Kunde fragt, ob wir einen Pentest durchführen lassen haben, was sollte ich antworten

Penetrationstestbericht ist Beweis, keine isolierte Anforderung

Ein Penetrationstestbericht — ein Penetrationstest, bei dem jemand aktiv versucht, in deine Systeme einzudringen — ist an keiner Stelle als separates Pflichtdokument in Artikel 21 Absatz 2 der NIS2 aufgeführt. Die Anfrage deines Kunden fällt unter die Maßnahme zum Testen und Bewerten der Wirksamkeit von Cybersicherheitsmaßnahmen, und ein Penetrationstestbericht ist dafür das konkreteste Beweismittel, das es gibt. Hast du einen, ist die Antwort meist ja. Hast du noch nie einen Penetrationstest durchführen lassen, ist die Antwort nein — und das ist an sich kein Problem, solange du anderswo nachweisen kannst, dass du die Wirksamkeit der Sicherheitsmaßnahmen regelmäßig überprüfst, zum Beispiel mit internen Audits oder Schwachstellenscans.

Achte beim Ausfüllen darauf, was genau gefragt wird: ein Penetrationstestbericht selbst oder nur die Bestätigung, dass getestet wird. Einige Portale fordern den Bericht als Anlage an — das ist eine andere Anfrage als eine Ja/Nein-Frage, und Berichte enthalten oft sensible technische Details. Dafür gibt es die Vertraulichkeitsschaltfläche: du bestimmst selbst, ob und mit wem du das vollständige Dokument teilst, unabhängig davon, ob die Antwort ja oder nein ist. Hast du einen Penetrationstest durchführen lassen, aber es fehlt die Verknüpfung mit der Behebung gefundener Schwachstellen, prüfe dann auch, ob dein Prozess zur Erkennung und Behebung von Schwachstellen bereits dazugehört — viele Kunden fragen das nämlich im gleichen Bereich.

Woraus sich das aus ISO 27001 und NIS2 ergibt

Annex A der ISO/IEC 27001 kennt keinen separaten Kontrollpunkt "Penetrationstest", aber die Kontrollmaßnahmen zum technischen Schwachstellenmanagement und zur unabhängigen Bewertung der Informationssicherheit werden in der Praxis oft mit Penetrationstestergebnissen untermauert. NIS2, Artikel 21 Absatz 2, führt unter den zehn Maßnahmen sowohl das Testen und Bewerten von Richtlinien als auch das Schwachstellenmanagement und deren Offenlegung als separate Elemente auf — ein Penetrationstestbericht dient üblicherweise als Beweis für die erste, und dessen Verfolgung für die zweite.