English - European Union - NIS2 - ICT - Cybersecurity -

UITVOERINGSVERORDENING (EU) 2024/2690 VAN DE COMMISSIE van 17 oktober 2024 tot vaststelling van regels voor de toepassing van Richtlijn (EU) 2022/2555 wat betreft de technische en methodologische vereisten van de maatregelen voor het beheer van cyberbeveiligingsrisico’s en nadere specificatie van de gevallen waarin een incident als significant wordt beschouwd met betrekking tot DNS-dienstverleners, registers voor topleveldomeinnamen, aanbieders van cloudcomputingdiensten, aanbieders van datacentrumdiensten, aanbieders van netwerken voor de levering van inhoud, aanbieders van beheerde diensten, aanbieders van beheerde beveiligingsdiensten, aanbieders van onlinemarktplaatsen, van onlinezoekmachines en van platforms voor socialenetwerkdiensten, en verleners van vertrouwensdiensten (Voor de EER relevante tekst)

UITVOERINGSVERORDENING (EU) 2024/2690 VAN DE COMMISSIE

van 17 oktober 2024

tot vaststelling van regels voor de toepassing van Richtlijn (EU) 2022/2555 wat betreft de technische en methodologische vereisten van de maatregelen voor het beheer van cyberbeveiligingsrisico’s en nadere specificatie van de gevallen waarin een incident als significant wordt beschouwd met betrekking tot DNS-dienstverleners, registers voor topleveldomeinnamen, aanbieders van cloudcomputingdiensten, aanbieders van datacentrumdiensten, aanbieders van netwerken voor de levering van inhoud, aanbieders van beheerde diensten, aanbieders van beheerde beveiligingsdiensten, aanbieders van onlinemarktplaatsen, van onlinezoekmachines en van platforms voor socialenetwerkdiensten, en verleners van vertrouwensdiensten

(Voor de EER relevante tekst)

Deze verordening is verbindend in al haar onderdelen en is rechtstreeks toepasselijk in elke lidstaat.

1. Overzicht

Preamble: 1

THE EUROPEAN COMMISSION,

Having regard to the Treaty on the Functioning of the European Union,

Having regard to Directive (EU) 2022/2555 of the European Parliament and of the Council of 14 December 2022 on measures for a high common level of cybersecurity across the Union, amending Regulation (EU) No 910/2014 and Directive (EU) 2018/1972, and repealing Directive (EU) 2016/1148 (NIS 2 Directive) (1), and in particular Articles 21(5), first subparagraph and 23(11), second subparagraph thereof,

Whereas:

(1)

With regard to DNS service providers, TLD name registries, cloud computing service providers, data centre service providers, content delivery network providers, managed service providers, managed security service providers, providers of online market places, of online search engines and of social networking services platforms, and trust service providers as covered by Article 3 of Directive (EU) 2022/2555 (the relevant entities), this Regulation aims to lay down the technical and the methodological requirements of the measures referred to in Article 21(2) of Directive (EU) 2022/2555 and to further specify the cases in which an incident should be considered to be significant as referred to in Article 23(3) of Directive (EU) 2022/2555.

(2)

Taking account of the cross-border nature of their activities and in order to ensure a coherent framework for trust service providers, this Regulation should, with respect to trust service providers, further specify the cases in which an incident shall be considered to be significant, in addition to laying down the technical and the methodological requirements of the cybersecurity risk-management measures.

(3)

Following Article 21(5), third subparagraph of Directive (EU) 2022/2555, the technical and methodological requirements of the cybersecurity risk-management measures set out in the Annex to this Regulation are based on European and international standards, such as ISO/IEC 27001, ISO/IEC 27002 and ETSI EN 319401, and technical specifications, such as CEN/TS 18026:2024, relevant to the security of network and information systems.

(4)

As regards the implementation and application of the technical and the methodological requirements of cybersecurity risk-management measures set out in the Annex to this Regulation, in line with the principle of proportionality, due account should be taken of the divergent risk exposure of relevant entities, such as the criticality of the relevant entity, the risks to which it is exposed, the relevant entity’s size and structure as well as the likelihood of occurrence of incidents and their severity, including their societal and economic impact, when complying with the technical and methodological requirements of cybersecurity risk-management measures set out in the Annex to this Regulation.

(5)

In line with the principle of proportionality, where relevant entities cannot implement some of the technical and the methodological requirements of the cybersecurity risk-management measures due to their size, those entities should be able to take other compensating measures that are suitable to achieve the purpose of those requirements. For example, when defining roles, responsibilities and authorities for network and information system security within the relevant entity, micro-sized entities might find it difficult to segregate conflicting duties and conflicting areas of responsibility. Such entities should be able to consider compensating measures such as targeted oversight by the entity’s management or increased monitoring and logging.

(6)

Certain technical and methodological requirements set out in the Annex to this Regulation should be applied by the relevant entities where appropriate, where applicable, or to the extent feasible. Where a relevant entity considers it not appropriate, not applicable or not feasible for the relevant entity to apply certain technical and methodological requirements as provided for in the Annex to this Regulation, the relevant entity should in a comprehensible manner document its reasoning to that effect. National competent authorities may, when exercising supervision, take into account the appropriate time required for the relevant entities to implement the technical and the methodological requirements of the cybersecurity risk-management measures.

(7)

ENISA or national competent authorities under Directive (EU) 2022/2555 can provide guidance to support relevant entities in the identification, analysis, and assessment of risks for the purpose of implementing the technical and the methodological requirements concerning the establishment and maintenance of an appropriate risk management framework. Such guidance can include, in particular, national and sectoral risk assessments as well as risk assessments specific for a certain type of entity. The guidance may also include tools or templates for the development of risk management framework at the level of the relevant entities. Frameworks, guidance or other mechanisms provided by Member States’ national law, as well as relevant European and international standards, can also support relevant entities in demonstrating compliance with this Regulation. Moreover, ENISA or national competent authorities under Directive (EU) 2022/2555 can support relevant entities in identifying and implementing appropriate solutions to treat risks identified in such risk assessments. Such guidance should be without prejudice to the relevant entities’ obligation to identify and document the risks posed to the security of network and information systems, and to the relevant entities’ obligation to implement the technical and the methodological requirements of the cybersecurity risk management measures set out in the Annex to this Regulation according to their needs and resources.

(8)

Network security measures in relation to: (i) the transition towards latest generation network layer communication protocols, (ii) the deployment of internationally agreed and interoperable modern email communications standards, and (iii) the application of best practices for DNS security, and for internet routing security and routing hygiene entail specific challenges regarding the identification of best available standards and deployment techniques. To achieve as soon as possible a high common level of cybersecurity across networks, the Commission, with the assistance of the European Union Agency for Cybersecurity (ENISA) and in collaboration with competent authorities, industry – including telecommunication industry – and other stakeholders, should support the development of a multistakeholder forum tasked to identify these best available standards and deployment techniques. Such multi-stakeholder guidance should be without prejudice to the relevant entities’ obligation to implement the technical and the methodological requirements of the cybersecurity risk management measures set out in the Annex to this Regulation.

(9)

Pursuant to Article 21(2), point (a), of Directive (EU) 2022/2555, essential and important entities should have, besides policies on risk analysis, policies on information system security. For that purpose, the relevant entities should establish a policy on the security of network and information systems as well as topic-specific policies, such as policies on access control, which should be coherent with the policy on the security of network and information systems. The policy on the security of network and information systems should be the highest-level document setting out the relevant entities’ overall approach to their security of network and information systems and should be approved by the management bodies of the relevant entities. The topic-specific policies should be approved by an appropriate level of management. The policy should lay down indicators and measures to monitor its implementation and the current status of relevant entities’ maturity level of network and information security, in particular to facilitate the oversight of the implementation of the cybersecurity risk-management measures through the management bodies.

(10)	For the purposes of the technical and the methodological requirements laid down in the Annex to this Regulation, the term ‘user’ should encompass all legal and natural persons which have access to the entity’s network and information systems.

(11)

To identify and address the risks posed to the security of network and information systems, the relevant entities should establish and maintain an appropriate risk management framework. As a part of the risk management framework, the relevant entities should establish, implement and monitor a risk treatment plan. The relevant entities may use the risk treatment plan to identify and prioritise risk treatment options and measures. Options for risk treatment include, in particular, avoiding, reducing or, in exceptional cases, accepting the risk. The choice of risk treatment options should take into account the results of the risk assessment carried out by the relevant entity, and be in accordance with the relevant entity’s policy on the security of network and information systems. To give effect to the chosen risk treatment options, the relevant entities should take the appropriate risk treatment measures.

(12)

To detect events, near misses and incidents, the relevant entities should monitor their network and information systems and should take actions to evaluate events, near misses and incidents. Those measures should be capable of allowing the detection of network-based attacks based on anomalous inbound and outbound traffic patterns and denial of service attacks in a timely manner.

(13)	When the relevant entities conduct a business impact analysis, they are encouraged to carry out a comprehensive analysis establishing, as appropriate, maximum tolerable downtime, recovery time objectives, recovery point objectives and service delivery objectives.

(14)

In order to mitigate risks stemming from a relevant entity’s supply chain and its relationship with its suppliers, the relevant entities should establish a supply chain security policy which governs their relations with their direct suppliers and service providers. These entities should specify in the contracts with their direct suppliers or service providers adequate security clauses, for example by requiring, where appropriate, cybersecurity risk-management measures according to Article 21(2) of Directive (EU) 2022/2555 or other similar legal requirements.

(15)

The relevant entities should regularly carry out security tests based on a dedicated policy and procedures to verify whether the cybersecurity risk-management measures are implemented and function properly. Security tests may be performed on specific network and information systems or on the relevant entity as a whole and may include automated or manual tests, penetration tests, vulnerability scanning, static and dynamic application security tests, configuration tests or security audits. The relevant entities may conduct security tests on their network and information systems at set-up, after infrastructure or application upgrades or modifications that they deem significant, or after maintenance. The findings of the security tests should inform the relevant entities’ policies and procedures to assess the effectiveness of the cybersecurity risk-management measures, as well as independent reviews of their network and information security policies.

(16)

In order to avoid significant disruption and harm caused by the exploitation of unpatched vulnerabilities in network and information systems, the relevant entities should set out and apply appropriate security patch management procedures which are aligned with the relevant entities’ change management, vulnerability management, risk management and other relevant procedures. Relevant entities should take measures proportionate to their resources to ensure that security patches do not introduce additional vulnerabilities or instabilities. In case of planned inaccessibility to the service caused by the application of security patches, the relevant entities are encouraged to duly inform customers in advance.

(17)

The relevant entities should manage the risks stemming from the acquisition of ICT products or ICT services from suppliers or service providers and should obtain assurance that the ICT products or ICT services to be acquired achieve certain cybersecurity protection levels, for example by European cybersecurity certificates and EU statements of conformity for ICT products or ICT services issued under a European cybersecurity certification scheme adopted pursuant to Article 49 of Regulation (EU) 2019/881 of the European Parliament and of the Council (2). Where the relevant entities set out security requirements to apply to the ICT products to be acquired, they should take into account the essential cybersecurity requirements set out in a regulation of the European Parliament and of the Council on horizontal cybersecurity requirements for products with digital elements.

(18)

In order to protect against cyber threats and support the prevention and containment of data breaches, the relevant entities should implement network security solutions. Typical solutions for network security include the use of firewalls to protect the relevant entities’ internal networks, the limitation of connections and access to services where connections and access are absolutely needed, and the use of virtual private networks for remote access and allowing connections of service providers only after an authorisation request and for a set time period such as the duration of a maintenance operation.

(19)

In order to protect the networks of the relevant entities and their information systems against malicious and unauthorised software, those entities should implement controls that prevent or detect the use of unauthorised software and should, where appropriate, use detection and response software. The relevant entities should also consider implementing measures to minimize the attack surface, reduce vulnerabilities that can be exploited by attackers, control the execution of applications on endpoints, and deploy email and web application filters to reduce exposure to malicious content.

(20)

Pursuant to Article 21(2), point (g), of Directive (EU) 2022/2555, Member States are to ensure that essential and important entities apply basic cyber hygiene practices and cybersecurity training. Basic cyber hygiene practices can include zero-trust principles, software updates, device configuration, network segmentation, identity and access management or user awareness, organise training for their staff and raise awareness concerning cyber threats, phishing or social engineering techniques. Cyber hygiene practices are a part of different technical and methodological requirements of the cybersecurity risk management measures set out in the Annex to this Regulation. With regard to basic cyber hygiene practices for users, the relevant entities should consider practices such as clear desk and screen policy, use of multi-factor and other authentication means, safe email use and web browsing, protection from phishing and social engineering, secure remote working practices.

(21)	In order to prevent unauthorised access to the relevant entities’ assets, the relevant entities should establish and implement a topic-specific policy addressing access by persons and by network and information systems, such as applications.

(22)

In order to avoid that employees can misuse, for instance, access rights within the relevant entity to harm and cause damage, relevant entities should consider adequate employee security management measures and raise awareness among personnel about such risks. The relevant entities should establish, communicate and maintain a disciplinary process for handling violations of the relevant entities’ network and information system security policies, which may be embedded in other disciplinary processes established by the relevant entities. Verification of the background of the employees and where applicable the direct suppliers and service providers of the relevant entities should contribute to the goal of human resources security in the relevant entities, and may include measures such as checks of the person’s criminal record or past professional duties, as appropriate for the person’s duties in the relevant entity and in line with the relevant entity’s policy on the security of network and information systems.

(23)

Multi-factor authentication can enhance the entities’ cybersecurity and should be considered by the entities in particular when users access network and information systems from remote locations, or when they access sensitive information or privileged accounts and system administration accounts. Multi-factor authentication can be combined with other techniques to require additional factors under specific circumstances, based on predefined rules and patterns, such as access from an unusual location, from an unusual device or at an unusual time.

(24)

The relevant entities should manage and protect the assets which are of value to them through a sound asset management which should also serve as the basis for the risk analysis and business continuity management. The relevant entities should manage both tangible and intangible assets and should create an asset inventory, associate the assets with a defined classification level, handle and track the assets and take steps to protect the assets throughout their lifecycle.

