BIJLAGE Technische en methodologische vereisten als bedoeld in artikel 2 van deze verordening

BIJLAGE

Technische en methodologische vereisten als bedoeld in artikel 2 van deze verordening

1. Beleid inzake de beveiliging van netwerk- en informatiesystemen (artikel 21, lid 2, punt a), van Richtlijn (EU) 2022/2555)

1.1. Beleid inzake de beveiliging van netwerk- en informatiesystemen

1.1.1. Voor de toepassing van artikel 21, lid 2, punt a), van Richtlijn (EU) 2022/2555 moet het beleid inzake de beveiliging van netwerk- en informatiesystemen:

de aanpak van de relevante entiteiten voor het beheer van de beveiliging van hun netwerk- en informatiesystemen vaststellen;

geschikt zijn voor en een aanvulling vormen op de bedrijfsstrategie en -doelstellingen van de relevante entiteiten;

doelstellingen op het gebied van netwerk- en informatiebeveiliging vaststellen;

een verbintenis omvatten om de beveiliging van netwerk- en informatiesystemen voortdurend te verbeteren;

een verbintenis omvatten om de passende middelen te bieden die nodig zijn voor de uitvoering ervan, met inbegrip van het nodige personeel, en de nodige financiële middelen, processen, instrumenten en technologieën;

worden meegedeeld aan en onderkend worden door relevante werknemers en belanghebbende externe partijen;

de taken en verantwoordelijkheden overeenkomstig punt 1.2 vaststellen;

de te bewaren documentatie en de bewaartermijn van de documentatie vermelden;

een overzicht geven van de thematische beleidsmaatregelen;

indicatoren en maatregelen vaststellen om de uitvoering ervan en de huidige status van het maturiteitsniveau van de beveiliging van de netwerk- en informatiesystemen van de relevante entiteiten te monitoren;

de datum van de formele goedkeuring door de bestuursorganen van de relevante entiteiten (de “bestuursorganen”) vermelden.

1.1.2. Het beveiligingsbeleid inzake netwerk- en informatiesystemen moet ten minste jaarlijks door de bestuursorganen worden geëvalueerd en, waar passend, worden geactualiseerd en als zich significante incidenten of significante wijzigingen in de activiteiten of risico’s voordoen. Het resultaat van de evaluaties moet worden gedocumenteerd.

1.2. Taken, verantwoordelijkheden en bevoegdheden

1.2.1. In het kader van hun beleid inzake de beveiliging van netwerk- en informatiesystemen als bedoeld in punt 1.1, stellen de relevante entiteiten de verantwoordelijkheden en bevoegdheden voor de beveiliging van netwerk- en informatiesystemen vast, wijzen zij deze taken toe overeenkomstig de behoeften van de relevante entiteiten en delen zij die mee aan de bestuursorganen.

1.2.2. De relevante entiteiten verlangen van alle personeelsleden en derde partijen dat zij de beveiliging van netwerk- en informatiesystemen toepassen overeenkomstig het vastgestelde beleid inzake netwerk- en informatiebeveiliging, themaspecifieke beleidslijnen en de procedures van de relevante entiteiten.

1.2.3. Ten minste één persoon brengt rechtstreeks verslag uit aan de bestuursorganen over aangelegenheden inzake de beveiliging van netwerk- en informatiesystemen.

1.2.4. Afhankelijk van de omvang van de relevante entiteiten wordt de beveiliging van netwerk- en informatiesystemen gedekt door specifieke rollen of taken die naast de bestaande rollen worden uitgevoerd.

1.2.5. Conflicterende taken en conflicterende verantwoordelijkheidsgebieden worden, indien van toepassing, gescheiden.

1.2.6. Taken, verantwoordelijkheden en bevoegdheden worden op geplande tijdstippen en wanneer zich significante incidenten of significante veranderingen in de activiteiten of risico’s voordoen, geëvalueerd en, waar passend, geactualiseerd door de bestuursorganen.

