NIS2-k segurtasuna eskatzen du katean: frogatu ezazu hornitzailez hornitzaile.
IKT hornitzaile askoko erakunde funtsezko edo garrantzitsu baten CISO-arentzat: HodeiShield-ek 21. artikuluko hamar neurriak puntuatzen ditu, hornitzaile bakoitzaren esposizioa neurtzen du eta ebidentzia eskatzen dizunarentzat prest uzten du.
- Kontrolez kontroleko puntuazioa NIS2-n egiaztatuta
- Datuak EBn (OVH, Gravelines); Cloudflare (AEB) eskaeraren bidean
Zer eskatzen duen NIS2-k, laburki
NIS2-k ziberseguritate-arriskua neurri tekniko, operatibo eta antolaketa-neurri proportzionalekin kudeatzera behartzen du, eta gertakari adierazgarriak jakinaraztera.
Laburpen informatiboa, ez aholku juridikoa. Aplikatzen zaizun eta zein epetan, transposizio-arau nazionalaren mende dago.
- Hamar gutxieneko neurri
- 21(2) artikuluak hamar eremu zerrendatzen ditu, gertakarien kudeaketatik kriptografiara. Haietako bat hornidura-katearen segurtasuna da, hornitzaile zuzen bakoitzarekiko harremanaren alderdiak barne.
- Hornitzaile bakoitza aztertzea
- 21(3) artikuluak hornitzaile zuzen bakoitzaren ahultasun propioak eta haren produktuen eta ziberseguritate-praktiken kalitatea kontuan hartzea eskatzen du.
- Epean jakinaraztea
- Hasierako alerta 24 orduan, gertakariaren jakinarazpena 72 orduan eta azken txostena hilabetean (23. artikulua).
- Zuzendaritzak erantzuten du
- Zuzendaritza-organoek neurriak onartzen eta gainbegiratzen dituzte, eta haien ez-betetzeagatik erantzun dezakete (20. artikulua).
21(2) artikuluko hamar neurriak
HodeiShield-ek hamarrak puntuatzen ditu zuk ematen duzun ebidentziatik abiatuta. Markatutakoetan, gainera, plataformak berezko lana egiten du.
- a)
Arriskuen analisia eta sistemen segurtasuna
Esposizioa eurotan hornitzaileko eta arrisku-erregistroa.
Partziala - b)
Gertakarien kudeaketa
Erregistro bakarra, 24 h eta 72 h-ko epeak kalkulatuta.
Partziala - c)
Jarraitutasuna eta krisi-kudeaketa
Antolaketa-neurria: ebidentzia eta jarraipena.
- d)
Hornidura-katearen segurtasuna
Grafoa, galdetegiak, aldizkako eskaneatzea, CVE-ak eta hornitzaile bakoitzaren SBOM-a.
Zuzena - e)
Eskuratzea, garapena eta ahultasunen kudeaketa
CVE-en eta SBOM-aren eguneroko sinkronizazioa OSV.dev-en aurka.
Partziala - f)
Neurrien eraginkortasuna ebaluatzea
Esparruko egoera eta baliozkotasun-data duen ebidentzia.
Partziala - g)
Zibergarbitasuna eta prestakuntza
Antolaketa-neurria: ebidentzia eta jarraipena.
- h)
Kriptografia eta zifratzea
Zure ingurunearen neurri teknikoa: ebidentzia eta jarraipena.
- i)
Langileak, sarbide-kontrola eta aktiboak
Antolaketa-neurria: ebidentzia eta jarraipena.
- j)
Faktore anitzeko autentifikazioa eta komunikazio seguruak
Zure ingurunearen neurri teknikoa: ebidentzia eta jarraipena.
Markarik gabeko neurriak plataformak puntuatzen ditu zuk igotzen duzun ebidentziarekin; haiek ezartzea zure erakundearen lana da.
NIS2-ren betebehar bakoitzetik HodeiShield-en gaitasun batera
Zikloaren fasearekin eta bakoitzaren benetako irismenarekin.
Zuzena: plataformak egiten du. Partziala: ebidentzia edo zati bat ematen du, gainerakoa zurea da. Ez du estaltzen: HodeiShield-etik kanpo geratzen da.
- Betebeharra:
Hornidura-katearen segurtasuna
21(2)(d) art.
Zer egiten duen HodeiShield-ek:Mendekotasun-grafoa 3 jauzitara hedatuta eta HHI kontzentrazioarekin, token bidezko galdetegiak gogorarazpenekin eta hornitzaile bakoitzaren aldizkako kanpo-eskaneatzea.
Dokumentazioa · Oinarrizko kontzeptuak (fitxa berri batean irekitzen da)FaseaSENSEPREDICTIrismenaZuzena - Betebeharra:
Hornitzaile zuzen bakoitzaren ahultasunak eta praktiken kalitatea
21(3) art.
Zer egiten duen HodeiShield-ek:0tik 100erako arrisku-puntuazioa hornitzaileko, eskaneatzea, galdetegia eta ezagutzen diren CVE-ak konbinatzen dituena, hornitzaileari buruzko erabakien erregistroarekin.
Dokumentazioa · Arrisku Motorra (fitxa berri batean irekitzen da)FaseaSENSEPREDICTIrismenaZuzena - Betebeharra:
Ahultasunen kudeaketa eta dibulgazioa
21(2)(e) art.
Zer egiten duen HodeiShield-ek:CVE-en eguneroko sinkronizazioa (NVD, CISA KEV eta EPSS, ustiatzeko probabilitatea) eta hornitzaileen SBOM-a OSV.dev-ekin gurutzatuta. Zure ahultasun propioen dibulgazio koordinatua ez dago barne.
