Diretiva NIS2 da UE, Artigo 21: para o que o Kshana fornece evidências em apoio
O Artigo 21 lista, nos pontos (a) a (j) do parágrafo 2, as medidas que as entidades essenciais e importantes tomam para gerir os riscos às suas redes e sistemas de informação. A maioria dos pontos é organizacional. O Kshana trata da dependência de posicionamento e temporização de um sistema: como ele se comporta quando o GNSS sofre interferência e como esse comportamento é testado e datado.
Cada linha diz quais saídas do Kshana fornecem evidências em apoio do requisito e o que resta. Nada aqui diz que uma estrutura de referência é atendida nem que algum produto foi classificado ou aprovado por quem quer que seja. Execute kshana compliance-report sobre os seus próprios arquivos de resultado para ver quais linhas as suas execuções realmente evidenciam; veja README.md.
Documentos de origem#
- Directive (EU) 2022/2555 on measures for a high common level of cybersecurity across the Union (NIS 2 Directive): JO L 333, 27.12.2022, p. 80-152. https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32022L2555. Lido em 2026-10-09: as letras dos parágrafos do Artigo 21 foram lidas a partir de um resumo da página do EUR-Lex e correspondem ao texto publicado; confirme na página antes de citar uma letra em uma petição.
Mapeamento#
| Referência | O que pede (parafraseado) | Saídas do Kshana que fornecem evidências em apoio | Lacuna |
|---|---|---|---|
| Artigo 21(1) | Tomar medidas técnicas, operacionais e organizacionais proporcionadas para gerir os riscos às redes e aos sistemas de informação, à luz do estado da arte, da exposição, do porte e da probabilidade e gravidade dos incidentes. | Pontuação de resiliência sobre conjuntos de ameaças; Efeitos de jamming no orçamento de enlace | O Kshana trata apenas da dependência de posicionamento e temporização de um sistema, e não do risco de segurança da informação em geral. |
| Artigo 21(2)(a) | Políticas de análise de riscos e de segurança dos sistemas de informação. | Pontuação de resiliência sobre conjuntos de ameaças; Efeitos de jamming no orçamento de enlace; Detecção de spoofing e meaconing | Fornece apoio à parte de PNT de uma análise de riscos; a política em si é organizacional. |
| Artigo 21(2)(b) | Tratamento de incidentes. | Avaliação de confiança do registro do receptor | Um registro de receptor pontuado ajuda a datar o início e o fim de um incidente de interferência PNT; o processo de tratamento é organizacional. |
| Artigo 21(2)(c) | Continuidade das atividades, como gestão de cópias de segurança, recuperação de desastres e gestão de crises. | Holdover e coasting; Fontes PNT alternativas e diversas | Mostra por quanto tempo uma alternativa modelada mantém um limite de temporização ou de posição; os planos de continuidade são organizacionais. |
| Artigo 21(2)(d) | Segurança da cadeia de abastecimento, incluindo as relações com fornecedores diretos. | nenhuma | O Kshana não avalia fornecedores. Usar um bench neutro e reprodutível para a aceitação de receptores é uma entrada que um comprador pode usar, não uma avaliação da cadeia de abastecimento. |
| Artigo 21(2)(e) | Segurança na aquisição, no desenvolvimento e na manutenção de sistemas, incluindo o tratamento e a divulgação de vulnerabilidades. | Avaliação de confiança do registro do receptor; Proveniência reprodutível da execução | Testes de aceitação repetíveis do comportamento de um receptor sob interferência fornecem evidências em apoio da parte de aquisição; o tratamento de vulnerabilidades está fora. |
| Artigo 21(2)(f) | Políticas e procedimentos para avaliar a eficácia das medidas de gestão dos riscos de cibersegurança. | Proveniência reprodutível da execução; Avaliação de confiança do registro do receptor | Execuções com hash e repetíveis e eventos declarados antes da pontuação fornecem evidências em apoio de um teste de eficácia; a política e o seu calendário são organizacionais. |
| Artigo 21(2)(g) a (j) | Ciber-higiene e formação; criptografia e cifragem; segurança dos recursos humanos, controle de acesso e gestão de ativos; autenticação multifator e comunicações seguras. | nenhuma | Não abordável pelas saídas de execuções de posicionamento e temporização. |
| Artigo 21(3) | Ao escolher medidas para a cadeia de abastecimento, considerar as vulnerabilidades de cada fornecedor e a qualidade e o desenvolvimento seguro dos seus produtos. | nenhuma | Veja o Artigo 21(2)(d). |