Εκτελεστικός Κανονισμός (ΕΕ) 2024/2690 της Επιτροπής — τεχνικές απαιτήσεις του άρθρου 21 παράγραφος 2 της NIS2

NIS2-IMPL-1.1 · Εκτελεστικός Κανονισμός (ΕΕ) 2024/2690 της Επιτροπής — τεχνικές απαιτήσεις του άρθρου 21 παράγραφος 2 της NIS2, Παράρτημα, §1.1

Πολιτική για την ασφάλεια των συστημάτων δικτύου και πληροφοριών — απαιτούμενο περιεχόμενο και επανεξέταση

Τηρείται ενιαία εγκεκριμένη πολιτική για την ασφάλεια των συστημάτων δικτύου και πληροφοριών, η οποία ορίζει την προσέγγιση της οντότητας για την ασφάλεια, είναι ευθυγραμμισμένη με την επιχειρηματική στρατηγική, καθορίζει στόχους ασφάλειας, περιλαμβάνει δέσμευση για συνεχή βελτίωση και για επαρκείς πόρους, κοινοποιείται στο προσωπικό και στα σχετικά εξωτερικά μέρη, καθορίζει ρόλους σύμφωνα με το §1.2, απαριθμεί τα έγγραφα που τηρούνται και τις πολιτικές για συγκεκριμένα θέματα, ορίζει δείκτες παρακολούθησης και αναφέρει την ημερομηνία έγκρισής της από το όργανο διοίκησης — και επανεξετάζεται τουλάχιστον ετησίως ή μετά από σημαντικό περιστατικό ή σημαντική αλλαγή.

NIS2-IMPL-1.2 · Εκτελεστικός Κανονισμός (ΕΕ) 2024/2690 της Επιτροπής — τεχνικές απαιτήσεις του άρθρου 21 παράγραφος 2 της NIS2, Παράρτημα, §1.2

Ρόλοι, αρμοδιότητες και εξουσίες για την ασφάλεια των συστημάτων δικτύου και πληροφοριών

Οι αρμοδιότητες και οι εξουσίες για την ασφάλεια των συστημάτων δικτύου και πληροφοριών ανατίθενται και κοινοποιούνται· το προσωπικό και τα τρίτα μέρη υποχρεούνται να τηρούν την πολιτική ασφάλειας· τουλάχιστον ένα πρόσωπο υποβάλλει αναφορές απευθείας στο όργανο διοίκησης για θέματα ασφάλειας· προβλέπονται ειδικοί ή συνδυασμένοι ρόλοι ανάλογα με το μέγεθος της οντότητας· τα συγκρουόμενα καθήκοντα διαχωρίζονται, όπου αρμόζει· οι ρόλοι επανεξετάζονται σε προγραμματισμένα χρονικά διαστήματα ή μετά από σημαντική αλλαγή.

NIS2-IMPL-10.1 · Εκτελεστικός Κανονισμός (ΕΕ) 2024/2690 της Επιτροπής — τεχνικές απαιτήσεις του άρθρου 21 παράγραφος 2 της NIS2, Παράρτημα, §10.1

Ευθύνες ασφάλειας ανθρώπινων πόρων

Διασφαλίζεται ότι οι υπάλληλοι και, κατά περίπτωση σύμφωνα με το §5.1.4, οι άμεσοι προμηθευτές και πάροχοι υπηρεσιών κατανοούν τις ευθύνες τους στον τομέα της ασφάλειας και δεσμεύονται να τις τηρούν, ανάλογα με τον ρόλο και την υπηρεσία τους και σύμφωνα με την πολιτική για την ασφάλεια δικτύου και πληροφοριών — μέσω μηχανισμών που διασφαλίζουν ότι οι τυποποιημένες πρακτικές κυβερνοϋγιεινής (§8.1) γίνονται κατανοητές και τηρούνται, ότι οι χρήστες με δικαιώματα διαχείρισης ή προνομιακή πρόσβαση ενεργούν σύμφωνα με τους ρόλους, τις αρμοδιότητες και τις εξουσίες τους, ότι τα μέλη του οργάνου διοίκησης κατανοούν τον ρόλο τους στην ασφάλεια δικτύου και πληροφοριών και ενεργούν αναλόγως, και ότι για τους ρόλους που σχετίζονται με την ασφάλεια προσλαμβάνεται ειδικευμένο προσωπικό (π.χ. έλεγχος συστάσεων, έλεγχος καταλληλότητας, επικύρωση πιστοποιήσεων, γραπτές δοκιμασίες). Οι αναθέσεις ρόλων στο προσωπικό (σύμφωνα με το §1.2) και οι διαθέσιμοι πόροι επανεξετάζονται σε προγραμματισμένα χρονικά διαστήματα και τουλάχιστον ετησίως και επικαιροποιούνται όπου απαιτείται.

NIS2-IMPL-10.2 · Εκτελεστικός Κανονισμός (ΕΕ) 2024/2690 της Επιτροπής — τεχνικές απαιτήσεις του άρθρου 21 παράγραφος 2 της NIS2, Παράρτημα, §10.2

Επαλήθευση ιστορικού

Στον βαθμό που είναι εφικτό, επαληθεύεται το ιστορικό των υπαλλήλων και, κατά περίπτωση σύμφωνα με το §5.1.4, των άμεσων προμηθευτών και παρόχων υπηρεσιών, όταν αυτό είναι αναγκαίο για τον ρόλο, τις αρμοδιότητες και τις εξουσίες τους — με τον καθορισμό κριτηρίων για το ποιοι ρόλοι απαιτούν επαληθευμένο ιστορικό και με τη διενέργεια της επαλήθευσης προτού το πρόσωπο αρχίσει να ασκεί τον ρόλο, λαμβάνοντας υπόψη τους ισχύοντες νόμους, κανονισμούς και κανόνες δεοντολογίας, κατ' αναλογία προς τις επιχειρηματικές απαιτήσεις, την ταξινόμηση περιουσιακών στοιχείων του §12.1, τα συστήματα στα οποία θα έχει πρόσβαση και τους διαφαινόμενους κινδύνους. Η πολιτική επανεξετάζεται και, κατά περίπτωση, επικαιροποιείται σε προγραμματισμένα χρονικά διαστήματα.

NIS2-IMPL-10.3 · Εκτελεστικός Κανονισμός (ΕΕ) 2024/2690 της Επιτροπής — τεχνικές απαιτήσεις του άρθρου 21 παράγραφος 2 της NIS2, Παράρτημα, §10.3

Διαδικασίες λήξης ή αλλαγής της απασχόλησης

Διασφαλίζεται ότι οι αρμοδιότητες και τα καθήκοντα για την ασφάλεια των συστημάτων δικτύου και πληροφοριών που εξακολουθούν να ισχύουν μετά τη λήξη ή την αλλαγή της απασχόλησης ενός υπαλλήλου καθορίζονται και επιβάλλονται συμβατικά — συμπεριλαμβανομένων ρητρών εμπιστευτικότητας και παρόμοιων όρων που περιλαμβάνονται στους όρους απασχόλησης, στη σύμβαση ή στη συμφωνία του προσώπου.

NIS2-IMPL-10.4 · Εκτελεστικός Κανονισμός (ΕΕ) 2024/2690 της Επιτροπής — τεχνικές απαιτήσεις του άρθρου 21 παράγραφος 2 της NIS2, Παράρτημα, §10.4

Πειθαρχική διαδικασία για παραβάσεις της πολιτικής ασφάλειας

Θεσπίζεται, κοινοποιείται και διατηρείται πειθαρχική διαδικασία για τον χειρισμό παραβάσεων των πολιτικών για την ασφάλεια των συστημάτων δικτύου και πληροφοριών, η οποία λαμβάνει υπόψη τις σχετικές νομικές, καταστατικές, συμβατικές και επιχειρηματικές απαιτήσεις. Η διαδικασία επανεξετάζεται και, κατά περίπτωση, επικαιροποιείται σε προγραμματισμένα χρονικά διαστήματα και όποτε απαιτείται λόγω αλλαγών του νομικού πλαισίου ή σημαντικών αλλαγών στις λειτουργίες ή στους κινδύνους.

NIS2-IMPL-11.1 · Εκτελεστικός Κανονισμός (ΕΕ) 2024/2690 της Επιτροπής — τεχνικές απαιτήσεις του άρθρου 21 παράγραφος 2 της NIS2, Παράρτημα, §11.1

Πολιτική ελέγχου πρόσβασης

Θεσπίζονται, τεκμηριώνονται και εφαρμόζονται πολιτικές ελέγχου λογικής και φυσικής πρόσβασης στα συστήματα δικτύου και πληροφοριών, με βάση τις επιχειρηματικές απαιτήσεις και τις απαιτήσεις ασφάλειας δικτύου και πληροφοριών — οι οποίες αφορούν την πρόσβαση προσώπων (προσωπικού, επισκεπτών, εξωτερικών οντοτήτων, όπως προμηθευτών και παρόχων υπηρεσιών) και την πρόσβαση των ίδιων των συστημάτων δικτύου και πληροφοριών, και διασφαλίζουν ότι η πρόσβαση παρέχεται μόνο σε χρήστες των οποίων η ταυτότητα έχει ελεγχθεί επαρκώς. Οι πολιτικές επανεξετάζονται και, κατά περίπτωση, επικαιροποιούνται σε προγραμματισμένα χρονικά διαστήματα και μετά από σημαντικά περιστατικά ή σημαντικές αλλαγές στις λειτουργίες ή στους κινδύνους.

