По изискване
Какво всъщност изисква NIS2 от вашето тестване на сигурността
NIS2 не предписва тест за проникване. Изисква мерки за управление на риска и начин да се прецени дали те работят. Ето как член 21 се превръща в тестване, което дава на вашия ръководен орган и на надзорния орган реални доказателства.
Вижте как работят защитните мерки.
Започваме от услугата и системите зад нея, след което договаряме кои мерки да оценим.
Какво изисква
Какво казва NIS2 за тестването
Член 21(1) изисква съществените и важните субекти да предприемат подходящи и съразмерни технически, оперативни и организационни мерки за управление на рисковете за техните мрежови и информационни системи, като отчитат съвременното състояние на техниката. Член 21(2) определя минимума, включително сигурност на веригата на доставки (буква г), сигурност при придобиване, разработка и поддръжка с работа по уязвимостите и тяхното разкриване (буква д) и, в буква е, политики и процедури за оценка на ефективността на тези мерки. Директивата не назовава тестването за проникване, но тестването е пряк начин да се покаже, че мерките работят. Съгласно член 20 ръководните органи одобряват и наблюдават мерките.
За определени субекти в цифровата инфраструктура, управлението на ИКТ услуги и доставчиците на цифрови услуги Регламент за изпълнение (ЕС) 2024/2690 отива по-далеч. Той изисква политика за тестване на сигурността, при която необходимостта, обхватът, честотата и видът на тестовете се основават на оценка на риска, документирана методология, записани резултати и смекчаване на критичните констатации. Съображенията към него дават тестовете за проникване, сканирането за уязвимости и тестовете за сигурност на приложения като примери. Отделно, членове 32 и 33 позволяват на надзорните органи да използват одити на сигурността, сканирания и искания за доказателства. Тъй като NIS2 е директива, обвързващите подробности идват от транспониращия закон на всяка държава членка.
Чл. 21(1) – Подходящи и съразмерни мерки
Мерките трябва да отразяват съвременното състояние на техниката и експозицията на риск, размера и вероятността от инциденти при субекта. Тестването следва да спазва същата логика: по-критичните и по-изложените системи заслужават по-задълбочено и по-често тестване.
Чл. 21(2)(г) – Сигурност на веригата на доставки
Субектите трябва да осигуряват сигурността в отношенията с преките си доставчици и доставчици на услуги, като отчитат уязвимостите им и практиките за сигурна разработка. Тестването на интеграциите, пътищата за достъп на доставчици и връзките към управлявани услуги придава съдържание на тази оценка.
Чл. 21(2)(д) – Придобиване, разработка и поддръжка
Обхваща сигурността при придобиване, разработка и поддръжка на системи, включително работата с уязвимости и тяхното разкриване. Тестването на приложения, прегледът на кода и работещ процес за обработка на докладвани уязвимости подкрепят тази мярка.
Чл. 21(2)(е) – Оценка на ефективността
Субектите се нуждаят от политики и процедури, с които да преценят дали мерките им за управление на риска действително работят. Тестовете за проникване, упражненията на red team и валидирането на контролите осигуряват независим принос към тази оценка, основан на доказателства.
Чл. 20 – Управление
Ръководните органи трябва да одобряват мерките за управление на риска, да наблюдават прилагането им и могат да носят отговорност при нарушения. Резултати от тестове, написани за тази аудитория, им помагат да упражняват надзор с реална информация.
Чл. 32 и 33 – Надзор
Надзорните органи могат да използват одити на сигурността, сканирания и искания за доказателства — проактивно при съществените субекти и последващо при важните. Добре поддържаните записи от тестове ви позволяват да отговорите с документирани доказателства.
Какво да се тества
Какво трябва да обхване едно тестване, съобразено с NIS2
Услуги в обхвата
Започнете от услугите, които ви поставят в обхвата на NIS2, и от мрежовите и информационните системи, които ги поддържат, включително физическата среда, където това има значение при подхода „всички опасности“ по член 21(2).
Външна атакувана повърхност
Приложенията, достъпни от интернет, отдалеченият достъп, електронната поща и облачните клиентски организации са чести маршрути за първоначален достъп. Тествайте ги за слабости, които могат да бъдат експлоатирани, а не само за липсващи обновления, и потвърдете, че многофакторното удостоверяване работи както трябва.
Вътрешна мрежа и идентичност
Започнете от сценарий с вече компрометиран акаунт или устройство. Проверете придвижването към други системи, повишаването на права и слабостите в Active Directory или облачните идентичности. Така оценявате дали контролът на достъпа и сегментацията ограничават нападателя.
Доставчици и хора
Тествайте връзките с доставчици, достъпа на управлявани услуги и интеграциите с трети страни и обмислете социално инженерство, за да проверите дали обучението и мерките за киберхигиена променят поведението, в рамките на договорените правила на ангажимента.
