i enkäten frågas det om vi har låtit genomföra ett penetrationstester

Pentest är bevis vid granskning, inte ett separat krav

Ett penetrationstestrapport står inte som ett fristående krav i artikel 21 stycke 2 NIS2. Frågan hör till åtgärd (f): policyer och procedurer för att bedöma effektiviteten av säkerhetsåtgärder. Ett pentest är ett sätt att testa detta på, tillsammans med till exempel en sårbarhetsöverscan eller en intern revision. Om kunden specifikt frågar om ett pentest vill han vanligtvis veta om det någon gång har gjorts oberoende kontroll för att verifiera att de tekniska åtgärderna faktiskt fungerar, inte bara på papperet.

Om du har låtit utföra ett pentest är rapporten (eller en sammanfattning med datum, omfattning och åtgärdande av fynd) bevisdokumentet. Om du inte har det är "nej" det ärliga svaret — det är inte en automatisk avslag, särskilt inte för mindre leverantörer utan obligatorisk tillämplig enhetsstatus enligt direktivet. Viktigare än ordet "pentest" är om du kan visa att du utvärderar cybersäkerhetsmåtregornas effektivitet på regelbunden basis på ett annat sätt, och om det är kopplat till en pågående processen för att upptäcka och åtgärda säkerhetsbristerna. Fyll därför inte i "ja" när det saknas en rapport, inte heller om du någon gång har kört en scan — en scan och ett pentest är i de flesta frågelistor helt enkelt olika saker.

Källan till detta: artikel 21 stycke 2 och ISO 27001

Artikel 21 stycke 2 i direktiv (EU) 2022/2555 nämner under punkt (f) "policyer och procedurer för bedömning av effektiviteten hos åtgärder inom ramen för cybersäkerhetsbehov" som en av tio obligatoriska åtgärder; ett pentest faller under detta som granskningsmetod men nämns inte vid namn. ISO/IEC 27001 Annex A utvecklar detta vidare i kontrollátsningar kring tekniska sårbarheter och oberoende bedömning av informationssäkerhet, där penetrationstester är vanlig praxis men inte heller är obligatorisk. Cybersäkerhetslagens, den nederländska genomförandet av NIS2, träder i kraft den 15 augusti 2026 och kommer att innehålla samma tio åtgärder; fram till dess är direktivet själv ramen att hålla sig till.