le client veut savoir à quelle fréquence nous faisons tester nos systèmes

Aucune fréquence fixe prescrite

Il n'y a pas de chiffre dans le texte législatif. L'article 21 paragraphe 2 NIS2 mentionne au point f « des politiques et procédures pour évaluer l'efficacité des mesures de gestion relatives à la gestion des risques de cybersécurité » — un pentest en est la concrétisation la plus concrète, mais la directive ne précise pas à quelle fréquence cela doit se faire. La Loi sur la cybersécurité, qui transposera bientôt cet article dans la législation française, n'y ajoutera probablement pas non plus un intervalle fixe. Le questionnaire de ton client comble lui-même cette lacune : de nombreux formats demandent concrètement « au minimum annuellement » ou « en cas de modifications significatives », mais c'est la norme de ce client, non celle de la loi.

Ce que tu peux concrètement mettre en œuvre est donc ton propre rythme, non un rythme obligatoire. Tu testes annuellement, après chaque grande version, ou seulement de manière ad hoc après un incident ? Cette réponse figure généralement, avec la date et l'étendue du dernier test, comme document séparé dans le dossier de chaîne — cherche le rapport de pentest ou son résumé pour la direction. Si tu n'as pas encore de fréquence fixe, « ad hoc, dernièrement exécuté le [date] » est une réponse plus honnête que d'inventer une fréquence que tu ne respectes pas. Cette question figure souvent dans le même bloc que le processus d'identification et de correction des vulnérabilités — un pentest est une façon de trouver des vulnérabilités, le scanning et la politique de correctifs en sont d'autres.

ISO 27001 comme référence indirecte

Celui qui est certifié ISO 27001 a généralement établi, via les mesures de l'Annexe A, une politique interne de test périodique, y compris la fréquence que l'organisation elle-même a choisie lors de l'évaluation des risques. Cela rend la question concernant le certificat ISO 27001 pertinente comme preuve sous-jacente : non parce que le certificat prescrit une fréquence de pentest, mais parce qu'il démontre qu'une politique de test établie existe dont cette fréquence peut être dérivée.