Kunde möchte wissen, wie oft wir unsere Systeme testen lassen

Keine vorgegebene Häufigkeit

Es ist keine Zahl im Gesetzeswortlaut angegeben. Artikel 21 Absatz 2 NIS2 nennt unter Buchstabe f "Richtlinien und Verfahren zur Bewertung der Wirksamkeit von Maßnahmen zur Verwaltung von Cybersicherheitsrisiken" — ein Pentest ist die konkreteste Ausgestaltung davon, aber wie oft dieser durchgeführt werden muss, bleibt in der Richtlinie offen. Auch das Cybersicherheitsgesetz, das diesen Artikel demnächst in deutsches Recht umsetzt, wird dort nach Erwartung kein festes Intervall hinzufügen. Der Fragebogen deines Kunden füllt diese Lücke selbst: viele Formate fragen konkret nach "mindestens jährlich" oder "bei wesentlichen Änderungen", aber das ist die Norm dieses Kunden, nicht die der Verordnung.

Was du in der Praxis ausfüllen kannst, ist also dein eigenes Tempo, kein vorgegebenes Tempo. Testest du jährlich, nach jedem großen Release oder nur ad hoc nach einem Vorfall? Diese Antwort steht normalerweise mit Datum und Umfang des letzten Tests als separates Dokument im Kettendossier — suche nach dem Pentestraport oder dessen Managementzusammenfassung. Hast du noch keine feste Häufigkeit, dann ist "ad hoc, zuletzt durchgeführt am [Datum]" eine ehrlichere Antwort als eine Häufigkeit zu erfinden, die du nicht einhältst. Diese Frage gehört oft in denselben Block wie dem Prozess zur Erkennung und Behebung von Schwachstellen — ein Pentest ist eine Möglichkeit, um Schwachstellen zu finden, Scans und Patch-Richtlinien sind die anderen.

ISO 27001 als indirekter Anhaltspunkt

Wer ISO 27001-zertifiziert ist, hat über die Maßnahmen in Annex A in der Regel bereits eine interne Richtlinie für regelmäßige Überprüfungen festgelegt, einschließlich der Häufigkeit, die die Organisation selbst bei der Risikobewertung gewählt hat. Das macht die Frage nach dem ISO 27001-Zertifikat relevant als zugrundeliegendes Nachweispapier: nicht weil das Zertifikat eine Pentest-Häufigkeit vorschreibt, sondern weil es nachweist, dass es eine festgelegte Überprüfungsrichtlinie gibt, aus der diese Häufigkeit abgeleitet werden kann.