2. Risicobeheerbeleid (artikel 21, lid 2, punt a), van Richtlijn (EU) 2022/2555)

2.1. Kader voor risicobeheer

2.1.1. Voor de toepassing van artikel 21, lid 2, punt a), van Richtlijn (EU) 2022/2555 stellen de relevante entiteiten een passend kader voor risicobeheer vast en houden zij dit in stand om de risico’s voor de beveiliging van netwerk- en informatiesystemen in kaart te brengen en aan te pakken. De relevante entiteiten voeren risicobeoordelingen uit en documenteren die en op basis van de resultaten stellen zij een risicobehandelingsplan vast dat zij uitvoeren en monitoren. De resultaten van de risicobeoordeling en de restrisico’s worden aanvaard door de bestuursorganen of, indien van toepassing, door personen die verantwoordelijk en bevoegd zijn om risico’s te beheren, mits de relevante entiteiten zorgen voor adequate rapportage aan de bestuursorganen.

2.1.2. Voor de toepassing van punt 2.1.1 stellen de relevante entiteiten procedures vast voor de bepaling, de analyse, de beoordeling en de behandeling van risico’s (“proces voor het beheer van cyberbeveiligingsrisico’s”). Het proces voor het beheer van cyberbeveiligingsrisico’s maakt, indien van toepassing, integraal deel uit van het algehele risicobeheerproces van de relevante entiteiten. Als onderdeel van het proces voor het beheer van cyberbeveiligingsrisico’s zullen de relevante entiteiten:

een risicobeheermethode volgen;

het risicotolerantieniveau vaststellen overeenkomstig de risicobereidheid van de relevante entiteiten;

relevante risicocriteria vaststellen en handhaven;

op basis van een benadering die alle gevaren omvat, de risico’s voor de beveiliging van netwerk- en informatiesystemen, met name met betrekking tot derden, en risico’s die kunnen leiden tot verstoringen van de beschikbaarheid, de integriteit, de authenticiteit en de vertrouwelijkheid van de netwerk- en informatiesystemen, met inbegrip van de identificatie van zwakke punten, in kaart brengen en documenteren;

de risico’s voor de beveiliging van netwerk- en informatiesystemen analyseren, met inbegrip van dreigingen, de waarschijnlijkheid, de impact en het risiconiveau, rekening houdend met inlichtingen over cyberdreigingen en kwetsbaarheden;

de vastgestelde risico’s evalueren op basis van de risicocriteria;

passende risicobehandelingsopties en -maatregelen in kaart brengen en prioriteren;

permanent toezicht houden op de uitvoering van de risicobehandelingsmaatregelen;

vaststellen wie verantwoordelijk is voor de uitvoering van de risicobehandelingsmaatregelen en wanneer deze moeten worden uitgevoerd;

de gekozen risicobehandelingsmaatregelen in een risicobehandelingsplan documenteren en de redenen voor de aanvaarding van restrisico’s op begrijpelijke wijze rechtvaardigen.

2.1.3. Bij het vaststellen en prioriteren van passende risicobehandelingsopties en -maatregelen houden de relevante entiteiten rekening met de resultaten van de risicobeoordeling, de resultaten van de procedure om de doeltreffendheid van risicobeheersmaatregelen op het gebied van cyberbeveiliging te beoordelen, de uitvoeringskosten in verhouding tot het verwachte voordeel, de in punt 12.1 bedoelde classificatie van activa en de in punt 4.1.3 bedoelde bedrijfsimpactanalyse.

2.1.4. De relevante entiteiten evalueren en actualiseren, waar passend, de resultaten van de risicobeoordeling en het risicobehandelingsplan met geplande tussenpozen en ten minste eenmaal per jaar, en wanneer zich significante veranderingen in de activiteiten of risico’s of significante incidenten voordoen.

2.2. Toezicht op de naleving

2.2.1. De relevante entiteiten evalueren regelmatig de naleving van hun beleid inzake netwerk- en informatiebeveiliging, thematische beleidslijnen, regels en normen. De bestuursorganen worden door middel van regelmatige rapportage over de nalevingsbeoordelingen op de hoogte gebracht van de status van de netwerk- en informatiebeveiliging.

2.2.2. De relevante entiteiten zetten een doeltreffend systeem voor nalevingsrapportage op dat is afgestemd op hun structuren, operationele omgevingen en dreigingslandschappen. Met dit systeem voor nalevingsrapportage kunnen de bestuursorganen een geïnformeerd beeld krijgen van de huidige stand van zaken met betrekking tot het risicobeheer van de relevante entiteiten.

2.2.3. De relevante entiteiten voeren de nalevingsmonitoring uit met geplande tussenpozen en wanneer zich significante incidenten of significante wijzigingen in de activiteiten of risico’s voordoen.

