Je účinnost bezpečnostních opatření pravidelně ověřována?

Testování je součástí samotného opatření, nikoli samostatné kolonky

Ano, ve většině případů ano — ale ne jako samostatná otázka, protože čl. 21 odst. 2 NIS2 jej formuluje jako charakteristiku politik a postupů, nikoli jako samostatný požadavek na testování. U bodu (a), politiky pro analýzu rizik a bezpečnost informačních systémů, a u bodu (b), řešení incidentů, patří pravidelné hodnocení k tomu, co "přiměřená" politika normálně znamená. Kdo může prokázat, že opatření jsou pravidelně přezkoumávána — po incidentu, po penetračním testu, po zjištění z auditu — splňuje to, co si zákazník touto otázkou vlastně přeje vidět: fungující systém řízení, nikoli snímek z jediného zřizovacího dokumentu.

Pokud je podnik certifikován podle ISO 27001 , je to obvykle nejjednoduššímu dokladem: norma sama vyžaduje interní audity a přezkum vedením, a tyto dokumenty přímo ukazují, že k testování dochází. Bez certifikátu lze stejné věci doložit zprávou z penetračního testu, zprávou o interním hodnocení nebo zápisem, v němž byly bezpečnostní opatření projednána a upravena. Chybí-li veškeré důkazy, pak je "ne" nebo "ve vývoji" poctivější odpověď než ano bez podporujícího dokladu — zvláště proto, že tato otázka je často položena společně s otázkou o politice pro analýzu rizik, a nekonzistentnost mezi oběma odpověďmi je nápadná u zákazníka, který obě čte.

Kde se to v směrnici nachází: článek 21 odstavec 2

Čl. 21 odst. 2 NIS2 vyjmenovává deset kategorií opatření, která musí být "vhodná a proporcionální", a zdůvodnění směrnice vazbu mezi proporcionalitou a nepřetržitým procesem posuzování rizik — nikoli na jednoduchou úpravu. V textu se nenachází explicitní samostatný požadavek na "pravidelné testování účinnosti" jako samostatný bod článku; vyplývá z kombinace bodu (a) politiky analýzy rizik a bodu (b) řešení incidentů, kdy se lekce z incidentů a pravidelné posouzení rizik logicky vedou k revidování opatření. Přesný text naleznete v autentické směrnici, která je zdrojem.