Směrnice EU NIS2, článek 21: pro co Kshana podporuje důkazy
Článek 21 vypisuje v odstavci 2, bodech (a) až (j), opatření, kterými zásadní a důležité subjekty řídí rizika pro své sítě a informační systémy. Většina bodů je organizační. Kshana se vyjadřuje k závislosti systému na určování polohy a času: k tomu, jak se chová při interferenci GNSS a jak se toto chování testuje a datuje.
Každý řádek říká, které výstupy Kshana podporují důkazy pro (support evidence for) požadavek a co zůstává nepokryto. Nic zde netvrdí, že rámec je splněn nebo že některý produkt byl kýmkoli hodnocen nebo schválen. Spusťte kshana compliance-report na vlastních souborech výsledků a uvidíte, které řádky vaše běhy skutečně dokládají; viz README.md.
Zdrojové dokumenty#
- Směrnice (EU) 2022/2555 o opatřeních k zajištění vysoké společné úrovně kybernetické bezpečnosti v Unii (směrnice NIS 2): Úř. věst. L 333, 27.12.2022, s. 80–152. https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32022L2555. Načteno 2026-10-09: písmena odstavců článku 21 byla převzata ze shrnutí stránky EUR-Lex a odpovídají publikovanému textu; před citací písmene v podání ověřte znění na samotné stránce.
Mapování#
| Reference | Co požaduje (parafráze) | Výstupy Kshana, které pro to podporují důkazy | Mezera |
|---|---|---|---|
| Článek 21(1) | Přijmout přiměřená technická, provozní a organizační opatření k řízení rizik pro sítě a informační systémy s ohledem na stav techniky, míru vystavení, velikost a pravděpodobnost a závažnost incidentů. | Hodnocení odolnosti na souborech hrozeb; Účinky rušení na rozpočet spoje | Kshana se vyjadřuje pouze k závislosti systému na určování polohy a času, nikoli k rizikům informační bezpečnosti obecně. |
| Článek 21(2)(a) | Politiky analýzy rizik a bezpečnosti informačních systémů. | Hodnocení odolnosti na souborech hrozeb; Účinky rušení na rozpočet spoje; Detekce spoofingu a meaconingu | Podporuje část analýzy rizik týkající se PNT; samotná politika je organizační záležitostí. |
| Článek 21(2)(b) | Řešení incidentů. | Posouzení důvěryhodnosti záznamu přijímače | Vyhodnocený záznam přijímače pomáhá datovat začátek a konec incidentu interference PNT; proces řešení je organizační záležitostí. |
| Článek 21(2)(c) | Kontinuita provozu, například správa záloh, obnova po havárii a krizové řízení. | Holdover a setrvačný dojezd; Alternativní a diverzní zdroje PNT | Ukazuje, jak dlouho modelovaná záložní varianta udrží mez času nebo polohy; plány kontinuity jsou organizační záležitostí. |
| Článek 21(2)(d) | Bezpečnost dodavatelského řetězce, včetně vztahů s přímými dodavateli. | žádné | Kshana dodavatele nehodnotí. Použití neutrálního, reprodukovatelného benchmarku (bench) pro přejímku přijímačů je jedním z podkladů, které může kupující využít; není to hodnocení dodavatelského řetězce. |
| Článek 21(2)(e) | Bezpečnost při pořizování, vývoji a údržbě systémů, včetně zpracování a zveřejňování zranitelností. | Hodnocení důvěry v záznam přijímače; Reprodukovatelný původ běhu | Opakovatelné přejímací zkoušky chování přijímače při interferenci podporují důkazy pro část týkající se pořizování; zpracování zranitelností je mimo rozsah. |
| Článek 21(2)(f) | Politiky a postupy pro posuzování účinnosti opatření k řízení kybernetických bezpečnostních rizik. | Reprodukovatelný původ běhu; Posouzení důvěryhodnosti záznamu přijímače | Běhy opatřené hashem, opakovatelné, a události stanovené před vyhodnocením podporují důkazy pro test účinnosti; politika a její harmonogram jsou organizační záležitostí. |
| Článek 21(2)(g) až (j) | Kybernetická hygiena a školení; kryptografie a šifrování; bezpečnost lidských zdrojů, řízení přístupu a správa aktiv; vícefaktorové ověřování a zabezpečená komunikace. | žádné | Výstupy běhů určování polohy a času se jich týkat nemohou. |
| Článek 21(3) | Při volbě opatření pro dodavatelský řetězec zvážit zranitelnosti každého dodavatele a kvalitu a bezpečný vývoj jeho produktů. | žádné | Viz článek 21(2)(d). |