Dokumentazioa · SBOM katea, CVE eta alerta (fitxa berri batean irekitzen da)FaseaSENSEIrismenaPartziala - Betebeharra:
Arriskuen analisia
21(2)(a) art.
Zer egiten duen HodeiShield-ek:FAIR ALE eurotan balio puntual gisa, simulatutako ziurgabetasun-banda batekin (kalibratu gabea), eta eszenatoki-simulagailu deterministikoa.
Dokumentazioa · Arrisku Motorra (fitxa berri batean irekitzen da)FaseaPREDICTIrismenaPartziala - Betebeharra:
Hasierako alerta 24 h-tan eta jakinarazpena 72 h-tan
23. art.
Zer egiten duen HodeiShield-ek:Gertakaria behin erregistratzen du, sailkatzen du eta epeak kalkulatzen ditu. Agintaritzari edo CSIRT-ari jakinarazpena zuk bidaltzen duzu.
Demoa · gertakarien erregistroaFaseaZikloaz kanpoIrismenaPartziala - Betebeharra:
Zuzendaritzaren onarpena eta gainbegiratzea
20. art.
Zer egiten duen HodeiShield-ek:Panel exekutiboa eta PDF txostenak egoerarekin, betebeharrekin eta konponketa-bide-orriarekin.
Dokumentazioa · Betetzea (fitxa berri batean irekitzen da)FaseaPREDICTIrismenaPartziala - Betebeharra:
Gainerako ataletako antolaketa- eta neurri teknikoak
21(2)(c)(f)(g)(h)(i)(j) art.
Zer egiten duen HodeiShield-ek:Ebidentzia arduradunarekin, baliozkotasunarekin eta egoerarekin, politiken liburutegia eta lehenetsitako bide-orria. Plataformak puntuatzen du; ez du neurria ezartzen.
Dokumentazioa · Betetzea (fitxa berri batean irekitzen da)FaseaSENSEPREDICTIrismenaPartziala - Betebeharra:
Egoera bezero bati edo agintaritza bati erakustea
21. art.
Zer egiten duen HodeiShield-ek:Trust Center sarbide publikoarekin edo mugatuarekin (NDA / eskuzko berrikuspena), eta esparruko bandako ATTEST egiaztagiria. Osotasuna eta jatorria frogatzen ditu, ez ebidentzia egiazkoa denik.
Dokumentazioa · ATTEST egiaztatzailea (fitxa berri batean irekitzen da)FaseaATTESTIrismenaPartziala
HodeiShield-ek NIS2-rekin egiten ez duena
Muga esplizituak.
Ez du zehazten erakunde funtsezkoa edo garrantzitsua zaren
Hori zure sektorearen, zure tamainaren eta arau nazionalaren mende dago. Zure erakundeak erabakitzen du aholkularitza juridikoarekin.
Ez ditu neurriak ezartzen ez zure ordez jakinarazten
Neurriak puntuatzen ditu eta epeak kalkulatzen ditu. Kriptografia aplikatzea edo hasierako alerta bidaltzea zurea izaten jarraitzen du.
Ez ditu hornitzaileak etengabe monitorizatzen
Hornitzaileen eskaneatzeak aldizkakoak dira, kanpo-iturrien bidez, eta agenteak zikloka jakinarazten du. Ez da denbora errealean.
Puntuazioa ez da bat-etortzea
Zure lana orientatzen du. Ez du agintaritza eskudunaren ebaluazio bat ordezkatzen ez betetzea bermatzen.
NIS2-ri buruzko galderak
Demo baten aurretik gehien galdetzen dena.
Zer eskatzen du NIS2-k nire hornitzaileei buruz?
Hornidura-katearen segurtasuna gutxieneko neurrien artean sartzen du (21(2)(d) artikulua) eta hornitzaile zuzen bakoitzaren ahultasunak eta haien ziberseguritate-praktiken kalitatea kontuan hartzea eskatzen du (21(3) artikulua).
NIS2 aplikatzen zait?
Sektorearen (I. eta II. eranskinak), tamainaren eta transposizio nazionalaren mende dago. HodeiShield-ek ez du zehazten; zure aholkularitza juridikoak zehazten du indarrean dagoen arauarekin.
Nola laguntzen du 24 eta 72 orduko epeetan?
Gertakaria behin erregistratzen duzu, sailkatzen duzu eta plataformak aplikatzekoak diren epeak kalkulatzen ditu. Agintaritza eskudunari jakinarazpena zuk bidaltzen duzu.
HodeiShield-ek NIS2 betearazten dit?
Ez. Zure egoera neurtzen du hamar neurriekiko, zure hornitzaileak neurtzen ditu eta ebidentzia ordenatzen du. Betetzeak neurriak ezartzea eta zure ebidentziak haiek babestea eskatzen du.
Hornitzaileen puntuazioa etengabea da?
Ez. Eskaneatzeak aldizkakoak dira kanpo-iturrien bidez, galdetegiak hornitzaileak erantzuten ditu eta CVE-en sinkronizazioa egunerokoa da.
Lotutako irtenbideak
Ordenatu zure hornitzaileak hurrengo eskaera baino lehen
Demoan 21. artikulua adibide-kasu batekin aztertzen dugu: KEV-en CVE bat duen hornitzailetik erakuts dezakezun ebidentziara.
Konpromisorik gabe. Adibide-datuak, inoiz ez beste bezeroenak.