Kunde fragt, ob wir einen Penetrationstest durchgeführt haben, was sage ich

Pentest fällt unter Tests, nicht unter ein separates Feld

Ein Pentest (Penetrationtest) ist eine Möglichkeit, nachzuweisen, dass die Sicherheitsmaßnahmen funktionieren – keine eigenständige Anforderung. Die Frage gehört zu dem breiteren Punkt über periodische Überprüfung der Wirksamkeit von Maßnahmen. Hast du im vergangenen Jahr einen Pentest von einer externen Partei durchführen lassen, antwortest du mit ja und stellst den Prüfbericht oder die Managementzusammenfassung als Beweismittel bereit. Einige Kunden möchten nur das Datum und den Umfang des Tests sehen, nicht die gefundenen Schwachstellen selbst – dafür kannst du im Portal die Vertraulichkeitsschaltfläche verwenden, falls diese Option vorhanden ist.

Hast du keinen Pentest durchführen lassen, ist "nein" die richtige Antwort – nicht "ja" mit einem Verweis auf etwas anderes. Ein Schwachstellenscan, eine interne Code-Überprüfung oder ISO-27001-Zertifizierung sind kein Ersatz für einen Pentest, auch wenn sie das gleiche Thema betreffen. Falls du allerdings strukturell Schwachstellen identifizierst und behebst auf anderem Weg, kannst du das im Freitextfeld erläutern, aber das ist eine Ergänzung, nicht ein ersetzendes "ja" auf die Pentest-Frage selbst. Bist du dir unsicher, ob dein Testbericht alt genug ist, um noch zu gelten, ist die sicherste Wahl, dies in der Erläuterung zu erwähnen, anstatt es wegzulassen.

Woher das kommt: Artikel 21 Absatz 2 und Anlage A

Artikel 21 Absatz 2 der NIS-2-Richtlinie (Richtlinie (EU) 2022/2555) nennt unter den zehn Maßnahmen explizit das Testen und Bewerten der Wirksamkeit von Cybersicherheitsmaßnahmen; ein Pentest ist die konkreteste Ausführungsform davon. ISO/IEC 27001 Annex A verknüpft dies mit der Kontrollmaßnahme rund um das technische Schwachstellenmanagement und die unabhängige Bewertung der Informationssicherheit. Das Cybersicherheitsgesetz, die niederländische Umsetzung von NIS2, das am 15. August 2026 in Kraft tritt, legt diese Verpflichtung für Stellen fest, die unter das Gesetz fallen – prüfe daher, ob das Unternehmen selbst unter NIS2 oder die nationale Umsetzung fällt um zu verstehen, warum diese Frage überhaupt auf der Liste steht.