le questionnaire demande si nous avons fait effectuer un test de pénétration

Le pentest est une preuve lors du test, pas une exigence distincte

Un test de pénétration n'est pas énoncé comme une obligation autonome à l'article 21, paragraphe 2 de la NIS2. La question relève de la mesure (f) : la politique et les procédures d'évaluation de l'efficacité des mesures de sécurité. Un pentest est un moyen de vérifier cela, aux côtés par exemple d'un scan de vulnérabilités ou d'un audit interne. Si le client demande spécifiquement un pentest, il souhaite généralement savoir s'il y a eu un contrôle indépendant de la pertinence des mesures techniques, et non seulement sur papier.

Si tu as réalisé un pentest, le rapport (ou un résumé contenant la date, le périmètre et le traitement des constatations) est la pièce justificative. Si ce n'est pas le cas, « non » est la réponse honnête — ce n'est pas automatiquement un rejet, surtout pour les petits fournisseurs sans statut d'entité obligatoirement couvert par la directive. Plus important que le mot « pentest » est de savoir si tu peux démontrer que tu testez régulièrement l'efficacité des mesures de sécurité d'une autre manière, et si cela est lié à une processus d'identification et de traitement des vulnérabilités. Ne réponds donc pas « oui » en l'absence d'un rapport, même si tu as déjà effectué un scan — un scan et un pentest sont dans la plupart des questionnaires expressément des choses différentes.

Origine : article 21, paragraphe 2, et ISO 27001

L'article 21, paragraphe 2, de la Directive (UE) 2022/2555 mentionne au point (f) les « politiques et procédures d'évaluation de l'efficacité des mesures de gestion du risque de cybersécurité » comme l'une des dix mesures obligatoires ; un pentest en relève comme méthode de test mais n'est pas nommément désigné. ISO/IEC 27001 Annex A développe cela avec les mesures de contrôle relatives aux vulnérabilités techniques et à l'évaluation indépendante de la sécurité de l'information, dans laquelle les pentests sont une pratique courante mais ne sont pas non plus rendus obligatoires. La Loi sur la cybersécurité, la transposition néerlandaise de la NIS2, entrera en vigueur le 15 août 2026 et contiendra les mêmes dix mesures ; jusqu'à cette date, la directive elle-même est le cadre à respecter.