NIS2-IMPL-11.2 · Εκτελεστικός Κανονισμός (ΕΕ) 2024/2690 της Επιτροπής — τεχνικές απαιτήσεις του άρθρου 21 παράγραφος 2 της NIS2, Παράρτημα, §11.2

Διαχείριση των δικαιωμάτων πρόσβασης

Τα δικαιώματα πρόσβασης στα συστήματα δικτύου και πληροφοριών παρέχονται, τροποποιούνται, αφαιρούνται και τεκμηριώνονται σύμφωνα με την πολιτική ελέγχου πρόσβασης του §11.1 — με εκχώρηση και ανάκληση των δικαιωμάτων βάσει των αρχών της ανάγκης γνώσης, των ελάχιστων προνομίων και του διαχωρισμού των καθηκόντων· τροποποίηση της πρόσβασης κατά τη λήξη ή την αλλαγή της απασχόλησης· διασφάλιση ότι η πρόσβαση εγκρίνεται από τα αρμόδια πρόσωπα· κατάλληλη αντιμετώπιση της πρόσβασης τρίτων (επισκεπτών, προμηθευτών, παρόχων υπηρεσιών) με περιορισμό του εύρους και της διάρκειάς της· τήρηση μητρώου των παρεχόμενων δικαιωμάτων πρόσβασης· και εφαρμογή καταγραφής στη διαχείριση των δικαιωμάτων πρόσβασης. Τα δικαιώματα πρόσβασης επανεξετάζονται σε προγραμματισμένα χρονικά διαστήματα και τροποποιούνται βάσει οργανωτικών αλλαγών, ενώ τα αποτελέσματα της επανεξέτασης και οι αναγκαίες αλλαγές τεκμηριώνονται.

NIS2-IMPL-11.3 · Εκτελεστικός Κανονισμός (ΕΕ) 2024/2690 της Επιτροπής — τεχνικές απαιτήσεις του άρθρου 21 παράγραφος 2 της NIS2, Παράρτημα, §11.3

Λογαριασμοί με προνομιακά δικαιώματα και λογαριασμοί διαχείρισης συστήματος

Διατηρούνται πολιτικές για τη διαχείριση των λογαριασμών με προνομιακά δικαιώματα και των λογαριασμών διαχείρισης συστήματος, στο πλαίσιο της πολιτικής ελέγχου πρόσβασης του §11.1 — με αυστηρές διαδικασίες ταυτοποίησης, ελέγχου ταυτότητας (π.χ. πολλαπλών παραγόντων) και εξουσιοδότησης για τους λογαριασμούς αυτούς· ειδικούς λογαριασμούς που χρησιμοποιούνται αποκλειστικά για εργασίες διαχείρισης συστήματος (εγκατάσταση, διαμόρφωση, διαχείριση, συντήρηση)· εξατομίκευση και περιορισμό των προνομίων διαχείρισης στον μέγιστο δυνατό βαθμό· και χρήση των λογαριασμών διαχείρισης μόνο για σύνδεση με συστήματα διαχείρισης συστήματος. Τα δικαιώματα πρόσβασης των λογαριασμών με προνομιακά δικαιώματα και των λογαριασμών διαχείρισης επανεξετάζονται σε προγραμματισμένα χρονικά διαστήματα και τροποποιούνται βάσει οργανωτικών αλλαγών, ενώ τα αποτελέσματα της επανεξέτασης τεκμηριώνονται.

NIS2-IMPL-11.4 · Εκτελεστικός Κανονισμός (ΕΕ) 2024/2690 της Επιτροπής — τεχνικές απαιτήσεις του άρθρου 21 παράγραφος 2 της NIS2, Παράρτημα, §11.4

Περιορισμός και έλεγχος των συστημάτων διαχείρισης συστήματος

Η χρήση των συστημάτων διαχείρισης συστήματος περιορίζεται και ελέγχεται σύμφωνα με την πολιτική ελέγχου πρόσβασης του §11.1 — τα συστήματα αυτά χρησιμοποιούνται μόνο για σκοπούς διαχείρισης συστήματος και για καμία άλλη λειτουργία, διαχωρίζονται λογικά από το λογισμικό εφαρμογών που δεν χρησιμοποιείται για διαχείριση και η πρόσβαση σε αυτά προστατεύεται με έλεγχο ταυτότητας και κρυπτογράφηση.

NIS2-IMPL-11.5 · Εκτελεστικός Κανονισμός (ΕΕ) 2024/2690 της Επιτροπής — τεχνικές απαιτήσεις του άρθρου 21 παράγραφος 2 της NIS2, Παράρτημα, §11.5

Διαχείριση του κύκλου ζωής των ταυτοτήτων

Γίνεται διαχείριση ολόκληρου του κύκλου ζωής των ταυτοτήτων των συστημάτων δικτύου και πληροφοριών και των χρηστών τους — με δημιουργία μοναδικών ταυτοτήτων για συστήματα και χρήστες, σύνδεση κάθε ταυτότητας χρήστη με ένα μόνο πρόσωπο, εποπτεία των ταυτοτήτων των συστημάτων και εφαρμογή καταγραφής στη διαχείριση ταυτοτήτων. Ταυτότητες που αποδίδονται σε πολλαπλά πρόσωπα (π.χ. κοινές ταυτότητες) επιτρέπονται μόνο όταν είναι απαραίτητες για επιχειρηματικούς ή επιχειρησιακούς λόγους, υπό την προϋπόθεση ρητής έγκρισης, τεκμηρίωσης και ένταξής τους στο πλαίσιο διαχείρισης κινδύνων του §2.1. Οι ταυτότητες επανεξετάζονται τακτικά και απενεργοποιούνται χωρίς καθυστέρηση όταν δεν χρειάζονται πλέον.

NIS2-IMPL-11.6 · Εκτελεστικός Κανονισμός (ΕΕ) 2024/2690 της Επιτροπής — τεχνικές απαιτήσεις του άρθρου 21 παράγραφος 2 της NIS2, Παράρτημα, §11.6

Διαδικασίες και τεχνολογίες ελέγχου ταυτότητας

Εφαρμόζονται ασφαλείς διαδικασίες και τεχνολογίες ελέγχου ταυτότητας με βάση τους περιορισμούς πρόσβασης και την πολιτική ελέγχου πρόσβασης — ώστε η ισχύς του ελέγχου ταυτότητας να αντιστοιχεί στην ταξινόμηση του περιουσιακού στοιχείου στο οποίο παρέχεται πρόσβαση· η κατανομή και η διαχείριση των απόρρητων πληροφοριών ελέγχου ταυτότητας να ελέγχονται ώστε να διαφυλάσσεται η εμπιστευτικότητά τους (μεταξύ άλλων με καθοδήγηση του προσωπικού για τον χειρισμό τους)· να απαιτείται αλλαγή των διαπιστευτηρίων αρχικά, σε προκαθορισμένα χρονικά διαστήματα και όταν υπάρχει υπόνοια παραβίασής τους· να γίνεται επαναφορά των διαπιστευτηρίων και αποκλεισμός των χρηστών μετά από προκαθορισμένο αριθμό αποτυχημένων προσπαθειών σύνδεσης· να τερματίζονται οι ανενεργές συνεδρίες μετά από προκαθορισμένη περίοδο αδράνειας· και να απαιτούνται χωριστά διαπιστευτήρια για την προνομιακή πρόσβαση ή την πρόσβαση διαχειριστή. Στον βαθμό που είναι εφικτό, χρησιμοποιούνται σύγχρονες μέθοδοι ελέγχου ταυτότητας και μοναδικές πληροφορίες ελέγχου ταυτότητας, ανάλογα με τον εκτιμώμενο κίνδυνο και την ταξινόμηση του περιουσιακού στοιχείου. Οι διαδικασίες και οι τεχνολογίες επανεξετάζονται σε προγραμματισμένα χρονικά διαστήματα.

NIS2-IMPL-12.1 · Εκτελεστικός Κανονισμός (ΕΕ) 2024/2690 της Επιτροπής — τεχνικές απαιτήσεις του άρθρου 21 παράγραφος 2 της NIS2, Παράρτημα, §12.1

Ταξινόμηση περιουσιακών στοιχείων

Καθορίζονται επίπεδα ταξινόμησης για όλα τα περιουσιακά στοιχεία (συμπεριλαμβανομένων των πληροφοριών) που εμπίπτουν στο πεδίο των συστημάτων δικτύου και πληροφοριών, τα οποία υποδεικνύουν το απαιτούμενο επίπεδο προστασίας — με τη θέσπιση συστήματος επιπέδων ταξινόμησης, τη σύνδεση κάθε περιουσιακού στοιχείου με ένα επίπεδο βάσει των απαιτήσεων εμπιστευτικότητας, ακεραιότητας, αυθεντικότητας και διαθεσιμότητας, που αντικατοπτρίζουν την ευαισθησία, την κρισιμότητα, τον κίνδυνο και την επιχειρηματική αξία, και με την ευθυγράμμιση των απαιτήσεων διαθεσιμότητας των περιουσιακών στοιχείων με τους στόχους παράδοσης και αποκατάστασης που ορίζονται στα σχέδια επιχειρησιακής συνέχειας και αποκατάστασης μετά από καταστροφή του §4.1. Τα επίπεδα ταξινόμησης επανεξετάζονται περιοδικά και επικαιροποιούνται, κατά περίπτωση.

NIS2-IMPL-12.2 · Εκτελεστικός Κανονισμός (ΕΕ) 2024/2690 της Επιτροπής — τεχνικές απαιτήσεις του άρθρου 21 παράγραφος 2 της NIS2, Παράρτημα, §12.2

Χειρισμός περιουσιακών στοιχείων

Θεσπίζεται, υλοποιείται και εφαρμόζεται πολιτική για τον ορθό χειρισμό των περιουσιακών στοιχείων (συμπεριλαμβανομένων των πληροφοριών), σύμφωνα με την πολιτική για την ασφάλεια δικτύου και πληροφοριών, η οποία κοινοποιείται σε όποιον χρησιμοποιεί ή χειρίζεται περιουσιακά στοιχεία — καλύπτει ολόκληρο τον κύκλο ζωής τους (απόκτηση, χρήση, αποθήκευση, μεταφορά, διάθεση), προβλέπει κανόνες για την ασφαλή χρήση, αποθήκευση και μεταφορά τους και για την ανεπανόρθωτη διαγραφή και καταστροφή τους και διασφαλίζει ότι η μεταβίβαση γίνεται με ασφαλή τρόπο, ανάλογα με το είδος του περιουσιακού στοιχείου. Η πολιτική επανεξετάζεται και, κατά περίπτωση, επικαιροποιείται σε προγραμματισμένα χρονικά διαστήματα και μετά από σημαντικά περιστατικά ή σημαντικές αλλαγές στις λειτουργίες ή στους κινδύνους.

