Testas effektiviteten av säkerhetsmåtten regelbundet?

Testning är en del av själva åtgärden, inte en separat ruta

Ja, i de flesta fall — men inte som en fristående fråga, eftersom artikel 21 stycke 2 NIS2 formulerar det som ett kännetecken för politik och procedurer, inte som ett separat testkrav. Vid punkt (a), politiken för riskanalys och säkerhet för informationssystem, och vid punkt (b), incidenthantering, hör periodisk granskning till vad "lämplig" politik normalt sett innebär. Den som kan visa att åtgärder granskas regelbundet — efter en incident, efter ett pentest, efter ett revisionsfynd — uppfyller vad kunden egentligen vill se med denna fråga: ett fungerande ledningssystem, inte en ögonblicksbild från ett enda etablerande dokument.

Om företaget ISO 27001-certifierat är det vanligtvis det enklaste bevisstycket: normen kräver själv interna revisioner och en ledningsöversyn, och dessa dokument visar direkt att testning sker. Utan certifikat kan samma sak underbyggas med en pentestrappor, en rapport från en intern bedömning eller protokoll där säkerhetåtgärder har diskuterats och justerats. Om allt detta bevis saknas är "nej" eller "under utveckling" ett mer sanningsenligt svar än ett ja utan dokumentation bakom — särskilt eftersom denna fråga ofta ställs tillsammans med den om politik för riskanalys, och inkonsekvens mellan de två svaren märks av en kund som läser båda.

Där det står i direktivet: artikel 21 punkt 2

Artikel 21 stycke 2 NIS2 nämner tio kategorier av åtgärder som måste vara "lämpliga och proportionerade", och vägledningen till direktivet kopplar proportionalitet till en fortlöpande process för riskbedömning — inte till en engångsförfattning. En uttrycklig separat skyldighet till "periodisk testning av effektivitet" som ett separat artikelstycke finns inte; den följer av kombinationen av punkt (a) riskanalypolitik och punkt (b) incidenthantering, där lärdomar från incidenter och periodisk riskbedömning logiskt leder till revidering av åtgärder. För den exakta texten är det autentiska direktivet källan att hänvisa till.