(25)

Asset management should involve classifying assets by their type, sensitivity, risk level, and security requirements and applying appropriate measures and controls to ensure their availability, integrity, confidentiality, and authenticity. By classifying assets by risk level, the relevant entities should be able to apply appropriate security measures and controls to protect assets such as encryption, access control including perimeter and physical and logical access control, backups, logging and monitoring, retention and disposal. When conducting a business impact analysis, the relevant entities may determine the classification level based on the consequences of disruption of assets for the entities. All employees of the entities handling assets should be familiar with the asset handling policies and instructions.

(26)

The granularity of the asset inventory should be appropriate for the needs of the relevant entities. A comprehensive asset inventory could include, for each asset, at least a unique identifier, the owner of the asset, a description of the asset, the location of the asset, the type of asset, the type and classification of information processed in the asset, the date of last update or patch of the asset, the classification of the asset under the risk assessment, and the end of life of the asset. When identifying the owner of an asset, the relevant entities should also identify the person responsible for protecting said asset.

(27)

The allocation and organisation of cybersecurity roles, responsibilities and authorities should establish a consistent structure for the governance and implementation of cybersecurity within the relevant entities, and should ensure effective communication in case of incidents. When defining and assigning responsibilities for certain roles, the relevant entities should consider roles such as chief information security officer, information security officer, incident handling officer, auditor, or comparable equivalents. Relevant entities may assign roles and responsibilities to external parties, such as ICT third-party service providers.

(28)

In accordance with Article 21(2) of Directive (EU) 2022/2555, the cybersecurity risk-management measures are to be based on an all-hazards approach that aims to protect network and information systems and the physical environment of those systems from events such as theft, fire, flood, telecommunication or power failures, or unauthorised physical access and damage to, and interference with, an essential or important entity’s information and information processing facilities, which could compromise the availability, authenticity, integrity or confidentiality of stored, transmitted or processed data or of the services offered by, or accessible via, network and information systems. The technical and the methodological requirements of the cybersecurity risk-management measures should therefore also address the physical and environmental security of network and information systems by including measures to protect such systems from system failures, human error, malicious acts or natural phenomena. Further examples of physical and environmental threats can include earthquakes, explosions, sabotage, insider threat, civil unrest, toxic waste, and environmental emissions. Prevention of loss, damage or compromise of network and information systems or interruption to their operations due to the failure and disruption of supporting utilities should contribute to the goal of business continuity in the relevant entities. Moreover, protection against physical and environmental threats should contribute to security of network and information systems maintenance in the relevant entities.

(29)

Relevant entities should design and implement protection measures against physical and environmental threats and determine minimum and maximum control thresholds for physical and environmental threats and monitor environmental parameters. For example, they should consider installing systems to detect at an early stage the flooding of areas where network and information systems are located. Regarding fire hazard, the relevant entities should consider the establishment of a separate fire compartment for the data centre, the use of fire-resistant materials, sensors for monitoring temperature and humidity, the connection of the building to a fire alarm system with an automated notification to the local fire department, and early fire detection and extinguishing systems. The relevant entities should also carry out regular fire drills and fire inspections. Furthermore, to ensure power supply, the relevant entities should consider overvoltage protection and corresponding emergency power supply, in accordance with relevant standards. Moreover, as overheating poses a risk to the availability of network and information systems, relevant entities, in particular data centre service providers, could consider adequate, continuous and redundant air conditioning systems.

(30)

This Regulation is to further specify the cases in which an incident should be considered to be significant for the purpose of Article 23(3) of Directive (EU) 2022/2555. The criteria should be such that relevant entities are able to assess whether an incident is significant, in order to notify the incident in accordance with Directive (EU) 2022/2555. Furthermore, the criteria set out in this Regulation should be considered exhaustive, without prejudice to Article 5 of Directive (EU) 2022/2555. This regulation specifies the cases in which an incident should be considered to be significant by setting out horizontal as well as entity-type specific cases.

(31)

Pursuant to Article 23(4) of Directive (EU) 2022/2555, relevant entities should be required to notify significant incidents within the deadlines set by that provision. Those notification deadlines are running from the moment the entity becomes aware of such significant incidents. The relevant entity is therefore required to report incidents that, based on its initial assessment, could cause severe operational disruption of the services or financial loss for that entity or affect other natural or legal persons by causing considerable material or non-material damage. Therefore, when a relevant entity has detected a suspicious event, or after a potential incident has been brought to its attention by a third party, such as an individual, a customer, an entity, an authority, a media organisation, or another source, the relevant entity should assess in a timely manner the suspicious event to determine whether it constitutes an incident and, if so, determine its nature and severity. The relevant entity is therefore to be regarded as having become ‘aware’ of the significant incident when, after such initial assessment, that entity has a reasonable degree of certainty that a significant incident has occurred.

(32)

With a view to establishing whether an incident is significant, where relevant, relevant entities should count the number of users impacted by the incident, taking into consideration business and end customers with whom the relevant entities have a contractual relationship as well as natural and legal persons that are associated with business customers. Where a relevant entity is unable to calculate the number of impacted users, the relevant entity’s estimate of the possible maximum number of affected users should be considered for the purpose of calculating the total number of users affected by the incident. The significance of an incident involving a trust service should not only be determined by the number of users but also by the number of relying parties as these can be equally affected by a significant incident involving a trust service in regard to operational disruption and material or non-material damage. Therefore, trust service providers should, where applicable, also take into account the number of relying parties when establishing whether an incident is significant. For that purpose, relying parties should be understood as natural or legal persons that rely upon a trust service.

(33)

Maintenance operations resulting in the limited availability or unavailability of the services should not be considered as significant incidents if the limited availability or unavailability of the service occurs according to a scheduled maintenance operation. Moreover, where a service is unavailable due to scheduled interruptions such as interruptions or non-availability based on pre-determined contractual agreement should not be considered as significant incident.

(34)

The duration of an incident which impacts availability of a service should be measured from the disruption of the proper provision of such service until the time of recovery. Where a relevant entity is unable to determine the moment when the disruption began, the duration of the incident should be measured from the moment the incident was detected, or from the moment when the incident was recorded in network or system logs or other data sources, whichever is earlier.

(35)

Complete unavailability of a service should be measured from the moment the service is fully unavailable to users, to the moment when regular activities or operations have been restored to the level of service that was provided prior to the incident. Where a relevant entity is unable to determine when the complete unavailability of a service began, the unavailability should be measured from the moment it was detected by that entity.

(36)

For the purpose of determining the direct financial losses resulting from an incident, relevant entities should take into account all the financial losses which they have incurred as a result of the incident, such as costs for replacement or relocation of software, hardware or infrastructure, staff costs, including costs associated with replacement or relocation of staff, recruitment of extra staff, remuneration of overtime and recovery of lost or impaired skills, fees due to non-compliance with contractual obligations, costs for redress and compensation to customers, losses due to forgone revenues, costs associated with internal and external communication, advisory costs, including costs associated with legal counselling, forensic services and remediation services, and other costs associated to the incident. However, administrative fines, as well as costs that are necessary for the day-to-day operation of the business, should not be considered as financial losses resulting from an incident, including costs for general maintenance of infrastructure, equipment, hardware and software, keeping skills of staff up to date, internal or external costs to enhance the business after the incident, including upgrades, improvements and risk assessment initiatives, and insurance premiums. The relevant entities should calculate the amounts of financial losses based on available data and, where the actual amounts of financial losses cannot be determined, the entities should estimate those amounts.

(37)

Relevant entities should also be obliged to report incidents that have caused or are capable of causing the death of natural persons or considerable damage to natural persons’ health as such incidents are particularly serious cases of causing considerable material or non-material damage. For instance, an incident affecting a relevant entity could cause unavailability of healthcare or emergency services, or the loss of confidentiality or integrity of data with an effect on the health of natural persons. For the purpose of determining whether an incident has caused or is capable of causing considerable damage to a natural person’s health, relevant entities should take into account whether the incident caused or is capable of causing severe injuries and ill-health. For that purpose, the relevant entities should not be required to collect additional information to which they do not have access.

(38)

Limited availability should be considered to occur in particular when a service provided by a relevant entity is considerably slower than average response time, or where not all functionalities of a service are available. Where possible, objective criteria based on the average response times of services provided by the relevant entities should be used to assess delays in response time. A functionality of a service may be, for instance, a chat functionality or an image search functionality.

(39)

Successful, suspectedly malicious and unauthorised access to a relevant entity’s network and information systems should be regarded as a significant incident, where such access is capable of causing severe operational disruption. For instance, where a cyber threat actor pre-positions itself in a relevant entity’s network and information systems with a view to causing disruption of services in the future, the incident should be considered to be significant.

(40)

Recurring incidents that are linked through the same apparent root cause, which individually do not meet the criteria of a significant incident, should collectively be considered to be a significant incident, provided that they collectively meet the criterion for financial loss, and that they have occurred at least twice within six months. Such recurring incidents can indicate significant deficiencies and weaknesses in the relevant entity’s cybersecurity risk management procedures and their level of cybersecurity maturity. Moreover, such recurring incidents are capable of causing significant financial loss for the relevant entity.

(41)	The Commission has exchanged advice and cooperated with the Cooperation Group and ENISA on the draft implementing act, in accordance with Articles 21(5) and 23(11) of Directive (EU) 2022/2555.

(42)	The European Data Protection Supervisor was consulted in accordance with Article 42(1) of Regulation (EU) 2018/1725 of the European Parliament and of the Council (3), and delivered its opinion on 1 September 2024.

(43)	The measures provided for in this Regulation are in accordance with the opinion of the committee established in accordance with Article 39 of Directive (EU) 2022/2555,

HAS ADOPTED THIS REGULATION:

This Regulation shall be binding in its entirety and directly applicable in all Member States.

Done at Brussels, 17 October 2024.

For the Commission

Ursula VON DER LEYEN

The President

Artikel 1 Onderwerp

Artikel 1

Onderwerp

Met betrekking tot DNS-dienstverleners, registers voor topleveldomeinnamen, aanbieders van cloudcomputingdiensten, aanbieders van datacentrumdiensten, aanbieders van netwerken voor de levering van inhoud, aanbieders van beheerde diensten, aanbieders van beheerde beveiligingsdiensten, aanbieders van onlinemarktplaatsen, van onlinezoekmachines en van platforms voor socialenetwerkdiensten, en verleners van vertrouwensdiensten (de relevante entiteiten) worden in deze verordening de technische en methodologische vereisten van de in artikel 21, lid 2, van Richtlijn (EU) 2022/2555 bedoelde maatregelen vastgesteld en worden de gevallen gespecificeerd waarin een incident als significant wordt beschouwd in de zin van artikel 23, lid 3, van Richtlijn (EU) 2022/2555.

Artikel 2 Technische en methodologische vereisten

Artikel 3 Significante incidenten

Artikel 4 Terugkerende incidenten

Artikel 4

Terugkerende incidenten

Incidenten die afzonderlijk niet als een significant incident in de zin van artikel 3 worden beschouwd, worden gezamenlijk als één significant incident beschouwd indien zij aan alle volgende criteria voldoen:

zij hebben zich ten minste tweemaal binnen zes maanden voorgedaan;

zij hebben dezelfde kennelijk onderliggende oorzaak;

zij voldoen gezamenlijk aan de criteria van artikel 3, lid 1, punt a).

Artikel 5 Significante incidenten met betrekking tot DNS-dienstverleners

Artikel 5

Significante incidenten met betrekking tot DNS-dienstverleners

Met betrekking tot DNS-dienstverleners wordt een incident als significant in de zin van artikel 3, lid 1, punt g), beschouwd indien aan een of meer van de volgende criteria is voldaan:

een recursieve of gezaghebbende domeinnaamomzettingsdienst is meer dan 30 minuten volledig onbeschikbaar;

gedurende meer dan een uur bedraagt de gemiddelde responstijd van een recursieve of gezaghebbende domeinnaamomzettingsdienst op DNS-verzoeken meer dan 10 seconden;

de integriteit, de vertrouwelijkheid of de authenticiteit van opgeslagen, verzonden of verwerkte gegevens in verband met de verlening van de gezaghebbende domeinnaamomzettingsdienst is aangetast, behalve in gevallen waarin de gegevens van minder dan 1 000 domeinnamen die door de DNS-dienstverlener worden beheerd en die niet meer dan 1 % uitmaken van de domeinnamen die door de DNS-dienstverlener worden beheerd, niet correct zijn als gevolg van een verkeerde configuratie.

Artikel 6 Significante incidenten met betrekking tot registers voor topleveldomeinnamen

Artikel 6

Significante incidenten met betrekking tot registers voor topleveldomeinnamen

Met betrekking tot registers voor topleveldomeinnamen wordt een incident als significant in de zin van artikel 3, lid 1, punt g), beschouwd indien aan een of meer van de volgende criteria is voldaan:

een gezaghebbende domeinnaamomzettingsdienst is volledig onbeschikbaar;

gedurende meer dan een uur bedraagt de gemiddelde responstijd van een gezaghebbende domeinnaamomzettingsdienst op DNS-verzoeken meer dan 10 seconden;

de integriteit, de vertrouwelijkheid of de authenticiteit van opgeslagen, verzonden of verwerkte gegevens in verband met de technische exploitatie van het topleveldomein is aangetast.

Artikel 7 Significante incidenten met betrekking tot aanbieders van cloudcomputingdiensten

Artikel 7

Significante incidenten met betrekking tot aanbieders van cloudcomputingdiensten

Met betrekking tot aanbieders van cloudcomputingdiensten wordt een incident als significant in de zin van artikel 3, lid 1, punt g), beschouwd indien aan een of meer van de volgende criteria is voldaan:

een geleverde cloudcomputingdienst is meer dan 30 minuten volledig niet beschikbaar;

de beschikbaarheid van een cloudcomputingdienst van een aanbieder is gedurende meer dan één uur beperkt voor meer dan 5 % van de gebruikers van de cloudcomputingdienst in de Unie, of voor meer dan 1 miljoen gebruikers van de cloudcomputingdienst in de Unie, afhankelijk van welk aantal het kleinste is;

de integriteit, de vertrouwelijkheid of de authenticiteit van opgeslagen, verzonden of verwerkte gegevens in verband met de verlening van een cloudcomputingdienst is aangetast, met gevolgen voor meer dan 5 % van de gebruikers de cloudcomputingdienst in de Unie, of voor meer dan 1 miljoen gebruikers van de cloudcomputingdienst in de Unie, afhankelijk van welk aantal het kleinste is.

