschermt — een verzekeraar heeft belang bij de conclusie, niet bij de technische kwetsbaarheden zelf.

Heb je geen pentest laten uitvoeren, dan is "nee, nog niet gepland" een eerlijker antwoord dan het veld leeg laten of een oud rapport van een ander systeem opsturen. Veel verzekeraars vragen dit als onderdeel van een breder beeld over een proces voor het opsporen en verhelpen van kwetsbaarheden: een pentest is daar één bewijsstuk van, niet het hele antwoord. Ontbreekt de pentest, dan valt vaak nog wel te laten zien of er scans, patchbeleid of een ander opsporingsproces draait — dat weegt mee, ook zonder testrapport.

Waar dit vandaan komt: artikel 21 lid 2 en Annex A

Een pentest zelf staat niet als losse verplichting in artikel 21 lid 2 van de NIS2-richtlijn; die noemt tien categorieën maatregelen, waaronder handling van kwetsbaarheden en de beoordeling van de doeltreffendheid van maatregelen. Een pentest is één manier om die doeltreffendheid aan te tonen, naast bijvoorbeeld een interne audit — zie ook of de doeltreffendheid van de beveiligingsmaatregelen periodiek getoetst wordt. In ISO/IEC 27001 Annex A komt penetratietesten evenmin als apart controlepunt voor; het valt onder de beheersmaatregelen voor technische kwetsbaarheden. Verzekeraars vragen er los van deze regelgeving vaak toch naar, als eigen risico-indicator naast de wettelijke of normatieve eisen — dat is een verzekeringspraktijk, geen wettelijke verplichting uit NIS2 of de Cyberbeveiligingswet.