В списъка с въпроси се пита дали сме извършили тест на пробив

Тестът на проникване е доказателство при проверка, не отделно изискване

Тестът на проникване не е самостоятелна задължение по член 21 параграф 2 на NIS2. Въпросът попада под мярка (f): политика и процедури за оценяване на ефективността на мерките за сигурност. Тестът на проникване е един начин за проверка, както и например сканиране за уязвимости или вътрешен одит. Ако клиентът конкретно иска тест на проникване, обикновено желае да знае дали някога е извършена независима проверка дали техническите мерки действително работят, не само на хартия.

Ако си провел тест на проникване, докладът (или резюме с дата, обхват и отчет за решаване на намерената проблема) е доказателството. Ако нямаш това, entonces "не" е честният отговор — това не е автоматично отхвърляне, особено за по-малки доставчици без задължена приложима статут на субект по директивата. По-важно от думата "тест на проникване" е дали можеш да покажеш, че периодично проверяваш ефективността на мерките за сигурност по други начин, и дали това е свързано със текуща ,. Затова не попълвай "да", ако липсва доклад, дори и ако си пуснал сканиране — в повечето въпросници сканирането и тестът на проникване са изрично различни неща.

Откъде идва това: член 21 параграф 2 и ISO 27001

Член 21 параграф 2 на Директива (EU) 2022/2555 посочва под точка (f) "политика и процедури за оценяване на ефективността на мерките за управление на киберсигурностния риск" като една от десетте задължени мерки; тестът на проникване попада под това като метод на проверка, но не е посочен по име. ISO/IEC 27001 Приложение A разработва това допълнително в управленските мерки около технически уязвимости и независимо оценяване на информационната сигурност, в които тестовете на проникване са обичайна практика, но също не са задължени. Законът за киберсигурност, холандската преработка на NIS2, влизаше в сила на 15 август 2026 и ще съдържа същите десет мерки; до тогава директивата самата е рамката, която трябва да се следва.