el cliente quiere saber con qué frecuencia hacemos probar nuestros sistemas

Sin frecuencia fija prescrita

No hay ningún número en el texto legal. El artículo 21, apartado 2, de la NIS2 menciona en la letra f «política y procedimientos para evaluar la eficacia de las medidas de gestión de riesgos de ciberseguridad» — una prueba de penetración es la materialización más concreta de esto, pero con qué frecuencia debe realizarse, la directiva lo deja abierto. También la Ley de Ciberseguridad, que próximamente transpone este artículo al derecho neerlandés, no se espera que añada un intervalo fijo. El cuestionario de tu cliente cubre esta laguna por su cuenta: muchos formatos preguntan concretamente por «como mínimo anual» o «ante cambios significativos», pero esa es la norma de ese cliente, no de la ley.

Lo que en la práctica puedes cumplimentar es tu propio ritmo, no un ritmo obligatorio. ¿Pruebas anualmente, después de cada lanzamiento importante, o solo ad hoc después de un incidente? Esa respuesta figura, con fecha y alcance de la última prueba, generalmente como documento independiente en el dossier de la cadena — busca el informe de prueba de penetración o su resumen ejecutivo. Si aún no tienes una frecuencia fija, entonces «ad hoc, ejecutado por última vez el [fecha]» es una respuesta más honesta que inventar una frecuencia que no mantienes. Esta pregunta suele aparecer en el mismo bloque que el proceso de identificación y corrección de vulnerabilidades — una prueba de penetración es una forma de encontrar vulnerabilidades, el escaneo y la política de parches son las otras.

ISO 27001 como punto de referencia indirecto

Quien está certificado en ISO 27001, generalmente ha establecido mediante las medidas del Anexo A una política interna para pruebas periódicas, incluida la frecuencia que la organización ha elegido en la evaluación de riesgos. Esto hace que la pregunta sobre el certificado ISO 27001 sea relevante como prueba de fondo: no porque el certificado prescriba una frecuencia de prueba de penetración, sino porque demuestra que existe una política de prueba establecida de la cual se puede deducir esa frecuencia.