el cliente pregunta si hemos realizado una prueba de penetración, qué debo responder

El informe de prueba de penetración es prueba, no un requisito independiente

Una prueba de penetración — una prueba de penetración, en la que alguien intenta activamente acceder sin autorización a tus sistemas — no aparece en ningún lugar como documento obligatorio separado en el artículo 21, apartado 2 de NIS2. La solicitud de tu cliente se refiere a la medida sobre prueba y evaluación de la efectividad de las medidas de ciberseguridad, y un informe de prueba de penetración es la prueba más concreta que existe al respecto. Si tienes uno, la respuesta es generalmente sí. Si nunca has realizado una prueba de penetración, la respuesta es no — y eso en sí mismo no es un problema, siempre que puedas demostrar en otros aspectos que pruebas periódicamente la efectividad de las medidas de seguridad, por ejemplo con auditorías internas o escaneos de vulnerabilidades.

Al rellenar, fíjate en lo que se pregunta exactamente: un informe de prueba de penetración en sí, o solo la confirmación de que se ha realizado la prueba. Algunos portales solicitan el informe como archivo adjunto — esa es una solicitud diferente a una pregunta de sí/no, e los informes a menudo contienen detalles técnicos sensibles. Para eso existe el botón de confidencialidad: tú decides si y con quién compartes el documento completo, independientemente de si la respuesta es sí o no. Si has realizado una prueba de penetración pero falta la conexión con el seguimiento de las vulnerabilidades encontradas, comprueba también si tu proceso para identificar y remediar vulnerabilidades ya está incluido — muchos clientes lo preguntan en la misma sección.

Donde procede de ISO 27001 y NIS2

El Anexo A de ISO/IEC 27001 no tiene un punto de control separado "prueba de penetración", pero las medidas de control sobre gestión técnica de vulnerabilidades y evaluación independiente de la seguridad de la información a menudo se respaldan en la práctica con resultados de pruebas de penetración. NIS2, artículo 21, apartado 2, menciona entre las diez medidas tanto la prueba y evaluación de políticas como la gestión de vulnerabilidades y su divulgación como elementos separados — un informe de prueba de penetración generalmente sirve como prueba en el primero, y su seguimiento en el segundo.