kund frågar om pentest-resultat men vi har aldrig gjort ett pentest

Ingen pentest genomförd är inte ett automatiskt nej

Ett pentest — ett penetrationstest, där någon aktivt försöker bryta sig in i dina system för att hitta svaga punkter — är en möjlig test av effektivitet, men inte den enda. Artikel 21 punkt 2 i NIS2 kräver "policy och procedurer för att bedöma effektiviteten av åtgärder", utan att föreskriva något pentest. Också Annex A i ISO/IEC 27001 nämner teknisk sårbarhetshantering och testning, men tvingar ingen specifik testmetod. Du kan därför ofta ärligt fylla i "nej, inte ännu" utan att det är ett blockerande svar — det är en av tio åtgärder, inte den enda.

Vad som räknas som alternativt bevis: automatiserade sårbarhetsscanningar, en uppdateringsprocess, eller en riskanalys som visar att ett pentest inte ansågs nödvändigt med tanke på omfattningen av dina system. Kontrollera hos processen för att upptäcka och åtgärda sårbarheter om du redan har något igång där — ofta gör du det, även utan att det kallas "pentest". Om ditt dossier inte har det bevismaterialet föreslår systemet ingen "ja": du får då en fråga med ett tomt svar, och du beslutar själv om du fyller i "nej" eller först kör en scanning. Vissa kunder accepterar ett åtagande ("planeras för Q-vad som helst") som ett mellanliggande svar; det vet du först efter inlämnande till deras portal.

Där detta bygger på: artikel 21 punkt 2 och Annex A

Skyldigheten till periodisk testning följer av artikel 21 punkt 2 i direktiv (EU) 2022/2555, som nämner "policy och procedurer för bedömning av effektiviteten av cybersäkerhetsbriskreduceringsåtgärder" som en av tio åtgärder, vid sidan av — inte i stället för — sårbarhetshantering. ISO/IEC 27001 Annex A utvecklar detta i kontrollåtgärder kring tekniska sårbarheter och bedömning, utan att nämna ett pentest som ett obligatoriskt instrument. Huruvida din organisation själv faller under de direkta NIS2-skyldigheterna beror på sektor och omfattning — det fastställer du oberoende av denna fråga, till exempel via huruvida företaget själv omfattas av NIS2.