kunde spørger, om vi har gennemført en pentest, hvad skal jeg svare

Pentestrapport er bevis, ikke et løsrevet krav

En pentest — en penetrationstest, hvor nogen aktivt forsøger at bryde ind i dine systemer — er ikke specificeret som et særskilt obligatorisk dokument i artikel 21, stk. 2 i NIS2. Dit kundes spørgsmål falder under foranstaltningen vedrørende test og vurdering af cybersikkerhedsforanstaltningers effektivitet, og en pentestrapport er det mest konkrete bevisstykke, der findes til dette formål. Hvis du har en, er svaret normalt ja. Hvis du aldrig har fået udfører en pentest, er svaret nej — og det er i sig selv ikke noget problem, så længe du kan dokumentere andre steder, at du regelmæssigt kontrollerer sikkerhedsforanstaltningers effektivitetfor eksempel gennem interne revisioner eller sårbarhedsskannninger.

Vær opmærksom på, hvad der præcist spørges til ved udfyldelsen: en pentestrapport som sådan, eller kun bekræftelsen af, at der er udført tests. Nogle portaler anmoder om rapporten som vedhæftelse — det er et andet spørgsmål end et ja/nej-spørgsmål, og rapporter indeholder ofte følsomme tekniske detaljer. Til det formål findes fortrolighedsknappen: du bestemmer selv, om og med hvem du deler hele dokumentet, uafhængigt af, om svaret er ja eller nej. Hvis du har haft en pentest, men mangler linket til opfølgning på fundne sårbarheder, skal du også kontrollere, om din proces for identifikation og afhjælpning af sårbarheder allerede er omfattet heraf — mange kunder spørger nemlig efter det i samme afsnit.

Hvor det følger af ISO 27001 og NIS2

Bilag A til ISO/IEC 27001 har ikke et særskilt kontrolpunkt "pentest", men kontrolforanstaltningerne om håndtering af tekniske sårbarheder og om uafhængig vurdering af informationssikkerhed understøttes i praksis ofte med pentestresultater. NIS2, artikel 21, stk. 2, nævner blandt de ti foranstaltninger både test og vurdering af politikker og håndtering af sårbarheder og deres offentliggørelse som separate elementer — en pentestrapport tjener normalt som bevis for den første, og opfølgningen på den anden.