Varmennustavoitteet
NIS2-valmius
Miten tietoturvatestaus voi tukea kyberturvallisuuden riskienhallintatoimenpiteitä NIS2-direktiivin (EU) 2022/2555 mukaisesti.
NIS2-direktiivi edellyttää keskeisiltä ja tärkeiltä toimijoilta asianmukaisia ja oikeasuhtaisia kyberturvallisuuden riskienhallintatoimenpiteitä. Niihin kuuluvat haavoittuvuuksien käsittely ja menettelyt, joilla arvioidaan toimenpiteiden tehokkuutta. Tietoturvatestaus voi tuottaa näyttöä molemmista.
Miten testaus voi tukea tätä tavoitetta
- Näyttöä haavoittuvuuksien käsittelystä järjestelmien hankinnassa, kehityksessä ja ylläpidossa (21 artiklan 2 kohdan e alakohta).
- Näyttöä siitä, toimivatko tietoturvatoimenpiteet käytännössä, mikä liittyy tehokkuuden arviointiin (21 artiklan 2 kohdan f alakohta).
- Priorisoituja toimenpiteitä, jotka tukevat johdon päätöksentekoa ja kehityssuunnitelmaa.
- Teknistä tukea toimittaja- ja tuoteturvallisuuskeskusteluihin, silloin kun ne kuuluvat laajuuteen.
Mitä testaus ei tee
- Yksi testi ei osoita NIS2-vaatimustenmukaisuutta eikä korvaa viranomaispäätöstä tai valvontaa.
- Velvoitteet riippuvat toimijaluokasta ja direktiivin kansallisesta täytäntöönpanosta. Tarkista sovellettava kansallinen laki.
- Testi kattaa testatun laajuuden, ei koko organisaatiota.