cliente pergunta se realizamos um teste de penetração recentemente

Teste de penetração é prova de avaliação, não um critério separado

Um teste de penetração é uma das formas de demonstrar que a segurança é avaliada periodicamente, não um requisito isolado em si. O artigo 21.º, n.º 2, alínea f) da NIS2 menciona "políticas e procedimentos para avaliar a eficácia das medidas" e um teste de penetração é uma forma de o fazer, tal como, por exemplo, uma análise de vulnerabilidades ou uma auditoria interna. Se a pergunta pedir explicitamente um teste de penetração, pode responder "sim" assim que tiver um relatório de teste, independentemente de como o resto do seu processo de avaliação se apresenta.

Se não realizou um teste de penetração mas tem outras formas de avaliação — uma auditoria de segurança externa, certificação ISO 27001 com as correspondentes auditorias internas, ou uma análise automatizada — então "não" é a resposta correta à pergunta explícita, com uma eventual explicação sobre a avaliação alternativa no campo de texto livre, se esse campo existir. Não preencha "sim" porque "faz algo de avaliação"; a pergunta é suficientemente específica para ser tratada como um facto isolado. Este tema também está relacionado com a questão de a eficácia das medidas ser avaliada periodicamentee frequentemente também com o processo de deteção e correção de vulnerabilidadesporque testes de penetração e análises de vulnerabilidades são muitas vezes confundidos na prática, embora sejam duas medidas diferentes.

Onde se encontra isto: artigo 21.º, n.º 2, alínea f), Anexo A

O artigo 21.º, n.º 2, alínea f) da Diretiva (UE) 2022/2555 exige "políticas e procedimentos para avaliar a eficácia das medidas de gestão do risco de cibersegurança", sem prescrever especificamente um teste de penetração. A ISO/IEC 27001 Anexo A desenvolve isto nos controlos sobre vulnerabilidades técnicas e avaliação da segurança da informação, onde um teste de penetração se ajusta como uma forma prática de implementação mas não é mencionado como um instrumento obrigatório. A Lei de Cibersegurança incorpora este requisito quando entrar em vigor, sem se esperar que associate a ela um tipo de teste concreto.