Artikel 8 Significante incidenten met betrekking tot aanbieders van datacentrumdiensten

Artikel 8

Significante incidenten met betrekking tot aanbieders van datacentrumdiensten

Met betrekking tot aanbieders van datacentrumdiensten wordt een incident als significant in de zin van artikel 3, lid 1, punt g), beschouwd indien aan een of meer van de volgende criteria is voldaan:

een datacentrumdienst van een door de aanbieder beheerd datacentrum is volledig onbeschikbaar;

de beschikbaarheid van een datacentrumdienst van een datacentrum dat door de aanbieder wordt geëxploiteerd, is meer dan één uur beperkt;

de integriteit, de vertrouwelijkheid of de authenticiteit van opgeslagen, verzonden of verwerkte gegevens in verband met de verlening van een datacentrumdienst is aangetast als gevolg van een vermoedelijk kwaadwillige handeling;

de fysieke toegang tot een door de aanbieder geëxploiteerd datacentrum is gecompromitteerd.

Artikel 9 Significante incidenten met betrekking tot aanbieders van netwerken voor de levering van inhoud

Artikel 9

Significante incidenten met betrekking tot aanbieders van netwerken voor de levering van inhoud

Met betrekking tot aanbieders van netwerken voor de levering van inhoud wordt een incident als significant in de zin van artikel 3, lid 1, punt g), beschouwd indien aan een of meer van de volgende criteria is voldaan:

een netwerk voor de levering van inhoud is gedurende meer dan 30 minuten volledig niet beschikbaar;

de beschikbaarheid van een netwerk voor de levering van inhoud is gedurende meer dan één uur beperkt voor meer dan 5 % van de gebruikers van het netwerk voor de levering van inhoud in de Unie, of voor meer dan 1 miljoen van de gebruikers van het netwerk voor de levering van inhoud in de Unie, afhankelijk van welk aantal het kleinste is;

de integriteit, de vertrouwelijkheid of de authenticiteit van opgeslagen, verzonden of verwerkte gegevens in verband met de verlening van een netwerk voor de levering van inhoud is aangetast, met gevolgen voor meer dan 5 % van de gebruikers van een netwerk voor de levering van inhoud in de Unie, of voor meer dan 1 miljoen gebruikers van een netwerk voor de levering van inhoud in de Unie, afhankelijk van welk aantal het kleinste is.

Artikel 10 Significante incidenten met betrekking tot aanbieders van beheerde diensten en aanbieders van beheerde beveiligingsdiensten

Artikel 10

Significante incidenten met betrekking tot aanbieders van beheerde diensten en aanbieders van beheerde beveiligingsdiensten

Met betrekking tot aanbieders van beheerde diensten en aanbieders van beheerde beveiligingsdiensten wordt een incident als significant in de zin van artikel 3, lid 1, punt g), beschouwd indien aan een of meer van de volgende criteria is voldaan:

een beheerde dienst of beheerde beveiligingsdienst is gedurende meer dan 30 minuten volledig onbeschikbaar;

de beschikbaarheid van een beheerde dienst of beheerde beveiligingsdienst is gedurende meer dan één uur beperkt voor meer dan 5 % van de gebruikers van de dienst in de Unie, of voor meer dan 1 miljoen van de gebruikers van de dienst in de Unie, afhankelijk van welk aantal het kleinste is;

de integriteit, de vertrouwelijkheid of de authenticiteit van opgeslagen, verzonden of verwerkte gegevens in verband met de verlening van een beheerde dienst of beheerde beveiligingsdienst is aangetast als gevolg van een vermoedelijk kwaadwillige handeling;

de integriteit, de vertrouwelijkheid of de authenticiteit van opgeslagen, verzonden of verwerkte gegevens in verband met de verlening van een beheerde dienst of een beheerde beveiligingsdienst is aangetast, met gevolgen voor meer dan 5 % van de gebruikers van een beheerde dienst of een beheerde beveiligingsdienst in de Unie, of voor meer dan 1 miljoen van de gebruikers van de dienst in de Unie, afhankelijk van welk aantal het kleinste is.

Artikel 11 Significante incidenten met betrekking tot aanbieders van onlinemarktplaatsen

Artikel 11

Significante incidenten met betrekking tot aanbieders van onlinemarktplaatsen

Met betrekking tot aanbieders van onlinemarktplaatsen wordt een incident als significant in de zin van artikel 3, lid 1, punt g), beschouwd indien het voldoet aan een of meer van de volgende criteria:

een onlinemarktplaats is volledig niet beschikbaar voor meer dan 5 % van de gebruikers van een onlinemarktplaats in de Unie, of voor meer dan 1 miljoen gebruikers van een onlinemarktplaats in de Unie, afhankelijk van welk aantal het kleinste is;

meer dan 5 % van de gebruikers van een onlinemarktplaats in de Unie, of meer dan 1 miljoen gebruikers van een onlinemarktplaats in de Unie, afhankelijk van welk aantal het kleinste is, worden getroffen door de beperkte beschikbaarheid van die onlinemarktplaats;

de integriteit, de vertrouwelijkheid of de authenticiteit van opgeslagen, verzonden of verwerkte gegevens in verband met de verlening van een onlinemarktplaats is aangetast, met gevolgen voor meer dan 5 % van de gebruikers van een onlinemarktplaats in de Unie, of voor meer dan 1 miljoen gebruikers van een onlinemarktplaats in de Unie, afhankelijk van welk aantal het kleinste is.

Artikel 12 Significante incidenten met betrekking tot aanbieders van onlinezoekmachines

Artikel 12

Significante incidenten met betrekking tot aanbieders van onlinezoekmachines

Met betrekking tot aanbieders van onlinezoekmachines wordt een incident als significant in de zin van artikel 3, lid 1, punt g), beschouwd indien aan een of meer van de volgende criteria is voldaan:

een onlinezoekmachine is volledig niet beschikbaar voor meer dan 5 % van de gebruikers van die onlinezoekmachine in de Unie, of voor meer dan 1 miljoen gebruikers van die onlinezoekmachine in de Unie, afhankelijk van welk aantal het kleinste is;

meer dan 5 % van de gebruikers van een onlinezoekmachine in de Unie, of meer dan 1 miljoen gebruikers van een onlinezoekmachine in de Unie, afhankelijk van welk aantal het kleinste is, worden getroffen door de beperkte beschikbaarheid van die onlinezoekmachine;

de integriteit, de vertrouwelijkheid of de authenticiteit van opgeslagen, verzonden of verwerkte gegevens in verband met de verlening van een onlinezoekmachine is aangetast, met gevolgen voor meer dan 5 % van de gebruikers van die onlinezoekmachine in de Unie, of voor meer dan 1 miljoen gebruikers van die onlinezoekmachine in de Unie, afhankelijk van welk aantal het kleinste is.

Artikel 13 Significante incidenten met betrekking tot aanbieders van platforms voor socialenetwerkdiensten

Artikel 13

Significante incidenten met betrekking tot aanbieders van platforms voor socialenetwerkdiensten

Met betrekking tot aanbieders van platforms voor socialenetwerkdiensten wordt een incident als significant in de zin van artikel 3, lid 1, punt g), beschouwd indien aan een of meer van de volgende criteria is voldaan:

een platform voor socialenetwerkdiensten is volledig niet beschikbaar voor meer dan 5 % van de gebruikers van dat platform voor socialenetwerkdiensten in de Unie, of voor meer dan 1 miljoen gebruikers van dat platform voor socialenetwerkdiensten in de Unie, afhankelijk van welk aantal het kleinste is;

meer dan 5 % van de gebruikers van een platform voor socialenetwerkdiensten in de Unie, of meer dan 1 miljoen gebruikers van een platform voor socialenetwerkdiensten in de Unie, afhankelijk van welk aantal het kleinste is, ondervinden gevolgen van de beperkte beschikbaarheid van dat platform voor socialenetwerkdiensten;

de integriteit, de vertrouwelijkheid of de authenticiteit van opgeslagen, verzonden of verwerkte gegevens in verband met de verlening van een platform voor socialenetwerkdiensten is aangetast, met gevolgen voor meer dan 5 % van de gebruikers van dat platform voor socialenetwerkdiensten in de Unie, of voor meer dan 1 miljoen gebruikers van dat platform voor socialenetwerkdiensten in de Unie, afhankelijk van welk aantal het kleinste is.

Artikel 14 Significante incidenten met betrekking tot verleners van vertrouwensdiensten

Artikel 14

Significante incidenten met betrekking tot verleners van vertrouwensdiensten

Met betrekking tot verleners van vertrouwensdiensten wordt een incident als significant in de zin van artikel 3, lid 1, punt g), beschouwd indien aan een of meer van de volgende criteria is voldaan:

een vertrouwensdienst is gedurende meer dan 20 minuten volledig niet beschikbaar;

een vertrouwensdienst is gedurende meer dan een uur, berekend per kalenderweek, niet beschikbaar voor gebruikers of vertrouwende partijen;

meer dan 1 % van de gebruikers of vertrouwende partijen in de Unie, of meer dan 200 000 gebruikers of vertrouwende partijen in de Unie, afhankelijk van welk aantal het kleinste is, worden door de beperkte beschikbaarheid van een vertrouwensdienst getroffen;

de fysieke toegang tot een gebied waar netwerk- en informatiesystemen zich bevinden en waartoe de toegang is beperkt tot betrouwbaar personeel van de verlener van vertrouwensdiensten, of de bescherming van die fysieke toegang, is aangetast;

de integriteit, de vertrouwelijkheid of de authenticiteit van opgeslagen, verzonden of verwerkte gegevens in verband met de verlening van een vertrouwensdienst is aangetast, met gevolgen voor meer dan 0,1 % van de gebruikers of vertrouwende partijen, of meer dan 100 gebruikers of vertrouwende partijen, afhankelijk van welk aantal het kleinste is, van de vertrouwensdienst in de Unie.

Artikel 15 Intrekking

Artikel 15

Intrekking

Uitvoeringsverordening (EU) 2018/151 van de Commissie ( 1 ) wordt ingetrokken.

Artikel 16 Inwerkingtreding en toepassing

Artikel 16

Inwerkingtreding en toepassing

Deze richtlijn treedt in werking op de twintigste dag na die van de bekendmaking ervan in het Publicatieblad van de Europese Unie.

BIJLAGE Technische en methodologische vereisten als bedoeld in artikel 2 van deze verordening

BIJLAGE

Technische en methodologische vereisten als bedoeld in artikel 2 van deze verordening

1. Beleid inzake de beveiliging van netwerk- en informatiesystemen (artikel 21, lid 2, punt a), van Richtlijn (EU) 2022/2555)

1.1. Beleid inzake de beveiliging van netwerk- en informatiesystemen

1.1.1. Voor de toepassing van artikel 21, lid 2, punt a), van Richtlijn (EU) 2022/2555 moet het beleid inzake de beveiliging van netwerk- en informatiesystemen:

de aanpak van de relevante entiteiten voor het beheer van de beveiliging van hun netwerk- en informatiesystemen vaststellen;

geschikt zijn voor en een aanvulling vormen op de bedrijfsstrategie en -doelstellingen van de relevante entiteiten;

doelstellingen op het gebied van netwerk- en informatiebeveiliging vaststellen;

een verbintenis omvatten om de beveiliging van netwerk- en informatiesystemen voortdurend te verbeteren;

een verbintenis omvatten om de passende middelen te bieden die nodig zijn voor de uitvoering ervan, met inbegrip van het nodige personeel, en de nodige financiële middelen, processen, instrumenten en technologieën;

worden meegedeeld aan en onderkend worden door relevante werknemers en belanghebbende externe partijen;

de taken en verantwoordelijkheden overeenkomstig punt 1.2 vaststellen;

de te bewaren documentatie en de bewaartermijn van de documentatie vermelden;

een overzicht geven van de thematische beleidsmaatregelen;

indicatoren en maatregelen vaststellen om de uitvoering ervan en de huidige status van het maturiteitsniveau van de beveiliging van de netwerk- en informatiesystemen van de relevante entiteiten te monitoren;

de datum van de formele goedkeuring door de bestuursorganen van de relevante entiteiten (de “bestuursorganen”) vermelden.

1.1.2. Het beveiligingsbeleid inzake netwerk- en informatiesystemen moet ten minste jaarlijks door de bestuursorganen worden geëvalueerd en, waar passend, worden geactualiseerd en als zich significante incidenten of significante wijzigingen in de activiteiten of risico’s voordoen. Het resultaat van de evaluaties moet worden gedocumenteerd.

1.2. Taken, verantwoordelijkheden en bevoegdheden

1.2.1. In het kader van hun beleid inzake de beveiliging van netwerk- en informatiesystemen als bedoeld in punt 1.1, stellen de relevante entiteiten de verantwoordelijkheden en bevoegdheden voor de beveiliging van netwerk- en informatiesystemen vast, wijzen zij deze taken toe overeenkomstig de behoeften van de relevante entiteiten en delen zij die mee aan de bestuursorganen.

1.2.2. De relevante entiteiten verlangen van alle personeelsleden en derde partijen dat zij de beveiliging van netwerk- en informatiesystemen toepassen overeenkomstig het vastgestelde beleid inzake netwerk- en informatiebeveiliging, themaspecifieke beleidslijnen en de procedures van de relevante entiteiten.

1.2.3. Ten minste één persoon brengt rechtstreeks verslag uit aan de bestuursorganen over aangelegenheden inzake de beveiliging van netwerk- en informatiesystemen.

1.2.4. Afhankelijk van de omvang van de relevante entiteiten wordt de beveiliging van netwerk- en informatiesystemen gedekt door specifieke rollen of taken die naast de bestaande rollen worden uitgevoerd.

1.2.5. Conflicterende taken en conflicterende verantwoordelijkheidsgebieden worden, indien van toepassing, gescheiden.

1.2.6. Taken, verantwoordelijkheden en bevoegdheden worden op geplande tijdstippen en wanneer zich significante incidenten of significante veranderingen in de activiteiten of risico’s voordoen, geëvalueerd en, waar passend, geactualiseerd door de bestuursorganen.

