client întreabă dacă am lăsat să se efectueze un test de penetrare ce spun

Pentest se încadrează în testare, nu într-o rubrică separată

O pentest (test de penetrare) este o modalitate de a demonstra că măsurile de securitate funcționează — nu o cerință separată. Întrebarea se referă la punctul mai larg privind testarea periodică a eficacității măsurilor. Dacă ai efectuat o pentest în cursul anului trecut printr-o parte externă, răspunzi da și furnizezi raportul sau rezumatul pentru conducere ca document de justificare. Unii clienți doresc doar să vadă data și domeniul de aplicare al testului, nu vulnerabilitățile identificate în sine — pentru aceasta poți utiliza butonul de confidențialitate din portal, dacă această opțiune este disponibilă.

Dacă nu ai efectuat o pentest, atunci "nu" este răspunsul corect — nu "da" cu o referire la altceva. O scanare a vulnerabilităților, o revizuire internă a codului sau certificarea ISO 27001 nu sunt înlocuitori pentru o pentest, chiar dacă se referă la același subiect. Dacă identifici și remediezi în mod structurat vulnerabilitățile pe alt cale, poți detalia acest lucru în câmpul de text liber, dar aceasta este o completare, nu un "da" de înlocuire la întrebarea pentest în sine. Dacă îți îndoiești că raportul tău de testare este suficient de recent pentru a fi valabil, alegerea cea mai sigură este să menționezi acest lucru în explicații în loc să-l omiti.

De unde vine asta: articolul 21 alineatul 2 și Anexa A

Articolul 21 alineatul (2) din Directiva NIS2 (Directiva (UE) 2022/2555) menționează în mod explicit printre cele zece măsuri testarea și evaluarea eficacității măsurilor de securitate cibernetică; o pentest este cea mai concretă formă de punere în aplicare a acesteia. ISO/IEC 27001 Anexa A leagă aceasta de controlul de gestionare a vulnerabilităților tehnice și evaluarea independentă a securității informațiilor. Legea de securitate cibernetică, transpunerea națională olandeză a NIS2 care intră în vigoare la 15 august 2026, stabilește această obligație pentru entitățile care se încadrează sub lege — întreabă deci dacă organizația în sine se încadrează sub NIS2 sau transpunerea națională pentru a înțelege de ce această întrebare se află în primul rând pe listă.