v dotazníku sa pýtajú, či sme nechali vykonať penetračný test

Pentest je dôkazom pri testovaní, nie samostatným požiadavkom

Penetračný test sa neuvádzajúci ako samostatný záväzok v článku 21 odsek 2 NIS2. Otázka patrí k opatreniu (f): politika a postupy na hodnotenie účinnosti bezpečnostných opatrení. Pentest je jeden zo spôsobov, ako to otestovať, popri napr. skenovaní zraniteľností alebo internej revízii. Ak zákazník konkrétne požaduje pentest, zvyčajne chce vedieť, či bol niekedy nezávisle skontrolovaný, či technické opatrenia skutočne fungujú, nielen na papieri.

Ak si si nechal vykonať pentest, správa (alebo súhrn s dátumom, rozsahom a vyriešením zistení) je dokazovacím dokumentom. Ak si to nemáš, potom "nie" je poctivá odpoveď — to nie je automatický odmietny verdikt, najmä nie v prípade menších dodávateľov bez povinného aplikovateľného statusu subjektu podľa smernice. Dôležitejšie ako slovo "pentest" je, či vieš preukázať, že si pravidelne testujete účinnosť opatrení bezpečnosti iným spôsobom a či to súvisí s prebiehajúcou proces na zisťovanie a odstránenie zraniteľností. Nevyplňuj teda "áno" v prípade absencie správy, ani nie v prípade, že si niekedy spustil skenovanie — skenovanie a pentest sú vo väčšine zoznamov otázok výslovne rozdielne veci.

Odkiaľ to pochádza: článok 21 odsek 2 a ISO 27001

Článok 21 odsek 2 Smernice (EÚ) 2022/2555 uvádza v bode (f) "politiku a postupy na hodnotenie účinnosti opatrení v oblasti riadenia kybernetických bezpečnostných rizík" ako jedno z desiatich povinných opatrení; pentest sem spadá ako metóda testovania, ale nie je expresne menovaný. ISO/IEC 27001 Príloha A to ďalej rozpracúva v kontrolných opatreniach týkajúcich sa technických zraniteľností a nezávislého hodnotenia bezpečnosti informácií, v ktorých sú pentesty ako prax bežné, ale rovnako nie sú stanovené ako povinné. Zákon o kybernetickej bezpečnosti, holandská transpozícia NIS2, nadobúda účinnosť 15. augusta 2026 a bude obsahovať rovnaké desať opatrení; do tohto dátumu je samotná smernica rámcom, ktorý sa má dodržiavať.