2. Risicobeheerbeleid (artikel 21, lid 2, punt a), van Richtlijn (EU) 2022/2555)

2.1. Kader voor risicobeheer

2.1.1. Voor de toepassing van artikel 21, lid 2, punt a), van Richtlijn (EU) 2022/2555 stellen de relevante entiteiten een passend kader voor risicobeheer vast en houden zij dit in stand om de risico’s voor de beveiliging van netwerk- en informatiesystemen in kaart te brengen en aan te pakken. De relevante entiteiten voeren risicobeoordelingen uit en documenteren die en op basis van de resultaten stellen zij een risicobehandelingsplan vast dat zij uitvoeren en monitoren. De resultaten van de risicobeoordeling en de restrisico’s worden aanvaard door de bestuursorganen of, indien van toepassing, door personen die verantwoordelijk en bevoegd zijn om risico’s te beheren, mits de relevante entiteiten zorgen voor adequate rapportage aan de bestuursorganen.

2.1.2. Voor de toepassing van punt 2.1.1 stellen de relevante entiteiten procedures vast voor de bepaling, de analyse, de beoordeling en de behandeling van risico’s (“proces voor het beheer van cyberbeveiligingsrisico’s”). Het proces voor het beheer van cyberbeveiligingsrisico’s maakt, indien van toepassing, integraal deel uit van het algehele risicobeheerproces van de relevante entiteiten. Als onderdeel van het proces voor het beheer van cyberbeveiligingsrisico’s zullen de relevante entiteiten:

een risicobeheermethode volgen;

het risicotolerantieniveau vaststellen overeenkomstig de risicobereidheid van de relevante entiteiten;

relevante risicocriteria vaststellen en handhaven;

op basis van een benadering die alle gevaren omvat, de risico’s voor de beveiliging van netwerk- en informatiesystemen, met name met betrekking tot derden, en risico’s die kunnen leiden tot verstoringen van de beschikbaarheid, de integriteit, de authenticiteit en de vertrouwelijkheid van de netwerk- en informatiesystemen, met inbegrip van de identificatie van zwakke punten, in kaart brengen en documenteren;

de risico’s voor de beveiliging van netwerk- en informatiesystemen analyseren, met inbegrip van dreigingen, de waarschijnlijkheid, de impact en het risiconiveau, rekening houdend met inlichtingen over cyberdreigingen en kwetsbaarheden;

de vastgestelde risico’s evalueren op basis van de risicocriteria;

passende risicobehandelingsopties en -maatregelen in kaart brengen en prioriteren;

permanent toezicht houden op de uitvoering van de risicobehandelingsmaatregelen;

vaststellen wie verantwoordelijk is voor de uitvoering van de risicobehandelingsmaatregelen en wanneer deze moeten worden uitgevoerd;

de gekozen risicobehandelingsmaatregelen in een risicobehandelingsplan documenteren en de redenen voor de aanvaarding van restrisico’s op begrijpelijke wijze rechtvaardigen.

2.1.3. Bij het vaststellen en prioriteren van passende risicobehandelingsopties en -maatregelen houden de relevante entiteiten rekening met de resultaten van de risicobeoordeling, de resultaten van de procedure om de doeltreffendheid van risicobeheersmaatregelen op het gebied van cyberbeveiliging te beoordelen, de uitvoeringskosten in verhouding tot het verwachte voordeel, de in punt 12.1 bedoelde classificatie van activa en de in punt 4.1.3 bedoelde bedrijfsimpactanalyse.

2.1.4. De relevante entiteiten evalueren en actualiseren, waar passend, de resultaten van de risicobeoordeling en het risicobehandelingsplan met geplande tussenpozen en ten minste eenmaal per jaar, en wanneer zich significante veranderingen in de activiteiten of risico’s of significante incidenten voordoen.

2.2. Toezicht op de naleving

2.2.1. De relevante entiteiten evalueren regelmatig de naleving van hun beleid inzake netwerk- en informatiebeveiliging, thematische beleidslijnen, regels en normen. De bestuursorganen worden door middel van regelmatige rapportage over de nalevingsbeoordelingen op de hoogte gebracht van de status van de netwerk- en informatiebeveiliging.

2.2.2. De relevante entiteiten zetten een doeltreffend systeem voor nalevingsrapportage op dat is afgestemd op hun structuren, operationele omgevingen en dreigingslandschappen. Met dit systeem voor nalevingsrapportage kunnen de bestuursorganen een geïnformeerd beeld krijgen van de huidige stand van zaken met betrekking tot het risicobeheer van de relevante entiteiten.

2.2.3. De relevante entiteiten voeren de nalevingsmonitoring uit met geplande tussenpozen en wanneer zich significante incidenten of significante wijzigingen in de activiteiten of risico’s voordoen.

2.3. Onafhankelijke evaluatie van de informatie- en netwerkbeveiliging

2.3.1. De relevante entiteiten evalueren op onafhankelijke wijze hun aanpak van het beheer van de beveiliging van netwerk- en informatiesystemen en de uitvoering daarvan, met inbegrip van mensen, processen en technologieën.

2.3.2. De relevante entiteiten ontwikkelen en handhaven processen voor het uitvoeren van onafhankelijke evaluaties, die worden uitgevoerd door personen met passende auditcompetentie. Indien de onafhankelijke toetsing wordt uitgevoerd door personeelsleden van de relevante entiteit, mogen de personen die de beoordelingen uitvoeren niet onder het gezag staan van het personeel van het te beoordelen gebied. Indien door de omvang van de relevante entiteiten een dergelijke scheiding van gezag niet mogelijk is, nemen de relevante entiteiten alternatieve maatregelen om de onpartijdigheid van de toetsingen te waarborgen.

2.3.3. De resultaten van de onafhankelijke toetsingen, met inbegrip van de resultaten van het toezicht op de naleving overeenkomstig punt 2.2 en de monitoring en de meting overeenkomstig punt 7, worden aan de bestuursorganen gerapporteerd. Er worden corrigerende maatregelen genomen of restrisico's aanvaard overeenkomstig de risicoaanvaardingscriteria van de relevante entiteiten.

2.3.4. De onafhankelijke evaluaties vinden plaats met geplande tussenpozen en wanneer zich significante incidenten of significante veranderingen in de activiteiten of risico’s voordoen.

3. Incidentenbehandeling (artikel 21, lid 2, punt b), van Richtlijn (EU) 2022/2555)

3.1. Beleid inzake incidentenbehandeling

3.1.1. Voor de toepassing van artikel 21, lid 2, punt b), van Richtlijn (EU) 2022/2555 stellen de relevante entiteiten een beleid inzake incidentenbehandeling vast, waarin de rollen, verantwoordelijkheden en procedures voor het tijdig opsporen, analyseren, beheersen of reageren op, en het herstellen, documenteren en rapporteren van incidenten worden vastgelegd, en voeren zij dit beleid uit.

3.1.2. Het in punt 3.1.1 bedoelde beleid is in overeenstemming met het in punt 4.1 bedoelde bedrijfscontinuïteits- en noodvoorzieningenplan. Het beleid omvat:

een classificatiesysteem voor incidenten dat in overeenstemming is met de volgens punt 3.4.1 uitgevoerde beoordeling en classificatie van gebeurtenissen;

doeltreffende communicatieplannen, onder meer voor escalatie en rapportage;

een toewijzing van taken aan bekwame werknemers om incidenten op te sporen en op passende wijze te reageren;

documenten die moeten worden gebruikt bij de opsporing van en de incidentrespons, zoals handleidingen voor incidentrespons, escalatieschema’s, contactlijsten en modellen.

3.1.3. De in het beleid vastgestelde taken, verantwoordelijkheden en procedures worden getest en geëvalueerd en, waar passend, geactualiseerd met geplande tussenpozen en na significante incidenten of significante wijzigingen in de activiteiten of risico’s.

3.2. Monitoring en logging

3.2.1. De relevante entiteiten stellen procedures vast en gebruiken instrumenten om activiteiten in hun netwerk- en informatiesystemen te monitoren en te registreren om gebeurtenissen op te sporen die als incidenten kunnen worden beschouwd, en reageren dienovereenkomstig om de gevolgen te beperken.

3.2.2. Voor zover haalbaar wordt de monitoring geautomatiseerd en hetzij continu, hetzij met periodieke tussenpozen uitgevoerd, afhankelijk van de bedrijfsmogelijkheden. De relevante entiteiten voeren hun monitoringactiviteiten uit op een wijze die foutpositieve en foutnegatieve uitslagen tot een minimum beperkt.

3.2.3. Op basis van de in punt 3.2.1 bedoelde procedures houden de relevante entiteiten logbestanden bij, die zij documenteren en evalueren. De relevante entiteiten stellen op basis van de resultaten van de overeenkomstig punt 2.1 uitgevoerde risicobeoordeling een lijst op van de activa die in logbestanden moeten worden bijgehouden. Waar passend bevatten de logbestanden:

relevant uitgaand en inkomend netwerkverkeer;

de aanmaak, wijziging of verwijdering van gebruikers van de netwerk- en informatiesystemen van de relevante entiteiten en de uitbreiding van de machtigingen;

toegang tot systemen en toepassingen;

gebeurtenissen in verband met authenticatie;

alle bevoorrechte toegang tot systemen en toepassingen, en activiteiten van beheeraccounts;

toegang tot of wijzigingen van kritieke configuratie- en back-upbestanden;

logbestanden van gebeurtenissen en logbestanden van beveiligingsinstrumenten, zoals antivirus, inbraakdetectiesystemen of firewalls;

het gebruik van systeembronnen en de prestaties daarvan;

fysieke toegang tot faciliteiten;

toegang tot en gebruik van netwerkuitrusting en -apparatuur;

het activeren, stoppen en pauzeren van de verschillende logboeken;

omgevingsgebeurtenissen.

3.2.4. De logbestanden worden regelmatig nagekeken op ongebruikelijke of ongewenste trends. Waar passend stellen de relevante entiteiten passende waarden voor alarmdrempels vast. Indien de vastgestelde alarmdrempels worden overschreden, wordt waar passend automatisch een alarm geactiveerd. De relevante entiteiten zorgen ervoor dat in geval van een alarm tijdig een gekwalificeerd en passend antwoord wordt gegeven.

3.2.5. De relevante entiteiten houden gedurende een vooraf bepaalde periode logbestanden bij en beschermen die tegen ongeoorloofde toegang of wijzigingen.

3.2.6. Voor zover haalbaar zorgen de relevante entiteiten ervoor dat alle systemen gesynchroniseerde tijdsbronnen hebben om logbestanden tussen systemen te kunnen correleren voor de beoordeling van gebeurtenissen. De relevante entiteiten stellen een lijst op van alle activa die in logbestanden worden bijgehouden en zorgen ervoor dat monitoring- en loggingsystemen redundant zijn. De beschikbaarheid van de monitoring- en loggingsystemen wordt gemonitord onafhankelijk van de systemen die zij monitoren.

3.2.7. De procedures en de lijst van activa die worden geregistreerd, worden regelmatig en na significante incidenten geëvalueerd en, waar passend, geactualiseerd.

3.3. Melding van gebeurtenissen

3.3.1. De relevante entiteiten zetten een eenvoudig mechanisme op dat hun werknemers, leveranciers en klanten in staat stelt verdachte gebeurtenissen te melden.

3.3.2. Waar passend delen de relevante entiteiten het mechanisme voor de melding van gebeurtenissen mee aan hun leveranciers en klanten en bieden zij hun werknemers regelmatig opleiding inzake het gebruik van het mechanisme.

3.4. Beoordeling en classificatie van gebeurtenissen

3.4.1. De relevante entiteiten beoordelen verdachte gebeurtenissen om te bepalen of het om incidenten gaat en, zo ja, om de aard en de ernst ervan te bepalen.

3.4.2. Voor de toepassing van punt 3.4.1 handelen de relevante entiteiten als volgt:

zij voeren de beoordeling uit op basis van vooraf vastgestelde criteria, en op basis van een selectie om de prioritering van het indammen en elimineren van incidenten te bepalen;

zij beoordelen op kwartaalbasis het vóórkomen van terugkerende incidenten als bedoeld in artikel 4;

zij kijken de passende logbestanden na met het oog op de beoordeling en de classificatie van gebeurtenissen;

zij voeren een proces voor logcorrelatie en loganalyse in, en

zij beoordelen en classificeren gebeurtenissen opnieuw wanneer nieuwe informatie beschikbaar komt of na analyse van eerder beschikbare informatie.

3.5. Incidentrespons

3.5.1. De relevante entiteiten reageren tijdig en volgens gedocumenteerde procedures op incidenten.

3.5.2. De procedures voor incidentrespons omvatten de volgende fasen:

indamming van incidenten, om te voorkomen dat de gevolgen van het incident zich verspreiden;

eliminatie, om te voorkomen dat het incident voortduurt of opnieuw voorvalt;

herstel van het incident, indien nodig.

3.5.3. De relevante entiteiten stellen communicatieplannen en -procedures vast:

met de Computer Security Incident Response Teams (CSIRT’s) of, indien van toepassing, de bevoegde autoriteiten, met betrekking tot de melding van incidenten;

voor communicatie tussen personeelsleden van de relevante entiteit en voor communicatie met relevante belanghebbenden buiten de relevante entiteit.

3.5.4. De relevante entiteiten registreren de activiteiten van de incidentrespons overeenkomstig de in punt 3.2.1 bedoelde procedures en leggen bewijsmateriaal vast.

3.5.5. De relevante entiteiten testen met geplande tussenpozen hun procedures voor incidentrespons.

3.6. Evaluaties na incidenten

3.6.1. Na het herstel van incidenten verrichten de relevante entiteiten, waar passend, post-incident-evaluaties. Bij de evaluaties na het incident wordt, waar mogelijk, de onderliggende oorzaak van het incident vastgesteld en worden ervaringen gedocumenteerd om het vóórkomen en de gevolgen van toekomstige incidenten te beperken.

3.6.2. De relevante entiteiten zorgen ervoor dat post-incident-evaluaties bijdragen tot een betere aanpak van netwerk- en informatiebeveiliging, betere risicobehandelingsmaatregelen en betere procedures voor de behandeling en opsporing van incidenten en incidentrespons.

