o questionário pergunta se realizamos um teste de penetração

Pentest é prova na avaliação, não um requisito separado

Um teste de penetração não figura como obrigação autónoma no artigo 21.º, n.º 2 da NIS2. A pergunta faz parte da medida (f): as políticas e os procedimentos para avaliar a eficácia das medidas de segurança. Um pentest é uma forma de o fazer, juntamente com, por exemplo, uma análise de vulnerabilidades ou uma auditoria interna. Se o cliente pergunta especificamente por um pentest, geralmente quer saber se alguma vez foi verificado de forma independente se as medidas técnicas funcionam realmente, não apenas no papel.

Se executaste um pentest, o relatório (ou um resumo com data, âmbito e tratamento das conclusões) é a prova. Se não o fizeste, então "não" é a resposta honesta — isso não é uma rejeição automática, especialmente para fornecedores mais pequenos sem estatuto de entidade obrigatoriamente aplicável sob a Diretiva. Mais importante do que a palavra "pentest" é poderes demonstrar que avalia periodicamente a eficácia das medidas de segurança de outra forma, e se isso está relacionado com um em curso processo de deteção e correção de vulnerabilidades. Portanto, não preenchas "sim" na ausência de um relatório, mesmo que já tenhas executado uma análise — uma análise e um pentest são em a maioria dos questionários explicitamente coisas diferentes.

De onde vem isto: artigo 21.º, n.º 2 e ISO 27001

O artigo 21.º, n.º 2 da Diretiva (UE) 2022/2555 enumera sob o ponto (f) as "políticas e procedimentos para avaliar a eficácia das medidas de gestão de riscos de cibersegurança" como uma das dez medidas obrigatórias; um pentest enquadra-se aqui como método de avaliação mas não é nomeado explicitamente. A ISO/IEC 27001 Anexo A desenvolve isto mais adiante nas medidas de controlo relativas a vulnerabilidades técnicas e avaliação independente da segurança da informação, em que os pentests são uma prática comum, mas igualmente não são impostos como obrigatórios. A Lei de Cibersegurança, a transposição neerlandesa da NIS2, entra em vigor em 15 de agosto de 2026 e conterá as mesmas dez medidas; até essa data, a Diretiva em si é o enquadramento a seguir.