kunde spørger, om vi for nylig har ladet en penetrationstest udføre

Pentest er bevis for test, ikke et selvstændigt kriterium

En penetrationstest er en af måderne til at påvise, at sikkerheden testes periodisk, ikke et selvstændigt krav i sig selv. Artikel 21 stk. 2 NIS2 nævner under punkt f "politikker og procedurer til vurdering af effektiviteten af foranstaltninger", og en pentest er én implementering heraf sammen med f.eks. en sårbarhedsscan eller en intern revision. Hvis spørgsmålet ordret spørger efter en pentest, må du således svare "ja" så snart du har en testrappport, uanset hvordan resten af din testproces ser ud.

Hvis du ikke har udført en pentest, men har andre former for test — en ekstern sikkerhedsrevision, ISO 27001-certificering med tilhørende interne revisioner, eller en automatiseret scan — er "nej" til det ordrete spørgsmål det korrekte svar, eventuelt med en forklaring af alternativ test i fritekstfeltet, hvis dette felt er til stede. Udfyld ikke "ja", fordi du "laver noget med test"; spørgsmålet er specifikt nok til at behandles som et selvstændigt faktum. Dette emne vedrører også spørgsmålet om foranstaltningernes effektivitet testes periodisk, og ofte også processen for identificering og udbedring af sårbarheder, fordi pentests og sårbarhedsscans i praksis ofte spørges om samtidigt, selv om det er to forskellige foranstaltninger.

Hvor dette findes: artikel 21 stk. 2 litra f, Bilag A

Artikel 21 stk. 2 litra f i Direktiv (EU) 2022/2555 forpligter til "politikker og procedurer til vurdering af effektiviteten af cybersikkerhedsrisikostyringsforanstaltninger", uden at foreskrive en pentest specifikt. ISO/IEC 27001 Bilag A udvikler dette videre i kontrolforanstaltninger omkring tekniske sårbarheder og vurdering af informationssikkerhed, hvor en pentest passer som praktisk implementering, men ikke nævnes som obligatorisk instrument. Cybersikkerhedsloven overtager dette krav, når den træder i kraft, uden efter sigende at knytte en konkret testtype dertil.