le client demande les résultats des tests de pénétration mais nous n'en avons jamais fait

Pas de test de pénétration effectué n'est pas automatiquement une réponse négative

Un test de pénétration — un test de pénétration, au cours duquel quelqu'un tente activement de s'introduire dans vos systèmes pour trouver les faiblesses — est une possibilité évaluation de l'efficacité, mais pas la seule. L'article 21, paragraphe 2 de NIS2 demande une « politique et des procédures pour évaluer l'efficacité des mesures », sans prescrire de test de pénétration. L'annexe A de ISO/IEC 27001 mentionne également la gestion des vulnérabilités techniques et l'évaluation, mais n'impose aucune méthode de test spécifique. Vous pouvez donc souvent remplir honnêtement « non, pas encore » sans que ce soit une réponse bloquante — c'est l'une des dix mesures, pas la seule.

Ce qui compte comme preuve alternative : les analyses automatisées des vulnérabilités, un processus de correction, ou une analyse des risques montrant qu'un test de pénétration n'était pas jugé nécessaire compte tenu de l'ampleur de vos systèmes. Vérifiez auprès de le processus d'identification et de correction des vulnérabilités si vous avez déjà quelque chose en cours — c'est souvent le cas, même si ce ne s'appelle pas « test de pénétration ». Si votre dossier n'a pas cette preuve, le système ne propose pas de « oui » : vous recevez alors une question avec une réponse vide, et vous décidez vous-même si vous remplissez « non » ou si vous faites d'abord effectuer une analyse. Certains clients acceptent un engagement (« prévu au trimestre X ») comme réponse intermédiaire ; vous ne le saurez qu'après transmission à leur portail.

Sur quoi cela repose : article 21, paragraphe 2 et annexe A

L'obligation d'évaluation périodique découle de l'article 21, paragraphe 2 de la Directive (UE) 2022/2555, qui mentionne une « politique et des procédures pour évaluer l'efficacité des mesures de gestion des risques de cybersécurité » comme l'une des dix mesures, à côté de — non à la place de — la gestion des vulnérabilités. ISO/IEC 27001 annexe A développe ceci dans les mesures de contrôle concernant les vulnérabilités techniques et l'évaluation, sans mentionner un test de pénétration comme instrument obligatoire. Le fait que votre organisation elle-même soit soumise aux obligations directes de NIS2 dépend du secteur et de la taille — vous le déterminez indépendamment de cette question, par exemple via la question de savoir si l'entreprise elle-même est soumise à NIS2.