kund frågar om vi har genomfört ett penetrationtest vad säger jag

Pentest faller under testning, inte under en separat ruta

En pentest (penetrationtest) är ett sätt att visa att säkerheten fungerar — ingen separat krav. Frågan hör till den bredare punkten om periodisk testning av effektiviteten i åtgärder. Om du har låtit en extern part utföra en pentest under det senaste året svarar du ja och lämnar in rapporten eller managementsammanfattningen som bevis. Vissa kunder vill bara se datum och omfattning av testet, inte de sårbarheter som upptäcktes — för det kan du använda sekretessknappen i portalen om det alternativet finns.

Om du inte har låtit utföra en pentest är "nej" det rätta svaret — inte "ja" med en hänvisning till något annat. En sårbarhetsöversökning, en intern kodgranskning eller ISO 27001-certifiering ersätter inte en pentest, även om de rör samma ämne. Om du däremot på annat sätt strukturerat identifierar och åtgärdar sårbarheter kan du förtydliga det i fritextfältet, men det är ett tillägg, inte ett ersättande "ja" på själva pentest-frågan. Om du är osäker på om din testrapport är tillräckligt ny för att gälla är det säkraste att nämna det i förklaringen istället för att utelämna det.

Varifrån detta kommer: artikel 21 punkt 2 och bilaga A

Artikel 21 punkt 2 i NIS2-direktivet (Direktiv (EU) 2022/2555) nämner uttryckligen testning och bedömning av cybersäkerhetåtgärdernas effektivitet bland de tio åtgärderna; en pentest är den mest konkreta genomföringen av detta. ISO/IEC 27001 Annex A kopplar detta till kontrollen för hantering av tekniska sårbarheter och oberoende bedömning av informationssäkerhet. Cybersäkerhetslag, den nederländska omvandlingen av NIS2 som träder i kraft den 15 augusti 2026, fastställer denna skyldighet för enheter som omfattas av lagen — fråga därför din klient om organisationen själv faller under NIS2 eller den nationella omvandlingen för att förstå varför denna fråga finns med på listan.