Testes effektiviteten af sikkerhedstiltag periodisk?

Test er en del af selve foranstaltningen, ikke et separat felt

Ja, i de fleste tilfælde – men ikke som et selvstændigt spørgsmål, fordi artikel 21 stk. 2 NIS2 formulerer det som en karakteristik af politik og procedurer, ikke som et selvstændigt testkrav. For punkt (a), politik for risikovurdering og sikring af informationssystemer, og for punkt (b), hændelseshåndtering, hører periodisk evaluering til, hvad "passende" politik normalt indebærer. Hvis en virksomhed kan påvise, at foranstaltninger bliver gennemgået regelmæssigt – efter en hændelse, efter en pentest, efter en revisionsbemærkning – opfylder den det, som kunden egentlig ønsker at se ved dette spørgsmål: et fungerende styringssystem, ikke et øjebliksbillede fra ét etableringsudkast.

Hvis virksomheden ISO 27001-certificeret er, er dette normalt det nemmeste bevis: standarden selv kræver interne revisioner og ledelseskontrol, og disse dokumenter viser direkte, at test finder sted. Uden certificering kan det samme underbygges med en pentestrappport, en rapport fra en intern evaluering eller referater, hvor sikkerhedsforanstaltninger er blevet diskuteret og justeret. Hvis alt dette bevis mangler, er "nej" eller "under udvikling" et mere ærligt svar end et ja uden dokumentation – især fordi dette spørgsmål ofte stilles sammen med spørgsmål om politik for risikovurdering, og uoverensstemmelse mellem de to svar falder i øjnene hos en kunde, der læser begge.

Hvor det fremgår af direktivet: artikel 21, stk. 2

Artikel 21 stk. 2 NIS2 nævner ti kategorier af foranstaltninger, som skal være "passende og forholdsbestemte", og vejledningen til direktivet knytter forholdsbestemthed til en løbende proces af risikovurdering – ikke til en engangsetablering. Et eksplicit selvstændigt krav om "periodisk test af effektivitet" som et separat artikelpunkt eksisterer ikke; det følger af kombinationen af punkt (a) politik for risikovurdering og punkt (b) hændelseshåndtering, hvor lektioner fra hændelser og periodisk risikovurdering logisk set fører til revision af foranstaltninger. For den præcise tekst er den autentiske direktiv stedet at falde tilbage på.