le client demande si nous avons récemment fait effectuer un test de pénétration

Le pentest est une preuve de test, pas un critère distinct

Un test de pénétration est l'un des moyens de démontrer que la sécurité est testée périodiquement, et non une exigence autonome. L'article 21 paragraphe 2 NIS2 mentionne au point f « politique et procédures pour évaluer l'efficacité des mesures », et un pentest est une mise en œuvre possible à côté par exemple d'une analyse de vulnérabilités ou d'un audit interne. Si la question demande littéralement un pentest, vous pouvez donc répondre « oui » dès que vous disposez d'un rapport de test, indépendamment de l'apparence du reste de votre processus de test.

Si vous n'avez pas effectué de pentest mais que vous disposez d'autres formes de test — un audit de sécurité externe, une certification ISO 27001 avec les audits internes correspondants, ou une analyse automatisée — alors « non » à la question littérale est la bonne réponse, avec éventuellement une explication sur les tests alternatifs dans le champ texte libre s'il existe. Ne mettez pas « oui » parce que vous « faites quelque chose en matière de test »; la question est assez spécifique pour être traitée comme un fait distinct. Ce sujet touche également la question de savoir si l'efficacité des mesures est testée périodiquement, et souvent aussi le processus d'identification et de correction des vulnérabilités, car les pentests et les analyses de vulnérabilités sont souvent demandés indifféremment dans la pratique, alors que ce sont deux mesures différentes.

Où cela figure: article 21 paragraphe 2 sous f, Annex A

L'article 21 paragraphe 2 sous f de la Directive (UE) 2022/2555 impose une « politique et des procédures pour évaluer l'efficacité des mesures de gestion des risques de cybersécurité », sans prescrire spécifiquement un pentest. La norme ISO/IEC 27001 Annex A l'étoffe davantage dans les mesures de contrôle concernant les vulnérabilités techniques et l'évaluation de la sécurité de l'information, où un pentest convient comme mise en œuvre pratique mais n'est pas mentionné comme instrument obligatoire. La Loi sur la cybersécurité reprendra cette exigence lorsqu'elle entrera en vigueur, sans y coupler vraisemblablement un type de test concret.