Europese regelgevingscontext
Penetratietesten in het kader van NIS2 en DORA
Een praktische gids voor de EU-vereisten en verwachtingen op het gebied van cyberbeveiligingsrisicobeheer, het testen van digitale operationele weerbaarheid en dreigingsgestuurde penetratietesten.
Bewijs van weerbaarheid, geen garantie op naleving
Organisaties in heel Europa en de Verenigde Staten zijn afhankelijk van verbonden systemen en leveranciers. Penetratesten met toestemming valideren geselecteerde aanvalspaden en leveren bewijs om herstelmaatregelen te prioriteren. EU-verplichtingen zijn afhankelijk van de entiteit, de sector en de toepasselijke wetgeving. Amerikaanse organisaties dienen te beoordelen of hun activiteiten of relaties in de EU ertoe leiden dat relevante vereisten op hen van toepassing zijn.
NIS2: risicobeheer en effectiviteitstests
Richtlijn (EU) 2022/2555, artikel 21, verplicht essentiële en belangrijke entiteiten passende en evenredige maatregelen te nemen voor het beheer van cyberbeveiligingsrisico's. Artikel 21(2)(f) omvat beleid en procedures om de doeltreffendheid daarvan te beoordelen. Penetratietests kunnen die beoordeling ondersteunen, maar de richtlijn schrijft geen algemeen verplichte jaarlijkse penetratietest voor. De scope en frequentie zijn afhankelijk van het risico, de toepasselijke nationale implementatiewetgeving en de sectorvereisten. Artikel 20 betreft de goedkeuring door en het toezicht van bestuursorganen.
EUR-Lex, NIS2-artikelen 20 en 21DORA: een evenredig testprogramma
Verordening (EU) 2022/2554 is van toepassing vanaf 17 januari 2025. Artikelen 24 en 25 bevatten vereisten voor het testen van digitale operationele weerbaarheid, met inachtneming van het toepassingsgebied en de vrijstellingen van de verordening. Financiële entiteiten die geen micro-ondernemingen zijn, moeten ervoor zorgen dat ten minste jaarlijks passende tests worden uitgevoerd op alle ICT-systemen en applicaties die kritieke of belangrijke functies ondersteunen. Het programma omvat uiteenlopende technieken; dit is geen algemene verplichting om elk systeem jaarlijks aan een volledige penetratietest te onderwerpen.
EUR-Lex, DORA-artikelen 24 en 25DORA: geavanceerde dreigingsgestuurde penetratietests
Artikel 26 verplicht financiële entiteiten die door bevoegde autoriteiten op basis van de daarin vastgelegde criteria zijn aangewezen, waaronder relevante significante financiële entiteiten, om ten minste elke drie jaar dreigingsgestuurde penetratietests (TLPT) uit te voeren. Autoriteiten kunnen die frequentie aanpassen op basis van risico's en operationele omstandigheden. TLPT omvat meerdere of alle kritieke of belangrijke functies en wordt uitgevoerd op actieve productiesystemen. Dit vereist een gecontroleerde scope, waarborgen om risico's te beheersen, herstelmaatregelen en betrokkenheid van toezichthouders. Niet elke financiële entiteit is hiertoe verplicht. Artikel 27 stelt eisen aan testers; een reguliere penetratietest kwalificeert niet automatisch als een TLPT-oefening.
EUR-Lex, DORA-artikelen 26 en 27Bepaal de scope, waarborgen en rapportage
Leg vóór het testen schriftelijke toestemming en afspraken vast over systemen, kritieke functies, toestemmingen van leveranciers, testvensters, escalatiecontacten en stopvoorwaarden. Rapporten moeten bewijsstukken, beperkingen, bedrijfsimpact, herstelprioriteiten en hertestresultaten vastleggen. Bewaar deze documenten binnen het bredere risicomanagementprogramma.
Deze gids biedt algemene informatie en vormt geen juridisch advies of verklaring van goedkeuring door een toezichthouder. Laat de nationale implementatie van NIS2, de toepasselijkheid van DORA en de verwachtingen van toezichthouders bevestigen door uw complianceteam of juridisch adviseur. Een testrapport is geen certificering van naleving.
Bespreek een beoordeling