Diretiva NIS2 da UE, Artigo 21: aquilo em apoio de que o Kshana fornece elementos de prova
O Artigo 21 enumera, nas alíneas (a) a (j) do n.º 2, as medidas que as entidades essenciais e importantes tomam para gerir os riscos para os seus sistemas de rede e de informação. A maioria das alíneas é organizacional. O Kshana diz respeito à dependência de posicionamento e temporização de um sistema: como se comporta quando o GNSS sofre interferência e como esse comportamento é testado e datado.
Cada linha indica quais as saídas do Kshana que fornecem elementos de prova em apoio do requisito e o que fica por cobrir. Nada aqui diz que um quadro de referência é satisfeito nem que algum produto foi classificado ou aprovado por quem quer que seja. Execute kshana compliance-report sobre os seus próprios ficheiros de resultados para ver para que linhas as suas execuções fornecem efetivamente provas; ver README.md.
Documentos de origem#
- Diretiva (UE) 2022/2555 relativa a medidas destinadas a garantir um elevado nível comum de cibersegurança na União (Diretiva NIS 2): JO L 333, 27.12.2022, pp. 80-152. https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32022L2555. Lido em 2026-10-09: as letras das alíneas do Artigo 21 foram lidas a partir de um resumo da página do EUR-Lex e coincidem com o texto publicado; confirme com a página antes de citar uma alínea num documento formal.
Correspondência#
| Referência | O que pede (parafraseado) | Saídas do Kshana que fornecem elementos de prova em apoio | Lacuna |
|---|---|---|---|
| Artigo 21(1) | Tomar medidas técnicas, operacionais e organizacionais proporcionadas para gerir os riscos para os sistemas de rede e de informação, tendo em conta o estado da técnica, a exposição, a dimensão e a probabilidade e gravidade dos incidentes. | Pontuação de resiliência sobre ensembles de ameaças; Efeitos do orçamento de ligação de jamming | O Kshana diz respeito apenas à dependência de posicionamento e temporização de um sistema, e não ao risco de segurança da informação em geral. |
| Artigo 21(2)(a) | Políticas de análise de risco e de segurança dos sistemas de informação. | Pontuação de resiliência sobre ensembles de ameaças; Efeitos do orçamento de ligação de jamming; Deteção de spoofing e meaconing | Apoia a parte PNT de uma análise de risco; a política em si é organizacional. |
| Artigo 21(2)(b) | Tratamento de incidentes. | Avaliação de confiança do registo de recetor | Um registo de recetor pontuado ajuda a datar o início e o fim de um incidente de interferência PNT; o processo de tratamento é organizacional. |
| Artigo 21(2)(c) | Continuidade das atividades, como a gestão de cópias de segurança, a recuperação de desastres e a gestão de crises. | Holdover e marcha livre; Fontes PNT alternativas e diversas | Mostra durante quanto tempo uma alternativa modelada mantém um limite de temporização ou de posição; os planos de continuidade são organizacionais. |
| Artigo 21(2)(d) | Segurança da cadeia de abastecimento, incluindo as relações com fornecedores diretos. | none | O Kshana não avalia fornecedores. Usar um bench neutro e reprodutível para a aceitação de recetores é um contributo que um comprador pode usar, não uma avaliação da cadeia de abastecimento. |
| Artigo 21(2)(e) | Segurança na aquisição, desenvolvimento e manutenção de sistemas, incluindo o tratamento e a divulgação de vulnerabilidades. | Avaliação de confiança do registo de recetor; Proveniência reprodutível de execuções | Ensaios de aceitação repetíveis do comportamento de um recetor face a interferência fornecem elementos de prova em apoio da parte de aquisição; o tratamento de vulnerabilidades está fora do âmbito. |
| Artigo 21(2)(f) | Políticas e procedimentos para avaliar a eficácia das medidas de gestão dos riscos de cibersegurança. | Proveniência reprodutível de execuções; Avaliação de confiança do registo de recetor | Execuções com hash e repetíveis e eventos fixados antes da pontuação fornecem elementos de prova em apoio de um teste de eficácia; a política e o seu calendário são organizacionais. |
| Artigo 21(2)(g) a (j) | Ciber-higiene e formação; criptografia e cifragem; segurança dos recursos humanos, controlo de acesso e gestão de ativos; autenticação multifator e comunicações seguras. | none | Não abordável por saídas de execuções de posicionamento e temporização. |
| Artigo 21(3) | Ao escolher medidas para a cadeia de abastecimento, ter em conta as vulnerabilidades de cada fornecedor e a qualidade e o desenvolvimento seguro dos seus produtos. | none | Ver Artigo 21(2)(d). |