Im Fragebogen wird gefragt, ob wir einen Penetrationstest durchführen lassen haben

Pentest ist Nachweis bei der Prüfung, keine separate Anforderung

Ein Penetrationstest ist nicht als eigenständige Verpflichtung in Artikel 21 Absatz 2 NIS2 festgelegt. Die Frage gehört zu Maßnahme (f): die Richtlinien und Verfahren zur Bewertung der Wirksamkeit der Sicherheitsmaßnahmen. Ein Pentest ist eine Möglichkeit, dies zu prüfen, neben beispielsweise einem Schwachstellen-Scan oder einer internen Revision. Wenn der Kunde speziell nach einem Pentest fragt, möchte er üblicherweise wissen, ob die technischen Maßnahmen jemals unabhängig überprüft wurden und ob sie wirklich funktionieren, nicht nur auf dem Papier.

Hast du einen Penetrationstest durchführen lassen, dann ist der Bericht (oder eine Zusammenfassung mit Datum, Umfang und Behebung der Feststellungen) das Beweismittel. Hast du das nicht, dann ist "nein" die ehrliche Antwort — das ist keine automatische Ablehnung, besonders nicht bei kleineren Lieferanten ohne erforderlichen anwendbaren Einheitenstatus gemäß der Richtlinie. Wichtiger als das Wort "Pentest" ist, ob du nachweisen kannst, dass du die Wirksamkeit der Sicherheitsmaßnahmen regelmäßig überprüfst auf andere Weise vorgehst und ob dies mit einem laufenden Prozess zur Erkennung und Behebung von Schwachstellenzusammenhängt. Fülle also nicht "ja" aus, wenn ein Bericht fehlt, auch nicht, wenn du schon einmal einen Scan durchgeführt hast — ein Scan und ein Pentest sind in den meisten Fragebögen ausdrücklich unterschiedliche Dinge.

Woher das kommt: Artikel 21 Absatz 2 und ISO 27001

Artikel 21 Absatz 2 der Richtlinie (EU) 2022/2555 nennt unter Punkt (f) die "Richtlinien und Verfahren zur Bewertung der Wirksamkeit von Maßnahmen im Bereich der Cybersicherheitsrisikomanagement" als eine der zehn erforderlichen Maßnahmen; ein Pentest fällt darunter als Prüfmethode, wird aber nicht namentlich genannt. ISO/IEC 27001 Anhang A konkretisiert dies weiter in den Kontrollmaßnahmen rund um technische Schwachstellen und unabhängige Bewertung der Informationssicherheit, bei denen Penetrationstests als Praxis üblich sind, aber ebenfalls nicht verpflichtend vorgeschrieben werden. Das Cybersicherheitsgesetz, die niederländische Umsetzung von NIS2, tritt am 15. August 2026 in Kraft und wird die gleichen zehn Maßnahmen enthalten; bis dahin ist die Richtlinie selbst der maßgebliche Rahmen.