w ankiecie pyta się, czy przeprowadziliśmy test penetracyjny

Pentest jest dowodem podczas testowania, a nie oddzielnym wymogiem

Test penetracyjny nie jest wymieniony jako samodzielny obowiązek w artykule 21 ust. 2 NIS2. Pytanie dotyczy miary (f): polityki i procedur oceny skuteczności środków bezpieczeństwa. Pentest jest jednym ze sposobów takiej oceny, obok na przykład skanowania podatności lub audytu wewnętrznego. Jeśli klient konkretnie prosi o pentest, zwykle chce wiedzieć, czy kiedykolwiek niezależnie sprawdzono, czy środki techniczne rzeczywiście działają, nie tylko na papierze.

Jeśli przeprowadziłeś pentest, raport (lub streszczenie zawierające datę, zakres i obsługę ustaleń) stanowi dowód. Jeśli tego nie masz, "nie" jest uczciwą odpowiedzią — to nie jest automatyczną odmową, szczególnie w przypadku mniejszych dostawców bez obowiązkowego statusu podmiotu stosującego dyrektywę. Ważniejsze niż słowo "pentest" jest to, czy możesz wykazać, że okresowo poddajesz skuteczność środków bezpieczeństwa badaniu w inny sposób i czy wiąże się to z trwającym proces wykrywania i usuwania luk. Dlatego nie wypełniaj "tak" w przypadku braku raportu, nawet jeśli kiedyś uruchomiłeś skan — w większości list kontrolnych skan i pentest to wyraźnie różne rzeczy.

Skąd to pochodzi: artykuł 21 ust. 2 i norma ISO 27001

Artykuł 21 ust. 2 Dyrektywy (UE) 2022/2555 wymienia w punkcie (f) "polityki i procedury oceny skuteczności środków zarządzania ryzykiem cyberbezpieczeństwa" jako jeden z dziesięciu obowiązkowych środków; pentest podlega tutaj jako metoda testowania, ale nie jest wymieniony z nazwy. Norma ISO/IEC 27001 Załącznik A rozwija to dalej w środkach kontrolnych dotyczących podatności technicznych i niezależnej oceny bezpieczeństwa informacji, w których pentesty jako praktyka są powszechne, ale również nie są ustawowo wymagane. Ustawa o cyberbezpieczeństwie, polski dokument transpozycyjny NIS2, wchodzi w życie 15 sierpnia 2026 r. i będzie zawierać te same dziesięć środków; do tego dnia sama dyrektywa stanowi obowiązujące ramy.