Is een pentest verplicht? Wat NIS2, DORA, PCI DSS, ISO 27001, de AVG, DigiD en de Amerikaanse toezichthouders werkelijk eisen

Het korte antwoord: zelden verplicht op papier, onvermijdelijk in de praktijk

Een penetratietest wordt door een handvol regimes expliciet geëist en door de meeste andere impliciet. De expliciete groep is klein en precies: PCI DSS v4.0.1 (Requirement 11.4), DORA (artikel 25, met artikel 26 en 27 voor threat-led testen), de DigiD-norm van Logius als vast onderdeel van het jaarlijkse assessment, en voor wie in de Verenigde Staten actief is de FTC Safeguards Rule onder GLBA, 23 NYCRR 500.5 van de staat New York en FedRAMP-maatregel CA-8. Onder deze regimes staan alleen scope en frequentie nog open.

De impliciete groep is groter en raakt vrijwel elke organisatie van enige omvang: NIS2 en de Nederlandse Cyberbeveiligingswet, de AVG, ISO 27001, NEN 7510, BIO 2.0, en in de VS HIPAA en CMMC 2.0. Geen van deze teksten bevat de woorden 'penetratietest' als harde verplichting. Alle eisen dat u de effectiviteit van uw beveiligingsmaatregelen beoordeelt, test of evalueert, en de partijen die op naleving toetsen hebben het pentestrapport tot het standaardbewijs voor het technische deel van die eis gemaakt.

Het eerlijke antwoord op 'is een pentest verplicht?' bestaat dus uit twee delen. Juridisch: alleen onder de expliciete regimes. Praktisch: wordt u geaudit, gecertificeerd of getoetst aan een van de onderstaande kaders, dan wordt het rapport opgevraagd, en 'wij dachten dat het niet verplicht was' is geen antwoord dat een auditor ooit heeft geaccepteerd. De rest van deze pagina gaat regime voor regime.

Amerikaanse regimes in kort bestek

Voor Nederlandse organisaties met Amerikaanse klanten, dochterondernemingen of overheidscontracten. Drie regimes noemen de pentest letterlijk; de andere twee eisen een evaluatie die assessors met een test onderbouwd willen zien.

Waarom 'niet letterlijk verplicht' toch bij een pentest eindigt

Compliance-teksten zijn geschreven als uitkomsten, niet als procedures. 'Beoordeel de effectiviteit van maatregelen', 'beheer technische kwetsbaarheden', 'periodieke technische evaluatie': elk van deze zinnen is een vraag die de auditor met bewijs moet beantwoorden. Een beleidsdocument toont intentie. Een kwetsbaarhedenscan toont bekende zwakheden. Alleen een penetratietest toont of een vaardige aanvaller daadwerkelijk binnenkomt, bevindingen aan elkaar kan rijgen en de gegevens bereikt die het regime beschermt. Daarom is het testrapport de gangbare munt geworden in kaders die het woord nooit gebruiken.

De tweede reden is convergentie. ISO 27001, NEN 7510 en BIO 2.0 delen één maatregelstructuur; DORA en NIS2 zijn geschreven met ISO 27001 in gedachten; PCI DSS, NYDFS en FedRAMP lenen van elkaar. Eén goed gescopete jaarlijkse penetratietest, gekoppeld aan de systemen waar elk regime om geeft, hersteld en hertest, voldoet in één beweging aan de testeis van het merendeel van deze regimes. De organisaties die vastlopen, behandelen elk kader als een aparte oefening.

De derde reden is verantwoordelijkheid. Onder NIS2 en DORA zijn bestuurders persoonlijk verantwoordelijk voor het toezicht op de risicobeheermaatregelen; onder de AVG wordt een datalek uit een ongetest systeem getoetst aan artikel 32. Een bestuur dat een rapport, een herstelplan en een hertest kan tonen, voert een eenvoudiger gesprek met de toezichthouder dan een bestuur dat dat niet kan.

Hoe HackersHub test voor compliance

Wij scopen elke opdracht op de regimes die u in stap één heeft benoemd. De scopeverklaring somt de systemen per kader op, het rapport koppelt elke bevinding aan het relevante artikel of de relevante maatregel, en de managementsamenvatting is geschreven voor de auditor of toezichthouder die haar leest, niet alleen voor de engineers die de bevindingen oplossen.

Elke tester van HackersHub heeft minimaal OSCP, met OSWE- en CREST-gecertificeerde testers in het team, en wordt in het rapport bij naam genoemd. Onze methodiek volgt PTES, OWASP WSTG en MASTG en NIST SP 800-115. Een verificatiehertest van bevindingen vanaf medium binnen 90 dagen is inbegrepen, wat de hertesteis afdekt die de meeste regimes kennen. Wij werken al meer dan tien jaar zo vanuit Amsterdam.

Veelgestelde vragen