NIS2-IMPL-12.3 · Εκτελεστικός Κανονισμός (ΕΕ) 2024/2690 της Επιτροπής — τεχνικές απαιτήσεις του άρθρου 21 παράγραφος 2 της NIS2, Παράρτημα, §12.3

Πολιτική για τα αφαιρούμενα μέσα

Θεσπίζεται, υλοποιείται και εφαρμόζεται πολιτική για τη διαχείριση των αφαιρούμενων μέσων αποθήκευσης, η οποία κοινοποιείται στους υπαλλήλους και στα τρίτα μέρη που χειρίζονται τέτοια μέσα στις εγκαταστάσεις της οντότητας ή οπουδήποτε αυτά συνδέονται με τα συστήματα δικτύου και πληροφοριών της — με τεχνική απαγόρευση της σύνδεσης αφαιρούμενων μέσων, εκτός εάν υπάρχει οργανωτικός λόγος, απενεργοποίηση της αυτόματης εκτέλεσης και σάρωση των μέσων για κακόβουλο κώδικα πριν από τη χρήση τους, έλεγχο και προστασία των φορητών συσκευών αποθήκευσης κατά τη μεταφορά και την αποθήκευση και, κατά περίπτωση, χρήση τεχνικών κρυπτογραφίας για την προστασία των δεδομένων στα αφαιρούμενα μέσα. Η πολιτική επανεξετάζεται και, κατά περίπτωση, επικαιροποιείται σε προγραμματισμένα χρονικά διαστήματα και μετά από σημαντικά περιστατικά ή σημαντικές αλλαγές στις λειτουργίες ή στους κινδύνους.

NIS2-IMPL-12.4 · Εκτελεστικός Κανονισμός (ΕΕ) 2024/2690 της Επιτροπής — τεχνικές απαιτήσεις του άρθρου 21 παράγραφος 2 της NIS2, Παράρτημα, §12.4

Κατάλογος απογραφής περιουσιακών στοιχείων

Καταρτίζεται και τηρείται πλήρης, ακριβής, επικαιροποιημένος και συνεπής κατάλογος απογραφής των περιουσιακών στοιχείων, στον οποίο οι μεταβολές των εγγραφών καταγράφονται με ανιχνεύσιμο τρόπο. Ο βαθμός λεπτομέρειας του καταλόγου είναι κατάλληλος για τις ανάγκες της οντότητας και περιλαμβάνει τη λίστα των λειτουργιών και των υπηρεσιών με την περιγραφή τους, καθώς και τη λίστα των συστημάτων δικτύου και πληροφοριών και των άλλων συναφών περιουσιακών στοιχείων που υποστηρίζουν τις λειτουργίες και τις υπηρεσίες αυτές. Ο κατάλογος και τα περιουσιακά στοιχεία που περιλαμβάνει επανεξετάζονται και επικαιροποιούνται τακτικά, με τεκμηριωμένο ιστορικό μεταβολών.

NIS2-IMPL-12.5 · Εκτελεστικός Κανονισμός (ΕΕ) 2024/2690 της Επιτροπής — τεχνικές απαιτήσεις του άρθρου 21 παράγραφος 2 της NIS2, Παράρτημα, §12.5

Κατάθεση, επιστροφή ή διαγραφή περιουσιακών στοιχείων κατά τη λήξη της απασχόλησης

Θεσπίζονται, υλοποιούνται και εφαρμόζονται διαδικασίες που διασφαλίζουν ότι τα περιουσιακά στοιχεία που βρίσκονται στην κατοχή του προσωπικού κατατίθενται, επιστρέφονται ή διαγράφονται κατά τη λήξη της απασχόλησης και ότι η κατάθεση, η επιστροφή ή η διαγραφή τεκμηριώνεται. Όταν η κατάθεση, η επιστροφή ή η διαγραφή δεν είναι δυνατή, διασφαλίζεται ότι τα περιουσιακά στοιχεία αυτά δεν μπορούν πλέον να έχουν πρόσβαση στα συστήματα δικτύου και πληροφοριών της οντότητας, σύμφωνα με το §12.2.2.

NIS2-IMPL-13.1 · Εκτελεστικός Κανονισμός (ΕΕ) 2024/2690 της Επιτροπής — τεχνικές απαιτήσεις του άρθρου 21 παράγραφος 2 της NIS2, Παράρτημα, §13.1

Προστασία των υποστηρικτικών υπηρεσιών κοινής ωφέλειας

Αποτρέπεται η απώλεια, η ζημία ή η έκθεση σε κίνδυνο των συστημάτων δικτύου και πληροφοριών ή η διακοπή της λειτουργίας τους λόγω αστοχίας ή διατάραξης των υποστηρικτικών υπηρεσιών κοινής ωφέλειας — κατά περίπτωση, με προστασία των εγκαταστάσεων από διακοπές ηλεκτροδότησης και άλλες διαταράξεις των υπηρεσιών κοινής ωφέλειας (ηλεκτρική ενέργεια, τηλεπικοινωνίες, ύδρευση, αέριο, αποχέτευση, εξαερισμός, κλιματισμός)· εξέταση του ενδεχομένου εφεδρικών υπηρεσιών κοινής ωφέλειας· προστασία των υπηρεσιών ηλεκτρικής ενέργειας και τηλεπικοινωνιών που μεταφέρουν δεδομένα ή τροφοδοτούν τα συστήματα από υποκλοπές και ζημίες· παρακολούθηση των υπηρεσιών αυτών και αναφορά στο αρμόδιο προσωπικό των συμβάντων που υπερβαίνουν τα όρια ελέγχου· σύναψη συμβάσεων για προμήθειες έκτακτης ανάγκης (π.χ. καύσιμα για την ηλεκτροδότηση έκτακτης ανάγκης)· και διασφάλιση της συνεχούς αποτελεσματικότητας μέσω παρακολούθησης, συντήρησης και δοκιμών της τροφοδοσίας (ηλεκτρική ενέργεια, έλεγχος θερμοκρασίας και υγρασίας, τηλεπικοινωνίες, σύνδεση στο διαδίκτυο). Τα μέτρα προστασίας δοκιμάζονται, επανεξετάζονται και, κατά περίπτωση, επικαιροποιούνται τακτικά ή μετά από σημαντικά περιστατικά ή σημαντικές αλλαγές στις λειτουργίες ή στους κινδύνους.

NIS2-IMPL-13.2 · Εκτελεστικός Κανονισμός (ΕΕ) 2024/2690 της Επιτροπής — τεχνικές απαιτήσεις του άρθρου 21 παράγραφος 2 της NIS2, Παράρτημα, §13.2

Προστασία από φυσικές και περιβαλλοντικές απειλές

Προλαμβάνονται ή μειώνονται οι συνέπειες συμβάντων που προέρχονται από φυσικές και περιβαλλοντικές απειλές (φυσικές καταστροφές και άλλες εκούσιες ή ακούσιες απειλές), με βάση την εκτίμηση κινδύνου του §2.1 — κατά περίπτωση, με σχεδιασμό και εφαρμογή μέτρων προστασίας, καθορισμό ελάχιστων και μέγιστων ορίων ελέγχου για τις φυσικές και περιβαλλοντικές απειλές και παρακολούθηση των περιβαλλοντικών παραμέτρων, με αναφορά στο αρμόδιο προσωπικό όταν σημειώνεται υπέρβαση των ορίων. Τα μέτρα προστασίας δοκιμάζονται, επανεξετάζονται και, κατά περίπτωση, επικαιροποιούνται τακτικά ή μετά από σημαντικά περιστατικά ή σημαντικές αλλαγές στις λειτουργίες ή στους κινδύνους.

NIS2-IMPL-13.3 · Εκτελεστικός Κανονισμός (ΕΕ) 2024/2690 της Επιτροπής — τεχνικές απαιτήσεις του άρθρου 21 παράγραφος 2 της NIS2, Παράρτημα, §13.3

Περίμετρος ασφαλείας και έλεγχος φυσικής πρόσβασης

Αποτρέπονται και παρακολουθούνται η μη εξουσιοδοτημένη φυσική πρόσβαση, οι ζημίες και οι παρεμβολές στα συστήματα δικτύου και πληροφοριών — με καθορισμό και χρήση περιμέτρων ασφαλείας, βάσει της εκτίμησης κινδύνου, για την προστασία των χώρων όπου βρίσκονται συστήματα και συναφή περιουσιακά στοιχεία· προστασία των χώρων αυτών με κατάλληλους ελέγχους εισόδου και σημεία πρόσβασης· σχεδιασμό και εφαρμογή φυσικής ασφάλειας για γραφεία, αίθουσες και εγκαταστάσεις· και συνεχή παρακολούθηση των εγκαταστάσεων για μη εξουσιοδοτημένη φυσική πρόσβαση. Τα μέτρα ελέγχου φυσικής πρόσβασης δοκιμάζονται, επανεξετάζονται και, κατά περίπτωση, επικαιροποιούνται τακτικά ή μετά από σημαντικά περιστατικά ή σημαντικές αλλαγές στις λειτουργίες ή στους κινδύνους.

