mon assureur veut voir un rapport de test de pénétration, que dois-je fournir

Ce qu'un assureur entend par « rapport de pentest »

Généralement, l'assureur ne demande pas le rapport technique complet, mais un résumé : quel était le périmètre testé, quand, par qui, et quels étaient les résultats au niveau élevé et moyen. Un résumé exécutif avec la date, le bureau de test et le statut du suivi est souvent suffisant en pratique. Vous n'envoyez le rapport complet avec les détails d'exploitation que si cela vous est spécifiquement demandé, et il est alors judicieux de vérifier ce que vous masquez via le bouton de confidentialité — un assureur s'intéresse à la conclusion, non aux vulnérabilités techniques elles-mêmes.

Si vous n'avez pas fait réaliser de pentest, alors « non, pas encore prévu » est une réponse plus honnête que de laisser le champ vide ou d'envoyer un ancien rapport d'un autre système. De nombreux assureurs posent cette question dans le cadre d'une vue d'ensemble plus large sur un processus de détection et de correction des vulnérabilités: un pentest est là une pièce justificative, pas la réponse complète. En l'absence de pentest, il est souvent possible de montrer s'il y a des analyses, une politique de correctifs ou un autre processus de détection en cours — cela pèse aussi, même sans rapport de test.

D'où cela provient : article 21, paragraphe 2 et Annexe A

Un pentest lui-même ne figure pas comme obligation distincte à l'article 21, paragraphe 2, de la directive NIS2 ; celui-ci énumère dix catégories de mesures, y compris le traitement des vulnérabilités et l'évaluation de l'efficacité des mesures. Un pentest est un moyen de démontrer cette efficacité, aux côtés par exemple d'un audit interne — voir aussi ou si l'efficacité des mesures de sécurité est testée périodiquement. Dans l'ISO/IEC 27001 Annexe A, les tests de pénétration ne figurent pas non plus comme point de contrôle distinct ; cela relève des mesures de contrôle des vulnérabilités techniques. Les assureurs en demandent souvent indépendamment de cette réglementation, comme indicateur de risque propre à côté des exigences légales ou normatives — c'est une pratique d'assurance, non une obligation légale issue de NIS2 ou de la Loi sur la cybersécurité.