2.3. Onafhankelijke evaluatie van de informatie- en netwerkbeveiliging

2.3.1. De relevante entiteiten evalueren op onafhankelijke wijze hun aanpak van het beheer van de beveiliging van netwerk- en informatiesystemen en de uitvoering daarvan, met inbegrip van mensen, processen en technologieën.

2.3.2. De relevante entiteiten ontwikkelen en handhaven processen voor het uitvoeren van onafhankelijke evaluaties, die worden uitgevoerd door personen met passende auditcompetentie. Indien de onafhankelijke toetsing wordt uitgevoerd door personeelsleden van de relevante entiteit, mogen de personen die de beoordelingen uitvoeren niet onder het gezag staan van het personeel van het te beoordelen gebied. Indien door de omvang van de relevante entiteiten een dergelijke scheiding van gezag niet mogelijk is, nemen de relevante entiteiten alternatieve maatregelen om de onpartijdigheid van de toetsingen te waarborgen.

2.3.3. De resultaten van de onafhankelijke toetsingen, met inbegrip van de resultaten van het toezicht op de naleving overeenkomstig punt 2.2 en de monitoring en de meting overeenkomstig punt 7, worden aan de bestuursorganen gerapporteerd. Er worden corrigerende maatregelen genomen of restrisico's aanvaard overeenkomstig de risicoaanvaardingscriteria van de relevante entiteiten.

2.3.4. De onafhankelijke evaluaties vinden plaats met geplande tussenpozen en wanneer zich significante incidenten of significante veranderingen in de activiteiten of risico’s voordoen.

3. Incidentenbehandeling (artikel 21, lid 2, punt b), van Richtlijn (EU) 2022/2555)

3.1. Beleid inzake incidentenbehandeling

3.1.1. Voor de toepassing van artikel 21, lid 2, punt b), van Richtlijn (EU) 2022/2555 stellen de relevante entiteiten een beleid inzake incidentenbehandeling vast, waarin de rollen, verantwoordelijkheden en procedures voor het tijdig opsporen, analyseren, beheersen of reageren op, en het herstellen, documenteren en rapporteren van incidenten worden vastgelegd, en voeren zij dit beleid uit.

3.1.2. Het in punt 3.1.1 bedoelde beleid is in overeenstemming met het in punt 4.1 bedoelde bedrijfscontinuïteits- en noodvoorzieningenplan. Het beleid omvat:

een classificatiesysteem voor incidenten dat in overeenstemming is met de volgens punt 3.4.1 uitgevoerde beoordeling en classificatie van gebeurtenissen;

doeltreffende communicatieplannen, onder meer voor escalatie en rapportage;

een toewijzing van taken aan bekwame werknemers om incidenten op te sporen en op passende wijze te reageren;

documenten die moeten worden gebruikt bij de opsporing van en de incidentrespons, zoals handleidingen voor incidentrespons, escalatieschema’s, contactlijsten en modellen.

3.1.3. De in het beleid vastgestelde taken, verantwoordelijkheden en procedures worden getest en geëvalueerd en, waar passend, geactualiseerd met geplande tussenpozen en na significante incidenten of significante wijzigingen in de activiteiten of risico’s.

3.2. Monitoring en logging

3.2.1. De relevante entiteiten stellen procedures vast en gebruiken instrumenten om activiteiten in hun netwerk- en informatiesystemen te monitoren en te registreren om gebeurtenissen op te sporen die als incidenten kunnen worden beschouwd, en reageren dienovereenkomstig om de gevolgen te beperken.

3.2.2. Voor zover haalbaar wordt de monitoring geautomatiseerd en hetzij continu, hetzij met periodieke tussenpozen uitgevoerd, afhankelijk van de bedrijfsmogelijkheden. De relevante entiteiten voeren hun monitoringactiviteiten uit op een wijze die foutpositieve en foutnegatieve uitslagen tot een minimum beperkt.

