欧盟NIS2指令，第21条：Kshana能为哪些内容提供证据支持（supports evidence for）
第21条在第2款(a)至(j)项中，列出了重要实体和关键实体为管理其网络和信息系统风险而采取的措施。其中大多数项属于组织层面。Kshana涉及的是系统对定位与授时的依赖：GNSS受到干扰时它如何表现，以及这种表现如何被测试并标注日期。
每一行都说明Kshana的哪些输出为该要求提供证据支持，以及还剩下什么。这里没有任何内容表示某个框架已达到，或任何产品已被任何人评级或批准。请对你自己的结果文件运行kshana compliance-report，查看你的运行实际为哪些行提供了证据；参见README.md。
来源文件#
- Directive (EU) 2022/2555 on measures for a high common level of cybersecurity across the Union (NIS 2 Directive)：OJ L 333，27.12.2022，第80-152页。https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32022L2555。读取于2026-10-09：第21条各款项的字母编号读取自EUR-Lex页面的摘要，与已发布文本一致；在文件中引用某个字母编号之前，请对照该页面确认。
对应关系#
| 参考 | 它的要求（转述） | 为其提供证据支持的Kshana输出 | 缺口 |
|---|---|---|---|
| 第21条第1款 | 鉴于技术现状、暴露程度、规模以及事件发生的可能性和严重程度，采取适当的技术、运行和组织措施，以管理网络和信息系统的风险。 | 威胁集合上的韧性评分；压制干扰链路预算效应 | Kshana只涉及系统对定位与授时的依赖，不涉及一般意义上的信息安全风险。 |
| 第21条第2款(a)项 | 关于风险分析和信息系统安全的政策。 | 威胁集合上的韧性评分；压制干扰链路预算效应；欺骗干扰与转发式欺骗（meaconing）检测 | 为风险分析中的PNT部分提供证据支持；政策本身属于组织层面。 |
| 第21条第2款(b)项 | 事件处理。 | 接收机日志信任度评估 | 经评分的接收机日志有助于确定PNT干扰事件的起止时间；处理流程属于组织层面。 |
| 第21条第2款(c)项 | 业务连续性，例如备份管理、灾难恢复和危机管理。 | 守时（holdover）与惯性滑行；替代与多样化PNT信号源 | 显示建模的后备手段能使授时或位置保持在界限内多长时间；连续性计划属于组织层面。 |
| 第21条第2款(d)项 | 供应链安全，包括与直接供应商的关系。 | 无 | Kshana不评估供应商。使用中立、可复现的bench进行接收机验收，是买方可以采用的一项输入，而不是供应链评估。 |
| 第21条第2款(e)项 | 系统获取、开发和维护中的安全，包括漏洞处理与披露。 | 接收机日志信任度评估；可复现的运行来源记录 | 对接收机干扰行为进行可重复的验收测试，可为其中的获取部分提供证据支持；漏洞处理不在范围之内。 |
| 第21条第2款(f)项 | 评估网络安全风险管理措施有效性的政策和程序。 | 可复现的运行来源记录；接收机日志信任度评估 | 带哈希值的可重复运行，以及评分前就已设定的事件，可为有效性测试提供证据支持；政策及其时间安排属于组织层面。 |
| 第21条第2款(g)至(j)项 | 网络卫生与培训；密码学与加密；人力资源安全、访问控制和资产管理；多因素认证和安全通信。 | 无 | 定位与授时的运行输出无法涉及。 |
| 第21条第3款 | 在选择供应链措施时，考虑每个供应商的脆弱性，以及其产品的质量和安全开发情况。 | 无 | 见第21条第2款(d)项。 |