în chestionar se întreabă dacă am efectuat un test de penetrare

Testul de penetrare este dovadă în evaluare, nu o cerință separată

Un test de penetrare nu apare ca o obligație independentă în articolul 21 alineatul 2 NIS2. Întrebarea aparține măsurii (f): politica și procedurile pentru evaluarea eficacității măsurilor de securitate. Un test de penetrare este o modalitate de a verifica aceasta, alături de, de exemplu, o scanare a vulnerabilităților sau un audit intern. Dacă clientul cere în mod specific un test de penetrare, de obicei dorește să știe dacă a fost vreodată verificat în mod independent dacă măsurile tehnice funcționează cu adevărat, nu doar pe hârtie.

Dacă ai efectuat un test de penetrare, raportul (sau un rezumat cu data, domeniu de aplicare și rezolvarea constatărilor) este documentul de probă. Dacă nu ai efectuat, atunci "nu" este răspunsul onest — aceasta nu este o respingere automată, mai ales la furnizori mai mici fără statut de entitate obligatoriu aplicabil conform directivei. Mai important decât cuvântul "test de penetrare" este dacă poți demonstra că testezi și evaluezi periodic eficacitatea măsurilor de securitate într-o altă modalitate, și dacă aceasta se conectează la una în curs procesul de identificare și remediere a vulnerabilităților. Prin urmare, nu completa "da" în lipsa unui raport, nici dacă ai rulat o scanare o dată — o scanare și un test de penetrare sunt în majoritatea chestionarelor lucruri explicit diferite.

De unde provine: articolul 21 alineatul 2 și ISO 27001

Articolul 21 alineatul 2 din Directiva (UE) 2022/2555 enumeră sub punctul (f) "politicile și procedurile pentru evaluarea eficacității măsurilor de gestionare a riscurilor de securitate cibernetică" ca una dintre cele zece măsuri obligatorii; un test de penetrare se încadrează sub aceasta ca metodă de evaluare, dar nu este menționat explicit. ISO/IEC 27001 Anexa A dezvoltă aceasta mai departe în măsurile de control privind vulnerabilitățile tehnice și evaluarea independentă a securității informațiilor, în care testele de penetrare sunt o practică comună, dar nici nu sunt obligatorii. Legea privind securitatea cibernetică, transpunerea olandeză a NIS2, intră în vigoare pe 15 august 2026 și va conține aceleași zece măsuri; până la acea dată, directiva în sine este cadrul de urmat.