a kérdőív arra kérdez rá, hogy végeztetünk-e behatolási tesztet

A penetrációs teszt a tesztelés során igazolás, nem önálló követelmény

A penetrációs teszt nem önálló kötelezettségként szerepel az NIS2 21. cikk 2. bekezdésében. A kérdés az (f) intézkedéshez tartozik: a kiberbiztonsági kockázatkezelési intézkedések hatékonyságának értékelésére vonatkozó politikák és eljárások. A penetrációs teszt ennek egyik tesztelési módja, például a sebezhetőség-vizsgálattal vagy a belső audittal együtt. Ha az ügyfél kifejezetten penetrációs tesztet kér, általában azt szeretné tudni, hogy valaha is végzett-e független ellenőrzést arra vonatkozóan, hogy a technikai intézkedések valóban működnek-e, nem csak papíron.

Ha végzettetek penetrációs tesztet, akkor a jelentés (vagy egy összefoglalás a dátummal, a hatókörrel és a megállapítások kezelésével) a bizonyíték. Ha nem, akkor az "nem" az őszinte válasz — ez nem automatikus elutasítás, különösen nem a kisebb szállítók esetében, akikre nem alkalmazható a kötelező entitás státusz a direktíva alapján. A "penetrációs teszt" szó helyett fontosabb, hogy megmutathassátok, hogy rendszeres időközönként teszteled a biztonsági intézkedések hatékonyságát más módon, és hogy ez összekapcsolódik-e egy folyamatban lévő sebezhetőségek felderítésének és orvoslásának folyamatáthelyzettel. Ezért ne jelöljétek be az "igen" lehetőséget a jelentés hiányában, még akkor sem, ha már futtatott szkennelést — a skeningelés és a penetrációs teszt a legtöbb kérdőív szerint kifejezetten különböző dolgok.

Ez honnan származik: az EU 2022/2555 Direktíva 21. cikk 2. bekezdése

Az EU 2022/2555 Direktívájának 21. cikk 2. bekezdése az (f) pontban a "a kiberbiztonsági kockázatkezelési intézkedések hatékonyságának értékelésére vonatkozó politikák és eljárások" szerepel a tíz kötelező intézkedés egyikeként; a penetrációs teszt tesztelési módszerként ide tartozik, de név szerint nem szerepel. Az ISO/IEC 27001 A melléklete ezt a technikai sebezhetőségek kezelésére és az információbiztonság független értékelésére vonatkozó irányítási intézkedésekkel tovább fejleszti, amelyekben a penetrációs tesztek gyakorlatban általánosak, de nem kötelezőek. A Kiberbiztonsági törvény, az NIS2 holland átültetése 2026. augusztus 15-én lép hatályba, és ugyanezeket a tíz intézkedést fogja tartalmazni; addig az direktíva maga az alkalmazandó keret.