3.2.3. Op basis van de in punt 3.2.1 bedoelde procedures houden de relevante entiteiten logbestanden bij, die zij documenteren en evalueren. De relevante entiteiten stellen op basis van de resultaten van de overeenkomstig punt 2.1 uitgevoerde risicobeoordeling een lijst op van de activa die in logbestanden moeten worden bijgehouden. Waar passend bevatten de logbestanden:

relevant uitgaand en inkomend netwerkverkeer;

de aanmaak, wijziging of verwijdering van gebruikers van de netwerk- en informatiesystemen van de relevante entiteiten en de uitbreiding van de machtigingen;

toegang tot systemen en toepassingen;

gebeurtenissen in verband met authenticatie;

alle bevoorrechte toegang tot systemen en toepassingen, en activiteiten van beheeraccounts;

toegang tot of wijzigingen van kritieke configuratie- en back-upbestanden;

logbestanden van gebeurtenissen en logbestanden van beveiligingsinstrumenten, zoals antivirus, inbraakdetectiesystemen of firewalls;

het gebruik van systeembronnen en de prestaties daarvan;

fysieke toegang tot faciliteiten;

toegang tot en gebruik van netwerkuitrusting en -apparatuur;

het activeren, stoppen en pauzeren van de verschillende logboeken;

omgevingsgebeurtenissen.

3.2.4. De logbestanden worden regelmatig nagekeken op ongebruikelijke of ongewenste trends. Waar passend stellen de relevante entiteiten passende waarden voor alarmdrempels vast. Indien de vastgestelde alarmdrempels worden overschreden, wordt waar passend automatisch een alarm geactiveerd. De relevante entiteiten zorgen ervoor dat in geval van een alarm tijdig een gekwalificeerd en passend antwoord wordt gegeven.

3.2.5. De relevante entiteiten houden gedurende een vooraf bepaalde periode logbestanden bij en beschermen die tegen ongeoorloofde toegang of wijzigingen.

3.2.6. Voor zover haalbaar zorgen de relevante entiteiten ervoor dat alle systemen gesynchroniseerde tijdsbronnen hebben om logbestanden tussen systemen te kunnen correleren voor de beoordeling van gebeurtenissen. De relevante entiteiten stellen een lijst op van alle activa die in logbestanden worden bijgehouden en zorgen ervoor dat monitoring- en loggingsystemen redundant zijn. De beschikbaarheid van de monitoring- en loggingsystemen wordt gemonitord onafhankelijk van de systemen die zij monitoren.

3.2.7. De procedures en de lijst van activa die worden geregistreerd, worden regelmatig en na significante incidenten geëvalueerd en, waar passend, geactualiseerd.

3.3. Melding van gebeurtenissen

3.3.1. De relevante entiteiten zetten een eenvoudig mechanisme op dat hun werknemers, leveranciers en klanten in staat stelt verdachte gebeurtenissen te melden.

3.3.2. Waar passend delen de relevante entiteiten het mechanisme voor de melding van gebeurtenissen mee aan hun leveranciers en klanten en bieden zij hun werknemers regelmatig opleiding inzake het gebruik van het mechanisme.

3.4. Beoordeling en classificatie van gebeurtenissen

3.4.1. De relevante entiteiten beoordelen verdachte gebeurtenissen om te bepalen of het om incidenten gaat en, zo ja, om de aard en de ernst ervan te bepalen.

3.4.2. Voor de toepassing van punt 3.4.1 handelen de relevante entiteiten als volgt:

zij voeren de beoordeling uit op basis van vooraf vastgestelde criteria, en op basis van een selectie om de prioritering van het indammen en elimineren van incidenten te bepalen;

zij beoordelen op kwartaalbasis het vóórkomen van terugkerende incidenten als bedoeld in artikel 4;

zij kijken de passende logbestanden na met het oog op de beoordeling en de classificatie van gebeurtenissen;

zij voeren een proces voor logcorrelatie en loganalyse in, en

zij beoordelen en classificeren gebeurtenissen opnieuw wanneer nieuwe informatie beschikbaar komt of na analyse van eerder beschikbare informatie.

3.5. Incidentrespons

3.5.1. De relevante entiteiten reageren tijdig en volgens gedocumenteerde procedures op incidenten.

3.5.2. De procedures voor incidentrespons omvatten de volgende fasen:

indamming van incidenten, om te voorkomen dat de gevolgen van het incident zich verspreiden;

eliminatie, om te voorkomen dat het incident voortduurt of opnieuw voorvalt;

herstel van het incident, indien nodig.

3.5.3. De relevante entiteiten stellen communicatieplannen en -procedures vast:

met de Computer Security Incident Response Teams (CSIRT’s) of, indien van toepassing, de bevoegde autoriteiten, met betrekking tot de melding van incidenten;

voor communicatie tussen personeelsleden van de relevante entiteit en voor communicatie met relevante belanghebbenden buiten de relevante entiteit.

