Welches Dokument legen Sie Auditor, Aufsicht oder Versicherer vor, ohne die Wege in Ihr Netz zu zeigen?
Pentest-Nachweise für NIS2, DORA, TISAX, PCI DSS, ISO/IEC 27001 und die Cyberversicherung: Jedes Assessment von ProSec endet mit einer Prüfbescheinigung, die Zeitraum, Umfang und Methodik belegt, ohne Befunddetails offenzulegen. Hier sehen Sie, welcher Nachweis welchem Adressaten genügt. Ausgerichtet auf §§ 30 und 39 BSIG, Art. 24 und 25 DORA, ISO/IEC 27001, Anhang A 8.8, VDA ISA und PCI DSS, Anforderung 11.4.
Fast jedes relevante Regelwerk verlangt, die Wirksamkeit von Sicherheitsmaßnahmen regelmäßig zu prüfen: das BSIG in der Fassung des NIS2-Umsetzungsgesetzes, in Kraft seit dem 6. Dezember 2025, DORA für Finanzunternehmen, ISO/IEC 27001, TISAX und PCI DSS. Dazu kommen Cyberversicherer und Kunden mit eigenen Fragebögen. Kaum ein Regelwerk legt fest, wie der Nachweis aussehen soll. Den vollständigen Pentest-Bericht will niemand aus der Hand geben, denn er beschreibt die Wege in Ihr Netz.
Die Prüfbescheinigung löst diesen Konflikt. Sie ist ohne Aufpreis Teil jedes Assessments und bestätigt, dass ProSec geprüft hat, mit Zeitraum, Umfang und Methodengrundlagen, auf Wunsch mit Prüftiefe und Schutzbedarf, ohne Befunddetails offenzulegen. Den Behebungsstand belegt auf Wunsch ergänzend der Retest. Die Prüfbescheinigung ist ausdrücklich kein Zertifikat einer akkreditierten Zertifizierungsstelle, sondern der Beleg, dass und wie geprüft wurde.
Bei der Cyberversicherung zählen die Angaben im Fragebogen: Mehrfaktor-Authentifizierung an Fernzugängen, Patchstand, Adminrechte, getrennte Datensicherung. Falsche Antworten auf Fragen des Versicherers können je nach Verschulden zu Rücktritt, Kündigung oder Vertragsanpassung führen, bei Arglist zur Anfechtung (§§ 19 ff. VVG). Ein Test vor Abschluss oder Verlängerung zeigt, ob Ihre Angaben technisch belegbar sind.
§ 30 BSIG verlangt Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen. Betreiber kritischer Anlagen weisen nach § 39 BSIG alle drei Jahre Sicherheitsaudits, Prüfungen oder Zertifizierungen nach.
Art. 24 DORA verlangt mindestens jährliche Tests aller IKT-Systeme, die kritische oder wichtige Funktionen unterstützen. Art. 25 DORA nennt Schwachstellenbewertungen und Penetrationstests ausdrücklich als Testarten.
Anhang A 8.8 verlangt ein Management technischer Schwachstellen, A 8.29 Sicherheitstests in Entwicklung und Abnahme. Der VDA ISA sieht die technische Überprüfung von IT-Systemen als eigene Kontrolle vor, bei hohem Schutzbedarf mit Penetrationstests.
Anforderung 11.4 verlangt interne und externe Penetrationstests mindestens alle zwölf Monate und nach wesentlichen Änderungen, Tests der Segmentierung und den Nachtest behobener Schwachstellen.
Wir prüfen die technischen Angaben aus dem Fragebogen Ihres Versicherers, bevor Sie sie machen: Fernzugänge ohne Mehrfaktor-Authentifizierung, Patchstand an der Außengrenze, Pfade zu Adminrechten und die Erreichbarkeit der Datensicherung.
Die Bestätigung, dass und wie geprüft wurde: prüfende Stelle, Projektzeitraum, Umfang und Methodengrundlagen, ohne Befunddetails. Sie gehört ohne Aufpreis zu jedem Assessment.
Pentest-Nachweise belegen gegenüber Auditor, Aufsicht, Versicherer und Kunden, dass und wie geprüft wurde, ohne Befunde offenzulegen: mit der Prüfbescheinigung aus jedem Assessment, dem Behebungsnachweis aus dem Retest und belegten Angaben für Fragebögen. Gedacht ist das für regulierte Unternehmen, KRITIS-Betreiber, Zulieferer und Unternehmen vor Abschluss oder Verlängerung einer Cyberversicherung. Ein Zertifikat einer akkreditierten Stelle ist die Prüfbescheinigung nicht.
