v vprašalniku se sprašuje, ali smo opravili test penetracije

Pentest je dokaz pri preizkušanju, ne samostojna zahteva

Penetracijski test ni navedenih kot samostojna obveznost v členu 21 odstavku 2 NIS2. Vprašanje spada pod ukrep (f): politike in postopki za ocenjevanje učinkovitosti varnostnih ukrepov. Pentest je en način za testiranje, skupaj z na primer skeniranjem ranljivosti ali interno revizijo. Če naročnik posebej prosi za pentest, običajno želi vedeti, ali je bilo neodvisno preverjeno, ali tehnični ukrepi res delujejo, ne le na papirju.

Če si izvedel pentest, je poročilo (ali povzetek z datumom, obsegom in ravnanjem z ugotovitvami) dokazilo. Če tega nemaš, je "ne" pošten odgovor — to ni samodejno zavrnitev, še posebej ne pri manjših dobaviteljih brez obveznega statusa uporabne entitete po direktivi. Pomembnejše kot beseda "pentest" je, ali lahko pokažeš, da si redko preizkušate učinkovitost ukrepov za varnost na drug način, in ali je to povezano s tekočim postopek za odkrivanje in odpravo ranljivosti. Zato ne izpolni "da" ob odsotnosti poročila, niti če si enkrat zaganil sken — sken in pentest sta v večini vprašalnikov izrecno različni stvari.

Od kod to prihaja: član 21 odstavek 2 in ISO 27001

Član 21 odstavek 2 Direktive (EU) 2022/2555 pod točko (f) navaja "politike in postopke za ocenjevanje učinkovitosti ukrepov za upravljanje tveganj kibernetske varnosti" kot enega od desetih obveznih ukrepov; pentest spada sem kot metoda preizkušanja, vendar ni izrecno naveden. ISO/IEC 27001 Annex A to nadaljuje s kontrolnimi ukrepi okrog tehnične ranljivosti in neodvisnega pregleda varnosti informacij, pri katerih so pentesti kot praksa običajni, vendar prav tako niso obvezno predpisani. Zakon o kibernetski varnosti, nizozemska preureditev NIS2, začne veljati 15. avgusta 2026 in bo vseboval iste deset ukrepov; do tega datuma je direktiva sama okvir za upoštevanje.