NIS2-IMPL-2.1 · Εκτελεστικός Κανονισμός (ΕΕ) 2024/2690 της Επιτροπής — τεχνικές απαιτήσεις του άρθρου 21 παράγραφος 2 της NIS2, Παράρτημα, §2.1

Πλαίσιο διαχείρισης κινδύνων και διαδικασία διαχείρισης κινδύνων κυβερνοασφάλειας

Θεσπίζονται και διατηρούνται πλαίσιο διαχείρισης κινδύνων και τεκμηριωμένη διαδικασία διαχείρισης κινδύνων κυβερνοασφάλειας — με καθορισμένη μεθοδολογία, επίπεδο ανοχής κινδύνου και κριτήρια κινδύνου, προσδιορισμό των κινδύνων με προσέγγιση πολλαπλών κινδύνων (συμπεριλαμβανομένων των κινδύνων από τρίτα μέρη και από μοναδικά σημεία αστοχίας), ανάλυση και αξιολόγησή τους, ιεράρχηση και παρακολούθηση της αντιμετώπισής τους και τεκμηρίωση του σχεδίου αντιμετώπισης κινδύνων με αιτιολογημένη αποδοχή των υπολειπόμενων κινδύνων — τα οποία επανεξετάζονται τουλάχιστον ετησίως ή μετά από σημαντική αλλαγή.

NIS2-IMPL-2.2 · Εκτελεστικός Κανονισμός (ΕΕ) 2024/2690 της Επιτροπής — τεχνικές απαιτήσεις του άρθρου 21 παράγραφος 2 της NIS2, Παράρτημα, §2.2

Παρακολούθηση της συμμόρφωσης

Αξιολογείται τακτικά η συμμόρφωση με την πολιτική ασφάλειας, τις πολιτικές για συγκεκριμένα θέματα, τους κανόνες και τα πρότυπα, και το όργανο διοίκησης ενημερώνεται για την τρέχουσα κατάσταση της ασφάλειας μέσω τακτικής υποβολής εκθέσεων από αποτελεσματικό σύστημα υποβολής εκθέσεων συμμόρφωσης, σε προγραμματισμένα χρονικά διαστήματα ή μετά από σημαντικά περιστατικά ή αλλαγές.

NIS2-IMPL-2.3 · Εκτελεστικός Κανονισμός (ΕΕ) 2024/2690 της Επιτροπής — τεχνικές απαιτήσεις του άρθρου 21 παράγραφος 2 της NIS2, Παράρτημα, §2.3

Ανεξάρτητη αξιολόγηση της ασφάλειας των συστημάτων δικτύου και πληροφοριών

Η προσέγγιση για τη διαχείριση της ασφάλειας των συστημάτων δικτύου και πληροφοριών (πρόσωπα, διαδικασίες, τεχνολογία) αξιολογείται ανεξάρτητα από αξιολογητές με κατάλληλη επάρκεια στον τομέα του ελέγχου, οι οποίοι είναι αμερόληπτοι και δεν ανήκουν στη διοικητική ιεραρχία του υπό αξιολόγηση τομέα (ή με εναλλακτικά μέτρα διασφάλισης, όταν η οντότητα είναι πολύ μικρή για τον διαχωρισμό αυτόν), σε προγραμματισμένα χρονικά διαστήματα ή μετά από σημαντικά περιστατικά ή αλλαγές, και τα αποτελέσματα — συμπεριλαμβανομένων των αποτελεσμάτων της παρακολούθησης της συμμόρφωσης και της μέτρησης — υποβάλλονται στο όργανο διοίκησης.

NIS2-IMPL-3.1 · Εκτελεστικός Κανονισμός (ΕΕ) 2024/2690 της Επιτροπής — τεχνικές απαιτήσεις του άρθρου 21 παράγραφος 2 της NIS2, Παράρτημα, §3.1

Πολιτική για τον χειρισμό περιστατικών — ρόλοι, αρμοδιότητες και διαδικασίες

Θεσπίζεται και εφαρμόζεται πολιτική για τον χειρισμό περιστατικών, η οποία καθορίζει ρόλους, αρμοδιότητες και διαδικασίες για τον εντοπισμό, την ανάλυση, τον περιορισμό και την αντιμετώπιση περιστατικών, την αποκατάσταση από αυτά, την τεκμηρίωση και την αναφορά τους εγκαίρως. Η πολιτική πρέπει να συνάδει με το σχέδιο επιχειρησιακής συνέχειας και αποκατάστασης μετά από καταστροφή (§4.1) και να περιλαμβάνει σύστημα κατηγοριοποίησης περιστατικών που συνάδει με την αξιολόγηση συμβάντων (§3.4.1), αποτελεσματικά σχέδια επικοινωνίας, κλιμάκωσης και αναφοράς, ανάθεση ρόλων σε αρμόδιους υπαλλήλους και υποστηρικτικά έγγραφα (εγχειρίδια αντιμετώπισης, διαγράμματα κλιμάκωσης, καταλόγους επαφών, υποδείγματα) — και δοκιμάζεται, επανεξετάζεται και, κατά περίπτωση, επικαιροποιείται σε προγραμματισμένα χρονικά διαστήματα και μετά από σημαντικά περιστατικά ή αλλαγές.

NIS2-IMPL-3.2 · Εκτελεστικός Κανονισμός (ΕΕ) 2024/2690 της Επιτροπής — τεχνικές απαιτήσεις του άρθρου 21 παράγραφος 2 της NIS2, Παράρτημα, §3.2

Παρακολούθηση και καταγραφή στα συστήματα δικτύου και πληροφοριών

Καθορίζονται διαδικασίες και χρησιμοποιούνται εργαλεία για την παρακολούθηση και την καταγραφή της δραστηριότητας στα συστήματα δικτύου και πληροφοριών, ώστε να εντοπίζονται συμβάντα που θα μπορούσαν να αποτελούν περιστατικά, με ελαχιστοποίηση των ψευδώς θετικών και ψευδώς αρνητικών αποτελεσμάτων και αυτοματοποίηση της παρακολούθησης όπου είναι εφικτό. Τηρούνται, τεκμηριώνονται και επανεξετάζονται αρχεία καταγραφής που καλύπτουν — κατά περίπτωση, σύμφωνα με τον κατάλογο περιουσιακών στοιχείων που καταρτίζει η ίδια η οντότητα βάσει κινδύνου — την κίνηση δικτύου, τις αλλαγές χρηστών και δικαιωμάτων, την πρόσβαση σε συστήματα και εφαρμογές, τα συμβάντα ελέγχου ταυτότητας, τη δραστηριότητα με προνομιακή πρόσβαση ή πρόσβαση διαχειριστή, τις αλλαγές στη διαμόρφωση και στα αντίγραφα ασφαλείας, τα αρχεία καταγραφής των εργαλείων ασφάλειας, τη χρήση πόρων, τη φυσική πρόσβαση, την πρόσβαση σε εξοπλισμό δικτύου, την ενεργοποίηση και την παύση των αρχείων καταγραφής και τα περιβαλλοντικά συμβάντα· τα αρχεία επανεξετάζονται τακτικά για ασυνήθιστες τάσεις, με όρια συναγερμού που ενεργοποιούν έγκαιρη αντίδραση από εξειδικευμένο προσωπικό. Τα αρχεία καταγραφής πρέπει να διαθέτουν αντίγραφα ασφαλείας, να προστατεύονται από μη εξουσιοδοτημένη πρόσβαση ή αλλοίωση και να είναι χρονικά συγχρονισμένα σε όλα τα συστήματα, ενώ τα συστήματα παρακολούθησης και καταγραφής πρέπει να διαθέτουν εφεδρεία και η διαθεσιμότητά τους να παρακολουθείται ανεξάρτητα.

NIS2-IMPL-3.3 · Εκτελεστικός Κανονισμός (ΕΕ) 2024/2690 της Επιτροπής — τεχνικές απαιτήσεις του άρθρου 21 παράγραφος 2 της NIS2, Παράρτημα, §3.3

Μηχανισμός αναφοράς συμβάντων για υπαλλήλους, προμηθευτές και πελάτες

Τίθεται σε εφαρμογή απλός μηχανισμός που επιτρέπει στους υπαλλήλους, στους προμηθευτές και στους πελάτες να αναφέρουν ύποπτα συμβάντα· οι προμηθευτές και οι πελάτες ενημερώνονται, κατά περίπτωση, για τον μηχανισμό αυτόν και οι υπάλληλοι εκπαιδεύονται τακτικά στη χρήση του.

NIS2-IMPL-3.4 · Εκτελεστικός Κανονισμός (ΕΕ) 2024/2690 της Επιτροπής — τεχνικές απαιτήσεις του άρθρου 21 παράγραφος 2 της NIS2, Παράρτημα, §3.4

Αξιολόγηση και ταξινόμηση συμβάντων

Τα ύποπτα συμβάντα αξιολογούνται βάσει προκαθορισμένων κριτηρίων, ώστε να προσδιορίζεται αν συνιστούν περιστατικά και, αν ναι, ποια είναι η φύση και η σοβαρότητά τους — με διαλογή για την ιεράρχηση του περιορισμού και της εξάλειψης, εξέταση των σχετικών αρχείων καταγραφής, συσχέτιση και ανάλυσή τους, αξιολόγηση των επαναλαμβανόμενων περιστατικών σε τριμηνιαία βάση και επαναξιολόγηση και αναταξινόμηση των συμβάντων όταν καθίστανται διαθέσιμες νέες πληροφορίες.

