NIS2
Network and Information Systems Directive
Articolul 21 cere evaluarea eficacității controalelor de risc, fără să impună explicit un pentest.
Acoperim toate cerințele tehnice de cod
și securitate cloud
pentru 
și altele
Model de raportCadre europene
Reguli UE pentru risc cibernetic, reziliență operațională, date personale și produse digitale.
DORA
Digital Operational Resilience Act
Articolele 24–25 cer un program de testare; obligația separată TLPT se aplică doar entităților financiare selectate.
GDPR
General Data Protection Regulation
Articolul 32 cere evaluarea regulată a măsurilor de securitate, dar metoda de testare rămâne bazată pe risc.
EU CRA
EU Cyber Resilience Act
Producătorii trebuie să testeze produsele cu elemente digitale și să gestioneze vulnerabilitățile în perioada de suport.
Cadre globale
Standarde pentru asigurare, plăți, sănătate, sector public, aplicații și securitate cloud.
SOC 2
System and Organization Controls 2
Criteriile nu menționează pentestul, dar auditorii și clienții cer frecvent dovezi independente și actuale.
ISO 27001
Information Security Management Systems
Auditorii folosesc dovezi din testare pentru a evalua managementul vulnerabilităților și controalele de testare.
PCI DSS
Payment Card Industry Data Security Standard
Cerința 11.4 impune explicit testare de penetrare internă și externă cel puțin o dată la 12 luni.
HIPAA
Health Insurance Portability and Accountability Act
Regula de securitate cere analiză de risc și evaluare tehnică periodică, nu un pentest nominal.
NIST 800-53
Security and Privacy Controls for Information Systems
CA-8 acoperă explicit testarea de penetrare atunci când controlul este selectat pentru sistem.
OWASP ASVS
Application Security Verification Standard
Un standard de verificare ale cărui niveluri superioare depind de testare practică de securitate.
ISO 27017/27018
Cloud Security and PII Protection
Ghidurile pentru cloud și PII extind controalele ISO 27001; testarea urmează limita responsabilității comune.