el cliente pregunta sobre resultados de pruebas de penetración pero nunca hemos realizado una

No haber realizado una prueba de penetración no es automáticamente una negativa

Una prueba de penetración — una prueba de penetración, en la que alguien intenta activamente acceder a tus sistemas para encontrar puntos débiles — es una posible prueba de eficacia, pero no la única. El artículo 21, apartado 2 de la Directiva NIS2 solicita "políticas y procedimientos para evaluar la eficacia de las medidas", sin prescribir una prueba de penetración. Además, el Anexo A de ISO/IEC 27001 menciona la gestión de vulnerabilidades técnicas y pruebas, pero no obliga a ningún método de prueba específico. Por lo tanto, a menudo puedes rellenar honestamente "no, aún no" sin que sea una respuesta bloqueante — es una de las diez medidas, no la única.

Qué cuenta como prueba alternativa: análisis automatizado de vulnerabilidades, un proceso de parches, o un análisis de riesgos que demuestre que una prueba de penetración aún no se consideró necesaria dada la escala de tus sistemas. Comprueba en el proceso de identificación y corrección de vulnerabilidades si ya tienes algo en marcha — a menudo es así, incluso sin que se llame "prueba de penetración". Si tu expediente no contiene esa prueba, el sistema no propone un "sí": recibirás entonces una pregunta con una respuesta vacía, y tú decides si rellenas "no" o primero haces ejecutar un análisis. Algunos clientes aceptan un compromiso ("está previsto para el trimestre X") como respuesta intermedia; solo lo sabrás después de presentar en su portal.

En lo que se basa: artículo 21, apartado 2 e Anexo A

La obligación de pruebas periódicas se deriva del artículo 21, apartado 2 de la Directiva (UE) 2022/2555, que menciona "políticas y procedimientos para evaluar la eficacia de las medidas de gestión del riesgo de ciberseguridad" como una de las diez medidas, además de — no en lugar de — la gestión de vulnerabilidades. ISO/IEC 27001 Anexo A lo desarrolla en medidas de control sobre vulnerabilidades técnicas y evaluación, sin mencionar una prueba de penetración como instrumento obligatorio. Si tu organización cae dentro de las obligaciones directas de NIS2 depende del sector y el tamaño — lo determinas al margen de esta pregunta, por ejemplo a través de la pregunta de si la empresa cae bajo NIS2.