NIS2-IMPL-3.5 · Εκτελεστικός Κανονισμός (ΕΕ) 2024/2690 της Επιτροπής — τεχνικές απαιτήσεις του άρθρου 21 παράγραφος 2 της NIS2, Παράρτημα, §3.5

Αντιμετώπιση περιστατικών — περιορισμός, εξάλειψη και αποκατάσταση

Τα περιστατικά αντιμετωπίζονται εγκαίρως σύμφωνα με τεκμηριωμένες διαδικασίες που καλύπτουν τον περιορισμό (πρόληψη της εξάπλωσης), την εξάλειψη (αποφυγή της επανεμφάνισης) και την αποκατάσταση. Καταρτίζονται σχέδια και διαδικασίες επικοινωνίας με τις CSIRT ή τις αρμόδιες αρχές για την κοινοποίηση περιστατικών, καθώς και για την επικοινωνία με τα εσωτερικά και εξωτερικά ενδιαφερόμενα μέρη κατά τη διάρκεια ενός περιστατικού. Οι δραστηριότητες αντιμετώπισης περιστατικών καταγράφονται, μαζί με τα αποδεικτικά στοιχεία, και οι διαδικασίες αντιμετώπισης περιστατικών δοκιμάζονται σε προγραμματισμένα χρονικά διαστήματα.

NIS2-IMPL-3.6 · Εκτελεστικός Κανονισμός (ΕΕ) 2024/2690 της Επιτροπής — τεχνικές απαιτήσεις του άρθρου 21 παράγραφος 2 της NIS2, Παράρτημα, §3.6

Αξιολογήσεις μετά από περιστατικά και διδάγματα

Κατά περίπτωση, μετά την αποκατάσταση διενεργούνται αξιολογήσεις μετά από περιστατικά, οι οποίες προσδιορίζουν τη βαθύτερη αιτία και καταλήγουν σε τεκμηριωμένα διδάγματα για τη μείωση της εμφάνισης και των συνεπειών μελλοντικών περιστατικών· οι βελτιώσεις ενσωματώνονται στην ασφάλεια δικτύου και πληροφοριών, στην αντιμετώπιση των κινδύνων και στις διαδικασίες χειρισμού, εντοπισμού και αντιμετώπισης περιστατικών. Σε προγραμματισμένα χρονικά διαστήματα επανεξετάζεται αν τα περιστατικά οδήγησαν σε αξιολογήσεις μετά από περιστατικά.

NIS2-IMPL-4.1 · Εκτελεστικός Κανονισμός (ΕΕ) 2024/2690 της Επιτροπής — τεχνικές απαιτήσεις του άρθρου 21 παράγραφος 2 της NIS2, Παράρτημα, §4.1

Σχέδιο επιχειρησιακής συνέχειας και αποκατάστασης μετά από καταστροφή

Καταρτίζεται και τηρείται σχέδιο επιχειρησιακής συνέχειας και αποκατάστασης μετά από καταστροφή για την περίπτωση περιστατικών, βάσει της εκτίμησης κινδύνου του §2.1, το οποίο καλύπτει τον σκοπό, το πεδίο εφαρμογής και τους αποδέκτες, τους ρόλους και τις αρμοδιότητες, τις σημαντικότερες επαφές και τους διαύλους επικοινωνίας, τις προϋποθέσεις ενεργοποίησης και απενεργοποίησης, τη σειρά αποκατάστασης, σχέδια αποκατάστασης ανά λειτουργία με τους στόχους τους, τους απαιτούμενους πόρους (αντίγραφα ασφαλείας και εφεδρείες) και την αποκατάσταση και επανέναρξη των δραστηριοτήτων μέσω προσωρινών μέτρων. Με ανάλυση επιχειρηματικών επιπτώσεων αξιολογείται ο δυνητικός αντίκτυπος σοβαρών διαταράξεων και καθορίζονται απαιτήσεις συνέχειας για τα συστήματα δικτύου και πληροφοριών. Το σχέδιο δοκιμάζεται, επανεξετάζεται και, κατά περίπτωση, επικαιροποιείται σε προγραμματισμένα χρονικά διαστήματα και μετά από σημαντικά περιστατικά ή αλλαγές, με ενσωμάτωση των διδαγμάτων που αντλήθηκαν.

NIS2-IMPL-4.2 · Εκτελεστικός Κανονισμός (ΕΕ) 2024/2690 της Επιτροπής — τεχνικές απαιτήσεις του άρθρου 21 παράγραφος 2 της NIS2, Παράρτημα, §4.2

Διαχείριση αντιγράφων ασφαλείας και εφεδρειών

Τηρούνται αντίγραφα ασφαλείας των δεδομένων και επαρκείς εφεδρικοί πόροι (εγκαταστάσεις, συστήματα δικτύου και πληροφοριών, προσωπικό). Καταρτίζονται σχέδια αντιγράφων ασφαλείας που καλύπτουν τους χρόνους αποκατάστασης, την πληρότητα και την ακρίβεια των αντιγράφων (συμπεριλαμβανομένων των δεδομένων που τηρούνται σε περιβάλλοντα υπολογιστικού νέφους), την ασφαλή αποθήκευση (εκτός διαδικτύου ή επιγραμμικά) σε τοποθεσία αρκετά απομακρυσμένη ώστε να μην πλήττεται από καταστροφή στην κύρια εγκατάσταση, ελέγχους φυσικής και λογικής πρόσβασης ανάλογους με την ταξινόμηση των περιουσιακών στοιχείων, διαδικασίες αποκατάστασης και περιόδους διατήρησης βάσει επιχειρηματικών και κανονιστικών απαιτήσεων. Διενεργούνται τακτικοί έλεγχοι ακεραιότητας των αντιγράφων ασφαλείας· διασφαλίζεται τουλάχιστον μερική εφεδρεία των συστημάτων, των περιουσιακών στοιχείων, του προσωπικού και των διαύλων επικοινωνίας βάσει της εκτίμησης κινδύνου και του σχεδίου συνέχειας· η παρακολούθηση και η προσαρμογή των πόρων λαμβάνουν υπόψη τις απαιτήσεις αντιγράφων ασφαλείας και εφεδρείας· και η αποκατάσταση από τα αντίγραφα ασφαλείας και τις εφεδρείες δοκιμάζεται τακτικά, με τεκμηρίωση των αποτελεσμάτων και λήψη διορθωτικών μέτρων όπου απαιτείται.

NIS2-IMPL-4.3 · Εκτελεστικός Κανονισμός (ΕΕ) 2024/2690 της Επιτροπής — τεχνικές απαιτήσεις του άρθρου 21 παράγραφος 2 της NIS2, Παράρτημα, §4.3

Διαδικασία διαχείρισης κρίσεων

Εφαρμόζεται διαδικασία διαχείρισης κρίσεων που καλύπτει: την κατανομή ρόλων στο προσωπικό και, κατά περίπτωση, στους προμηθευτές και στους παρόχους υπηρεσιών, με συγκεκριμένα βήματα που ακολουθούνται σε καταστάσεις κρίσης· κατάλληλους διαύλους επικοινωνίας με τις σχετικές αρμόδιες αρχές, τόσο για τις υποχρεωτικές κοινοποιήσεις (π.χ. αναφορές περιστατικών και σχετικά χρονοδιαγράμματα) όσο και για τις μη υποχρεωτικές· και μέτρα για τη διατήρηση της ασφάλειας των συστημάτων δικτύου και πληροφοριών σε καταστάσεις κρίσης. Εφαρμόζεται διαδικασία για τη διαχείριση και τη χρήση των πληροφοριών που λαμβάνονται από τις CSIRT ή τις αρμόδιες αρχές σχετικά με περιστατικά, ευπάθειες, απειλές ή πιθανά μέτρα άμβλυνσης. Το σχέδιο διαχείρισης κρίσεων δοκιμάζεται, επανεξετάζεται και, κατά περίπτωση, επικαιροποιείται σε τακτική βάση ή μετά από σημαντικά περιστατικά ή σημαντικές αλλαγές στις λειτουργίες ή στους κινδύνους.

NIS2-IMPL-5.1 · Εκτελεστικός Κανονισμός (ΕΕ) 2024/2690 της Επιτροπής — τεχνικές απαιτήσεις του άρθρου 21 παράγραφος 2 της NIS2, Παράρτημα, §5.1

Πολιτική για την ασφάλεια της αλυσίδας εφοδιασμού — επιλογή προμηθευτών, συμβάσεις και επανεξέταση

