le questionnaire demande si nous avons effectué un test de pénétration

Un pentest est une preuve, pas une exigence isolée

Un pentest — un test de pénétration, lors duquel quelqu'un tente activement de s'introduire dans un système — ne figure pas parmi les dix mesures de l'article 21, paragraphe 2, comme élément obligatoire distinct. La question provient généralement de la mesure relative à la gestion des risques et aux vulnérabilités : le client veut savoir si tu testes l'efficacité réelle de ta sécurité, pas seulement sur le papier. Il en va de même pour la norme ISO/IEC 27001 : l'Annexe A ne mentionne pas de pentest obligatoire, mais bien la gestion technique des vulnérabilités, et un pentest est l'implémentation la plus concrète que les auditeurs reconnaissent.

Si tu n'as jamais fait réaliser un pentest, « non » est la bonne réponse — proposer un « oui » sans rapport ne peut pas être justifié. De nombreuses entreprises remplissent ce champ avec ce qu'elles ont effectivement : un scan de vulnérabilités, un audit externe, ou une processus d'identification et de traitement des vulnérabilités. Ce n'est pas la même chose qu'un pentest, mais cela montre qu'il y a bien quelque chose. Que tu expliques cette différence au client dépend de toi ; le champ de réponse lui-même reste factuel. Si tu as réalisé un pentest, alors le rapport — ou un résumé de celui-ci — est la preuve qui correspond à un « oui », éventuellement avec le bouton de confidentialité si tu ne veux pas partager les détails.

D'où cela vient : article 21 et Annexe A

L'article 21, paragraphe 2, de la Directive (UE) 2022/2555 mentionne la gestion des vulnérabilités et l'évaluation de l'efficacité des mesures comme des éléments obligatoires, sans prescrire une méthode de pentest. La Loi sur la cybersécurité reprend cette obligation dès qu'elle entre en vigueur. La norme ISO/IEC 27001, Annexe A, développe ceci davantage en vertu des mesures de contrôle relatives à la gestion technique des vulnérabilités, où un pentest s'inscrit dans les bonnes pratiques. Celui qui peut démontrer que l'efficacité des mesures de sécurité est-elle testée périodiquement est souvent déjà en place, même sans que le mot pentest n'apparaisse dans son propre dossier.