klijent pita jesmo li izvršili penetracijski test što trebam reći

Pentest spada pod testiranje, a ne pod zaseban okvir

Pentest (test penetracije) je jedan način da se dokaže da sigurnost funkcionira — nije poseban zahtjev. Pitanje se odnosi na širi aspekt vezano uz povremeno testiranje učinkovitosti mjera. Ako si u protekloj godini dao izvršiti pentest od strane vanjske strane, odgovaraš sa "da" i dostavljaš izvještaj ili sažetak upravljanja kao dokaz. Neki klijenti žele vidjeti samo datum i opseg testa, ne same pronađene ranjivosti — za to možeš koristiti gumb za povjerljivost u portalu ako je ta opcija dostupna.

Ako nisi dao izvršiti pentest, onda je "ne" ispravan odgovor — ne "da" s pozivanjem na nešto drugo. Skeniranje ranjivosti, interno pregledno kod ili ISO 27001 certificiranje nisu zamjena za pentest, čak i ako se odnose na istu temu. Ako doista strukturalno identificiraš i ispraviaš ranjivosti na drugi način, možeš to objasniti u polju za slobodan tekst, ali to je dodatak, a ne zamjena za "da" na samom pitanju o pentestiranju. Ako sumnjašu je li tvoj testni izvještaj dovoljno nov da bi vrijedili, najsigurnija opcija je da to spomeneš u objašnjenju umjesto što ga ostaviš nenavedenim.

Odakle ovo dolazi: članak 21 stavak 2 i Prilog A

Članak 21. stavak 2. Direktive NIS2 (Direktiva (EU) 2022/2555) eksplicitno navodi kao jednu od deset mjera testiranje i procjenu učinkovitosti mjera kibernetske sigurnosti; pentest je najkonkretniji oblik provedbe toga. ISO/IEC 27001 Annex A povezuje to s mjerom upravljanja vezanom uz upravljanje tehničkim ranjivostima i neovisnu procjenu sigurnosti informacija. Zakon o kibernetskoj sigurnosti, holandska provedba NIS2 koja stupuje na snagu 15. kolovoza 2026., propisuje tu obvezu za subjekte koje pokriva taj zakon — pitaj svog klijenta predstavlja li dakle takvu obaveznu stranu, te testiraj je li podjetnica sama pod NIS2 ili njezinom nacionalnom primjenom kako bi razumio zašto je uopće to pitanje na listi.