Kas turvameetmete tõhusust testitakse perioodiliselt?
Testimine on meetme enda osa, mitte eraldi kast
Jah, enamasti küll — kuid mitte eraldiseisva küsimusena, sest NIS2 artikkel 21 lõige 2 sõnastab selle poliitika ja protseduuride tunnusena, mitte eraldiseisva testimisnõudena. Punktis (a), riskianalüüsi poliitika ja infosüsteemide kaitse osas, ja punktis (b), intsidentide käsitlemise osas kuulub perioodiline hindamine tavaliselt sellesse, mida "sobiv" poliitika tavaliselt hõlmab. Kes suudab näidata, et meetmeid vaadatakse regulaarselt üle — pärast intsidenti, pärast pentesti, pärast auditilnguavaatust — vastab sellele, mida klient selle küsimusega tegelikult näha soovib: töötavat juhtimissüsteemi, mitte pilkasuluulist hetkeseisundit ühest rajamisdokumendist.
Kui ettevõte ISO 27001-sertifitseeritud on, on see tavaliselt kõige lihtsam tõendmaterjal: standard nõuab ise sisemisi auditeid ja juhtimise ülevaatust ning need dokumendid näitavad otseselt, et testimine toimub. Ilma sertifikaadita saab sama asja tõendada pentestiraportiga, sisemise hindamise aruandega või märkmetega, milles turvameetmeid on käsitletud ja kohandatud. Kui selline tõendmaterjal puudub, siis on "ei" või "arendamisel" ausam vastus kui jah ilma dokumendita tagisel — eriti seetõttu, et seda küsimust küsitakse sageli koos küsimusega riskianalüüsi poliitika, ja kahe vastuse vastuolu märkab klient, kes mõlemat loeb.
Kus see suunises kajastub: artikli 21 lõige 2
Artikli 21 lõige 2 NIS2 nimetab kümmet meetmete kategooriat, mis peavad olema "asjakohased ja proportsionaalsed" ning direktiivi seletuseks paigutab proportsionaalsuse pidevasse riskihindamise protsessi — mitte ühekordse rajamise. Selgesõnaline eraldiseisev nõue "perioodiliseks testimiseks tõhususe osas" eraldi artikli lõikena puudub; see tuleneb punkti (a) riskianalüüsipoliitika ja punkti (b) intsidentide käsitlemise kombinatsioonist, kus intsidentidest saadud õppetunnid ja perioodiline riskihindamine viivad loogiliselt meetmete ülevaatuseni. Täpsele tekstile viitamiseks on autentne direktiiv vardapaigaks.
Millele see põhineb
Määrus ise asub EUR-Lexis. Me viitame väite põhjal; teil pole meid uskuma.
Mida peate tegema
Rakendamine iga kohustuse järgi, kaasaarvatud kuuluvad tähtajad ja mallid selle registreerimiseks, on abonendis.
Vaadake tellimust Esmalt tasuta kiirkontrollSee ei ole juriidiline nõu. Sellel lehel antakse üldine teave regulatiivide kohta, mida see platvorm hõlmab. Me teie olukorda ei tea. Kui teil on kahtlusi oma juhtumi osas, konsulteerige juristiga või pädevas järelevalveasutusega.
Kirjutatud AI-ga ülaltoodud allikate põhjal, inimese poolt kontrollitud 2026-09-05. Kas midagi ei ole õige? Andke teada — parandused saavad prioriteedi.