Granskningsmål
NIS2-beredskap
Hur säkerhetstestning kan stödja riskhanteringsåtgärder för cybersäkerhet enligt NIS2-direktivet (EU) 2022/2555.
NIS2-direktivet kräver att väsentliga och viktiga enheter vidtar lämpliga och proportionerliga riskhanteringsåtgärder för cybersäkerhet. Dessa omfattar hantering av sårbarheter och rutiner för att bedöma om åtgärderna är effektiva. Säkerhetstestning kan ge underlag för båda delarna.
Hur testning kan stödja det här målet
- Underlag för hantering av sårbarheter vid förvärv, utveckling och underhåll av system (artikel 21.2 e).
- Underlag om säkerhetsåtgärderna fungerar i praktiken, vilket är relevant för bedömningen av effektivitet (artikel 21.2 f).
- Prioriterade åtgärder som stödjer ledningens beslut och en förbättringsplan.
- Tekniskt underlag till diskussioner om leverantörs- och produktsäkerhet där det ingår i omfattningen.
Vad testning inte gör
- Ett enskilt test visar inte NIS2-efterlevnad och ersätter inte ett myndighetsbeslut eller tillsyn.
- Skyldigheterna beror på enhetens kategori och på nationell lag som genomför direktivet. Kontrollera tillämplig nationell lag.
- Ett test omfattar den testade omfattningen, inte hela organisationen.