3.6.3. De relevante entiteiten evalueren met geplande tussenpozen of deze post-incident-evaluaties zijn uitgevoerd.

4. Bedrijfscontinuïteit en crisisbeheer (artikel 21, lid 2, punt c), van Richtlijn (EU) 2022/2555)

4.1. Bedrijfscontinuïteits- en noodvoorzieningenplan

4.1.1. Voor de toepassing van artikel 21, lid 2, punt c), van Richtlijn (EU) 2022/2555 stellen de relevante entiteiten een bedrijfscontinuïteits- en noodvoorzieningenplan vast dat in geval van incidenten moet worden toegepast.

4.1.2. De activiteiten van de relevante entiteiten worden hersteld overeenkomstig het bedrijfscontinuïteits- en noodvoorzieningenplan. Het plan wordt gebaseerd op de resultaten van de overeenkomstig punt 2.1 uitgevoerde risicobeoordeling en omvat, waar passend, het volgende:

doel, reikwijdte en publiek;

taken en verantwoordelijkheden;

belangrijkste contacten en (interne en externe) communicatiekanalen;

voorwaarden voor activering en deactivering van het plan;

opdracht tot hervatting van de activiteiten;

herstelplannen voor specifieke activiteiten, met inbegrip van hersteldoelstellingen;

de vereiste middelen, met inbegrip van back-ups en redundanties;

herstel en hervatting van activiteiten na afloop van tijdelijke maatregelen.

4.1.3. De relevante entiteiten voeren een bedrijfsimpactanalyse uit om de mogelijke gevolgen van ernstige verstoringen van hun bedrijfsactiviteiten te beoordelen en stellen, op basis van de resultaten van de bedrijfsimpactanalyse, continuïteitsvereisten voor de netwerk- en informatiesystemen vast.

4.1.4. Het bedrijfscontinuïteitsplan en het noodvoorzieningenplan worden getest, geëvalueerd en, waar passend, bijgewerkt, met geplande tussenpozen of na significante incidenten of significante wijzigingen in de activiteiten of risico’s. De relevante entiteiten zorgen ervoor dat in de plannen rekening wordt gehouden met de lessen die uit dergelijke tests zijn getrokken.

4.2. Back-up- en redundantiebeheer

4.2.1. De relevante entiteiten houden reservekopieën (back-ups) van gegevens bij en stellen voldoende middelen ter beschikking, waaronder faciliteiten, netwerk- en informatiesystemen en personeel, om een passend niveau van redundantie te waarborgen.

4.2.2. Op basis van de resultaten van de overeenkomstig punt 2.1 uitgevoerde risicobeoordeling en het bedrijfscontinuïteitsplan stellen de relevante entiteiten back-upplannen vast die het volgende omvatten:

hersteltijden;

garantie dat back-ups volledig en nauwkeurig zijn, met inbegrip van configuratiegegevens en gegevens die zijn opgeslagen in cloudcomputingdiensten;

opslag van back-ups (online of offline) op een veilige locatie of locaties die zich niet in hetzelfde netwerk bevinden als het systeem, en die op voldoende afstand liggen om geen schade te ondervinden van een calamiteit op de hoofdlocatie;

passende fysieke en logische toegangscontroles tot back-ups, in overeenstemming met het classificatieniveau van de activa;

herstel van gegevens uit back-ups;

bewaartermijnen op basis van zakelijke en wettelijke vereisten.

4.2.3. De relevante entiteiten voeren regelmatig integriteitscontroles uit op de back-ups.

4.2.4. Op basis van de resultaten van de overeenkomstig punt 2.1 uitgevoerde risicobeoordeling en het bedrijfscontinuïteitsplan zorgen de relevante entiteiten ervoor dat voldoende middelen beschikbaar zijn door ten minste gedeeltelijke redundantie van:

netwerk- en informatiesystemen;

activa, met inbegrip van faciliteiten, uitrusting en benodigdheden;

personeel met de nodige verantwoordelijkheid, bevoegdheid en bekwaamheid;

passende communicatiekanalen.

4.2.5. Waar passend zorgen de relevante entiteiten ervoor dat de monitoring en de aanpassing van middelen, met inbegrip van faciliteiten, systemen en personeel, naar behoren worden ondersteund door informatie over de vereisten inzake back-ups en redundantie.

4.2.6. De relevante entiteiten testen regelmatig het terugzetten van back-ups en de redundantie om ervoor te zorgen dat zij in herstelomstandigheden kunnen worden ingezet en dat de kopieën, processen en kennis beschikbaar zijn om een doeltreffend herstel uit te voeren. De relevante entiteiten documenteren de resultaten van de tests en nemen zo nodig corrigerende maatregelen.

4.3. Crisisbeheersing

4.3.1. De relevante entiteiten voeren een proces voor crisisbeheersing in.

4.3.2. De relevante entiteiten zorgen ervoor dat het crisisbeheersingsproces ten minste betrekking heeft op de volgende elementen:

taken en verantwoordelijkheden voor het personeel en, waar passend, leveranciers en dienstverleners, met vermelding van de taakverdeling in crisissituaties, met inbegrip van specifiek te volgen stappen;

passende communicatiemiddelen tussen de relevante entiteiten en de relevante bevoegde autoriteiten;

toepassing van passende maatregelen om de veiligheid van de netwerk- en informatiesystemen in crisissituaties te waarborgen.

Voor de toepassing van punt b) omvat de informatiestroom tussen de relevante entiteiten en de relevante bevoegde autoriteiten zowel verplichte mededelingen, zoals incidentverslagen en bijbehorende tijdschema’s, als niet-verplichte mededelingen.

4.3.3. De relevante entiteiten voeren een proces in voor het beheer en het gebruik van de CSIRT’s of, indien van toepassing, van de bevoegde autoriteiten ontvangen informatie over incidenten, kwetsbaarheden, dreigingen of mogelijke risicobeperkende maatregelen.

4.3.4. De relevante entiteiten testen, evalueren en, waar passend, actualiseren het crisisbeheersingsplan op gezette tijden of naar aanleiding van significante incidenten of significante wijzigingen in operaties of risico’s.

5. Beveiliging van de toeleveringsketen (artikel 21, lid 2, punt d), van Richtlijn (EU) 2022/2555)

5.1. Beleid inzake de beveiliging van de toeleveringsketen

5.1.1. Voor de toepassing van artikel 21, lid 2, punt d), van Richtlijn (EU) 2022/2555 zorgen de relevante entiteiten voor de vaststelling, de uitvoering en de toepassing van een beleid inzake de beveiliging van de toeleveringsketen dat de betrekkingen met hun directe leveranciers en dienstverleners regelt, teneinde de vastgestelde risico’s voor de beveiliging van netwerk- en informatiesystemen te beperken. In het beleid inzake de beveiliging van de toeleveringsketen bepalen de relevante entiteiten hun rol in de toeleveringsketen en delen zij deze mee aan hun directe leveranciers en dienstverleners.

5.1.2. Als onderdeel van het in punt 5.1.1 bedoelde beleid inzake de beveiliging van de toeleveringsketen stellen de relevante entiteiten criteria vast voor het selecteren en contracteren van leveranciers en dienstverleners. Die criteria omvatten:

de cyberbeveiligingspraktijken van de leveranciers en dienstverleners, met inbegrip van hun beveiligde ontwikkelingsprocedures;

het vermogen van de leveranciers en dienstverleners om te voldoen aan de door de relevante entiteiten vastgestelde cyberbeveiligingsspecificaties;

de algemene kwaliteit en veerkracht van ICT-producten en -diensten en de daarin vervatte maatregelen voor het beheer van cyberbeveiligingsrisico’s, met inbegrip van de risico’s en het classificatieniveau van de ICT-producten en -diensten;

het vermogen van de relevante entiteiten om de leveringsbronnen te diversifiëren en de afhankelijkheid van verkopers te beperken, indien van toepassing.

5.1.3. Bij het vaststellen van hun beleid inzake de beveiliging van de toeleveringsketen houden de relevante entiteiten, indien van toepassing, rekening met de resultaten van de gecoördineerde beveiligingsrisicobeoordelingen van kritieke toeleveringsketens die zijn uitgevoerd overeenkomstig artikel 22, lid 1, van Richtlijn (EU) 2022/2555.

5.1.4. Op basis van het beleid inzake de beveiliging van de toeleveringsketen en rekening houdend met de resultaten van de overeenkomstig punt 2.1 van deze bijlage uitgevoerde risicobeoordeling, zorgen de relevante entiteiten ervoor dat hun contracten met de leveranciers en dienstverleners, waar passend door middel van overeenkomsten inzake dienstverleningsniveau, het volgende specificeren:

cyberbeveiligingsvereisten voor de leveranciers of dienstverleners, met inbegrip van de in punt 6.1 vastgestelde vereisten met betrekking tot de beveiliging bij de verwerving van ICT-diensten of ICT-producten;

vereisten inzake risicobewustzijn, vaardigheden en opleiding en, waar passend, certificaten die van de werknemers van de leveranciers of dienstverleners worden verlangd;

vereisten inzake de verificatie van de achtergrond van de werknemers van leveranciers en dienstverleners;

een verplichting voor leveranciers en dienstverleners om de relevante entiteiten onverwijld in kennis te stellen van incidenten die een risico vormen voor de beveiliging van de netwerk- en informatiesystemen van die entiteiten;

het recht op controle of het recht om auditverslagen te ontvangen;

een verplichting voor leveranciers en dienstverleners om kwetsbaarheden aan te pakken die een risico vormen voor de beveiliging van de netwerk- en informatiesystemen van de relevante entiteiten;

vereisten inzake uitbesteding en, indien de relevante entiteiten onderaanneming toestaan, cyberbeveiligingsvereisten voor onderaannemers in overeenstemming met de in punt a) bedoelde cyberbeveiligingsvereisten;

verplichtingen voor de leveranciers en dienstverleners bij beëindiging van het contract, zoals het verzamelen en verwijderen van de informatie die de leveranciers en dienstverleners bij de uitoefening van hun taken hebben verkregen.

5.1.5. De relevante entiteiten houden rekening met de in de punten 5.1.2 en 5.1.3 bedoelde elementen als onderdeel van het selectieproces van nieuwe leveranciers en dienstverleners, alsook als onderdeel van het in punt 6.1 bedoelde aanbestedingsproces.

5.1.6. De relevante entiteiten evalueren het beleid inzake de beveiliging van de toeleveringsketen en monitoren, evalueren en, indien nodig, handelen in geval van veranderingen in de cyberbeveiligingspraktijken van leveranciers en dienstverleners, met geplande tussenpozen en wanneer zich significante wijzigingen voordoen in de activiteiten of risico’s of significante incidenten in verband met de verlening van ICT-diensten of incidenten met gevolgen voor de beveiliging van ICT-producten van leveranciers en dienstverleners.

5.1.7. Voor de toepassing van punt 5.1.6 zullen de relevante entiteiten:

indien van toepassing, regelmatig toezicht houden op de verslagen over de uitvoering van de overeenkomsten inzake dienstverleningsniveau;

incidenten met betrekking tot ICT-producten en -diensten van leveranciers en dienstverleners evalueren;

de noodzaak van ongeplande evaluaties beoordelen en de bevindingen op begrijpelijke wijze documenteren;

de risico’s van veranderingen in verband met ICT-producten en -diensten van leveranciers en dienstverleners analyseren en, waar passend, tijdig risicobeperkende maatregelen nemen.

5.2. Register van leveranciers en dienstverleners

De relevante entiteiten houden een register bij van hun directe leveranciers en dienstverleners, met inbegrip van:

contactpunten per directe leverancier en dienstverlener;

een lijst van ICT-producten, -diensten en -processen die door de directe leverancier of dienstverlener aan de relevante entiteiten worden geleverd.

6. Beveiliging bij het verwerven, ontwikkelen en onderhouden van netwerk- en informatiesystemen (artikel 21, lid 2, punt e), van Richtlijn (EU) 2022/2555)

6.1. Beveiliging bij het verwerven van ICT-diensten of ICT-producten

6.1.1. Voor de toepassing van artikel 21, lid 2, punt e), van Richtlijn (EU) 2022/2555 bepalen en implementeren de relevante entiteiten, op basis van de overeenkomstig punt 2.1 uitgevoerde risicobeoordeling, processen voor het beheer van risico’s die voortvloeien uit het verwerven van ICT-diensten of ICT-producten van leveranciers of dienstverleners voor componenten die van cruciaal belang zijn voor de beveiliging van netwerk- en informatiesystemen van de relevante entiteiten, en dat gedurende hun hele levenscyclus.

6.1.2. Voor de toepassing van punt 6.1.1 omvatten de in punt 6.1.1 bedoelde processen:

beveiligingsvoorschriften die van toepassing zijn op de aan te schaffen ICT-diensten of -producten;

vereisten inzake beveiligingsupdates gedurende de gehele levensduur van de ICT-diensten of ICT-producten, of vervanging na het einde van de ondersteuningsperiode;

informatie over de hardware- en softwarecomponenten die in de ICT-diensten of ICT-producten worden gebruikt;

informatie over de uitgevoerde cyberbeveiligingsfuncties van de ICT-diensten of ICT-producten en de configuratie die nodig is voor de veilige werking ervan;

de garantie dat de ICT-diensten of ICT-producten voldoen aan de beveiligingsvereisten overeenkomstig punt a);

methoden om te valideren dat de geleverde ICT-diensten of ICT-producten aan de vermelde beveiligingseisen voldoen, alsmede documentatie van de resultaten van de validering.

6.1.3. De relevante entiteiten evalueren en, waar passend, actualiseren de processen met geplande tussenpozen en wanneer zich significante incidenten voordoen.

6.2. Beveiligde ontwikkelingscyclus

6.2.1. Alvorens een netwerk- en informatiesysteem, met inbegrip van software, te ontwikkelen, stellen de relevante entiteiten regels vast voor de beveiligde ontwikkeling van netwerk- en informatiesystemen en passen zij die toe bij de ontwikkeling van interne netwerk- en informatiesystemen of bij de uitbesteding van de ontwikkeling van netwerk- en informatiesystemen. De regels hebben betrekking op alle ontwikkelingsfasen, met inbegrip van specificatie, ontwerp, ontwikkeling, implementatie en tests.

