Mein Versicherer möchte einen Pentestraport sehen, was muss ich bereitstellen

Was ein Versicherer mit "Penetrationstestbericht" meint

In der Regel fordert der Versicherer nicht den vollständigen technischen Bericht an, sondern eine Zusammenfassung: Welcher Umfang wurde getestet, wann, von wem, und welche Erkenntnisse gab es auf hoher und mittlerer Ebene. Eine Executive Summary mit Datum, Testunternehmen und dem Status der Verfolgung ist in der Praxis oft ausreichend. Den vollständigen Bericht mit Exploit-Details senden Sie nur, wenn dies ausdrücklich angefordert wird, und dann ist es ratsam zu prüfen, was Sie über die Vertraulichlichkeitsschaltfläche abschirmen — ein Versicherer hat Interesse an der Schlussfolgerung, nicht an den technischen Schwachstellen selbst.

Hast du keinen Penetrationstest durchführen lassen, dann ist "nein, noch nicht geplant" eine ehrlichere Antwort, als das Feld leer zu lassen oder einen alten Bericht eines anderen Systems hochzuladen. Viele Versicherer fragen dies als Teil eines umfassenderen Bildes über einen Prozess zur Erkennung und Behebung von Schwachstellen: Ein Penetrationstest ist dort ein Beweismittel von vielen, nicht die ganze Antwort. Fehlt der Penetrationstest, kann oft dennoch nachgewiesen werden, dass Scans, Patch-Richtlinien oder ein anderes Erkennungsverfahren läuft — das wiegt auch ohne Testbericht mit auf.

Woher das kommt: Artikel 21 Absatz 2 und Anlage A

Ein Penetrationstest selbst ist nicht als separate Verpflichtung in Artikel 21 Absatz 2 der NIS2-Richtlinie aufgeführt; diese nennt zehn Kategorien von Maßnahmen, darunter der Umgang mit Schwachstellen und die Bewertung der Wirksamkeit von Maßnahmen. Ein Penetrationstest ist eine Möglichkeit, diese Wirksamkeit nachzuweisen, neben beispielsweise einer internen Revision — siehe auch oder ob die Wirksamkeit der Sicherheitsmaßnahmen regelmäßig überprüft wird. In ISO/IEC 27001 Annex A kommen Penetrationstests ebenfalls nicht als separater Kontrollpunkt vor; sie fallen unter die Beherrschungsmaßnahmen für technische Schwachstellen. Versicherer fragen danach losgelöst von dieser Regelgebung oft trotzdem, als eigenen Risikoindikator neben den gesetzlichen oder normativen Anforderungen — das ist eine Versicherungspraxis, keine gesetzliche Verpflichtung aus NIS2 oder dem Cybergesetzbuch.