en el cuestionario se pregunta si hemos realizado una prueba de penetración

Una prueba de penetración es evidencia en la evaluación, no un requisito separado

Una prueba de penetración no figura como obligación independiente en el artículo 21, apartado 2, de la NIS2. La pregunta corresponde a la medida (f): la política y los procedimientos para evaluar la eficacia de las medidas de seguridad. Una prueba de penetración es una forma de hacerlo, junto con, por ejemplo, un escaneo de vulnerabilidades o una auditoría interna. Si el cliente solicita específicamente una prueba de penetración, generalmente quiere saber si alguna vez se ha verificado de forma independiente que las medidas técnicas funcionan realmente, no solo sobre el papel.

Si has realizado una prueba de penetración, el informe (o un resumen con fecha, alcance y tratamiento de hallazgos) es la prueba. Si no lo tienes, entonces "no" es la respuesta honesta — eso no es un rechazo automático, especialmente en el caso de proveedores más pequeños sin estatus de entidad obligatoria aplicable conforme a la Directiva. Más importante que la palabra "prueba de penetración" es si puedes demostrar que pruebas periódicamente la efectividad de las medidas de seguridad de otra forma, y si eso está relacionado con un proceso de identificación y corrección de vulnerabilidades. Por lo tanto, no rellenes "sí" en ausencia de un informe, incluso si alguna vez has ejecutado un escaneo — un escaneo y una prueba de penetración son explícitamente cosas diferentes en la mayoría de los cuestionarios.

De dónde viene esto: artículo 21, apartado 2, e ISO 27001

El artículo 21, apartado 2, de la Directiva (UE) 2022/2555 menciona en el punto (f) las "políticas y procedimientos para evaluar la eficacia de las medidas de gestión del riesgo de ciberseguridad" como una de las diez medidas obligatorias; una prueba de penetración se incluye en esto como método de evaluación pero no se menciona por su nombre. ISO/IEC 27001 Annex A lo desarrolla más en las medidas de control relacionadas con vulnerabilidades técnicas y evaluación independiente de la seguridad de la información, en las que las pruebas de penetración son una práctica común pero tampoco se establecen como obligatorias. La Ley de Ciberseguridad, la transposición holandesa de la NIS2, entra en vigor el 15 de agosto de 2026 y contendrá las mismas diez medidas; hasta esa fecha, la Directiva en sí es el marco a seguir.