Θεσπίζεται, υλοποιείται και εφαρμόζεται πολιτική για την ασφάλεια της αλυσίδας εφοδιασμού, η οποία διέπει τις σχέσεις με τους άμεσους προμηθευτές και παρόχους υπηρεσιών, προκειμένου να αμβλύνονται οι κίνδυνοι που έχουν προσδιοριστεί για την ασφάλεια των συστημάτων δικτύου και πληροφοριών· η οντότητα προσδιορίζει τον δικό της ρόλο στην αλυσίδα εφοδιασμού και τον γνωστοποιεί στους προμηθευτές αυτούς. Η πολιτική ορίζει κριτήρια για την επιλογή προμηθευτών και παρόχων υπηρεσιών και για τη σύναψη συμβάσεων μαζί τους — οι πρακτικές κυβερνοασφάλειας (συμπεριλαμβανομένης της ασφαλούς ανάπτυξης), η ικανότητα τήρησης των προδιαγραφών κυβερνοασφάλειας της οντότητας, η ποιότητα, η ανθεκτικότητα και η ταξινόμηση κινδύνου των προϊόντων και υπηρεσιών ΤΠΕ, καθώς και η διαφοροποίηση των πηγών εφοδιασμού και η αποφυγή του εγκλωβισμού σε συγκεκριμένο πάροχο, όπου αρμόζει — και λαμβάνει υπόψη, όπου αρμόζει, τυχόν συντονισμένες εκτιμήσεις κινδύνων της αλυσίδας εφοδιασμού βάσει του άρθρου 22 παράγραφος 1. Με βάση την πολιτική και την εκτίμηση κινδύνου του §2.1, οι συμβάσεις και οι συμφωνίες επιπέδου υπηρεσιών (SLA) προσδιορίζουν, κατά περίπτωση: απαιτήσεις κυβερνοασφάλειας (συμπεριλαμβανομένων των απαιτήσεων απόκτησης του §6.1), απαιτήσεις ευαισθητοποίησης, κατάρτισης και πιστοποίησης του προσωπικού των προμηθευτών, απαιτήσεις επαλήθευσης ιστορικού, υποχρεώσεις άμεσης κοινοποίησης περιστατικών, δικαίωμα ελέγχου ή λήψης εκθέσεων ελέγχου, υποχρεώσεις χειρισμού ευπαθειών, απαιτήσεις για την υπεργολαβία και υποχρεώσεις κατά τη λήξη της σύμβασης (π.χ. ανάκτηση ή διάθεση δεδομένων). Τα στοιχεία αυτά λαμβάνονται υπόψη τόσο στην επιλογή νέων προμηθευτών όσο και στη διαδικασία προμηθειών του §6.1· η πολιτική και οι πρακτικές των προμηθευτών επανεξετάζονται και παρακολουθούνται, και αναλαμβάνεται δράση όπου χρειάζεται, σε προγραμματισμένα χρονικά διαστήματα και μετά από σημαντικές αλλαγές στις λειτουργίες ή στους κινδύνους ή περιστατικά που σχετίζονται με προμηθευτές — συμπεριλαμβανομένης της τακτικής παρακολούθησης των εκθέσεων για την εφαρμογή των SLA, της εξέτασης περιστατικών, της αξιολόγησης της ανάγκης για μη προγραμματισμένες αξιολογήσεις και της έγκαιρης άμβλυνσης των κινδύνων από αλλαγές σε προϊόντα ή υπηρεσίες ΤΠΕ.

NIS2-IMPL-5.2 · Εκτελεστικός Κανονισμός (ΕΕ) 2024/2690 της Επιτροπής — τεχνικές απαιτήσεις του άρθρου 21 παράγραφος 2 της NIS2, Παράρτημα, §5.2

Κατάλογος προμηθευτών και παρόχων υπηρεσιών

Τηρείται και επικαιροποιείται μητρώο των άμεσων προμηθευτών και παρόχων υπηρεσιών, το οποίο περιλαμβάνει σημείο επαφής για τον καθένα και κατάλογο των προϊόντων ΤΠΕ, των υπηρεσιών ΤΠΕ και των διαδικασιών ΤΠΕ που παρέχει ο καθένας στην οντότητα.

NIS2-IMPL-6.1 · Εκτελεστικός Κανονισμός (ΕΕ) 2024/2690 της Επιτροπής — τεχνικές απαιτήσεις του άρθρου 21 παράγραφος 2 της NIS2, Παράρτημα, §6.1

Ασφάλεια κατά την απόκτηση υπηρεσιών και προϊόντων ΤΠΕ

Καθορίζονται και εφαρμόζονται διαδικασίες για τη διαχείριση των κινδύνων που απορρέουν από την απόκτηση υπηρεσιών ή προϊόντων ΤΠΕ για στοιχεία ζωτικής σημασίας για την ασφάλεια των συστημάτων δικτύου και πληροφοριών της οντότητας, βάσει της εκτίμησης κινδύνου του §2.1, καθ' όλη τη διάρκεια του κύκλου ζωής της σχέσης με τον προμηθευτή ή τον πάροχο υπηρεσιών. Οι διαδικασίες καλύπτουν: τις απαιτήσεις ασφάλειας που εφαρμόζονται στις υπηρεσίες ή στα προϊόντα ΤΠΕ που αποκτώνται· τις απαιτήσεις για ενημερώσεις ασφαλείας καθ' όλη τη διάρκεια ζωής τους ή για αντικατάσταση μετά τη λήξη της περιόδου υποστήριξης· την τεκμηρίωση των στοιχείων υλισμικού και λογισμικού που χρησιμοποιούνται· την τεκμηρίωση των εφαρμοζόμενων λειτουργιών κυβερνοασφάλειας και της διαμόρφωσης που απαιτείται για την ασφαλή λειτουργία· τη διασφάλιση ότι οι υπηρεσίες ή τα προϊόντα ΤΠΕ συμμορφώνονται με τις καθορισμένες απαιτήσεις ασφάλειας· και μεθόδους επικύρωσης που επιβεβαιώνουν ότι οι παραδιδόμενες υπηρεσίες ή τα παραδιδόμενα προϊόντα ΤΠΕ πληρούν τις απαιτήσεις αυτές, με τεκμηρίωση των αποτελεσμάτων της επικύρωσης. Οι διαδικασίες επανεξετάζονται και, κατά περίπτωση, επικαιροποιούνται σε προγραμματισμένα χρονικά διαστήματα και όταν σημειώνονται σημαντικά περιστατικά.

NIS2-IMPL-6.10 · Εκτελεστικός Κανονισμός (ΕΕ) 2024/2690 της Επιτροπής — τεχνικές απαιτήσεις του άρθρου 21 παράγραφος 2 της NIS2, Παράρτημα, §6.10

Χειρισμός και γνωστοποίηση ευπαθειών

Λαμβάνονται πληροφορίες για τεχνικές ευπάθειες στα συστήματα δικτύου και πληροφοριών, αξιολογείται η έκθεση σε αυτές και λαμβάνονται κατάλληλα μέτρα διαχείρισης: οι πληροφορίες για ευπάθειες παρακολουθούνται μέσω κατάλληλων διαύλων (CSIRT, αρμόδιες αρχές, πληροφορίες από προμηθευτές και παρόχους υπηρεσιών)· διενεργούνται, κατά περίπτωση, σαρώσεις ευπαθειών σε προγραμματισμένα χρονικά διαστήματα, με καταγραφή αποδεικτικών στοιχείων· οι ευπάθειες που προσδιορίζονται ως κρίσιμες για τις δραστηριότητες αντιμετωπίζονται χωρίς αδικαιολόγητη καθυστέρηση· διασφαλίζεται ότι ο χειρισμός των ευπαθειών είναι συμβατός με τις διαδικασίες διαχείρισης αλλαγών, διαχείρισης ενημερώσεων κώδικα ασφαλείας, διαχείρισης κινδύνων και διαχείρισης περιστατικών· και θεσπίζεται διαδικασία γνωστοποίησης ευπαθειών σύμφωνα με την ισχύουσα εθνική πολιτική συντονισμένης γνωστοποίησης ευπαθειών. Όπου δικαιολογείται από τον δυνητικό αντίκτυπο, καταρτίζεται και εφαρμόζεται σχέδιο άμβλυνσης· διαφορετικά, τεκμηριώνεται και αιτιολογείται γιατί δεν απαιτείται αποκατάσταση. Οι δίαυλοι παρακολούθησης επανεξετάζονται και, κατά περίπτωση, επικαιροποιούνται σε προγραμματισμένα χρονικά διαστήματα.

NIS2-IMPL-6.2 · Εκτελεστικός Κανονισμός (ΕΕ) 2024/2690 της Επιτροπής — τεχνικές απαιτήσεις του άρθρου 21 παράγραφος 2 της NIS2, Παράρτημα, §6.2

Κύκλος ζωής ασφαλούς ανάπτυξης

Πριν από την ανάπτυξη συστήματος δικτύου και πληροφοριών (συμπεριλαμβανομένου του λογισμικού), θεσπίζονται και εφαρμόζονται κανόνες ασφαλούς ανάπτυξης που καλύπτουν όλα τα στάδια της ανάπτυξης — προδιαγραφές, σχεδιασμό, ανάπτυξη, υλοποίηση και δοκιμές — τόσο για την εσωτερική ανάπτυξη όσο και για την ανάπτυξη που ανατίθεται εξωτερικά. Αυτό περιλαμβάνει: ανάλυση των απαιτήσεων ασφάλειας στα στάδια των προδιαγραφών και του σχεδιασμού κάθε έργου ανάπτυξης ή απόκτησης· αρχές σχεδίασης ασφαλών συστημάτων και ασφαλούς κωδικοποίησης, όπως η κυβερνοασφάλεια εκ σχεδιασμού και οι αρχιτεκτονικές μηδενικής εμπιστοσύνης· απαιτήσεις ασφάλειας για τα περιβάλλοντα ανάπτυξης· διαδικασίες δοκιμών ασφάλειας εντός του κύκλου ζωής της ανάπτυξης· κατάλληλη επιλογή, προστασία και διαχείριση των δεδομένων δοκιμών ασφάλειας· και εξυγίανση και ανωνυμοποίηση των δεδομένων δοκιμών σύμφωνα με την εκτίμηση κινδύνου του §2.1. Για την ανάπτυξη που ανατίθεται εξωτερικά εφαρμόζονται επιπλέον οι πολιτικές και διαδικασίες για την αλυσίδα εφοδιασμού του §5 και για την απόκτηση του §6.1. Οι κανόνες επανεξετάζονται και, όπου απαιτείται, επικαιροποιούνται σε προγραμματισμένα χρονικά διαστήματα.

NIS2-IMPL-6.3 · Εκτελεστικός Κανονισμός (ΕΕ) 2024/2690 της Επιτροπής — τεχνικές απαιτήσεις του άρθρου 21 παράγραφος 2 της NIS2, Παράρτημα, §6.3

Διαχείριση διαμόρφωσης

Λαμβάνονται κατάλληλα μέτρα για τον καθορισμό, την τεκμηρίωση, την εφαρμογή και την παρακολούθηση των διαμορφώσεων — συμπεριλαμβανομένων των διαμορφώσεων ασφαλείας — υλισμικού, λογισμικού, υπηρεσιών και δικτύων: καθορίζονται και διασφαλίζονται ασφαλείς διαμορφώσεις, και καθορίζονται και εφαρμόζονται διαδικασίες και εργαλεία για την επιβολή των διαμορφώσεων αυτών στα νεοεγκατεστημένα συστήματα και στα συστήματα σε λειτουργία καθ' όλη τη διάρκεια ζωής τους. Οι διαμορφώσεις επανεξετάζονται και, κατά περίπτωση, επικαιροποιούνται σε προγραμματισμένα χρονικά διαστήματα ή όταν σημειώνονται σημαντικά περιστατικά ή σημαντικές αλλαγές στις λειτουργίες ή στους κινδύνους.

