Как тестировать собственные сайты на уязвимости и не нарушить закон? Какие лицензии нужны для пентеста?
Свои сайты вы можете проверять чем угодно, кроме одобрения начальства ничего не требуется. 
Для проведения аудита информационной безопасности, в том числе пентеста лицензии в настоящее время не требуются, поскольку ранее единую лицензию ФСТЭК на деятельность по технической защите разбили на несколько разрозненных и исключили из их числа требование наличия лицензии при проведении аудита. Это касается организаций оказывающих услуги клиентам.
Для проведения мероприятий по технической защите информации собственного предприятия наличие никаких лицензий не требуется.
Подробнее ознакомится с вопросом лицензирования можно - тут
Просто напиши инструкцию\приказ, по которой ИНСТРУМЕНТОМ проверки безопасности будет данное ПО. При этом инструкция должна быть "белой", т.е. подписана директором или что-то в этом роде - зависит от формы и размера юрлица