3.5.4. De relevante entiteiten registreren de activiteiten van de incidentrespons overeenkomstig de in punt 3.2.1 bedoelde procedures en leggen bewijsmateriaal vast.

3.5.5. De relevante entiteiten testen met geplande tussenpozen hun procedures voor incidentrespons.

3.6. Evaluaties na incidenten

3.6.1. Na het herstel van incidenten verrichten de relevante entiteiten, waar passend, post-incident-evaluaties. Bij de evaluaties na het incident wordt, waar mogelijk, de onderliggende oorzaak van het incident vastgesteld en worden ervaringen gedocumenteerd om het vóórkomen en de gevolgen van toekomstige incidenten te beperken.

3.6.2. De relevante entiteiten zorgen ervoor dat post-incident-evaluaties bijdragen tot een betere aanpak van netwerk- en informatiebeveiliging, betere risicobehandelingsmaatregelen en betere procedures voor de behandeling en opsporing van incidenten en incidentrespons.

3.6.3. De relevante entiteiten evalueren met geplande tussenpozen of deze post-incident-evaluaties zijn uitgevoerd.

4. Bedrijfscontinuïteit en crisisbeheer (artikel 21, lid 2, punt c), van Richtlijn (EU) 2022/2555)

4.1. Bedrijfscontinuïteits- en noodvoorzieningenplan

4.1.1. Voor de toepassing van artikel 21, lid 2, punt c), van Richtlijn (EU) 2022/2555 stellen de relevante entiteiten een bedrijfscontinuïteits- en noodvoorzieningenplan vast dat in geval van incidenten moet worden toegepast.

4.1.2. De activiteiten van de relevante entiteiten worden hersteld overeenkomstig het bedrijfscontinuïteits- en noodvoorzieningenplan. Het plan wordt gebaseerd op de resultaten van de overeenkomstig punt 2.1 uitgevoerde risicobeoordeling en omvat, waar passend, het volgende:

doel, reikwijdte en publiek;

taken en verantwoordelijkheden;

belangrijkste contacten en (interne en externe) communicatiekanalen;

voorwaarden voor activering en deactivering van het plan;

opdracht tot hervatting van de activiteiten;

herstelplannen voor specifieke activiteiten, met inbegrip van hersteldoelstellingen;

de vereiste middelen, met inbegrip van back-ups en redundanties;

herstel en hervatting van activiteiten na afloop van tijdelijke maatregelen.

4.1.3. De relevante entiteiten voeren een bedrijfsimpactanalyse uit om de mogelijke gevolgen van ernstige verstoringen van hun bedrijfsactiviteiten te beoordelen en stellen, op basis van de resultaten van de bedrijfsimpactanalyse, continuïteitsvereisten voor de netwerk- en informatiesystemen vast.

4.1.4. Het bedrijfscontinuïteitsplan en het noodvoorzieningenplan worden getest, geëvalueerd en, waar passend, bijgewerkt, met geplande tussenpozen of na significante incidenten of significante wijzigingen in de activiteiten of risico’s. De relevante entiteiten zorgen ervoor dat in de plannen rekening wordt gehouden met de lessen die uit dergelijke tests zijn getrokken.

4.2. Back-up- en redundantiebeheer

4.2.1. De relevante entiteiten houden reservekopieën (back-ups) van gegevens bij en stellen voldoende middelen ter beschikking, waaronder faciliteiten, netwerk- en informatiesystemen en personeel, om een passend niveau van redundantie te waarborgen.

4.2.2. Op basis van de resultaten van de overeenkomstig punt 2.1 uitgevoerde risicobeoordeling en het bedrijfscontinuïteitsplan stellen de relevante entiteiten back-upplannen vast die het volgende omvatten:

hersteltijden;

garantie dat back-ups volledig en nauwkeurig zijn, met inbegrip van configuratiegegevens en gegevens die zijn opgeslagen in cloudcomputingdiensten;

opslag van back-ups (online of offline) op een veilige locatie of locaties die zich niet in hetzelfde netwerk bevinden als het systeem, en die op voldoende afstand liggen om geen schade te ondervinden van een calamiteit op de hoofdlocatie;

passende fysieke en logische toegangscontroles tot back-ups, in overeenstemming met het classificatieniveau van de activa;

herstel van gegevens uit back-ups;

bewaartermijnen op basis van zakelijke en wettelijke vereisten.