Какво получавате
Какво предава PXLSec и как то подкрепя вашите доказателства
Констатации, съотнесени към член 21
Докладите препращат всяка констатация към съответната мярка по член 21(2), така че вашата оценка на ефективността може да покаже кои мерки са издържали, кои са се провалили и какво се е променило в резултат.
Резюме за ръководния орган
Резюме на разбираем език за риска, първопричините и състоянието на отстраняването дава на ръководните органи информацията, нужна им да одобряват мерки и да наблюдават прилагането им съгласно член 20.
Документиран обхват и метод
Всеки доклад записва обхвата, датите, методологията, тестерите и ограниченията — точно това, което една политика за тестване на сигурността следва да документира и което надзорен орган може да поиска да види.
Повторен тест и закриване
Тестваме повторно отстранените констатации и потвърждаваме закриването писмено, в подкрепа на коригиращите мерки, изисквани по член 21(4), и ви даваме проследима следа от откриването до корекцията.
Чести капани
Чести грешки
Грешки, които струват време при одит, и как да ги избегнете.
Допускането, че един тест годишно е достатъчен
NIS2 не определя фиксирана честота на тестване. Ако вашата оценка на риска, значима промяна или инцидент налагат тестване, тест по календар веднъж годишно може да не удовлетвори собствената ви политика за ефективност.
Пренебрегване на националното законодателство
NIS2 е директива, затова обвързващите задължения идват от националното транспониране. Проверете закона на вашата държава членка и евентуалните подзаконови правила, които може да добавят детайли за регистрация, одити или докладване.
Сканиране вместо тестване
Автоматизираните сканирания откриват известни проблеми, но рядко показват дали контролите спират целенасочен нападател. Оценката на ефективността обикновено изисква ръчно тестване на това как слабостите се свързват в реално въздействие.
Оставяне на доставчиците извън обхвата
Член 21(2)(г) поставя сигурността на веригата на доставки вътре във вашите мерки за управление на риска. Изключването на достъпа на доставчици, управляваните услуги и интеграциите от тестването оставя известен маршрут към вашата среда неоценен.
Кой решава какво се приема
PXLSec е независима фирма за офанзивна сигурност, а не одитор, оценител, сертифициращ орган или регулатор. Ние извършваме тестването и осигуряваме доказателствата; вашият одитор, оценител или компетентен орган решава какво приема. Тази страница е обща насока, а не правен съвет.
Често задавани въпроси
Често задавани въпроси
Изисква ли NIS2 тестване за проникване?
Директивата не изисква тестване за проникване поименно. Член 21(2)(е) изисква политики и процедури за оценка на ефективността на вашите мерки, а тестването е практичен начин това да бъде направено. За субектите, обхванати от Регламент за изпълнение (ЕС) 2024/2690, политика за тестване на сигурността се изисква изрично, а съображенията към него посочват тестовете за проникване като един от примерите.
Съществен или важен субект ли сме?
В общи линии субектите от Приложение I над праговете за средно предприятие са съществени, а другите субекти от Приложение I или II с поне среден размер са важни. Някои субекти са обхванати независимо от размера, а държавите членки могат да определят и други. Потвърдете класификацията си с вашия национален компетентен орган.
Как България е транспонирала NIS2?
България транспонира NIS2 чрез изменение на Закона за киберсигурност; изменителният закон е обнародван в Държавен вестник, бр. 17 от 13 февруари 2026 г. Той разграничава съществени и важни субекти и предвижда целеви одити на сигурността. Проверете консолидирания текст и евентуалните правила за прилагане за вашите конкретни задължения.
Ние сме финансов субект по DORA. Прилага ли се NIS2?
За финансовите субекти, обхванати от DORA, съображенията към NIS2 посочват, че разпоредбите на DORA за управление на ИКТ риска, докладване на инциденти и тестване на устойчивостта се прилагат вместо равностойните правила на NIS2. На практика вашата програма за тестване по DORA е рамката, по която да работите.
PXLSec одитор или компетентен орган ли е?
Не. PXLSec е фирма за тестване на сигурността, а не одитор, сертифициращ орган или регулатор, и не сертифицира съответствие с NIS2. Нашите доклади са доказателства, които можете да използвате в собствената си оценка на ефективността, в докладването пред ръководството и в отношенията с надзорните органи.
Това правен съвет ли е?
Не. Тази страница е обща насока, основана на Директивата и свързаните с нея текстове на ЕС. Вашите задължения зависят от националното транспониране, вашия сектор и вашата класификация, затова потвърдете ги с вашите правни съветници и с компетентния орган.
Услуги, които осигуряват това
Нека обсъдим обхвата на теста.
Кажете ни какво искате да защитите. Опитен специалист ще ви помогне да определите обхвата и следващите стъпки. Обикновено отговаряме в рамките на един работен ден.
Поверителност от първия разговор
Можем да подпишем вашето NDA, преди да споделите чувствителни детайли. За запитването ви се прилага политиката ни за поверителност.
Как защитаваме информацията ви · Политика за поверителност