kyselylomakkeessa kysytään, olemme andoneet penetraatiotestin suorittaa

Penetraatiotesti on näyttö testauksessa, ei erillinen vaatimus

Penetraatiotesti ei ole erillinen velvoite artiklan 21 kohdan 2 NIS2 nojalla. Kysymys kuuluu toimenpiteeseen (f): politiikka ja menettelyt, joilla arvioidaan turvatoimenpiteiden tehokkuutta. Penetraatiotesti on yksi tapa tähän, muiden joukossa esimerkiksi haavoittuvuuksien skannaus tai sisäinen auditointi. Jos asiakas erityisesti pyytää penetraatiotestia, hän haluaa yleensä tietää, onko koskaan testattu riippumatta kolmannella osapuolella, toimivatko tekniset turvatoimenpiteet todella, ei vain paperilla.

Jos olet teettänyt penetraatiotestin, raportti (tai yhteenveto, jossa on päivämäärä, laajuus ja havaintojen käsittely) on näyttöasiakirja. Jos sinulla sitä ei ole, "ei" on rehellinen vastaus — se ei ole automaattinen hylkääminen, varsinkin pienemmillä toimittajilla, joilla ei ole pakollista soveltuvan yksikön asemaa direktiivin nojalla. Tärkeämpää kuin sana "penetraatiotesti" on, voidaanko osoittaa, että testaat ja arvioit säännöllisesti turvatoimenpiteiden tehokkuutta muulla tavalla, ja liittyykö se käynnissä olevaan prosessiin haavoittuvuuksien havaitsemiseksi ja korjaamiseksi. Älä siis täytä "kyllä"-vastauksia raportin puuttuessa, vaikka olisit ajoittain suorittanut skannauksen — skannaus ja penetraatiotesti ovat useimmissa kyselyissä nimenomaisesti eri asioita.

Mistä tämä tulee: artikla 21 kohta 2 ja ISO 27001

Direktiivin (EU) 2022/2555 artiklan 21 kohdan 2 kohdassa (f) mainitaan "kyberturvallisuusriskinhallinnan toimenpiteiden tehokkuuden arvioimiseksi laadittavat politiikat ja menettelyt" yhtenä kymmenestä pakollisesta toimenpiteestä; penetraatiotesti kuuluu tähän testausmenetelmänä, mutta sitä ei mainita nimellä. ISO/IEC 27001 Annex A kehittelee tätä edelleen tekniikkaansa haavoittuvuuksiin ja tietoturvaan liittyvinä hallintamenettelyinä, joissa penetraatiotestit ovat yleinen käytäntö, mutta niihin ei myöskään velvoiteta. Kyberturvallisuuslaki, NIS2-direktiivin suomalainen täytäntöönpano, tulee voimaan 15. elokuuta 2026, ja siinä on samat kymmenen toimenpidettä; siihen saakka direktiivi itsessään on sovellettava kehys.