klant vraagt of wij recent een penetratietest hebben laten uitvoeren

Pentest is bewijs voor toetsing, geen apart criterium

Een penetratietest is een van de manieren om aan te tonen dat de beveiliging periodiek getoetst wordt, niet een losstaande eis op zichzelf. Artikel 21 lid 2 NIS2 noemt onder punt f "beleid en procedures om de doeltreffendheid van maatregelen te beoordelen", en een pentest is daar één invulling van naast bijvoorbeeld een kwetsbaarhedenscan of een interne audit. Als de vraag letterlijk naar een pentest vraagt, mag je dus met "ja" antwoorden zodra je een testrapport hebt, ongeacht hoe de rest van je toetsingsproces eruitziet.

Heb je geen pentest laten uitvoeren maar wel andere vormen van toetsing — een externe security-audit, ISO 27001-certificering met de bijbehorende interne audits, of een geautomatiseerde scan — dan is "nee" op de letterlijke vraag het juiste antwoord, met eventueel een toelichting over de alternatieve toetsing in het vrije-tekstveld als dat veld er is. Vul geen "ja" in omdat je "iets aan toetsing doet"; de vraag is specifiek genoeg om als los feit te behandelen. Dit onderwerp raakt ook de vraag of de doeltreffendheid van maatregelen periodiek getoetst wordt, en vaak ook het proces voor het opsporen en verhelpen van kwetsbaarheden, omdat pentests en kwetsbaarhedenscans in de praktijk vaak door elkaar heen gevraagd worden terwijl het twee verschillende maatregelen zijn.

Waar dit staat: artikel 21 lid 2 sub f, Annex A

Artikel 21 lid 2 sub f van Richtlijn (EU) 2022/2555 verplicht "beleid en procedures om de doeltreffendheid van cyberbeveiligingsrisicobeheersmaatregelen te beoordelen", zonder een pentest specifiek voor te schrijven. ISO/IEC 27001 Annex A werkt dit verder uit in de beheersmaatregelen rond technische kwetsbaarheden en beoordeling van informatiebeveiliging, waar een pentest als praktijkinvulling past maar niet als verplicht instrument genoemd wordt. De Cyberbeveiligingswet neemt deze eis over zodra die in werking treedt, zonder daar naar verwachting een concreet testtype aan te koppelen.