küsimustik küsib, kas oleme läbi viinud penetratsioonitesti

Penetratsioonitest on tõendus testimisel, mitte eraldi nõue

Penetratsioontest ei ole artikli 21 lõike 2 NIS2 kohaselt iseseisvalt kohustuslik. Küsimus kuulub meetme (f) alla: poliitika ja menetlused turvameetmete tõhususe hindamiseks. Penetratsioonitest on üks viis seda kontrollida, näiteks haavatavuste skannimise või sisemise auditi kõrval. Kui klient küsib konkreetselt penetratsioonitesti järele, tahab ta tavaliselt teada, kas tehnilistele meetmetele on kunagi sõltumatult kontroll tehtud ja kas need tõepoolest toimivad, mitte ainult paberil.

Kui oled penetratsioonitesti lasta teostada, siis on teaskanne (või kokkuvõte kuupäeva, ulatuse ja leidude lahendamisega) tõendusmaterjal. Kui sa seda ei oma, siis on "ei" aus vastus — see ei ole automaatne hylkamine, eriti väiksemate tarnijate puhul, kellel ei ole kohustuslikku üksuse staatust richtlini alusel. Tähtsam kui sõna "penetratsioonitest" on see, kas sa saad näidata, et sa turvalisuse meetmete tõhusust regulaarselt kontrollid moel ja kas see on seotud käimasoleva haavatavuste avastamise ja parandamise protsessiga. Seega ära täida "jah", kui raport puudub, isegi kui oled kunagi skanni käivitanud — suuremas osas küsimustikes on skan ja penetratsioonitest selgesõnaliselt erinevad asjad.

Kust see pärit on: artikli 21 lõige 2 ja ISO 27001

Direktiivi (EL) 2022/2555 artikli 21 lõige 2 nimetab punktis (f) "poliitikaid ja menetlusi küberkaitseriski juhtimisega seotud meetmete tõhususe hindamiseks" ühe kümnest kohustusliku meetmest; penetratsioonitest kuulub siia testimismeetodina, kuid seda nime järgi ei nimetata. ISO/IEC 27001 Lisa A arendab seda edasi tehnilistele haavatavustele ja teabe turvalisuse sõltumatu hindamisele keskendunud kontrollmeetmetes, milles penetratsioonitestid on praktikas levinud, kuid neid samuti kohustuslikuks ei nõuta. Kuberturveseadus, NIS2 Hollandi ülevõtt, jõustub 15. augustil 2026 ja sisaldab samu kümmet meetmet; kuni selle kuupäevani on direktiiv ise järgitav raamistik.