4.2.3. De relevante entiteiten voeren regelmatig integriteitscontroles uit op de back-ups.

4.2.4. Op basis van de resultaten van de overeenkomstig punt 2.1 uitgevoerde risicobeoordeling en het bedrijfscontinuïteitsplan zorgen de relevante entiteiten ervoor dat voldoende middelen beschikbaar zijn door ten minste gedeeltelijke redundantie van:

netwerk- en informatiesystemen;

activa, met inbegrip van faciliteiten, uitrusting en benodigdheden;

personeel met de nodige verantwoordelijkheid, bevoegdheid en bekwaamheid;

passende communicatiekanalen.

4.2.5. Waar passend zorgen de relevante entiteiten ervoor dat de monitoring en de aanpassing van middelen, met inbegrip van faciliteiten, systemen en personeel, naar behoren worden ondersteund door informatie over de vereisten inzake back-ups en redundantie.

4.2.6. De relevante entiteiten testen regelmatig het terugzetten van back-ups en de redundantie om ervoor te zorgen dat zij in herstelomstandigheden kunnen worden ingezet en dat de kopieën, processen en kennis beschikbaar zijn om een doeltreffend herstel uit te voeren. De relevante entiteiten documenteren de resultaten van de tests en nemen zo nodig corrigerende maatregelen.

4.3. Crisisbeheersing

4.3.1. De relevante entiteiten voeren een proces voor crisisbeheersing in.

4.3.2. De relevante entiteiten zorgen ervoor dat het crisisbeheersingsproces ten minste betrekking heeft op de volgende elementen:

taken en verantwoordelijkheden voor het personeel en, waar passend, leveranciers en dienstverleners, met vermelding van de taakverdeling in crisissituaties, met inbegrip van specifiek te volgen stappen;

passende communicatiemiddelen tussen de relevante entiteiten en de relevante bevoegde autoriteiten;

toepassing van passende maatregelen om de veiligheid van de netwerk- en informatiesystemen in crisissituaties te waarborgen.

Voor de toepassing van punt b) omvat de informatiestroom tussen de relevante entiteiten en de relevante bevoegde autoriteiten zowel verplichte mededelingen, zoals incidentverslagen en bijbehorende tijdschema’s, als niet-verplichte mededelingen.

4.3.3. De relevante entiteiten voeren een proces in voor het beheer en het gebruik van de CSIRT’s of, indien van toepassing, van de bevoegde autoriteiten ontvangen informatie over incidenten, kwetsbaarheden, dreigingen of mogelijke risicobeperkende maatregelen.

4.3.4. De relevante entiteiten testen, evalueren en, waar passend, actualiseren het crisisbeheersingsplan op gezette tijden of naar aanleiding van significante incidenten of significante wijzigingen in operaties of risico’s.

5. Beveiliging van de toeleveringsketen (artikel 21, lid 2, punt d), van Richtlijn (EU) 2022/2555)

5.1. Beleid inzake de beveiliging van de toeleveringsketen

5.1.1. Voor de toepassing van artikel 21, lid 2, punt d), van Richtlijn (EU) 2022/2555 zorgen de relevante entiteiten voor de vaststelling, de uitvoering en de toepassing van een beleid inzake de beveiliging van de toeleveringsketen dat de betrekkingen met hun directe leveranciers en dienstverleners regelt, teneinde de vastgestelde risico’s voor de beveiliging van netwerk- en informatiesystemen te beperken. In het beleid inzake de beveiliging van de toeleveringsketen bepalen de relevante entiteiten hun rol in de toeleveringsketen en delen zij deze mee aan hun directe leveranciers en dienstverleners.

5.1.2. Als onderdeel van het in punt 5.1.1 bedoelde beleid inzake de beveiliging van de toeleveringsketen stellen de relevante entiteiten criteria vast voor het selecteren en contracteren van leveranciers en dienstverleners. Die criteria omvatten:

de cyberbeveiligingspraktijken van de leveranciers en dienstverleners, met inbegrip van hun beveiligde ontwikkelingsprocedures;

het vermogen van de leveranciers en dienstverleners om te voldoen aan de door de relevante entiteiten vastgestelde cyberbeveiligingsspecificaties;

de algemene kwaliteit en veerkracht van ICT-producten en -diensten en de daarin vervatte maatregelen voor het beheer van cyberbeveiligingsrisico’s, met inbegrip van de risico’s en het classificatieniveau van de ICT-producten en -diensten;

het vermogen van de relevante entiteiten om de leveringsbronnen te diversifiëren en de afhankelijkheid van verkopers te beperken, indien van toepassing.

