le client demande si nous avons fait effectuer un test de pénétration que dis-je

Le pentest relève de la toetsing, pas d'une case séparée

Un pentest (test de pénétration) est une manière de démontrer que la sécurité fonctionne — pas une exigence distincte. La question se rapporte au point plus large concernant l'évaluation périodique de l'efficacité des mesures. Si vous avez fait réaliser un pentest par un tiers au cours de l'année écoulée, vous répondez oui et fournissez le rapport ou le résumé pour la direction comme preuve. Certains clients ne veulent voir que la date et l'étendue du test, pas les vulnérabilités détectées elles-mêmes — vous pouvez utiliser le bouton de confidentialité dans le portail si cette option est disponible.

Si vous n'avez pas fait faire de pentest, « non » est la bonne réponse — pas « oui » avec une référence à autre chose. Un scan de vulnérabilités, un examen de code interne ou une certification ISO 27001 ne remplacent pas un pentest, même s'ils couvrent le même sujet. Si vous détectez et remédiez structurellement aux vulnérabilités par d'autres moyens, vous pouvez l'expliquer dans le champ texte libre, mais c'est un complément, non un « oui » de substitution à la question du pentest elle-même. Si vous doutez que votre rapport de test soit assez récent pour être valable, le choix le plus sûr est de le mentionner dans l'explication au lieu de l'omettre.

D'où cela provient : article 21, paragraphe 2 et Annexe A

L'article 21, paragraphe 2, de la directive NIS2 (Directive (UE) 2022/2555) énumère parmi les dix mesures explicitement les tests et l'évaluation de l'efficacité des mesures de cybersécurité ; un pentest en est la forme d'exécution la plus concrète. La norme ISO/IEC 27001, Annexe A, relie ceci à la mesure de contrôle relative à la gestion des vulnérabilités techniques et à l'évaluation indépendante de la sécurité de l'information. La Loi sur la cybersécurité, la transposition néerlandaise de NIS2 qui entrera en vigueur le 15 août 2026, impose cette obligation aux entités couvertes par la loi — demandez donc si l'entreprise elle-même relève de NIS2 ou de la transposition nationale pour comprendre pourquoi cette question figure sur la liste.