8 straipsnis Kibernetinio saugumo rizikos valdymo priemonės

a)

kibernetinio saugumo politikos, įskaitant priemones, būtinas 6 straipsnyje ir šio straipsnio 3 dalyje nurodytiems tikslams ir prioritetams pasiekti;

b)

kibernetinio saugumo rizikos analizės ir informacinių sistemų saugumo politikos;

c)

politikos tikslų, susijusių su debesijos kompiuterijos paslaugų naudojimu;

d)

kai tinkama, kibernetinio saugumo audito, kuris gali apimti kibernetinio saugumo rizikos, pažeidžiamumo ir kibernetinių grėsmių vertinimą ir skverbimosi testavimą, kurį reguliariai atlieka patikimas privatus paslaugų teikėjas;

e)

rekomendacijų, pateiktų atlikus d punkte nurodytus kibernetinio saugumo auditus, įgyvendinimo pasitelkiant kibernetinio saugumo priemones ir politikos atnaujinimus;

f)

kibernetinio saugumo organizavimo, įskaitant funkcijų ir pareigų nustatymą;

g)

turto valdymo, įskaitant IRT turto aprašo ir IRT tinklo kartografijos sudarymą;

h)

žmogiškųjų išteklių saugumo ir prieigos kontrolės;

i)

operacijų saugumo;

j)

ryšių saugumo;

k)

sistemos įsigijimo, plėtojimo ir techninės priežiūros, įskaitant pažeidžiamumo valdymo ir atskleidimo politiką;

l)

kai įmanoma, pirminio kodo skaidrumo politikos;

m)

tiekimo grandinės saugumo, įskaitant su saugumu susijusius aspektus, susijusius su kiekvieno Sąjungos subjekto ir jo tiesioginių tiekėjų ar paslaugų teikėjų santykiais;

n)

incidentų valdymo ir bendradarbiavimo su CERT-EU, pvz., saugumo stebėsenos ir registravimo užtikrinimo;

o)

veiklos tęstinumo valdymo, pvz., atsarginių kopijų valdymo ir veiklos atkūrimo po ekstremaliųjų įvykių, taip pat krizių valdymo; ir

p)

švietimo, įgūdžių, informuotumo didinimo, pratybų ir mokymo programų kibernetinio saugumo srityje skatinimo ir plėtojimo.

a)

techninių priemonių, kuriomis sudaromos sąlygos nuotoliniam darbui ir jis palaikomas;

b)

konkrečių veiksmų siekiant nulinio pasitikėjimo principų;

c)

naudoja daugiaveiksnio tapatumo nustatymo būdą kaip visose tinklų ir informacinėse sistemose taikomą standartą;

d)

naudoja kriptografiją ir šifravimą, visų pirma ištisinį šifravimą, taip pat saugų skaitmeninį pasirašymą;

e)

kai taikytina, naudoja saugius balso, vaizdo ir teksto ryšius bei saugias avarinių ryšių sistemas Sąjungos subjekte;

f)

iniciatyvių kenkimo programinės įrangos ir šnipinėjimo programų aptikimo ir pašalinimo priemonių;

g)

užtikrina programinės įrangos tiekimo grandinės saugumą, taikydami saugios programinės įrangos kūrimo ir vertinimo kriterijus;

h)

parengia ir patvirtina mokymo programas kibernetinio saugumo srityje, atitinkančias Sąjungos subjekto aukščiausio valdymo lygmeniui ir darbuotojams, kuriems pavesta užtikrinti veiksmingą šio reglamento įgyvendinimą, nustatytus uždavinius ir numatytus gebėjimus;

i)

vykdo reguliarius darbuotojų mokymus kibernetinio saugumo klausimais;

j)

prireikus dalyvauja atliekant dėl Sąjungos subjektų sujungiamumo kylančios rizikos analizę;

k)

sugriežtina viešųjų pirkimų taisykles, kad būtų sudarytos palankesnės sąlygos užtikrinti aukštą bendrą kibernetinio saugumo lygį: