A eficácia das medidas de segurança é testada periodicamente?

O teste é parte da medida em si, não uma caixa separada

Sim, na maioria dos casos — mas não como pergunta isolada, pois o artigo 21.º, n.º 2, NIS2 o formula como característica da política e dos procedimentos, não como requisito de teste isolado. No ponto (a), a política de análise de riscos e proteção de sistemas de informação, e no ponto (b), tratamento de incidentes, a avaliação periódica faz parte do que normalmente se entende por política "adequada". Quem conseguir demonstrar que as medidas são revistas regularmente — após um incidente, após um teste de penetração, após uma constatação de auditoria — cumpre o que o cliente pretende realmente ver com esta pergunta: um sistema de gestão funcional, não uma fotografia de um documento de implementação único.

Se a empresa tem certificação ISO 27001 , isto é normalmente a prova mais fácil: a norma exige auditorias internas e uma revisão de gestão por si só, e esses documentos demonstram diretamente que o teste ocorre. Sem certificação, o mesmo pode ser fundamentado com um relatório de teste de penetração, um relatório de avaliação interna, ou atas em que as medidas de segurança foram discutidas e ajustadas. Se todas essas provas faltarem, então "não" ou "em desenvolvimento" é uma resposta mais honesta do que um sim sem documentação — especialmente porque esta pergunta é frequentemente colocada em conjunto com a sobre política de análise de riscos, e a incoerência entre as duas respostas é notada por um cliente que lê ambas.

Onde consta na diretiva: artigo 21.º, n.º 2

O artigo 21.º, n.º 2, NIS2 menciona dez categorias de medidas que devem ser "apropriadas e proporcionais", e a orientação da diretiva liga a proporcionalidade a um processo contínuo de avaliação de riscos — não a uma implementação única. Não existe uma obrigação explícita e separada de "teste periódico da eficácia" como um artigo separado; decorre da combinação do ponto (a) política de análise de riscos e ponto (b) tratamento de incidentes, em que as lições dos incidentes e a avaliação periódica de riscos levam logicamente à revisão das medidas. Para o texto preciso, a diretiva autêntica é a fonte a que se deve recorrer.