6.2.2. Voor de toepassing van punt 6.2.1 zullen de relevante entiteiten:

een analyse uitvoeren van de beveiligingsvoorschriften in de specificatie- en ontwerpfase van elk ontwikkelings- of overnameproject dat door of namens die entiteiten wordt uitgevoerd;

beginselen voor de engineering van veilige systemen en beginselen voor veilige codering toepassen op alle activiteiten voor de ontwikkeling van informatiesystemen, zoals het bevorderen van cyberbeveiliging-by-design of zero trust-architectuur;

beveiligingsvoorschriften vaststellen met betrekking tot ontwikkelingsomgevingen;

beveiligingstestprocessen vaststellen en toepassen in de ontwikkelingscyclus;

gegevens over beveiligingstests op passende wijze selecteren, beschermen en beheren;

testgegevens saneren en anonimiseren overeenkomstig de volgens punt 2.1 uitgevoerde risicobeoordeling.

6.2.3. Voor de uitbestede ontwikkeling van netwerk- en informatiesystemen passen de relevante entiteiten tevens de in de punten 5 en 6.1 bedoelde beleidslijnen en procedures toe.

6.2.4. Met geplande tussenpozen evalueren en, indien nodig, actualiseren de relevante entiteiten hun voorschriften voor een beveiligde ontwikkeling.

6.3. Configuratiebeheer

6.3.1. De relevante entiteiten nemen passende maatregelen om configuraties vast te stellen, te documenteren, uit te voeren en te monitoren, met inbegrip van beveiligingsconfiguraties van hardware, software, diensten en netwerken.

6.3.2. Voor de toepassing van punt 6.3.1 zullen de relevante entiteiten:

de beveiliging in configuraties voor hun hardware, software, diensten en netwerken vaststellen en waarborgen;

procedures en instrumenten vaststellen en toepassen om de vastgestelde veilige configuraties te handhaven voor hardware, software, diensten en netwerken, voor nieuw geïnstalleerde systemen en voor systemen in bedrijf, gedurende hun levensduur.

6.3.3. De relevante entiteiten evalueren en, waar passend, actualiseren configuraties met geplande tussenpozen of wanneer zich significante incidenten of significante wijzigingen in de activiteiten of risico’s voordoen.

6.4. Veranderingsbeheer, reparatie en onderhoud

6.4.1. De relevante entiteiten passen procedures voor veranderingsbeheer toe om wijzigingen van netwerk- en informatiesystemen te controleren. Indien van toepassing moeten de procedures in overeenstemming zijn met het algemene beleid van de relevante entiteiten inzake veranderingsbeheer.

6.4.2. De in punt 6.4.1 bedoelde procedures worden toegepast voor releases, wijzigingen en noodwijzigingen van in bedrijf zijnde software en hardware, en wijzigingen in de configuratie. De procedures zorgen ervoor dat die wijzigingen worden gedocumenteerd en, op basis van de overeenkomstig punt 2.1 uitgevoerde risicobeoordeling, worden getest en beoordeeld in het licht van de mogelijke gevolgen voordat zij worden uitgevoerd.

6.4.3. Indien de reguliere procedures voor veranderingsbeheer niet konden worden gevolgd als gevolg van een noodsituatie, documenteren de relevante entiteiten het resultaat van de wijziging en de uitleg waarom de procedures niet konden worden gevolgd.

6.4.4. De relevante entiteiten evalueren en, waar passend, actualiseren de procedures met geplande tussenpozen en wanneer significante incidenten of significante wijzigingen in activiteiten of risico’s plaatsvinden.

6.5. Beveiligingstests

6.5.1. De relevante entiteiten dragen zorg voor het vaststellen, uitvoeren en toepassen van een beleid en procedures voor beveiligingstests.

6.5.2. De relevante entiteiten:

stellen, op basis van de overeenkomstig punt 2.1 uitgevoerde risicobeoordeling, de noodzaak, de reikwijdte, de frequentie en het type van de beveiligingstests vast;

voeren beveiligingstests uit volgens een gedocumenteerde testmethode, die betrekking heeft op de componenten die in een risicoanalyse als relevant voor een veilige werking zijn aangemerkt;

documenteren het type, de reikwijdte, het tijdstip en de resultaten van de tests, met inbegrip van de beoordeling van het kritieke karakter en de risicobeperkende maatregelen voor elke bevinding;

passen risicobeperkende maatregelen toe in geval van kritieke bevindingen.

6.5.3. De relevante entiteiten evalueren en, waar passend, actualiseren hun beveiligingstestbeleid met geplande tussenpozen.

6.6. Beveiligingspatchbeheer

6.6.1. De relevante entiteiten specificeren en passen procedures toe die in overeenstemming zijn met de in punt 6.4.1 bedoelde procedures voor veranderingsbeheer en met de procedures voor kwetsbaarheidsbeheer, risicobeheer en andere relevante beheerprocedures, om ervoor te zorgen dat:

beveiligingspatches worden toegepast binnen een redelijke termijn nadat zij beschikbaar zijn;

beveiligingspatches worden getest voordat zij in productiesystemen worden toegepast;

beveiligingspatches afkomstig zijn van betrouwbare bronnen en op integriteit worden gecontroleerd;

er aanvullende maatregelen worden genomen en restrisico’s worden aanvaard in gevallen waarin een patch niet beschikbaar is of niet wordt toegepast overeenkomstig punt 6.6.2.

6.6.2. In afwijking van punt 6.6.1, punt a), kunnen de relevante entiteiten ervoor kiezen geen beveiligingspatches toe te passen wanneer de nadelen van de toepassing van de beveiligingspatches zwaarder wegen dan de voordelen op het gebied van cyberbeveiliging. De relevante entiteiten documenteren en motiveren naar behoren de redenen voor een dergelijk besluit.

6.7. Netwerkbeveiliging

6.7.1. De relevante entiteiten nemen passende maatregelen om hun netwerk- en informatiesystemen tegen cyberdreigingen te beschermen.

6.7.2. Voor de toepassing van punt 6.7.1 zullen de relevante entiteiten:

de architectuur van het netwerk op begrijpelijke en actuele wijze documenteren;

controles vaststellen en toepassen om de interne netwerkdomeinen van de relevante entiteiten te beschermen tegen ongeoorloofde toegang;

controles configureren om toegang en netwerkcommunicatie te voorkomen die niet vereist zijn voor de werking van de relevante entiteiten;

controles bepalen en toepassen voor toegang op afstand tot netwerk- en informatiesystemen, met inbegrip van dienstenaanbieders;

geen systemen voor het beheer van de uitvoering van het beveiligingsbeleid, voor andere doeleinden gebruiken;

niet-noodzakelijke aansluitingen en diensten uitdrukkelijk verbieden of deactiveren;

waar passend uitsluitend toegang verlenen tot de netwerk- en informatiesystemen van de relevante entiteiten door middel van door die entiteiten gemachtigde apparatuur;

aansluitingen van dienstverleners alleen toestaan na een autorisatieverzoek en voor een bepaalde periode, zoals de duur van een onderhoudsactiviteit;

zorgen voor communicatie tussen verschillende systemen uitsluitend via betrouwbare kanalen die geïsoleerd zijn door middel van logische, cryptografische of fysieke scheiding van andere communicatiekanalen, en zorgen voor een gegarandeerde bepaling van hun eindpunten en bescherming van de kanaalgegevens tegen wijziging of openbaarmaking;

een uitvoeringsplan vaststellen voor de volledige overgang naar communicatieprotocollen van de recentste generatie netwerklaag op een veilige, passende en geleidelijke manier en maatregelen vaststellen om die overgang te versnellen;

een uitvoeringsplan vaststellen voor de invoering van internationaal overeengekomen en interoperabele moderne normen voor e-mailcommunicatie om e-mailcommunicatie te beveiligen om kwetsbaarheden in verband met e-mailgerelateerde dreigingen te beperken, en maatregelen vast te stellen om die uitrol te versnellen;

beste praktijken toepassen voor de beveiliging van de DNS en voor de routingbeveiliging en routinghygiëne op het internet van het verkeer dat afkomstig is van en bestemd is voor het netwerk.

6.7.3. De relevante entiteiten evalueren en, waar passend, actualiseren deze maatregelen met geplande tussenpozen en wanneer zich significante incidenten of significante wijzigingen in de activiteiten of risico’s voordoen.

6.8. Netwerksegmentatie

6.8.1. De relevante entiteiten segmenteren systemen in netwerken of zones overeenkomstig de resultaten van de in punt 2.1 bedoelde risicobeoordeling. Zij segmenteren hun systemen en netwerken van systemen en netwerken van derden.

6.8.2. Daartoe zullen de relevante entiteiten:

rekening houden met de functionele, logische en fysieke relatie, met inbegrip van de locatie, tussen betrouwbare systemen en diensten;

toegang verlenen tot een netwerk of zone op basis van een beoordeling van de beveiligingsvoorschriften;

systemen behouden die van cruciaal belang zijn voor de werking van de relevante entiteiten of voor de veiligheid in beveiligde zones;

een gedemilitariseerde zone in hun communicatienetwerken uitrollen om te waarborgen dat communicatie die afkomstig is van of bestemd is voor hun netwerken, beveiligd is;

de toegang tot en de communicatie tussen en binnen zones beperken tot die welke nodig zijn voor de werking van de relevante entiteiten of voor de veiligheid;

het specifieke netwerk voor het beheer van netwerk- en informatiesystemen scheiden van het operationele netwerk van de relevante entiteiten;

de kanalen voor netwerkbeheer scheiden van ander netwerkverkeer;

de productiesystemen voor de diensten van de relevante entiteiten scheiden van de systemen die worden gebruikt voor de ontwikkeling en tests, met inbegrip van back-ups.

6.8.3. De relevante entiteiten evalueren en, waar passend, actualiseren de netwerksegmentatie met geplande tussenpozen en wanneer significante incidenten of significante wijzigingen in activiteiten of risico’s plaatsvinden.

6.9. Bescherming tegen kwaadaardige en ongeoorloofde software

6.9.1. De relevante entiteiten beschermen hun netwerk- en informatiesystemen tegen kwaadaardige en ongeoorloofde software.

6.9.2. Daartoe implementeren de relevante entiteiten met name maatregelen om het gebruik van kwaadaardige en ongeoorloofde software op te sporen of te voorkomen. De relevante entiteiten zorgen er waar passend voor dat hun netwerk- en informatiesystemen zijn uitgerust met software voor detectie en respons, die regelmatig wordt bijgewerkt overeenkomstig de overeenkomstig punt 2.1 uitgevoerde risicobeoordeling en de contractuele overeenkomsten met de aanbieders.

6.10. Aanpak en openbaarmaking van kwetsbaarheden

6.10.1. De relevante entiteiten verkrijgen informatie over technische kwetsbaarheden in hun netwerk- en informatiesystemen, evalueren hun blootstelling aan dergelijke kwetsbaarheden en nemen passende maatregelen om de kwetsbaarheden te beheren.

6.10.2. Voor de toepassing van punt 6.10.1 zullen de relevante entiteiten:

de informatie over kwetsbaarheden monitoren via passende kanalen, zoals aankondigingen van CSIRT’s, bevoegde autoriteiten, of door leveranciers of dienstverleners verstrekte informatie;

waar passend kwetsbaarheidsscans uitvoeren en met geplande tussenpozen het bewijs van de resultaten van de scans vastleggen;

onverwijld kwetsbaarheden aanpakken die door de relevante entiteiten als kritiek voor hun activiteiten zijn aangemerkt;

ervoor zorgen dat hun aanpak van kwetsbaarheden verenigbaar is met hun procedures voor veranderingsbeheer, beveiligingspatchbeheer, risicobeheer en incidentenbeheer;

een procedure vaststellen voor de openbaarmaking van kwetsbaarheden overeenkomstig het toepasselijke nationale gecoördineerde beleid inzake openbaarmaking van kwetsbaarheden.

6.10.3. Indien de potentiële gevolgen van de kwetsbaarheid dit rechtvaardigen, stellen de relevante entiteiten een plan op en voeren zij dit uit om de kwetsbaarheid te beperken. In andere gevallen documenteren en motiveren de relevante entiteiten de reden waarom de kwetsbaarheid geen herstel vereist.

6.10.4. De relevante entiteiten evalueren en, waar passend, actualiseren met geplande tussenpozen de kanalen die zij gebruiken voor het monitoren van de informatie over kwetsbaarheden.

7. Beleid en procedures om de doeltreffendheid van maatregelen voor het beheer van cyberbeveiligingsrisico’s te beoordelen (artikel 21, lid 2, punt f), van Richtlijn (EU) 2022/2555)

7.1. Voor de toepassing van artikel 21, lid 2, punt f), van Richtlijn (EU) 2022/2555 zorgen de relevante entiteiten voor de vaststelling, uitvoering en toepassing van een beleid en procedures om te beoordelen of de maatregelen voor risicobeheer op het gebied van cyberbeveiliging die door de relevante entiteit zijn genomen, doeltreffend worden uitgevoerd en gehandhaafd.

7.2. In het beleid en de procedures als bedoeld in punt 7.1 wordt rekening gehouden met de resultaten van de risicobeoordeling overeenkomstig punt 2.1 en met significante incidenten uit het verleden. De relevante entiteiten bepalen:

welke maatregelen voor het beheer van cyberbeveiligingsrisico’s moeten worden gemonitord en gemeten, met inbegrip van processen en controles;

de methoden voor het monitoren, meten, analyseren en evalueren, al naargelang het geval, om te zorgen voor valide resultaten;

wanneer de monitoring en de meting moeten worden uitgevoerd;

wie verantwoordelijk is voor het monitoren en meten van de doeltreffendheid van de maatregelen voor het beheer van cyberbeveiligingsrisico’s;

wanneer de resultaten van de monitoring en meting moeten worden geanalyseerd en geëvalueerd;

wie deze resultaten moet analyseren en evalueren.

7.3. De relevante entiteiten evalueren en, waar passend, actualiseren het beleid en de procedures met geplande tussenpozen en bij significante incidenten of significante wijzigingen in activiteiten of risico’s.

