L'efficacité des mesures de sécurité est-elle testée périodiquement ?

Le test fait partie de la mesure elle-même, ce n'est pas une case séparée

Oui, dans la plupart des cas — mais pas comme question autonome, car l'article 21 paragraphe 2 NIS2 la formule comme caractéristique de la politique et des procédures, non comme exigence d'évaluation autonome. Au point (a), la politique d'analyse des risques et la sécurité des systèmes d'information, et au point (b), la gestion des incidents, l'évaluation périodique fait normalement partie de ce qu'une politique « adéquate » implique. Celui qui peut démontrer que les mesures sont régulièrement révisées — après un incident, après un test de pénétration, après une constatation d'audit — satisfait à ce que le client veut réellement voir avec cette question : un système de gestion opérationnel, et non un instantané d'un document de mise en place unique.

Si l'entreprise certifiée ISO 27001 c'est généralement la preuve la plus facile : la norme elle-même exige des audits internes et un examen de la direction, et ces documents montrent directement que l'évaluation a lieu. Sans certificat, la même chose peut être étayée par un rapport de test de pénétration, un procès-verbal d'une évaluation interne, ou des notes mentionnant que les mesures de sécurité ont été discutées et ajustées. Si cette preuve fait défaut, alors « non » ou « en cours de développement » est une réponse plus honnête qu'un oui sans justificatif — d'autant plus que cette question est souvent posée conjointement avec celle sur la politique d'analyse des risques, et l'incohérence entre les deux réponses est remarquée par un client qui les lit tous les deux.

Où cela figure dans la directive : article 21, paragraphe 2

L'article 21 paragraphe 2 NIS2 mentionne dix catégories de mesures qui doivent être « appropriées et proportionnées », et l'explication de la directive lie la proportionnalité à un processus continu d'évaluation des risques — et non à une mise en place unique. Une obligation autonome explicite d'« évaluation périodique de l'efficacité » comme paragraphe d'article distinct n'existe pas ; elle découle de la combinaison du point (a) politique d'analyse des risques et du point (b) gestion des incidents, où les enseignements des incidents et l'évaluation périodique des risques conduisent logiquement à une révision des mesures. Pour le texte exact, la directive authentique est la source à consulter.