il questionario chiede se abbiamo fatto eseguire un penetration test

Il penetration test è una prova di valutazione, non un requisito separato

Un penetration test non è elencato come obbligo indipendente nell'articolo 21, paragrafo 2 della direttiva NIS2. La domanda rientra nella misura (f): le politiche e le procedure per valutare l'efficacia delle misure di sicurezza. Un penetration test è uno dei modi per condurre questa valutazione, insieme ad esempio a una scansione delle vulnerabilità o a un audit interno. Se il cliente chiede specificamente un penetration test, di solito vuole sapere se è stato mai verificato indipendentemente se le misure tecniche funzionano effettivamente, non solo sulla carta.

Se hai fatto eseguire un penetration test, la relazione (o un riepilogo con data, ambito e risoluzione dei risultati) è la prova documentale. Se non l'hai fatto, "no" è la risposta onesta — questo non comporta automaticamente un rigetto, soprattutto per i fornitori più piccoli senza lo status di entità obbligatoriamente applicabile secondo la direttiva. Più importante della parola "penetration test" è se riesci a dimostrare che verifichi periodicamente l'efficacia delle misure di sicurezza in un altro modo, e se ciò è correlato a un processo di identificazione e correzione delle vulnerabilità. Quindi non inserire "sì" in assenza di una relazione, anche se hai mai eseguito una scansione — una scansione e un penetration test sono nella maggior parte dei questionari esplicitamente cose diverse.

Da dove viene: articolo 21, paragrafo 2 e ISO 27001

L'articolo 21, paragrafo 2 della Direttiva (UE) 2022/2555 menziona al punto (f) le "politiche e procedure per valutare l'efficacia delle misure di gestione del rischio di cybersicurezza" come una delle dieci misure obbligatorie; un penetration test rientra in questa categoria come metodo di valutazione ma non è menzionato esplicitamente. ISO/IEC 27001 Allegato A lo sviluppa ulteriormente nelle misure di controllo relative alle vulnerabilità tecniche e alla valutazione indipendente della sicurezza delle informazioni, in cui i penetration test sono pratiche comuni ma allo stesso modo non sono resi obbligatori. Il Cybersecurity Act, il recepimento olandese della NIS2, entrerà in vigore il 15 agosto 2026 e conterrà le stesse dieci misure; fino a quella data la direttiva stessa è il quadro di riferimento da seguire.