8. Basispraktijken op het gebied van cyberhygiëne en opleiding op het gebied van cyberbeveiliging (artikel 21, lid 2, punt g), van Richtlijn (EU) 2022/2555)

8.1. Bewustmaking en basispraktijken op het gebied van cyberhygiëne

8.1.1. Voor de toepassing van artikel 21, lid 2, punt g), van Richtlijn (EU) 2022/2555 zorgen de relevante entiteiten ervoor dat hun werknemers, met inbegrip van leden van bestuursorganen, alsook directe leveranciers en dienstverleners zich bewust zijn van risico’s, op de hoogte zijn van het belang van cyberbeveiliging en praktijken op het gebied van cyberhygiëne toepassen.

8.1.2. Voor de toepassing van punt 8.1.1 bieden de relevante entiteiten aan hun werknemers, met inbegrip van leden van bestuursorganen, alsook aan directe leveranciers en dienstverleners, waar passend overeenkomstig punt 5.1.4, een bewustmakingsprogramma aan dat:

op regelmatige tijdstippen wordt gepland, zodat de activiteiten worden herhaald en nieuwe werknemers er ook bij worden betrokken;

wordt vastgesteld in overeenstemming met het beleid inzake netwerk- en informatiebeveiliging, themaspecifieke beleidsmaatregelen en relevante procedures inzake netwerk- en informatiebeveiliging;

informatie bevat over relevante cyberdreigingen, de bestaande maatregelen voor het beheer van cyberbeveiligingsrisico’s, contactpunten en middelen voor aanvullende informatie en advies over cyberbeveiligingsaangelegenheden, alsook praktijken op het gebied van cyberhygiëne voor gebruikers.

8.1.3. Het bewustmakingsprogramma wordt, waar passend, getest op doeltreffendheid. Het bewustmakingsprogramma wordt geactualiseerd en op geplande tijdstippen aangeboden, rekening houdend met veranderingen in praktijken op het gebied van cyberhygiëne en het huidige dreigingslandschap en risico’s voor de relevante entiteiten.

8.2. Beveiligingsopleiding

8.2.1. De relevante entiteiten duiden werknemers aan wier taken vaardigheden en deskundigheid op het gebied van beveiliging vereisen, en zorgen ervoor dat zij regelmatig opleiding krijgen over de beveiliging van netwerk- en informatiesystemen.

8.2.2. De relevante entiteiten dragen zorg voor het opstellen, uitvoeren en toepassen van een opleidingsprogramma in overeenstemming met het beleid inzake netwerk- en informatiebeveiliging, themaspecifieke beleidsmaatregelen en andere relevante procedures inzake netwerk- en informatiebeveiliging, waarin de opleidingsbehoeften voor bepaalde rollen en functies op basis van criteria zijn vastgelegd.

8.2.3. De in punt 8.2.1 bedoelde opleiding moet relevant zijn voor de functie van de werknemer en de doeltreffendheid ervan moet worden beoordeeld. De opleiding moet rekening houden met de bestaande beveiligingsmaatregelen en betrekking hebben op het volgende:

instructies met betrekking tot de veilige configuratie en werking van de netwerk- en informatiesystemen, met inbegrip van mobiele apparaten;

een briefing over bekende cyberdreigingen;

opleiding over het gedrag wanneer zich gebeurtenissen voordoen die relevant zijn voor de beveiliging.

8.2.4. De relevante entiteiten bieden opleiding aan aan personeelsleden die overstappen naar nieuwe functies of rollen die vaardigheden en deskundigheid op beveiligingsgebied vereisen.

8.2.5. Het programma wordt bijgewerkt en op gezette tijden uitgevoerd, rekening houdend met het toepasselijke beleid en de toepasselijke regels, de toegewezen taken, de verantwoordelijkheden, evenals met bekende cyberdreigingen en technologische ontwikkelingen.

9. Cryptografie (artikel 21, lid 2, punt h), van Richtlijn (EU) 2022/2555)

9.1. Voor de toepassing van artikel 21, lid 2, punt h), van Richtlijn (EU) 2022/2555 dragen de relevante entiteiten zorg voor het vaststellen, uitvoeren en toepassen van een beleid en procedures met betrekking tot cryptografie, teneinde een adequaat en doeltreffend gebruik van cryptografie te waarborgen ter bescherming van de vertrouwelijkheid, de authenticiteit en de integriteit van gegevens in overeenstemming met het classificatieniveau van de activa van de relevante entiteiten en de resultaten van de overeenkomstig punt 2.1 uitgevoerde risicobeoordeling.

9.2. In het beleid en de procedures als bedoeld in punt 9.1 wordt het volgende vastgesteld:

in overeenstemming met de classificatie van activa van de relevante entiteiten, het type, de sterkte en de kwaliteit van de cryptografische maatregelen die nodig zijn om de activa van de relevante entiteiten te beschermen, met inbegrip van inactieve gegevens en gegevens in transit;

op basis van punt a), de vast te stellen protocollen of families van protocollen, alsmede cryptografische algoritmen, versleutelingssterkte, cryptografische oplossingen en gebruikspraktijken die moeten worden goedgekeurd en die vereist zijn voor gebruik in de relevante entiteiten, waar passend volgens een crypto-agility-benadering;

de benadering van de relevante entiteiten op het gebied van sleutelbeheer, met inbegrip van, waar passend, methoden voor:

het genereren van verschillende sleutels voor cryptografische systemen en toepassingen;

ii)

de afgifte en verkrijging van PKI-certificaten;

iii)

het uitdelen van sleutels aan beoogde entiteiten, met inbegrip van de wijze waarop sleutels bij ontvangst kunnen worden geactiveerd;

iv)

het opslaan van sleutels, met inbegrip van de wijze waarop geautoriseerde gebruikers toegang krijgen tot sleutels;

het wijzigen of bijwerken van sleutels, met inbegrip van regels over wanneer en hoe sleutels moeten worden gewijzigd;

vi)

het omgaan met gecompromitteerde sleutels;

vii)

het intrekken van sleutels, met inbegrip van het intrekken of deactiveren van sleutels;

▼C1

viii)

het herstellen van verloren of beschadigde sleutels;

▼B

ix)

het maken van een back-up of het archiveren van sleutels;

het vernietigen van sleutels;

xi)

het bijhouden in logbestanden en controleren van sleutelbeheer-activiteiten;

xii)

het instellen van activerings- en deactiveringsdata voor sleutels om ervoor te zorgen dat de sleutels alleen gedurende de gespecificeerde periode kunnen worden gebruikt volgens de regels van de organisatie inzake sleutelbeheer.

9.3. De relevante entiteiten evalueren en, waar passend, actualiseren hun beleid en procedures met geplande tussenpozen, rekening houdend met de stand van de techniek op het gebied van cryptografie.

10. Beveiligingsaspecten ten aanzien van personeel (artikel 21, lid 2, punt i), van Richtlijn (EU) 2022/2555)

10.1. Beveiligingsaspecten ten aanzien van personeel

10.1.1. Voor de toepassing van artikel 21, lid 2, punt i), van Richtlijn (EU) 2022/2555 zorgen de relevante entiteiten ervoor dat hun werknemers en directe leveranciers en dienstverleners, waar van toepassing, hun verantwoordelijkheden op het gebied van beveiliging begrijpen en aanvaarden, voor zover passend voor de aangeboden diensten en de functie en in overeenstemming met het beleid van de relevante entiteiten inzake de beveiliging van netwerk- en informatiesystemen.

10.1.2. Het in punt 10.1.1 bedoelde voorschrift omvat het volgende:

mechanismen om ervoor te zorgen dat alle werknemers, directe leveranciers en dienstverleners, indien van toepassing, de standaardpraktijken op het gebied van cyberhygiëne die de relevante entiteiten overeenkomstig punt 8.1 toepassen, begrijpen en volgen;

mechanismen om ervoor te zorgen dat alle gebruikers met administratieve of bevoorrechte toegang op de hoogte zijn van en handelen in overeenstemming met hun taken, verantwoordelijkheden en bevoegdheden;

mechanismen om ervoor te zorgen dat de leden van bestuursorganen hun rol, verantwoordelijkheden en bevoegdheden met betrekking tot de beveiliging van netwerk- en informatiesystemen begrijpen en naleven;

mechanismen voor het aanwerven van voor de respectieve taken gekwalificeerd personeel, zoals referentiecontroles, screeningprocedures, validering van certificaten of schriftelijke tests.

10.1.3. De relevante entiteiten evalueren op geplande tijdstippen en ten minste eenmaal per jaar de toewijzing van personeel aan specifieke rollen als bedoeld in punt 1.2, evenals hun verbintenis inzake personeel in dat opzicht. Zij werken de toewijzing indien nodig bij.

10.2. Verificatie van de achtergrond

10.2.1. De relevante entiteiten zorgen er binnen de mate van het mogelijke voor dat verificatie van de achtergrond van hun werknemers wordt uitgevoerd en, indien van toepassing, van directe leveranciers en dienstverleners overeenkomstig punt 5.1.4, indien dit noodzakelijk is voor hun rol, verantwoordelijkheden en bevoegdheden.

10.2.2. Voor de toepassing van punt 10.2.1 zullen de relevante entiteiten:

criteria vaststellen die bepalen welke taken, verantwoordelijkheden en bevoegdheden alleen mogen worden uitgeoefend door personen wier achtergrond is geverifieerd;

ervoor zorgen dat de in punt 10.2.1. bedoelde verificatie op deze personen wordt toegepast voordat zij deze taken, verantwoordelijkheden en bevoegdheden gaan uitoefenen, waarbij rekening wordt gehouden met de toepasselijke regeltechnische en ethische eisen in verhouding tot de bedrijfsvereisten, de classificatie van de activa als bedoeld in punt 12.1 en de netwerk- en informatiesystemen waartoe toegang moet worden verkregen, en de waargenomen risico’s.

10.2.3. De relevante entiteiten evalueren en, waar passend, actualiseren het beleid met geplande tussenpozen en werken het indien nodig bij.

10.3. Beëindiging of wijziging van arbeidsprocedures

10.3.1. De relevante entiteiten zorgen ervoor dat de verantwoordelijkheden en taken op het gebied van netwerk- en informatiebeveiliging die van kracht blijven na beëindiging of wijziging van het dienstverband van hun werknemers, contractueel worden vastgelegd en gehandhaafd.

10.3.2. Voor de toepassing van punt 10.3.1 nemen de relevante entiteiten in de arbeidsvoorwaarden of overeenkomsten van de betrokkene de verantwoordelijkheden en taken op die na de beëindiging van de arbeidsovereenkomst blijven gelden, zoals vertrouwelijkheidsclausules.

10.4. Tuchtprocedure

10.4.1. De relevante entiteiten zorgen voor het opzetten, communiceren en onderhouden van een tuchtprocedure voor de behandeling van inbreuken op het beleid inzake netwerk- en informatiebeveiliging. Bij deze procedure wordt rekening gehouden met relevante wettelijke, statutaire, contractuele en zakelijke eisen.

10.4.2. De relevante entiteiten evalueren en, waar passend, actualiseren de tuchtprocedure met geplande tussenpozen en indien nodig vanwege juridische wijzigingen of ingrijpende wijzigingen in activiteiten of risico’s.

11. Toegangscontrole (artikel 21, lid 2, punten i) en j), van Richtlijn (EU) 2022/2555)

11.1. Beleid inzake toegangscontrole

11.1.1. Voor de toepassing van artikel 21, lid 2, punt i), van Richtlijn (EU) 2022/2555 bepalen, documenteren en implementeren de relevante entiteiten een logisch en fysiek toegangscontrolebeleid voor de toegang tot hun netwerk- en informatiesystemen, op basis van bedrijfsvereisten en vereisten inzake de beveiliging van netwerk- en informatiesystemen.

11.1.2. Het in punt 11.1.1 bedoelde beleid:

omvat de toegang van personen, met inbegrip van personeel, bezoekers en externe entiteiten zoals leveranciers en dienstverleners;

omvat de toegang van netwerk- en informatiesystemen;

waarborgt dat alleen toegang wordt verleend aan gebruikers die naar behoren geauthenticeerd zijn.

11.1.3. De relevante entiteiten evalueren en, waar passend, actualiseren het beleid met geplande tussenpozen en wanneer zich significante incidenten of significante wijzigingen in de bedrijfsactiviteiten of risico’s voordoen.

11.2. Beheer van toegangsrechten

11.2.1. De relevante entiteiten verstrekken, wijzigen, verwijderen en documenteren toegangsrechten tot netwerk- en informatiesystemen overeenkomstig het in punt 11.1 bedoelde beleid inzake toegangscontrole.

11.2.2. De relevante entiteiten:

wijzen toegangsrechten toe en trekken deze in op basis van de beginselen “need-to-know”, “least privilege” en scheiding van functies;

zorgen ervoor dat de toegangsrechten bij beëindiging of verandering van baan dienovereenkomstig worden gewijzigd;

zorgen ervoor dat de toegang tot netwerk- en informatiesystemen door de relevante personen wordt toegestaan;

zorgen ervoor dat toegangsrechten op passende wijze betrekking hebben op toegang van derden, zoals bezoekers, leveranciers en dienstverleners, met name door de toegangsrechten te beperken in reikwijdte en duur;

houden een register bij van de verleende toegangsrechten;

loggen het beheer van toegangsrechten.

11.2.3. De relevante entiteiten evalueren de toegangsrechten met geplande tussenpozen en wijzigen deze op basis van organisatorische wijzigingen. De relevante entiteiten documenteren de resultaten van de evaluatie, met inbegrip van de noodzakelijke wijzigingen van de toegangsrechten.

11.3. Bevoorrechte accounts en systeembeheeraccounts

11.3.1. De relevante entiteiten voeren een beleid voor het beheer van bevoorrechte accounts en systeembeheeraccounts als onderdeel van het in punt 11.1 bedoelde beleid inzake toegangscontrole.

11.3.2. Het in punt 11.3.1 bedoelde beleid:

omvat sterke identificatie-, authenticatie-, zoals multifactorauthenticatie, en autorisatieprocedures voor bevoorrechte accounts en systeembeheeraccounts;

zet specifieke accounts op die uitsluitend voor systeembeheer worden gebruikt, zoals installatie, configuratie, beheer of onderhoud;

individualiseert en beperkt de voorrechten op het gebied van systeembeheer zoveel mogelijk;

zorgt ervoor dat systeembeheeraccounts alleen worden gebruikt om te verbinden met de systemen voor systeembeheer.

