cliente pergunta se realizamos um teste de penetração, o que devo responder

Relatório de pentest é prova, não um requisito isolado

Um pentest — um teste de penetração, em que alguém tenta ativamente invadir seus sistemas — não está listado em nenhum lugar como um documento obrigatório separado no artigo 21.º, n.º 2 da NIS2. A pergunta do seu cliente enquadra-se na medida sobre testes e avaliação da eficácia das medidas de cibersegurança, e um relatório de pentest é o documento probatório mais concreto que existe para isso. Se tem um, a resposta é geralmente sim. Se nunca realizou um pentest, a resposta é não — e isso por si só não é um problema, desde que possa demonstrar noutro local que avalia periodicamente a eficácia das medidas de segurança, por exemplo, com auditorias internas ou análises de vulnerabilidades.

Tenha atenção no preenchimento ao que é exatamente solicitado: um relatório de pentest em si, ou apenas a confirmação de que foram realizados testes. Alguns portais pedem o relatório como anexo — este é um pedido diferente de uma pergunta sim/não, e os relatórios frequentemente contêm detalhes técnicos sensíveis. Para isso existe o botão de confidencialidade: você decide por si próprio se e com quem partilha o documento completo, independentemente de a resposta ser sim ou não. Se teve um pentest, mas falta a ligação entre este e o seguimento das vulnerabilidades encontradas, verifique também se seu processo de detecção e correção de vulnerabilidades já está incluído — muitos clientes fazem essa pergunta na mesma secção.

Onde isso decorre da ISO 27001 e da NIS2

O Anexo A da ISO/IEC 27001 não tem um ponto de controlo separado para "pentest", mas as medidas de controlo sobre gestão técnica de vulnerabilidades e avaliação independente da segurança da informação são frequentemente apoiadas, na prática, por resultados de pentest. A NIS2, artigo 21.º, n.º 2, enumera entre as dez medidas tanto testes e avaliação da política como gestão de vulnerabilidades e sua divulgação como componentes separados — um relatório de pentest geralmente serve como prova da primeira, e o seu seguimento da segunda.