Indien er wijzigingen plaatsvinden die mogelijk significante impact hebben op informatiebeveiliging, moet de penetratietest zoals benoemd in A.5.36 Beoordeling van technische naleving voor deze IT-componenten opnieuw uitgevoerd worden.