Οδηγία (ΕΕ) 2022/2555 — κυβερνοασφάλεια

Πώς επαληθεύεται

• Υπάρχει πολιτική ανάλυσης κινδύνων και ασφάλειας πληροφοριών εγκεκριμένη από τη διοίκηση, η οποία έχει επανεξεταστεί εντός καθορισμένου χρονικού διαστήματος

  Το άρθρο 21 παράγραφος 2 στοιχείο α) θεσπίζει την υποχρέωση, αλλά όχι συχνότητα επανεξέτασης ή κάποιο όριο — το συγκεκριμένο διάστημα εδώ είναι προσωρινή ρύθμιση σε επίπεδο προσχεδίου, εν αναμονή του καθορισμού της από ειδικό σε θέματα συμμόρφωσης, και δεν προβλέπεται από το νομικό κείμενο.

Πώς επαληθεύεται

• Τα περιστατικά καταγράφονται με χρονοσημάνσεις ανίχνευσης, αξιολόγησης και αντιμετώπισης, και τηρούνται οι προθεσμίες υποβολής αναφορών του άρθρου 23 της NIS2 για τα περιστατικά που εμπίπτουν σε αυτές

  Οι προθεσμίες του άρθρου 23 (έγκαιρη προειδοποίηση εντός 24 ωρών / κοινοποίηση εντός 72 ωρών / τελική έκθεση εντός 1 μήνα) είναι εδώ το συγκεκριμένο όριο που μπορεί να παρατεθεί — βλ. την ενότητα «Δεσμεύσεις κοινοποίησης περιστατικών». Το ίδιο το μητρώο περιστατικών είναι η §3.15 και εμπίπτει στη Φάση 3.

Πώς επαληθεύεται

• Υπάρχει τεκμηριωμένο σχέδιο επιχειρησιακής συνέχειας και αποκατάστασης μετά από καταστροφή, τα αντίγραφα ασφαλείας λαμβάνονται σύμφωνα με καθορισμένο χρονοδιάγραμμα και έχει δοκιμαστεί η επαναφορά δεδομένων από αυτά

  Η συχνότητα των δοκιμών επαναφοράς και τα όρια RTO/RPO δεν καθορίζονται στο νομικό κείμενο — προσωρινή ρύθμιση σε επίπεδο προσχεδίου, εν αναμονή της γνώμης ειδικού σε θέματα συμμόρφωσης. Τα API των συστημάτων αντιγράφων ασφαλείας μπορούν να αυτοματοποιήσουν τα τεκμήρια για το χρονοδιάγραμμα και την ολοκλήρωση των αντιγράφων· η ίδια η δοκιμή επαναφοράς παραμένει ανθρώπινη διαδικασία (§3.1).

Πώς επαληθεύεται

• Υπάρχει επικαιροποιημένο μητρώο προμηθευτών με καταχωρισμένη αξιολόγηση ασφάλειας για κάθε άμεσο προμηθευτή και πάροχο υπηρεσιών

  Το άρθρο 21 παράγραφος 3 απαιτεί επίσης να λαμβάνονται υπόψη οι συντονισμένες αξιολογήσεις κινδύνων για την ασφάλεια της αλυσίδας εφοδιασμού του άρθρου 22 παράγραφος 1 — αυτό δεν αποτυπώνεται ακόμη στην πλατφόρμα· η ενότητα «Προμηθευτές» (§3.14, Φάση 3) είναι το σημείο όπου θα μπορεί να αυτοματοποιηθεί.

Πώς επαληθεύεται

• Υπάρχει διαδικασία χειρισμού και γνωστοποίησης ευπαθειών και οι ευπάθειες παρακολουθούνται από τον εντοπισμό έως την αποκατάστασή τους

  Προβλεπόμενη πηγή τεκμηρίων είναι η αυτοματοποιημένη άντληση δεδομένων από σαρωτές ευπαθειών και από την κατάσταση των ενημερώσεων κώδικα (README: API σαρωτών, GitHub/GitLab, κατάσταση ενημερώσεων κώδικα) — οι συγκεκριμένοι χρόνοι αποκατάστασης (SLA) είναι προσωρινή ρύθμιση σε επίπεδο προσχεδίου, εν αναμονή της γνώμης ειδικού.

Πώς επαληθεύεται

• Υπάρχει τεκμηριωμένη πολιτική κρυπτογραφίας και κρυπτογράφησης και η κρυπτογράφηση επιβάλλεται για τα δεδομένα που, βάσει της ταξινόμησής τους, την απαιτούν

  Ποιες κατηγορίες δεδομένων απαιτούν κρυπτογράφηση εξαρτάται από την ταξινόμηση περιουσιακών στοιχείων της ίδιας της οντότητας (το μοντέλο περιουσιακών στοιχείων εμπίπτει στη Φάση 3) — προσωρινή ρύθμιση σε επίπεδο προσχεδίου, εν αναμονή του μοντέλου αυτού και της γνώμης ειδικού.

Πώς επαληθεύεται

• Υπάρχει πολιτική ελέγχου πρόσβασης, η πρόσβαση του προσωπικού χορηγείται και ανακαλείται με βάση τα αρχεία ανθρώπινου δυναμικού και τηρείται κατάλογος απογραφής περιουσιακών στοιχείων

  Το όριο για τον χρόνο ανάκλησης της πρόσβασης και τα κριτήρια πληρότητας του καταλόγου απογραφής είναι προσωρινές ρυθμίσεις σε επίπεδο προσχεδίου, εν αναμονή της γνώμης ειδικού.

Πώς επαληθεύεται

• ≥ 95% των ενεργών χρηστών με ενεργοποιημένο MFA ΚΑΙ 0 μη προστατευμένοι λογαριασμοί διαχειριστή

  Μία μόνο ζώνη αναλογικότητας — η αναλογικότητα του άρθρου 21 παράγραφος 1 της Οδηγίας NIS2 (ζώνες για πολύ μικρές, μικρές και μεσαίες οντότητες) δεν έχει ακόμη επιμεριστεί σε ζώνες, εν αναμονή της γνώμης ειδικού σε θέματα συμμόρφωσης. Βλ. επίσης Εκτελεστικό Κανονισμό, §11.7.2: η ισχύς του ελέγχου ταυτότητας πρέπει να κλιμακώνεται ανάλογα με την ταξινόμηση των περιουσιακών στοιχείων, κάτι που το όριο αυτό από μόνο του δεν εκφράζει (το μοντέλο περιουσιακών στοιχείων εμπίπτει στη Φάση 3).