Kunde fragt, ob wir kürzlich einen Penetrationstest durchführen lassen haben

Pentest ist ein Nachweis für Tests, kein eigenständiges Kriterium

Ein Penetrationstest ist eine der Möglichkeiten, um nachzuweisen, dass die Sicherheit regelmäßig überprüft wird, nicht eine eigenständige Anforderung für sich. Artikel 21 Absatz 2 NIS2 nennt unter Punkt f "Richtlinien und Verfahren zur Bewertung der Wirksamkeit von Maßnahmen", und ein Pentest ist eine Ausfüllung davon neben beispielsweise einem Schwachstellenscan oder einer internen Prüfung. Wenn die Frage ausdrücklich nach einem Pentest fragt, darfst du mit "ja" antworten, sobald du einen Testbericht hast, unabhängig davon, wie der Rest deines Prüfungsprozesses aussieht.

Hast du keinen Pentest durchführen lassen, aber andere Formen der Überprüfung — ein externes Sicherheitsaudit, ISO-27001-Zertifizierung mit den entsprechenden internen Audits oder einen automatisierten Scan — dann ist "nein" auf die wörtliche Frage die richtige Antwort, gegebenenfalls mit einer Erläuterung zur alternativen Überprüfung im Freitextfeld, falls ein solches Feld vorhanden ist. Kreuze nicht "ja" an, weil du "etwas zur Überprüfung tust"; die Frage ist spezifisch genug, um als eigenständige Tatsache behandelt zu werden. Dieses Thema berührt auch die Frage, ob die Wirksamkeit von Maßnahmen regelmäßig überprüft wird, und oft auch dem Prozess zur Erkennung und Behebung von Schwachstellen, weil Pentests und Schwachstellenscans in der Praxis oft durcheinander gefragt werden, obwohl es zwei unterschiedliche Maßnahmen sind.

Wo dies steht: Artikel 21 Absatz 2 Buchstabe f, Annex A

Artikel 21 Absatz 2 Buchstabe f der Richtlinie (EU) 2022/2555 schreibt "Richtlinien und Verfahren zur Bewertung der Wirksamkeit von Cybersicherheits-Risikomanagementmaßnahmen" vor, ohne einen Pentest speziell vorzuschreiben. ISO/IEC 27001 Annex A arbeitet dies weiter aus in den Kontrollmaßnahmen zu technischen Schwachstellen und der Bewertung der Informationssicherheit, wobei ein Pentest als praktische Ausfüllung passt, aber nicht als erforderliches Instrument genannt wird. Das Cybersicherheitsgesetz übernimmt diese Anforderung, sobald es in Kraft tritt, wird dabei voraussichtlich aber kein konkretes Testtyp damit koppeln.