клиентът пита за резултати от тест на проникване, но никога не сме правили такъв тест

Отсъствието на пенетрационен тест не е автоматично "не"

Пенетрационен тест — един тест на проникване, при който някой активно се опитва да влезе в ваши системи, за да намери слаби места — е една възможна оценка на ефективност, но не единствената. Член 21 параграф 2 на NIS2 иска "политика и процедури за оценка на ефективността на мерките", без да предписва пенетрационен тест. Също Приложение A на ISO/IEC 27001 споменава техническо управление на уязвимости и тестване, но не налага специфичен метод на тестване. Следователно често можете честно да попълните "не, още не" без това да е блокиращ отговор — то е една от десетте мерки, не единствената.

Какво се счита за алтернативно доказателство: автоматизирани сканирания на уязвимости, процес на корекции, или анализ на риска, който показва, че пенетрационен тест още не беше необходим с оглед на размера на вашите системи. Проверете при процеса за идентифициране и отстраняване на уязвимостите дали вече имате нещо за това — често имате, макар че не се казва "пенетрационен тест". Ако вашия досие нямало това доказателство, системата не предлага "да": получавате тогава въпрос с празен отговор, и вие сами решавате дали да попълните "не" или първо да пуснете сканиране. Някои клиенти приемат задължение ("се планира в Q-колко") като междинен отговор; това узнавате едва след подаване в техния портал.

На какво се базира това: член 21 параграф 2 и Приложение A

Задължението за периодична оценка произтича от член 21 параграф 2 на Директива (EU) 2022/2555, който "политика и процедури за оценка на ефективността на мерките за управление на рисковете в кибербезопасността" номинира като една от десетте мерки, наред с — а не вместо — управление на уязвимости. ISO/IEC 27001 Приложение A разработва това в контролни мерки около технически уязвимости и оценка, без да посочва пенетрационен тест като задължен инструмент. Дали вашата организация попада директно под задълженията на NIS2, зависи от сектор и размер — определяте това отделно от този въпрос, например чрез въпросът дали предприятието само по себе си попада под NIS2.