EU-Richtlinie NIS2, Artikel 21: wofür Kshana Belege liefert
Artikel 21 führt in Absatz 2 Buchstaben (a) bis (j) die Maßnahmen auf, die wesentliche und wichtige Einrichtungen zum Management der Risiken für ihre Netz- und Informationssysteme ergreifen. Die meisten Punkte sind organisatorisch. Kshana betrifft die Abhängigkeit eines Systems von Positionierung und Zeitgebung: wie es sich verhält, wenn GNSS gestört wird, und wie dieses Verhalten getestet und datiert wird.
Jede Zeile sagt, welche Ausgaben von Kshana die Anforderung mit Belegen unterlegen und was übrig bleibt. Nichts hier sagt, dass ein Rahmenwerk erfüllt ist oder dass ein Produkt von irgendjemandem bewertet oder zugelassen wurde. Führen Sie kshana compliance-report auf Ihren eigenen Ergebnisdateien aus, um zu sehen, für welche Zeilen Ihre Läufe tatsächlich Belege liefern; siehe README.md.
Quelldokumente#
- Directive (EU) 2022/2555 on measures for a high common level of cybersecurity across the Union (NIS 2 Directive): ABl. L 333, 27.12.2022, S. 80-152. https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32022L2555. Gelesen am 2026-10-09: Die Buchstaben der Absätze von Artikel 21 wurden aus einer Zusammenfassung der EUR-Lex-Seite gelesen und stimmen mit dem veröffentlichten Text überein; vor dem Zitieren eines Buchstabens in einem Schriftsatz ist dies anhand der Seite zu bestätigen.
Zuordnung#
| Referenz | Was verlangt wird (sinngemäß) | Ausgaben von Kshana, die dafür Belege liefern | Lücke |
|---|---|---|---|
| Artikel 21(1) | Angemessene technische, operative und organisatorische Maßnahmen ergreifen, um die Risiken für Netz- und Informationssysteme zu beherrschen, unter Berücksichtigung des Stands der Technik, der Exposition, der Größe sowie der Wahrscheinlichkeit und Schwere von Vorfällen. | Resilienzbewertung über Bedrohungsensembles; Auswirkungen von jamming auf die Link-Bilanz | Kshana betrifft nur die Abhängigkeit eines Systems von Positionierung und Zeitgebung, nicht Risiken der Informationssicherheit im Allgemeinen. |
| Artikel 21(2)(a) | Konzepte für die Risikoanalyse und für die Sicherheit von Informationssystemen. | Resilienzbewertung über Bedrohungsensembles; Auswirkungen von jamming auf die Link-Bilanz; Erkennung von spoofing und meaconing | Unterstützt den PNT-Teil einer Risikoanalyse; das Konzept selbst ist organisatorisch. |
| Artikel 21(2)(b) | Bewältigung von Sicherheitsvorfällen. | Vertrauensbewertung von Empfänger-Logs | Ein bewertetes Empfängerlog hilft, Beginn und Ende eines Störungsvorfalls bei PNT zu datieren; der Bewältigungsprozess ist organisatorisch. |
| Artikel 21(2)(c) | Aufrechterhaltung des Betriebs, etwa durch Backup-Management und Wiederherstellung nach einem Notfall, sowie Krisenmanagement. | Holdover und Überbrückung; Alternative und diverse PNT-Quellen | Zeigt, wie lange ein modellierter Ausweichbetrieb eine Schranke für Zeit oder Position einhält; Kontinuitätspläne sind organisatorisch. |
| Artikel 21(2)(d) | Sicherheit der Lieferkette, einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Zulieferern. | keine | Kshana bewertet keine Zulieferer. Eine neutrale, reproduzierbare bench für die Abnahme von Empfängern zu nutzen, ist eine Eingabe, die ein Käufer verwenden kann, aber keine Bewertung der Lieferkette. |
| Artikel 21(2)(e) | Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von Systemen, einschließlich Umgang mit Schwachstellen und deren Offenlegung. | Vertrauensbewertung des Empfängerlogs; Reproduzierbare Herkunft des Laufs | Wiederholbare Abnahmetests des Störungsverhaltens eines Empfängers liefern Belege für den Teil Erwerb; der Umgang mit Schwachstellen liegt außerhalb. |
| Artikel 21(2)(f) | Konzepte und Verfahren zur Bewertung der Wirksamkeit von Maßnahmen für das Cybersicherheitsrisikomanagement. | Reproduzierbare Herkunft des Laufs; Vertrauensbewertung von Empfänger-Logs | Gehashte, wiederholbare Läufe und vor der Bewertung festgelegte Ereignisse liefern Belege für einen Wirksamkeitstest; das Konzept und sein Zeitplan sind organisatorisch. |
| Artikel 21(2)(g) bis (j) | Cyberhygiene und Schulung; Kryptografie und Verschlüsselung; Sicherheit des Personals, Zugriffskontrolle und Management von Anlagen; Multi-Faktor-Authentifizierung und gesicherte Kommunikation. | keine | Mit Ausgaben von Läufen zu Positionierung und Zeitgebung nicht abdeckbar. |
| Artikel 21(3) | Bei der Wahl von Maßnahmen für die Lieferkette die Schwachstellen jedes Zulieferers sowie die Qualität und sichere Entwicklung seiner Produkte berücksichtigen. | keine | Siehe Artikel 21(2)(d). |