NIS2-IMPL-6.4 · Εκτελεστικός Κανονισμός (ΕΕ) 2024/2690 της Επιτροπής — τεχνικές απαιτήσεις του άρθρου 21 παράγραφος 2 της NIS2, Παράρτημα, §6.4

Διαχείριση αλλαγών, επισκευές και συντήρηση

Εφαρμόζονται διαδικασίες διαχείρισης αλλαγών — σύμφωνες, όπου αρμόζει, με τις γενικές πολιτικές της οντότητας για τη διαχείριση αλλαγών — για τον έλεγχο των αλλαγών στα συστήματα δικτύου και πληροφοριών, οι οποίες καλύπτουν τις εκδόσεις, τις τροποποιήσεις και τις αλλαγές έκτακτης ανάγκης σε λογισμικό και υλισμικό σε λειτουργία, καθώς και τις αλλαγές στη διαμόρφωση· οι αλλαγές πρέπει να τεκμηριώνονται και, με βάση την εκτίμηση κινδύνου του §2.1, να δοκιμάζονται και να αξιολογούνται ως προς τον αντίκτυπό τους πριν από την εφαρμογή τους. Όταν λόγω έκτακτης ανάγκης δεν είναι δυνατή η τήρηση της τακτικής διαδικασίας, η οντότητα τεκμηριώνει το αποτέλεσμα της αλλαγής και τον λόγο για τον οποίο δεν ήταν δυνατή η τήρηση της διαδικασίας. Οι διαδικασίες επανεξετάζονται και, κατά περίπτωση, επικαιροποιούνται σε προγραμματισμένα χρονικά διαστήματα και όταν σημειώνονται σημαντικά περιστατικά ή σημαντικές αλλαγές στις λειτουργίες ή στους κινδύνους.

NIS2-IMPL-6.5 · Εκτελεστικός Κανονισμός (ΕΕ) 2024/2690 της Επιτροπής — τεχνικές απαιτήσεις του άρθρου 21 παράγραφος 2 της NIS2, Παράρτημα, §6.5

Δοκιμές ασφάλειας

Θεσπίζονται, υλοποιούνται και εφαρμόζονται πολιτική και διαδικασίες για τις δοκιμές ασφάλειας: η ανάγκη, το εύρος, η συχνότητα και το είδος των δοκιμών ασφάλειας καθορίζονται βάσει της εκτίμησης κινδύνου του §2.1· οι δοκιμές διενεργούνται σύμφωνα με τεκμηριωμένη μεθοδολογία και καλύπτουν τα στοιχεία που έχουν προσδιοριστεί ως σημαντικά για την ασφαλή λειτουργία· τεκμηριώνονται το είδος, το εύρος, ο χρόνος και τα αποτελέσματα των δοκιμών, συμπεριλαμβανομένης της αξιολόγησης της κρισιμότητας και των μέτρων άμβλυνσης για κάθε εύρημα· και εφαρμόζονται μέτρα άμβλυνσης για τα κρίσιμα ευρήματα. Η πολιτική επανεξετάζεται και, κατά περίπτωση, επικαιροποιείται σε προγραμματισμένα χρονικά διαστήματα.

NIS2-IMPL-6.6 · Εκτελεστικός Κανονισμός (ΕΕ) 2024/2690 της Επιτροπής — τεχνικές απαιτήσεις του άρθρου 21 παράγραφος 2 της NIS2, Παράρτημα, §6.6

Διαχείριση ενημερώσεων κώδικα ασφαλείας

Προσδιορίζονται και εφαρμόζονται διαδικασίες διαχείρισης ενημερώσεων κώδικα (patches) που συνάδουν με τη διαχείριση αλλαγών, τη διαχείριση ευπαθειών, τη διαχείριση κινδύνων και άλλες σχετικές διαδικασίες, ώστε να διασφαλίζεται ότι: οι ενημερώσεις κώδικα ασφαλείας εφαρμόζονται εντός εύλογου χρονικού διαστήματος από τη στιγμή που καθίστανται διαθέσιμες· οι ενημερώσεις δοκιμάζονται πριν από την εγκατάστασή τους σε συστήματα παραγωγής· προέρχονται από αξιόπιστες πηγές και ελέγχονται ως προς την ακεραιότητά τους· και, όπου δεν υπάρχει διαθέσιμη ενημέρωση ή αυτή δεν εφαρμόζεται, λαμβάνονται πρόσθετα μέτρα και γίνεται αποδεκτός ο υπολειπόμενος κίνδυνος. Κατά παρέκκλιση, η οντότητα μπορεί να επιλέξει να μην εφαρμόσει μια ενημέρωση κώδικα όταν τα μειονεκτήματα υπερτερούν των οφελών για την κυβερνοασφάλεια — η απόφαση αυτή πρέπει να τεκμηριώνεται και να αιτιολογείται.

NIS2-IMPL-6.7 · Εκτελεστικός Κανονισμός (ΕΕ) 2024/2690 της Επιτροπής — τεχνικές απαιτήσεις του άρθρου 21 παράγραφος 2 της NIS2, Παράρτημα, §6.7

Ασφάλεια δικτύου

Λαμβάνονται κατάλληλα μέτρα για την προστασία των συστημάτων δικτύου και πληροφοριών από κυβερνοαπειλές: η αρχιτεκτονική του δικτύου τεκμηριώνεται με κατανοητό και ενημερωμένο τρόπο· καθορίζονται και εφαρμόζονται μέτρα ελέγχου που προστατεύουν τους τομείς του εσωτερικού δικτύου από μη εξουσιοδοτημένη πρόσβαση· διαμορφώνονται μέτρα ελέγχου που αποτρέπουν τη μη αναγκαία πρόσβαση και επικοινωνία· καθορίζονται και εφαρμόζονται μέτρα ελέγχου για την εξ αποστάσεως πρόσβαση, συμπεριλαμβανομένης της πρόσβασης των παρόχων υπηρεσιών· τα συστήματα διαχείρισης της πολιτικής ασφάλειας δεν χρησιμοποιούνται για άλλους σκοπούς· οι μη αναγκαίες συνδέσεις και υπηρεσίες απαγορεύονται ή απενεργοποιούνται· κατά περίπτωση, η πρόσβαση στο δίκτυο περιορίζεται σε εξουσιοδοτημένες συσκευές· οι συνδέσεις των παρόχων υπηρεσιών επιτρέπονται μόνο κατόπιν αιτήματος εξουσιοδότησης και για περιορισμένο χρονικό διάστημα· η επικοινωνία μεταξύ διακριτών συστημάτων γίνεται μέσω αξιόπιστων, απομονωμένων διαύλων (λογικός, κρυπτογραφικός ή φυσικός διαχωρισμός, με ασφαλή ταυτοποίηση των τελικών σημείων και προστασία από τροποποίηση ή αποκάλυψη)· εγκρίνεται σχέδιο εφαρμογής για τη μετάβαση σε πρωτόκολλα επιπέδου δικτύου τελευταίας γενιάς και επιταχύνεται η υλοποίησή του· εγκρίνεται σχέδιο εφαρμογής για σύγχρονα, διαλειτουργικά πρότυπα ασφαλούς επικοινωνίας μέσω ηλεκτρονικού ταχυδρομείου και επιταχύνεται η υλοποίησή του· και εφαρμόζονται βέλτιστες πρακτικές για την ασφάλεια του DNS και για την ασφάλεια και την υγιεινή της δρομολόγησης στο διαδίκτυο. Τα μέτρα επανεξετάζονται και, κατά περίπτωση, επικαιροποιούνται σε προγραμματισμένα χρονικά διαστήματα και μετά από σημαντικά περιστατικά ή αλλαγές.

NIS2-IMPL-6.8 · Εκτελεστικός Κανονισμός (ΕΕ) 2024/2690 της Επιτροπής — τεχνικές απαιτήσεις του άρθρου 21 παράγραφος 2 της NIS2, Παράρτημα, §6.8

Τμηματοποίηση δικτύου

Τα συστήματα τμηματοποιούνται σε δίκτυα ή ζώνες σύμφωνα με την εκτίμηση κινδύνου του §2.1, και τα συστήματα και δίκτυα της οντότητας διαχωρίζονται από τα συστήματα και δίκτυα τρίτων — λαμβάνοντας υπόψη τη λειτουργική, λογική και φυσική σχέση (συμπεριλαμβανομένης της τοποθεσίας) μεταξύ αξιόπιστων συστημάτων και υπηρεσιών· παρέχοντας πρόσβαση σε ζώνη βάσει αξιολόγησης των απαιτήσεων ασφάλειας· διατηρώντας τα συστήματα ζωτικής σημασίας για τη λειτουργία ή την ασφάλεια σε ζώνες ασφαλείας· αναπτύσσοντας αποστρατιωτικοποιημένη ζώνη για τις επικοινωνίες που προέρχονται από τα δίκτυα της οντότητας ή προορίζονται για αυτά· περιορίζοντας την πρόσβαση και την επικοινωνία μεταξύ και εντός των ζωνών σε όσα είναι αναγκαία για τη λειτουργία ή την ασφάλεια· διαχωρίζοντας το δίκτυο διαχείρισης από το επιχειρησιακό δίκτυο· διαχωρίζοντας τους διαύλους διαχείρισης δικτύου από την υπόλοιπη κίνηση· και διαχωρίζοντας τα συστήματα παραγωγής (συμπεριλαμβανομένων των αντιγράφων ασφαλείας) από τα συστήματα ανάπτυξης και δοκιμών. Η τμηματοποίηση επανεξετάζεται και, κατά περίπτωση, επικαιροποιείται σε προγραμματισμένα χρονικά διαστήματα και μετά από σημαντικά περιστατικά ή αλλαγές.

