Este eficacitatea măsurilor de securitate testată periodic?

Testarea face parte din măsura în sine, nu din casetă separată

Da, în majoritatea cazurilor — dar nu ca o întrebare separată, deoarece articolul 21 alineatul (2) NIS2 o formulează ca o caracteristică a politicii și procedurilor, nu ca o cerință de testare separată. La punctul (a), politica de analiză a riscurilor și securitatea sistemelor informatice, și la punctul (b), gestionarea incidentelor, evaluarea periodică face parte din ceea ce politica "adecvată" înseamnă în mod normal. Cine poate arăta că măsurile sunt revizuite cu regularitate — după un incident, după un pentest, după o constatare de audit — răspunde la ceea ce clientul dorește să vadă cu această întrebare: un sistem de management funcțional, nu o instantaneu dintr-un singur document de implementare.

Dacă organizația certificată ISO 27001 este, acesta este de obicei cel mai ușor document de susținere: norma în sine impune audituri interne și o revizuire a managementului, iar aceste documente demonstrează direct că testarea are loc. Fără certificat, același lucru poate fi susținut cu un raport de pentest, un raport de evaluare internă, sau procese-verbale în care măsurile de securitate au fost discutate și ajustate. Dacă lipsește toate dovezile, atunci "nu" sau "în dezvoltare" este un răspuns mai onest decât un da fără dovezi — mai ales pentru că această întrebare este adesea pusă împreună cu cea despre politica de analiză a riscurilor, și inconsecvența dintre cele două răspunsuri se observă la un client care citește ambele.

Unde se află aceasta în directivă: articolul 21 alineat 2

Articolul 21 alineatul (2) NIS2 enumeră zece categorii de măsuri care trebuie să fie "adecvate și proporționale", iar explicația richtivei conectează proporționalitatea la un proces continuu de evaluare a riscurilor — nu la o implementare unică. O obligație explicită separată de "testare periodică a eficacității" ca articol separat nu se regăsește; rezultă din combinația punctului (a) politica de analiză a riscurilor și punctului (b) gestionarea incidentelor, unde lecții din incidente și evaluarea periodică a riscurilor conduc în mod logic la revizuirea măsurilor. Pentru textul exact, richtiva autentică este punctul de referință pe care să se revină.