kunde vil vide, hvor ofte vi lader vores systemer teste

Ingen fast hyppighed foreskrevet

Der er intet tal i lovteksten. Artikel 21 stk. 2 i NIS2 nævner under punkt f "politik og procedurer til vurdering af effektiviteten af foranstaltninger til styring af cybersikkerhedsrisiko" — en pentest er den mest konkrete udfyldelse heraf, men hvor ofte det skal foregå, lader direktivet åbent. Også cybersikkerhedsloven, som skal omsætte denne artikel til dansk ret, forventes ikke at tilføje et fast interval. Spørgeskemaet fra din kunde udfylder selv dette hul: mange skemaer spørger konkret efter "mindst årligt" eller "ved væsentlige ændringer", men det er normen hos den kunde, ikke loven.

Hvad du i praksis kan udfylde, er således dit eget tempo, ikke et obligatorisk tempo. Tester du årligt, efter hver større udgivelse, eller kun ad hoc efter en hændelse? Det svar finder du normalt, med dato og omfang af den seneste test, som et selvstændigt dokument i kædefolderen — søg efter pentestrapport eller ledelsessammenfattelsen heraf. Hvis du endnu ikke har en fast hyppighed, er "ad hoc, senest gennemført den [dato]" et mere ærligt svar end at opfinde en hyppighed, som du ikke overholder. Dette spørgsmål hører ofte i samme blok som processen for identificering og udbedring af sårbarheder — en pentest er én måde at finde sårbarheder på, scanning og patchpolitik er de andre.

ISO 27001 som indirekte holdepunkt

Hvis du er ISO 27001-certificeret, har du via Annex A-foranstaltningerne normalt allerede fastlagt en intern politik for periodisk test, inklusiv den hyppighed, som organisationen selv har valgt ved risikovurderingen. Det gør spørgsmålet om ISO 27001-certificeratet relevant som underliggende bevis: ikke fordi certificeratet foreskriver en pentest-hyppighed, men fordi det viser, at der findes en fastsat testpolitik, hvoraf hyppigheden kan udledes.