Kräver cybersäkerhetslagen penetrationstest?

Artikel 21 räknar upp åtgärder som riskhanteringen ska omfatta, bland annat riskanalys, incidenthantering, kontinuitet, leverantörskedjan, kryptering och åtkomstkontroll. Formuleringen genomgående är att åtgärderna ska vara lämpliga och proportionella i förhållande till risken.

Det ordvalet lägger bevisbördan på verksamheten. Att en åtgärd är införd säger inget om att den är lämplig, och den bedömningen ska kunna redovisas.

Medlemsstaterna ska säkerställa att väsentliga och viktiga entiteter vidtar lämpliga och proportionella tekniska, driftsrelaterade och organisatoriska åtgärder för att hantera risker som hotar säkerheten i nätverks- och informationssystem.

Den som letar efter ett uttryckligt testkrav i EU-rätten hittar det i DORA, inte i NIS2. DORA kräver hotbildsstyrd penetrationstestning för vissa finansiella entiteter, med egna krav på testarna.

Att blanda ihop de två är vanligt och kostsamt åt båda hållen. Ett bolag utanför finanssektorn kan tro sig behöva ett TLPT-upplägg det inte omfattas av. Ett finansiellt bolag kan tro att ett vanligt penetrationstest räcker för DORA:s testkrav.

Andra finansiella entiteter än de entiteter som avses i artikel 16.1 första stycket och mikroföretag, vilka har identifierats i enlighet med punkt 8 tredje stycket i den här artikeln ska minst vart tredje år genomföra avancerade tester med hjälp av hotbildsstyrd penetrationstestning.

Riskhanteringsarbete producerar mest text. Policyer, rutiner, register och bedömningar visar vad ni avser att göra och hur ni tänkt kring risken.

Ett test svarar på en annan fråga: höll det? Skillnaden märks vid tillsyn, där frågan sällan är om ni har en policy utan om ni vet att skyddet fungerar. Den vanligaste kritiken mot den svenska implementeringen från praktikerhåll är just att föreskrifterna riskerar att belöna formalia framför åtgärder som höjer säkerheten.

Rapporteringsfristerna gör samma poäng. En tidig varning ska lämnas inom 24 timmar och en incidentanmälan inom 72 timmar. Om ingen prövat detektionen vet ni inte om ni ens upptäcker händelsen inom det fönstret.

Ett test som slutar i en skannerutskrift är svårt att använda i en tillsynsdialog. Det som gör resultatet användbart är att någon verifierat fynden och rangordnat dem efter vad de faktiskt innebär.

1. 01Koppla omfattningen till riskbedömningenTesta det ni identifierat som mest kritiskt, så att resultatet svarar på en fråga ni redan ställt.
2. 02Kräv verifierade fyndEtt fynd som reproducerats av en människa går att åtgärda och att redovisa. Ett larm från ett verktyg gör sällan det.
3. 03Be om prioritering, inte om en listaRangordning efter exploaterbarhet och konsekvens är det som gör rapporten till ett beslutsunderlag.
4. 04Spara underlaget med datumEtt odaterat testresultat går inte att koppla till ett beslut, och det är kopplingen tillsynen frågar efter.