klant vraagt naar uitkomsten van onze laatste pentest, moeten wij die geven

Rapport zelf niet delen, uitkomst wel bevestigen

Nee, meestal geef je het pentestrapport niet één-op-één aan de klant. Wat je klant vraagt is bewijs dat je kwetsbaarheden opspoort en verhelpt, niet de technische details van hoe iemand ooit binnen kon komen. Een rapport met exacte bevindingen, IP-ranges en exploit-paden is voor de klant zelf een risico: hoe meer partijen dat document hebben, hoe groter de kans dat het verkeerd terechtkomt. De gangbare aanpak is een samenvattend antwoord: wanneer de laatste test is uitgevoerd, door wie (intern of extern), of er kritieke bevindingen waren, en of die zijn opgelost. Dat sluit aan bij het proces voor het opsporen en verhelpen van kwetsbaarheden — daar wordt vaak naar gevraagd als los onderdeel, en de pentestvraag is er in feite een specifieke vorm van.

Wil de klant toch meer detail, dan kan dat via een management summary zonder technische exploitdetails, of via een verklaring van de testpartij. Als er geen recente pentest is uitgevoerd, is het eerlijkste antwoord dat te zeggen — niet een test verzinnen die er niet is. Twijfel je of iets gevoelig genoeg is om achter te houden, gebruik dan de vertrouwelijkheidsknop in het dossier in plaats van zelf te bepalen wat wel en niet gedeeld wordt.

Waar dit vandaan komt: artikel 21 lid 2 en Annex A

Artikel 21 lid 2 van de NIS2-richtlijn noemt onder de tien maatregelen expliciet beleid en procedures om de doeltreffendheid van cyberbeveiligingsmaatregelen te beoordelen — een pentest is daarvan een gangbare invulling, niet de enige. ISO/IEC 27001 werkt dit in Annex A uit via de beheersmaatregelen rond technische kwetsbaarhedenbeheer. Geen van beide bronnen verplicht het delen van een volledig testrapport met een klant of ketenpartner; ze vragen dat de onderneming aantoont dat ze test en opvolgt. Voor wie moet vaststellen of dit hoofdstuk überhaupt van toepassing is, is er de vraag of de onderneming zelf onder de NIS2-richtlijn of de nationale omzetting daarvan valt.