Der Kunde fragt nach den Ergebnissen unseres letzten Penetrationstests, müssen wir diese angeben

Bericht selbst nicht teilen, Ergebnis aber bestätigen

Nein, in der Regel geben Sie den Penetrationstestbericht nicht eins zu eins an den Kunden weiter. Was Ihr Kunde verlangt, ist der Nachweis, dass Sie Schwachstellen erkennen und beheben, nicht die technischen Details, wie jemand einmal eindringen konnte. Ein Bericht mit genauen Erkenntnissen, IP-Bereichen und Exploit-Pfaden ist für den Kunden selbst ein Risiko: Je mehr Parteien dieses Dokument haben, desto größer ist die Gefahr, dass es in falsche Hände gerät. Der übliche Ansatz ist eine zusammenfassende Antwort: wann der letzte Test durchgeführt wurde, von wem (intern oder extern), ob es kritische Erkenntnisse gab, und ob diese behoben wurden. Dies entspricht dem Prozess zur Erkennung und Behebung von Schwachstellen — dies wird häufig als separater Punkt abgefragt, und die Penetrationstestfrage ist praktisch eine spezifische Form davon.

Möchte der Kunde dennoch mehr Details, kann dies über eine Management Summary ohne technische Exploit-Details erfolgen, oder über eine Erklärung des Testanbieters. Falls kein aktueller Penetrationsttest durchgeführt wurde, ist die ehrlichste Antwort, dies zu sagen — keinen Test erfinden, der nicht vorhanden ist. Falls Sie unsicher sind, ob etwas sensibel genug ist, um nicht weiterzugeben, nutzen Sie stattdessen die Vertraulichtsschaltfläche in Ihrer Akte und überlassen Sie nicht selbst zu bestimmen, was geteilt wird und was nicht.

Woher das kommt: Artikel 21 Absatz 2 und Anlage A

Artikel 21 Absatz 2 der NIS2-Richtlinie erwähnt unter den zehn Maßnahmen explizit Richtlinien und Verfahren zur Bewertung der Wirksamkeit von Cybersicherheitsmaßnahmen — ein Penetrationsttest ist eine übliche Ausgestaltung davon, nicht die einzige. ISO/IEC 27001 konkretisiert dies in Anlage A durch Kontrollmaßnahmen zur Verwaltung technischer Schwachstellen. Keine dieser Quellen verpflichtet dazu, einen vollständigen Testbericht mit einem Kunden oder Kettenpartner zu teilen; sie verlangen, dass das Unternehmen nachweist, dass es testet und folgt. Für diejenigen, die feststellen müssen, ob dieses Kapitel überhaupt anwendbar ist, gilt die Frage, ob das Unternehmen selbst unter die NIS2-Richtlinie oder deren nationale Umsetzung fällt.