klant wil weten hoe vaak we onze systemen laten testen

Geen vaste frequentie voorgeschreven

Er staat geen getal in de wetstekst. Artikel 21 lid 2 NIS2 noemt onder punt f "beleid en procedures om de doeltreffendheid van beheersmaatregelen op het gebied van cyberbeveiligingsrisicobeheer te beoordelen" — een pentest is daarvan de meest concrete invulling, maar hoe vaak die moet gebeuren, laat de richtlijn open. Ook de Cyberbeveiligingswet, die dit artikel straks in Nederlands recht omzet, voegt daar naar verwachting geen vast interval aan toe. De vragenlijst van je klant vult dat gat zelf in: veel formats vragen concreet naar "minimaal jaarlijks" of "bij significante wijzigingen", maar dat is de norm van die klant, niet van de wet.

Wat je in de praktijk kunt invullen is dus je eigen ritme, niet een verplicht ritme. Test je jaarlijks, na elke grote release, of alleen ad hoc na een incident? Dat antwoord staat, met datum en scope van de laatste test, meestal als los document in het ketendossier — zoek naar het pentestrapport of de managementsamenvatting daarvan. Heb je nog geen vaste frequentie, dan is "ad hoc, laatst uitgevoerd op [datum]" een eerlijker antwoord dan een frequentie verzinnen die je niet aanhoudt. Deze vraag hoort vaak in hetzelfde blok als het proces voor het opsporen en verhelpen van kwetsbaarheden — een pentest is één manier om kwetsbaarheden te vinden, scanning en patchbeleid zijn de andere.

ISO 27001 als indirecte houvast

Wie ISO 27001-gecertificeerd is, heeft via de Annex A-maatregelen doorgaans al een intern beleid voor periodieke toetsing vastgelegd, inclusief de frequentie die de organisatie zelf heeft gekozen bij de risicobeoordeling. Dat maakt de vraag naar het ISO 27001-certificaat relevant als achterliggend bewijs: niet omdat het certificaat een pentest-frequentie voorschrijft, maar omdat het aantoont dat er een vastgesteld toetsingsbeleid bestaat waaruit die frequentie is af te leiden.