klient pyta, czy przeprowadziliśmy test penetracyjny, co powinienem powiedzieć

Pentest należy do testowania, a nie do osobnego pola

Pentest (test penetracyjny) to jeden ze sposobów wykazania, że bezpieczeństwo działa — nie jest to osobne wymaganie. Pytanie dotyczy szerszego zagadnienia dotyczącego okresowego testowania skuteczności środkówJeśli w ubiegłym roku przeprowadziłeś pentest przez stronę trzecią, odpowiadasz tak i dostarczasz raport lub streszczenie dla kierownictwa jako dowód. Niektórzy klienci chcą widzieć tylko datę i zakres testu, a nie wykryte luki w zabezpieczeniach — w tym celu możesz użyć przycisku poufności w portalu, jeśli taka opcja jest dostępna.

Jeśli nie przeprowadziłeś pentesta, prawidłową odpowiedzią jest „nie : a nie „tak w inny sposób, możesz to wyjaśnić w polu tekstu wolnego, ale to jest uzupełnienie, a nie zastępujące "tak" na samo pytanie dotyczące pentestu. Jeśli wątpisz, czy twój raport testowy jest wystarczająco stary, aby nadal obowiązywał, najbezpieczniejszym wyborem jest wspomnienie o tym w wyjaśnieniu zamiast go pomijać.

Skąd to pochodzi: artykuł 21 ust. 2 i Załącznik A

Artykuł 21 ust. 2 dyrektywy NIS2 (Dyrektywa (UE) 2022/2555) wymienia wśród dziesięciu środków wyraźnie testowanie i ocenę skuteczności środków cyberbezpieczeństwa; pentest jest najbardziej konkretną formą wykonania tego. ISO/IEC 27001 Załącznik A powiązuje to ze środkiem kontrolnym dotyczącym zarządzania podatnościami technicznymi i niezależną oceną bezpieczeństwa informacji. Ustawa o cyberbezpieczeństwie, polska transpozycja NIS2 wchodząca w życie 15 sierpnia 2026 r., nakłada ten obowiązek na podmioty podlegające tej ustawie — zapytaj zatem, czy twojego klienta reprezentowany przez ciebie dotyczy ta obowiązkowa strona, i sprawdź zatem, czy przedsiębiorstwo samo podlega NIS2 lub jej krajowej transpozycji aby zrozumieć, dlaczego to pytanie w ogóle się pojawia na liście.