upitnik pita jesu li za nas obavljena penetracijska testiranja

Pentest je dokaz pri testiranju, a ne zasebni zahtjev

Penetracijski test se ne pojavljuje kao samostalna obveza u članku 21 stavak 2 NIS2. Pitanje pripada mjeri (f): politike i postupci za procjenu učinkovitosti mjera sigurnosti. Pentest je jedan način da se to testira, uz npr. skeniranje ranjivosti ili internu reviziju. Ako klijent specifično traži pentest, obično želi znati je li ikada proveden neovisni pregled kako bi se provjerilo rade li tehnijske mjere stvarno, ne samo na papiru.

Ako si proveo pentest, tada je izvještaj (ili sažetak s datumom, dosegom i rješavanjem nalaza) dokaz. Ako to nemaš, tada je "ne" pošteni odgovor — to nije automatski odbijanje, osobito ne kod manjih dobavljača bez obvezatnog primjenjivog statusa entiteta prema Direktivi. Važnije od riječi "pentest" je možeš li pokazati da si redovito provjeravaš učinkovitost sigurnosnih mjera na drugi način, i je li to povezano s tekućom proces za otkrivanje i otklanjanje ranjivosti. Zato ne popunjavaj "da" u slučaju odsutnosti izvještaja, čak ni ako si već pokrenuo skeniranje — skeniranje i pentest su u većini upitnika izričito različite stvari.

Odakle ovo dolazi: članak 21 stavak 2 i ISO 27001

Članak 21 stavak 2 Direktive (EU) 2022/2555 navodi pod točkom (f) "politike i postupke za procjenu učinkovitosti mjera upravljanja kibernetičkom sigurnosti" kao jednu od deset obvezatnih mjera; pentest se pod toga potpada kao metoda testiranja ali se izričito ne spominje po nazivu. ISO/IEC 27001 Prilog A ovo detaljnije razrađuje u mjerama nadzora vezanim uz tehničke ranjivosti i neovisnu procjenu sigurnosti informacija, u kojima su pentesti kao praksa uobičajeni ali jednako tako nisu obvezatno propisani. Zakon o kibernetičkoj sigurnosti, nizozemska provedba NIS2-a, stupiti će na snagu 15. kolovoza 2026. i sadržavati će iste deset mjera; do tog datuma Direktiva sama je okvir koji se treba primjenjivati.