Im Scoping klären wir, wer den Nachweis erhält, ob Auditor, Aufsicht, Versicherer oder Kunde, und welche Anforderungen oder Fragebögen gelten. Danach richten wir Umfang und Dokumentation aus.
Durchführung nach dokumentierter Methodik, mit Vier‑Augen‑Prinzip in der Qualitätssicherung.
Vollständiger Bericht für Ihre interne Nutzung, bei Bedarf mit Retest als Behebungsnachweis.
Ausstellung nach Abschluss des Assessments, als PDF zur Weitergabe an Dritte.
Im Rahmen von Pentest as a Service planen wir die Tests so, dass sie zu Ihren Nachweiszyklen passen.
Alle Nachweise beruhen auf demselben Assessment: die Prüfbescheinigung für Dritte, der Behebungsnachweis aus dem Retest und belegte Angaben für die Fragebögen von Versicherern und Kunden.
Bestätigung von Prüfer, Zeitraum, Umfang und Methodik, ohne Befunddetails. Auf Wunsch mit Prüftiefe und Schutzbedarf..
Der Retest belegt je Schwachstelle, ob sie behoben ist. PCI DSS verlangt diesen Nachtest ausdrücklich, Auditoren nach ISO/IEC 27001 oder unter DORA fragen danach.
Die technischen Fragen aus Versicherungs- und Lieferantenfragebögen, abgeglichen mit den Testergebnissen. Abweichungen kennen Sie, bevor Sie antworten.
Ein Ihr Bericht und ein White Paper für Ihre Entscheidung. Wählen Sie, was Sie interessiert.
Melden Sie sich bei uns. Im Termin zeigen wir Ihnen an einem anonymisierten Beispiel, wie IT-Sicherheitsreport, Actionplan, technische Ergebnispräsentation und Prüfbescheinigung für Ihre Prüfung aussehen.
Was sich unterscheidet, was DORA verlangt und welche Variante zu Ihrem Unternehmen passt.
Sie erhalten: White Paper Pentest vs. TLPT
„Kurz gesagt: ProSec denkt wie ein Angreifer und handelt wie ein Partner.“
Gordon Shepherd, CISO, Hargassner Ges mbH
Die Prüfbescheinigung belegt, dass und wie geprüft wurde, nicht aber die Behebung der Befunde. Diese Leistungen erweitern den Nachweis.
Wenn ein Regelwerk wie PCI DSS den Nachtest behobener Schwachstellen verlangt oder Ihr Auditor die Behebung sehen will, schließt der Retest diese Lücke im Nachweis.
Zur LeistungWenn Ihre Geschäftsleitung nach § 38 BSIG die Umsetzung überwachen muss, bereitet die Management-Präsentation dieselben Ergebnisse für Geschäftsführung und Vorstand auf.
Zur LeistungWenn ein Regelwerk ausdrücklich externe Tests verlangt, etwa PCI DSS, Anforderung 11.4, liefert die Prüfung der externen Infrastruktur die Grundlage der Bescheinigung.
Zur LeistungWenn der Fragebogen Ransomware-Szenarien in den Vordergrund stellt, zeigt ein interner Pentest nach dem Assumed-Breach-Prinzip, wie weit ein Angreifer ab dem ersten Zugang kommt.
Zur LeistungSchildern Sie kurz, worum es geht. Den Zuschnitt erarbeiten wir mit Ihnen im Scoping. Für das Beratungsgespräch müssen
Sie sich nicht vorbereiten, wir führen Sie fachlich Schritt für Schritt. Ausgehend von Ihren Unternehmensabläufen und IT-Systemen ermitteln wir gemeinsam das passende Testkonzept.
Diese Fragen erreichen uns zu dieser Leistung am häufigsten. Was fehlt, klären wir gern persönlich im Beratungsgespräch.
Nein. Sie bestätigt Durchführung, Zeitraum, Umfang und Methodik eines Assessments durch ProSec. Sie ersetzt kein Zertifikat einer akkreditierten Zertifizierungsstelle, wird aber in Zertifizierungsaudits, Kundenanforderungen und gegenüber Aufsichten als Nachweis genutzt..
