Stranka vprašuje, ali smo opravili penetracijsko testiranje, kaj rečem

Pentest spada pod testiranje, ne pod ločeno rubriko

Pentest (test penetracije) je eden od načinov, kako dokazati, da varnost deluje — ni ločena zahteva. Vprašanje spada v širšo točko o periodičnem testiranju učinkovitosti ukrepov. Če si v preteklem letu opravil pentest preko zunanje stranke, odgovoriš z »da« in priložiš poročilo ali povzetek za upravo kot dokaz. Nekateri odjemalci želijo videti samo datum in obseg testa, ne pa samih odkritih ranljivosti — za to lahko v portalu uporabiš gumb za zaupnost, če je ta možnost na voljo.

Če nisi opravil pentesta, je »ne« pravi odgovor — ne »da« s sklicevanjem na kaj drugega. Pregled ranljivosti, notranji pregled kode ali certifikat ISO 27001 niso nadomestek za pentest, čeprav se nanašajo na isto temo. Če dejansko strukturno odkrivate in odpravljate ranljivosti po drugem potu, lahko to pojasnite v polju za prosti tekst, vendar je to dodatek, ne nadomestno »da« na samo vprašanje o pentestu. Če dvomiš, ali je tvoje poročilo o testu še dovolj sveže, je najvarnejša izbira, da to omeniš v pojasnilu namesto da bi ga izpustil.

Izvor: člen 21(2) in Annex A

Člen 21 člen 2 Direktive NIS2 (Direktiva (EU) 2022/2555) med desetimi ukrepi izrecno omenja testiranje in ocenjevanje učinkovitosti ukrepov kibernetske varnosti; pentest je najbolj konkretna oblika izvajanja le-tega. ISO/IEC 27001 Priloga A to povezuje s kontrolnim ukrepom za tehnično upravljanje ranljivosti in neodvisno oceno varnosti informacij. Zakon o kibernetski varnosti, nizozemska implementacija NIS2, ki stopi v veljavo 15. avgusta 2026, to obveznost postavlja za subjekte, ki spadajo pod zakon — zato preverite, ali je podjetje samo pod NIS2 ali nacionalno implementacijo da bi razumeli, zakaj je to vprašanje sploh na seznamu.