Подлага ли се периодично на проверка ефективността на мерките за безопасност?

Тестването е част от самата мярка, а не отделен пункт

Да, в повечето случаи — но не като отделен въпрос, тъй като член 21 параграф 2 NIS2 го формулира като характеристика на политиката и процедурите, а не като отделно изискване за тестване. При точка (а), политиката за анализ на рисковете и защита на информационните системи, и при точка (б), управление на инцидентите, периодичното оценяване е част от това, което обикновено означава "адекватна" политика. Всеки, който може да докаже, че мерките се преглеждат редовно — след инцидент, след пентест, след констатация от одит — отговаря на това, което клиентът всъщност иска да види: функционираща система за управление, а не снимка от един момент от един документ за установяване.

Ако предприятието е сертифицирано по ISO 27001 , това обикновено е най-лесното доказателство: самият стандарт изисква вътрешни одити и преглед на ръководството, и тези документи показват директно, че тестването се извършва. Без сертификат същото може да се обоснове с доклад от пентест, доклад от вътрешна оценка или бележки, в които мерките за сигурност са обсъдени и коригирани. Ако липсва всякакво такова доказателство, тогава "не" или "в разработка" е честнопо-честен отговор, отколкото да или без доказателство отзад — особено защото този въпрос често се задава заедно с този за политика за анализ на рисковете, и непоследователност между двата отговора е забелязима от клиент, който чете и двата.

Където е записано в директивата: член 21, параграф 2

Член 21 параграф 2 NIS2 посочва десет категории мерки, които трябва да бъдат "подходящи и пропорционални", и обяснението към директивата свързва пропорционалността с продължаващ процес на оценка на риска — а не с еднократно установяване. Отделно изричното задължение за "периодично тестване на ефективността" като отделен членски параграф не съществува; то следва от комбинацията на точка (а) политика за анализ на рисковете и точка (б) управление на инцидентите, където поуките от инцидентите и периодичната оценка на риска логически водят до преглед на мерките. За точния текст аутентичната директива е местото, към което да се обърнете.