Provjerava li se učinkovitost sigurnosnih mjera redovito?

Provjera je dio same mjere, nije odvojena stavka

Da, u većini slučajeva — ali ne kao odvojena pitanja, jer članak 21. stavak 2. NIS2 formulira to kao značajku politike i postupaka, ne kao odvojen zahtjev za provjerom. Na točki (a), politika za analizu rizika i zaštitu informacijskih sustava, i na točki (b), rukovanje incidentima, periodička vrednovanja spadaju u ono što "adekvatna" politika obično znači. Tko može dokazati da se mjere redovito preispituju — nakon incidenta, nakon pentesta, nakon nalaza revizije — zadovoljava ono što klijent zapravo želi vidjeti s ovim pitanjem: radni sustav upravljanja, a ne snimak iz jednog dokumenta o implementaciji.

Ako poduzeće ISO 27001-certificirano je, to je obično najjednostavniji dokaz: norma sama zahtijeva unutarnje audite i pregled menadžmenta, a ti dokumenti izravno pokazuju da se vrši procjena. Bez certifikata isto se može dokazati izvještajem testa penetracije, izvještajem unutarnje evaluacije ili zapisnicima u kojima su mjere sigurnosti razmotrene i prilagođene. Ako nedostaje sav taj dokaz, tada je "ne" ili "u razvoju" iskrenjiji odgovor od da bez pratećeg dokumenta — pogotovo jer se ovo pitanje često postavlja zajedno s onim o politika analize rizika, a neslaganja između dva odgovora postaju vidljiva kod klijenta koji čita oba.

Gdje je to navedeno u direktivi: članak 21. stavak 2

Članak 21 stavak 2 NIS2 nabraja deset kategorija mjera koje moraju biti "prikladne i proporcionalne", a obrazloženje uz direktivu veže proporcionalnost na kontinuirani proces procjene rizika — ne na jednokratnu implementaciju. Izričita odvojena obaveza "periodičkog ocjenjivanja učinkovitosti" kao zasebni stavak članka ne postoji; ona proizlazi iz kombinacije točke (a) politike analize rizika i točke (b) rukovanja incidentima, gdje lekcije iz incidenata i periodička procjena rizika logički vode reviziji mjera. Za točan tekst, autentična direktiva je izvori na koji se treba vratiti.