il cliente chiede se abbiamo condotto un test di penetrazione cosa rispondo

Il pentest rientra nella verifica, non in una casella separata

Un pentest (penetration test) è un modo per dimostrare che la sicurezza funziona — non un requisito indipendente. La domanda rientra nel punto più ampio riguardante la verifica periodica dell'efficacia delle misure. Se hai fatto eseguire un pentest da una parte esterna nell'ultimo anno, rispondi sì e fornisci il rapporto o il riassunto gestionale come prova. Alcuni clienti vogliono vedere solo la data e l'ambito del test, non le vulnerabilità riscontrate stesse — a tal fine puoi utilizzare il pulsante di riservatezza nel portale se tale opzione è disponibile.

Se non hai fatto eseguire un pentest, la risposta corretta è "no" — non "sì" con un riferimento a qualcos'altro. Una scansione delle vulnerabilità, una revisione del codice interno o una certificazione ISO 27001 non sono sostituti di un pentest, anche se affrontano lo stesso argomento. Se invece ricerchi e risolvi sistematicamente le vulnerabilità tramite un'altra via, puoi descriverlo nel campo di testo libero, ma è un'integrazione, non un "sì" sostitutivo alla domanda sul pentest stesso. Se dubbi che il tuo rapporto di test sia abbastanza recente per essere ancora valido, la scelta più sicura è menzionarlo nella descrizione anziché ometterlo.

Fonte: articolo 21 paragrafo 2 e Allegato A

L'articolo 21, paragrafo 2, della direttiva NIS2 (Direttiva (UE) 2022/2555) cita esplicitamente tra le dieci misure il test e la valutazione dell'efficacia delle misure di cibersicurezza; un pentest è la forma di attuazione più concreta. ISO/IEC 27001 Annex A lo collega alla misura di controllo relativa alla gestione tecnica delle vulnerabilità e alla valutazione indipendente della sicurezza delle informazioni. Il Cybersecurity Act, il recepimento olandese di NIS2 che entra in vigore il 15 agosto 2026, fissa questo obbligo per le entità rientranti nella legge — chiedi quindi al cliente se l'impresa stessa rientra nell'ambito di applicazione di NIS2 o del recepimento nazionale per capire perché questa domanda figura nel modulo.