11.3.3. De relevante entiteiten toetsen de toegangsrechten van bevoorrechte accounts en systeembeheeraccounts met geplande tussenpozen, passen deze aan op basis van organisatorische wijzigingen en documenteren de resultaten van de evaluatie, met inbegrip van de noodzakelijke wijzigingen van toegangsrechten.

11.4. Beheersystemen

11.4.1. De relevante entiteiten beperken en controleren het gebruik van systemen voor systeembeheer overeenkomstig het in punt 11.1 bedoelde beleid inzake toegangscontrole.

11.4.2. Daartoe zullen de relevante entiteiten:

systemen voor systeembeheer uitsluitend gebruiken voor systeembeheerdoeleinden en niet voor andere activiteiten;

dergelijke systemen logisch scheiden van applicatiesoftware die niet voor systeembeheerdoeleinden wordt gebruikt;

de toegang tot systemen voor systeembeheer beschermen door middel van authenticatie en encryptie.

11.5. Identificatie

11.5.1. De relevante entiteiten beheren de volledige levenscyclus van de identiteit van netwerk- en informatiesystemen en hun gebruikers.

11.5.2. Daartoe zullen de relevante entiteiten:

unieke identiteiten creëren voor netwerk- en informatiesystemen en hun gebruikers;

de identiteit van gebruikers aan één persoon koppelen;

toezicht houden op de identiteiten van de netwerk- en informatiesystemen;

het beheer van identiteiten loggen.

11.5.3. De relevante entiteiten staan aan meer personen toegewezen identiteiten, zoals gedeelde identiteiten, alleen toe als die om zakelijke of operationele redenen noodzakelijk zijn en aan een expliciete goedkeuringsprocedure en documentatie onderworpen zijn. De relevante entiteiten houden in het in punt 2.1 bedoelde kader voor het beheer van cyberbeveiligingsrisico’s rekening met de aan meer personen toegewezen identiteiten.

11.5.4. De relevante entiteiten evalueren regelmatig de identiteiten van netwerk- en informatiesystemen en de gebruikers ervan en deactiveren deze onverwijld zodra zij niet langer nodig zijn.

11.6. Authenticatie

11.6.1. De relevante entiteiten passen beveiligde authenticatieprocedures en -technologieën toe op basis van toegangsbeperkingen en het beleid inzake toegangscontrole.

11.6.2. Daartoe zullen de relevante entiteiten:

ervoor zorgen dat de sterkte van de authenticatie passend is voor de classificatie van het actief waartoe toegang moet worden gekregen;

de toewijzing aan gebruikers en het beheer van geheime authenticatie-informatie controleren door middel van een proces dat de vertrouwelijkheid van de informatie waarborgt, met inbegrip van het adviseren van het personeel over de juiste behandeling van authenticatie-informatie;

in het begin, met vooraf vastgestelde tussenpozen en bij het vermoeden dat de inloggegevens zijn gecompromitteerd, verzoeken om wijziging van de authenticatiegegevens;

eisen dat authenticatiegegevens opnieuw worden ingesteld en gebruikers worden geblokkeerd na een vooraf vastgesteld aantal mislukte inlogpogingen;

inactieve sessies beëindigen na een vooraf bepaalde periode van inactiviteit, en

afzonderlijke gegevens verlangen om toegang te krijgen tot bevoorrechte accounts of beheeraccounts.

11.6.3. De relevante entiteiten gebruiken zoveel mogelijk geavanceerde authenticatiemethoden, in overeenstemming met het oordeel over het bijbehorende risico en de classificatie van het actief waartoe toegang moet worden verkregen, en unieke authenticatie-informatie.

11.6.4. De relevante entiteiten evalueren de authenticatieprocedures en -technologieën met geplande tussenpozen.

11.7. Multifactorauthenticatie

11.7.1. De relevante entiteiten zorgen ervoor dat gebruikers worden geauthenticeerd door middel van multifactorauthenticatie of continue authenticatiemechanismen om toegang te krijgen tot de netwerk- en informatiesystemen van de relevante entiteit, waar passend, in overeenstemming met de classificatie van het actief waartoe toegang moet worden verkregen.

11.7.2. De relevante entiteiten zorgen ervoor dat de sterkte van de authenticatie passend is voor de classificatie van het actief waartoe toegang moet worden verkregen.

12. Beheer van activa (artikel 21, lid 2, punt i), van Richtlijn (EU) 2022/2555)

12.1. Classificatie van activa

12.1.1. Voor de toepassing van artikel 21, lid 2, punt i), van Richtlijn (EU) 2022/2555 stellen de relevante entiteiten classificatieniveaus van alle activa, met inbegrip van informatie, binnen het toepassingsgebied van hun netwerk- en informatiesystemen vast voor het vereiste beschermingsniveau.

12.1.2. Voor de toepassing van punt 12.1.1 zullen de relevante entiteiten:

een systeem van classificatieniveaus voor activa vaststellen;

alle activa verbinden met een classificatieniveau op basis van vereisten inzake vertrouwelijkheid, integriteit, authenticiteit en beschikbaarheid, om de vereiste bescherming aan te geven op basis van hun gevoeligheid, kritieke karakter, risico en bedrijfswaarde;

de beschikbaarheidsvereisten voor de activa afstemmen op de leverings- en hersteldoelstellingen die in hun bedrijfscontinuïteits- en noodvoorzieningenplannen zijn vastgesteld.

12.1.3. De relevante entiteiten verrichten periodieke toetsingen van de classificatieniveaus van activa en werken deze waar passend bij.

12.2. Behandeling van activa

12.2.1. De relevante entiteiten zorgen voor de vaststelling, uitvoering en toepassing van een beleid voor de correcte behandeling van activa, met inbegrip van informatie, in overeenstemming met hun beleid inzake netwerk- en informatiebeveiliging, en delen het beleid inzake de passende behandeling van activa mee aan eenieder die activa gebruikt of behandelt.

12.2.2. Het beleid:

bestrijkt de volledige levenscyclus van de activa, met inbegrip van de verwerving, het gebruik, de opslag, het vervoer en de vervreemding;

biedt regels over veilig gebruik, veilige opslag, veilig vervoer en de onherstelbare verwijdering en vernietiging van de activa;

bepaalt dat de overdracht op een veilige manier plaatsvindt, in overeenstemming met het type actief dat wordt overgedragen.

12.2.3. De relevante entiteiten evalueren en, waar passend, actualiseren het beleid met geplande tussenpozen en wanneer zich significante incidenten of significante wijzigingen in de activiteiten of risico’s voordoen.

12.3. Beleid inzake verwijderbare media

12.3.1. De relevante entiteiten zorgen voor de vaststelling, de uitvoering en de toepassing van een beleid inzake het beheer van verwijderbare opslagmedia en delen dit beleid mee aan hun werknemers en derden die verwijderbare opslagmedia behandelen in de gebouwen van de relevante entiteiten of op andere locaties waar de verwijderbare media verbonden zijn met de netwerk- en informatiesystemen van de relevante entiteiten.

12.3.2. Het beleid:

behelst een technisch verbod op de aansluiting van verwijderbare media, tenzij er een organisatorische reden is voor het gebruik ervan;

regelt de uitschakeling van self-executables vanuit dergelijke media en het scannen van die media op kwaadaardige codes voordat zij in de systemen van de relevante entiteiten worden gebruikt;

biedt maatregelen voor de controle en de bescherming van draagbare opslagapparaten die gegevens in transit en in opslag bevatten;

biedt, waar passend, maatregelen voor het gebruik van cryptografische technieken om gegevens op verwijderbare opslagmedia te beschermen.

12.3.3. De relevante entiteiten evalueren en, waar passend, actualiseren het beleid met geplande tussenpozen en wanneer zich significante incidenten of significante wijzigingen in de activiteiten of risico’s voordoen.

12.4. Inventaris van activa

12.4.1. De relevante entiteiten stellen een volledige, nauwkeurige, actuele en consistente inventaris van hun activa op en houden deze bij. Zij registreren wijzigingen in de inventarisgegevens op traceerbare wijze.

12.4.2. De granulariteit van de inventaris van activa moet afgestemd zijn op de behoeften van de relevante entiteiten. De inventaris omvat het volgende:

de lijst van verrichtingen en diensten en de beschrijving daarvan;

de lijst van netwerk- en informatiesystemen en andere bijbehorende activa ter ondersteuning van de activiteiten en diensten van de relevante entiteiten.

12.4.3. De relevante entiteiten evalueren en actualiseren de inventaris en hun activa regelmatig en documenteren de geschiedenis van de wijzigingen.

12.5. Afgeven, teruggeven of verwijderen van activa bij beëindiging van het dienstverband

De relevante entiteiten dragen zorg voor het vaststellen, het uitvoeren en het toepassen van procedures die waarborgen dat hun activa die onder het gezag van het personeel staan, bij beëindiging van het dienstverband worden afgegeven, teruggegeven of verwijderd, en documenteren het afgeven, teruggeven en verwijderen van die activa. Wanneer het afgeven, teruggeven of verwijderen van activa niet mogelijk is, zorgen de relevante entiteiten ervoor dat de activa geen toegang meer hebben tot de netwerk- en informatiesystemen van de relevante entiteiten in overeenstemming met punt 12.2.2.

13. Milieu- en fysieke beveiliging (artikel 21, lid 2, punten c), e) en i), van Richtlijn (EU) 2022/2555)

13.1. Ondersteunende nutsbedrijven

13.1.1. Voor de toepassing van artikel 21, lid 2, punt c), van Richtlijn (EU) 2022/2555 voorkomen de relevante entiteiten verlies, beschadiging of compromittering van netwerk- en informatiesystemen of onderbreking van hun activiteiten als gevolg van het falen of de verstoring van ondersteunende nutsvoorzieningen.

13.1.2. Daartoe zorgen de relevante entiteiten, waar passend, voor:

het beschermen van installaties tegen stroomstoringen en andere storingen als gevolg van storingen in ondersteunende nutsvoorzieningen, zoals elektriciteit, telecommunicatie, watervoorziening, gas, riolering, ventilatie en airconditioning;

het eventuele gebruik van redundantie in nutsvoorzieningen;

het beschermen van nutsvoorzieningen voor elektriciteit en telecommunicatie, die gegevens transporteren of netwerk- en informatiesystemen van stroom voorzien, tegen onderschepping en beschadiging;

het monitoren van de in punt c) bedoelde nutsdiensten en het rapporteren aan de bevoegde interne of externe personeelsleden van gebeurtenissen buiten de in punt 13.2.2, b), bedoelde minimum- en maximumcontroledrempels die van invloed zijn op de nutsdiensten;

het sluiten van contracten voor de noodvoorziening met bijbehorende diensten, zoals de levering van de brandstof voor de noodstroomvoorziening;

de continue doeltreffendheid, de monitoring, het onderhoud en het testen van de stroomvoorziening van de netwerk- en informatiesystemen die nodig zijn voor de werking van de aangeboden dienst, met name de elektriciteits-, temperatuur- en vochtigheidscontrole, en de telecommunicatie- en internetverbinding.

13.1.3. De relevante entiteiten testen, evalueren en, waar passend, actualiseren de beschermingsmaatregelen regelmatig of naar aanleiding van significante incidenten of significante wijzigingen in activiteiten of risico’s.

13.2. Bescherming tegen fysieke en milieudreigingen

13.2.1. Voor de toepassing van artikel 21, lid 2, punt e), van Richtlijn (EU) 2022/2555 voorkomen of beperken de relevante entiteiten de gevolgen van gebeurtenissen naar aanleiding van fysieke en milieudreigingen, zoals natuurrampen en andere opzettelijke of onopzettelijke bedreigingen, op basis van de resultaten van de overeenkomstig punt 2.1 uitgevoerde risicobeoordeling.

13.2.2. Daartoe zorgen de relevante entiteiten, waar passend, voor:

het opstellen en uitvoeren van beschermingsmaatregelen tegen fysieke en milieudreigingen;

het vaststellen van minimum- en maximumcontroledrempels voor fysieke en milieudreigingen;

het monitoren van milieuparameters en het rapporteren aan de bevoegde interne of externe personeelsleden van gebeurtenissen die buiten de in punt b) bedoelde minimum- en maximumcontroledrempels vallen.

13.2.3. De relevante entiteiten testen, evalueren en, waar passend, actualiseren de beschermingsmaatregelen tegen fysieke en milieudreigingen regelmatig of naar aanleiding van significante incidenten of significante wijzigingen in activiteiten of risico’s.

13.3. Controle van de perimeter en de fysieke toegang

13.3.1. Voor de toepassing van artikel 21, lid 2, punt i), van Richtlijn (EU) 2022/2555 voorkomen en monitoren de relevante entiteiten ongeoorloofde fysieke toegang tot, beschadiging van en interferentie met hun netwerk- en informatiesystemen.

13.3.2. Daartoe zullen de relevante entiteiten:

op basis van de overeenkomstig punt 2.1 uitgevoerde risicobeoordeling beveiligingsperimeters vaststellen en gebruiken ter bescherming van gebieden waar netwerk- en informatiesystemen en andere bijbehorende activa zich bevinden;

de in punt a) bedoelde gebieden beschermen door middel van passende toegangscontroles en toegangspunten;

de fysieke beveiliging van kantoren, ruimten en faciliteiten ontwerpen en implementeren;

hun bedrijfsruimten voortdurend monitoren op ongeoorloofde fysieke toegang.

13.3.3. De relevante entiteiten testen, evalueren en, waar passend, actualiseren de fysieke toegangscontrolemaatregelen regelmatig of naar aanleiding van significante incidenten of significante wijzigingen in activiteiten of risico’s.

1.1 Referenties

1.2 Geïdentificeerde eisen

1.3 Gerelateerde standaarden

2. Geïdentificeerde eisen

Eisen
Bron	Eis

3. Gerelateerde standaarden

Standaarden
Bron	Eis

Gekoppelde issues

Koppelingen
Koppelingstype	Issue
is related to	NIS2 Technical Implementation Guidance

Builddate: 18.10.2024 00:00:00 -Doknr: CELEX:32024R2690
EULAW -
European Regulation published on http://eur-lex.europa.eu/