Das hängt vom Regelwerk ab: DORA und PCI DSS verlangen mindestens jährliche Tests, § 39 BSIG für Betreiber kritischer Anlagen einen Nachweis alle drei Jahre, ISO/IEC 27001 und TISAX regelmäßige, risikobasierte Prüfungen. Unterliegen Sie mehreren Regelwerken, planen wir die Tests so, dass ein Assessment mehrere Nachweise trägt.
Für einzelne Anforderungen kann ein Scan als regelmäßige Überwachung genügen. Wo Penetrationstests ausdrücklich verlangt sind, etwa in PCI DSS, Anforderung 11.4 oder bei hohem Schutzbedarf im VDA ISA, reicht er nicht.
Ausdrücklich verlangt werden Penetrationstests in PCI DSS, Anforderung 11.4, DORA nennt sie in Art. 25 als eine der vorgesehenen Testarten. Der VDA ISA sieht sie bei hohem Schutzbedarf vor. Das BSIG und ISO/IEC 27001 fordern die Prüfung der Wirksamkeit von Maßnahmen und ein Schwachstellenmanagement, ohne die Testart festzulegen.
Nicht durchgängig. Viele Fragebögen fragen nach Maßnahmen, nicht nach einem Test. Ein aktueller Pentest ist aber ein belastbarer Weg, diese Angaben zu prüfen, bevor Sie sie machen, und liefert Nachweise, falls der Versicherer nachfragt.
Sie erhalten ein Nutzungsrecht, das die Weitergabe an Versicherer einschließt. Meist genügt die Prüfbescheinigung. Den vollständigen Bericht geben Sie nur heraus, wenn er ausdrücklich verlangt wird, und dann unter Vertraulichkeit.
Meist fragt er nach Mehrfaktor-Authentifizierung an erreichbaren Systemen, zeitnahem Einspielen von Sicherheitsupdates, eingeschränkten Administratorrechten und getrennt aufbewahrten, getesteten Datensicherungen. Umfang und Detailtiefe unterscheiden sich je nach Versicherer und Unternehmensgröße. Wir richten den Test an den Fragen Ihres konkreten Fragebogens aus.
Einige Monate vor Abschluss oder Verlängerung. Dann bleibt Zeit, Befunde zu schließen und per Retest zu belegen, bevor Sie den Fragebogen beantworten.
Die Prüfbescheinigung nennt prüfende Stelle, Projektzeitraum, Umfang und Methodengrundlagen, auf Wunsch auch Prüftiefe und Schutzbedarf. Befunde, Angriffswege und Details zu verwundbaren Systemen enthält sie nicht. Deshalb können Sie sie weitergeben, ohne Ihre Angriffsfläche offenzulegen.
Vor allem eine Übersicht der Regelwerke, denen Sie unterliegen, und der Systeme, die jeweils in den Geltungsbereich fallen. Daraus leiten wir im Scoping Umfang und Prüftiefe ab, damit ein Test die Anforderungen mehrerer Regelwerke trifft. Hilfreich sind außerdem frühere Berichte und offene Feststellungen aus dem letzten Audit.
Sie hat kein festes Ablaufdatum, denn sie belegt einen Test in einem bestimmten Zeitraum. Wie aktuell der Nachweis sein muss, bestimmt das Regelwerk. DORA und PCI DSS verlangen mindestens jährliche Tests, § 39 BSIG für Betreiber kritischer Anlagen einen Nachweis alle drei Jahre. Ändert sich Ihre Umgebung wesentlich, ist unabhängig vom Turnus ein neuer Test sinnvoll.
Er ersetzt das TISAX-Assessment nicht, kann darin aber als Beleg dienen. Der VDA ISA sieht die technische Überprüfung von IT-Systemen als eigene Kontrolle vor, bei hohem Schutzbedarf mit Penetrationstests. Die Prüfbescheinigung dokumentiert Umfang und Zeitraum dieser Prüfung für den Auditor.
Vor allem vom Umfang des zugrunde liegenden Assessments. Treiber sind die Systeme im Geltungsbereich der Regelwerke, die geforderten Testarten, etwa extern, intern oder Segmentierungstests nach PCI DSS, und ob ein Retest dazukommt. Unterliegen Sie mehreren Regelwerken, planen wir den Test so, dass er mehrere Nachweise trägt.
