cliente pergunta se fizemos um teste de penetração o que digo

O teste de penetração é abrangido pela avaliação, não por uma categoria separada

Um teste de penetração (penetration testing) é uma forma de demonstrar que as medidas de segurança funcionam — não é um requisito isolado. A pergunta insere-se no tema mais amplo sobre avaliação periódica da eficácia das medidas. Se realizou um teste de penetração no último ano por um terceiro externo, responde sim e fornece o relatório ou sumário executivo como prova. Alguns clientes querem apenas a data e o escopo do teste, não as vulnerabilidades encontradas — para isso pode usar o botão de confidencialidade no portal, se essa opção estiver disponível.

Se não realizou um teste de penetração, "não" é a resposta correta — não "sim" com referência a outra coisa. Uma varredura de vulnerabilidades, uma revisão de código interna ou certificação ISO 27001 não são substitutos para um teste de penetração, mesmo que abordem o mesmo tema. Se identificar e remediar sistematicamente vulnerabilidades por outra via, pode explicar isso no campo de texto livre, mas isso é um complemento, não um "sim" substituto à própria pergunta sobre teste de penetração. Se duvidar se o seu relatório de teste é antigo demais para ainda ser válido, a escolha mais segura é mencionar isso na explicação em vez de omiti-lo.

Origem desta informação: artigo 21.º, n.º 2 e Anexo A

O artigo 21.º n.º 2 da Diretiva NIS2 (Diretiva (UE) 2022/2555) menciona explicitamente entre as dez medidas a avaliação e testes da eficácia das medidas de cibersegurança; um teste de penetração é a forma de execução mais concreta disso. A ISO/IEC 27001 Annex A liga isto à medida de controlo sobre gestão de vulnerabilidades técnicas e avaliação independente da segurança da informação. A Lei de Cibersegurança, a transposição holandesa da NIS2 que entra em vigor em 15 de agosto de 2026, estabelece esta obrigação para entidades abrangidas pela lei — pergunta portanto ao seu cliente se a empresa está abrangida pela NIS2 ou pela transposição nacional para compreender por que razão esta pergunta consta sequer da lista.