NIS2-IMPL-6.9 · Εκτελεστικός Κανονισμός (ΕΕ) 2024/2690 της Επιτροπής — τεχνικές απαιτήσεις του άρθρου 21 παράγραφος 2 της NIS2, Παράρτημα, §6.9

Προστασία από κακόβουλο και μη εξουσιοδοτημένο λογισμικό

Τα συστήματα δικτύου και πληροφοριών προστατεύονται από κακόβουλο και μη εξουσιοδοτημένο λογισμικό, ιδίως με μέτρα που εντοπίζουν ή αποτρέπουν τη χρήση του — και, κατά περίπτωση, με τον εξοπλισμό των συστημάτων με λογισμικό εντοπισμού και απόκρισης, το οποίο επικαιροποιείται τακτικά σύμφωνα με την εκτίμηση κινδύνου του §2.1 και τις συμβατικές συμφωνίες με τους παρόχους.

NIS2-IMPL-7 · Εκτελεστικός Κανονισμός (ΕΕ) 2024/2690 της Επιτροπής — τεχνικές απαιτήσεις του άρθρου 21 παράγραφος 2 της NIS2, Παράρτημα, §7

Αξιολόγηση της αποτελεσματικότητας των μέτρων διαχείρισης κινδύνων κυβερνοασφάλειας

Θεσπίζονται, υλοποιούνται και εφαρμόζονται πολιτική και διαδικασίες για την αξιολόγηση του κατά πόσον τα μέτρα διαχείρισης κινδύνων κυβερνοασφάλειας της οντότητας εφαρμόζονται και διατηρούνται αποτελεσματικά — λαμβάνοντας υπόψη τα αποτελέσματα της εκτίμησης κινδύνου του §2.1 και προηγούμενα σημαντικά περιστατικά. Η πολιτική και οι διαδικασίες προσδιορίζουν ποια μέτρα (συμπεριλαμβανομένων διαδικασιών και μέτρων ελέγχου) παρακολουθούνται και μετρώνται, τις μεθόδους παρακολούθησης, μέτρησης, ανάλυσης και αξιολόγησης που διασφαλίζουν έγκυρα αποτελέσματα, πότε διενεργούνται η παρακολούθηση και η μέτρηση, ποιος είναι υπεύθυνος γι' αυτές, πότε αναλύονται και αξιολογούνται τα αποτελέσματα και ποιος διενεργεί την ανάλυση αυτή. Η πολιτική και οι διαδικασίες επανεξετάζονται και, κατά περίπτωση, επικαιροποιούνται σε προγραμματισμένα χρονικά διαστήματα και όταν σημειώνονται σημαντικά περιστατικά ή σημαντικές αλλαγές στις λειτουργίες ή στους κινδύνους.

NIS2-IMPL-8.1 · Εκτελεστικός Κανονισμός (ΕΕ) 2024/2690 της Επιτροπής — τεχνικές απαιτήσεις του άρθρου 21 παράγραφος 2 της NIS2, Παράρτημα, §8.1

Ευαισθητοποίηση και βασικές πρακτικές κυβερνοϋγιεινής

Διασφαλίζεται ότι οι υπάλληλοι (συμπεριλαμβανομένων των μελών των οργάνων διοίκησης) και, κατά περίπτωση και σύμφωνα με το §5.1.4, οι άμεσοι προμηθευτές και πάροχοι υπηρεσιών γνωρίζουν τους κινδύνους, ενημερώνονται για τη σημασία της κυβερνοασφάλειας και εφαρμόζουν πρακτικές κυβερνοϋγιεινής — μέσω προγράμματος ευαισθητοποίησης το οποίο προγραμματίζεται χρονικά ώστε να επαναλαμβάνεται και να καλύπτει τους νέους υπαλλήλους, θεσπίζεται σύμφωνα με την πολιτική για την ασφάλεια των συστημάτων δικτύου και πληροφοριών, τις πολιτικές για συγκεκριμένα θέματα και τις σχετικές διαδικασίες, και καλύπτει τις σχετικές κυβερνοαπειλές, τα ισχύοντα μέτρα διαχείρισης κινδύνων κυβερνοασφάλειας, τα σημεία επαφής και τους πόρους για περαιτέρω συμβουλές, καθώς και τις πρακτικές κυβερνοϋγιεινής για τους χρήστες. Κατά περίπτωση, ελέγχεται η αποτελεσματικότητα του προγράμματος· το πρόγραμμα επικαιροποιείται και προσφέρεται σε προγραμματισμένα χρονικά διαστήματα, λαμβάνοντας υπόψη τις αλλαγές στις πρακτικές κυβερνοϋγιεινής, το τοπίο απειλών και τους κινδύνους που αφορούν ειδικά την οντότητα.

NIS2-IMPL-8.2 · Εκτελεστικός Κανονισμός (ΕΕ) 2024/2690 της Επιτροπής — τεχνικές απαιτήσεις του άρθρου 21 παράγραφος 2 της NIS2, Παράρτημα, §8.2

Κατάρτιση ασφάλειας για ρόλους που σχετίζονται με την ασφάλεια

Προσδιορίζονται οι υπάλληλοι των οποίων οι ρόλοι απαιτούν δεξιότητες και εμπειρογνωσία σχετικές με την ασφάλεια και διασφαλίζεται ότι λαμβάνουν τακτική κατάρτιση στην ασφάλεια των συστημάτων δικτύου και πληροφοριών, μέσω προγράμματος κατάρτισης που θεσπίζεται σύμφωνα με την πολιτική για την ασφάλεια δικτύου και πληροφοριών, τις πολιτικές για συγκεκριμένα θέματα και τις σχετικές διαδικασίες, και καθορίζει βάσει κριτηρίων τις ανάγκες κατάρτισης ανά ρόλο. Η κατάρτιση πρέπει να είναι συναφής με τη θέση εργασίας του υπαλλήλου, να αξιολογείται ως προς την αποτελεσματικότητά της, να λαμβάνει υπόψη τα ισχύοντα μέτρα ασφάλειας και να καλύπτει οδηγίες για την ασφαλή διαμόρφωση και λειτουργία (συμπεριλαμβανομένων των φορητών συσκευών), ενημέρωση για γνωστές κυβερνοαπειλές και τη συμπεριφορά σε περίπτωση συμβάντων σχετικών με την ασφάλεια. Η κατάρτιση παρέχεται όταν μέλη του προσωπικού μετακινούνται σε ρόλους που σχετίζονται με την ασφάλεια, και το πρόγραμμα επικαιροποιείται και υλοποιείται περιοδικά, λαμβάνοντας υπόψη τις ισχύουσες πολιτικές και κανόνες, τους ανατεθέντες ρόλους και αρμοδιότητες, τις γνωστές απειλές και τις τεχνολογικές εξελίξεις.

NIS2-IMPL-9 · Εκτελεστικός Κανονισμός (ΕΕ) 2024/2690 της Επιτροπής — τεχνικές απαιτήσεις του άρθρου 21 παράγραφος 2 της NIS2, Παράρτημα, §9

Πολιτική κρυπτογραφίας και διαχείριση κλειδιών

Θεσπίζονται, υλοποιούνται και εφαρμόζονται πολιτική και διαδικασίες για την κρυπτογραφία, ώστε να διασφαλίζεται επαρκής και αποτελεσματική χρήση της κρυπτογραφίας για την προστασία της εμπιστευτικότητας, της αυθεντικότητας και της ακεραιότητας των δεδομένων, σύμφωνα με την ταξινόμηση των περιουσιακών στοιχείων και την εκτίμηση κινδύνου του §2.1. Η πολιτική και οι διαδικασίες καθορίζουν, ανάλογα με την ταξινόμηση των περιουσιακών στοιχείων: το είδος, την ισχύ και την ποιότητα των μέτρων κρυπτογραφίας που απαιτούνται για τα αδρανή δεδομένα και τα δεδομένα υπό διαμετακόμιση· τα πρωτόκολλα και τους αλγορίθμους, την ισχύ κρυπτογράφησης, τις κρυπτογραφικές λύσεις και τις πρακτικές χρήσης που εγκρίνονται και απαιτούνται, ακολουθώντας, κατά περίπτωση, προσέγγιση κρυπτογραφικής ευελιξίας· και την προσέγγιση της οντότητας για τη διαχείριση κλειδιών, η οποία καλύπτει (κατά περίπτωση) τη δημιουργία κλειδιών, την έκδοση ή απόκτηση πιστοποιητικών, τη διανομή και ενεργοποίηση κλειδιών, την αποθήκευση κλειδιών και την πρόσβαση σε αυτά, την αλλαγή ή επικαιροποίηση κλειδιών, τον χειρισμό υπονομευμένων κλειδιών, την ανάκληση κλειδιών, την ανάκτηση απολεσθέντων ή αλλοιωμένων κλειδιών, τη δημιουργία αντιγράφων ασφαλείας και την αρχειοθέτηση κλειδιών, την καταστροφή κλειδιών, την καταγραφή και τον έλεγχο των δραστηριοτήτων διαχείρισης κλειδιών και τον καθορισμό ημερομηνιών ενεργοποίησης και απενεργοποίησης κλειδιών. Η πολιτική και οι διαδικασίες επανεξετάζονται και, κατά περίπτωση, επικαιροποιούνται σε προγραμματισμένα χρονικά διαστήματα, λαμβάνοντας υπόψη την εξέλιξη της τεχνολογίας στον τομέα της κρυπτογραφίας.