kunden frågar om vi nyligen har låtit utföra ett penetrationstester

Penetrationstest är bevis för granskning, inte ett separat kriterium

Ett penetrationstest är ett av sätten att visa att säkerheten granskas periodiskt, inte ett fristående krav i sig. Artikel 21 stycke 2 NIS2 nämner under punkt f "policy och procedurer för att bedöma effektiviteten i åtgärder", och ett penetrationstest är en utfyllnad av det tillsammans med t.ex. en sårbarhetsanalys eller en intern revision. Om frågan bokstavligt frågar efter ett penetrationstest får du alltså svara "ja" så snart du har en testrapport, oavsett hur resten av din granskningsprocess ser ut.

Har du inte låtit genomföra ett penetrationstest men väl andra former av granskning — en extern säkerhetsrevision, ISO 27001-certifiering med tillhörande interna revisioner, eller en automatiserad skanning — då är "nej" på den bokstavliga frågan det rätta svaret, möjligen med en förklaring om alternativ granskning i fritextfältet om det finns. Fyll inte i "ja" för att du "gör något med granskning"; frågan är specifik nog för att behandlas som ett separat faktum. Detta ämne berör också frågan om effektiviteten i åtgärder granskas periodiskt, och ofta också processen för att upptäcka och åtgärda sårbarheter, eftersom penetrationstester och sårbarhetsanalyser i praktiken ofta blandas ihop även om det är två olika åtgärder.

Var detta återfinns: artikel 21 stycke 2 punkt f, Annex A

Artikel 21 stycke 2 punkt f i direktiv (EU) 2022/2555 föreskriver "policy och procedurer för att bedöma effektiviteten i cybersäkerhetriskkontrollåtgärder", utan att föreskriva ett penetrationstest specifikt. ISO/IEC 27001 Annex A utvecklar detta vidare i kontrollåtgärder kring tekniska sårbarheter och bedömning av informationssäkerhet, där ett penetrationstest passar som praktisk utfyllnad men inte nämns som obligatoriskt verktyg. Cybersäkerhetslag tar över detta krav när den träder i kraft, utan att förväntas koppla ett konkret testtyp till det.