L'efficacia delle misure di sicurezza è sottoposta a controlli periodici?

Il test è parte della misura stessa, non una casella separata

Sì, nella maggior parte dei casi — ma non come domanda autonoma, perché l'articolo 21 paragrafo 2 NIS2 lo formula come caratteristica della politica e delle procedure, non come requisito di verifica autonomo. Nel punto (a), la politica per l'analisi dei rischi e la sicurezza dei sistemi informativi, e nel punto (b), la gestione degli incidenti, la valutazione periodica rientra in ciò che una politica "adeguata" normalmente comporta. Chi può dimostrare che le misure sono regolarmente riviste — dopo un incidente, dopo un test di penetrazione, dopo un risultato di audit — soddisfa ciò che il cliente vuole effettivamente vedere con questa domanda: un sistema di gestione funzionante, non un'istantanea di un documento di implementazione.

Se l'impresa è certificata ISO 27001 , di solito questo è il documento probante più facile: la norma stessa richiede audit interni e una revisione della direzione, e tali documenti mostrano direttamente che il test avviene. Senza certificazione, lo stesso può essere supportato da un rapporto di test di penetrazione, un verbale di una valutazione interna o da verbali in cui le misure di sicurezza sono state discusse e adattate. Se tutte queste prove mancano, allora "no" o "in sviluppo" è una risposta più onesta di un sì senza documentazione — soprattutto perché questa domanda viene spesso posta insieme a quella su la politica per l'analisi dei rischi, e l'incoerenza tra le due risposte risulta evidente al cliente che legge entrambe.

Dove si trova nella direttiva: articolo 21 paragrafo 2

L'articolo 21 paragrafo 2 NIS2 elenca dieci categorie di misure che devono essere "adeguate e proporzionate", e il considerando della direttiva collega la proporzionalità a un processo continuo di valutazione dei rischi — non a un'implementazione una tantum. Un obbligo esplicito separato di "test periodico dell'efficacia" come articolo distinto non esiste; deriva dalla combinazione del punto (a) politica di analisi dei rischi e del punto (b) gestione degli incidenti, dove gli insegnamenti dai incidenti e la valutazione periodica dei rischi logicamente portano alla revisione delle misure. Per il testo preciso, la direttiva autentica è il riferimento su cui basarsi.