5.1.3. Bij het vaststellen van hun beleid inzake de beveiliging van de toeleveringsketen houden de relevante entiteiten, indien van toepassing, rekening met de resultaten van de gecoördineerde beveiligingsrisicobeoordelingen van kritieke toeleveringsketens die zijn uitgevoerd overeenkomstig artikel 22, lid 1, van Richtlijn (EU) 2022/2555.

5.1.4. Op basis van het beleid inzake de beveiliging van de toeleveringsketen en rekening houdend met de resultaten van de overeenkomstig punt 2.1 van deze bijlage uitgevoerde risicobeoordeling, zorgen de relevante entiteiten ervoor dat hun contracten met de leveranciers en dienstverleners, waar passend door middel van overeenkomsten inzake dienstverleningsniveau, het volgende specificeren:

cyberbeveiligingsvereisten voor de leveranciers of dienstverleners, met inbegrip van de in punt 6.1 vastgestelde vereisten met betrekking tot de beveiliging bij de verwerving van ICT-diensten of ICT-producten;

vereisten inzake risicobewustzijn, vaardigheden en opleiding en, waar passend, certificaten die van de werknemers van de leveranciers of dienstverleners worden verlangd;

vereisten inzake de verificatie van de achtergrond van de werknemers van leveranciers en dienstverleners;

een verplichting voor leveranciers en dienstverleners om de relevante entiteiten onverwijld in kennis te stellen van incidenten die een risico vormen voor de beveiliging van de netwerk- en informatiesystemen van die entiteiten;

het recht op controle of het recht om auditverslagen te ontvangen;

een verplichting voor leveranciers en dienstverleners om kwetsbaarheden aan te pakken die een risico vormen voor de beveiliging van de netwerk- en informatiesystemen van de relevante entiteiten;

vereisten inzake uitbesteding en, indien de relevante entiteiten onderaanneming toestaan, cyberbeveiligingsvereisten voor onderaannemers in overeenstemming met de in punt a) bedoelde cyberbeveiligingsvereisten;

verplichtingen voor de leveranciers en dienstverleners bij beëindiging van het contract, zoals het verzamelen en verwijderen van de informatie die de leveranciers en dienstverleners bij de uitoefening van hun taken hebben verkregen.

5.1.5. De relevante entiteiten houden rekening met de in de punten 5.1.2 en 5.1.3 bedoelde elementen als onderdeel van het selectieproces van nieuwe leveranciers en dienstverleners, alsook als onderdeel van het in punt 6.1 bedoelde aanbestedingsproces.

5.1.6. De relevante entiteiten evalueren het beleid inzake de beveiliging van de toeleveringsketen en monitoren, evalueren en, indien nodig, handelen in geval van veranderingen in de cyberbeveiligingspraktijken van leveranciers en dienstverleners, met geplande tussenpozen en wanneer zich significante wijzigingen voordoen in de activiteiten of risico’s of significante incidenten in verband met de verlening van ICT-diensten of incidenten met gevolgen voor de beveiliging van ICT-producten van leveranciers en dienstverleners.

5.1.7. Voor de toepassing van punt 5.1.6 zullen de relevante entiteiten:

indien van toepassing, regelmatig toezicht houden op de verslagen over de uitvoering van de overeenkomsten inzake dienstverleningsniveau;

incidenten met betrekking tot ICT-producten en -diensten van leveranciers en dienstverleners evalueren;

de noodzaak van ongeplande evaluaties beoordelen en de bevindingen op begrijpelijke wijze documenteren;

de risico’s van veranderingen in verband met ICT-producten en -diensten van leveranciers en dienstverleners analyseren en, waar passend, tijdig risicobeperkende maatregelen nemen.

5.2. Register van leveranciers en dienstverleners

De relevante entiteiten houden een register bij van hun directe leveranciers en dienstverleners, met inbegrip van:

contactpunten per directe leverancier en dienstverlener;

een lijst van ICT-producten, -diensten en -processen die door de directe leverancier of dienstverlener aan de relevante entiteiten worden geleverd.

6. Beveiliging bij het verwerven, ontwikkelen en onderhouden van netwerk- en informatiesystemen (artikel 21, lid 2, punt e), van Richtlijn (EU) 2022/2555)

6.1. Beveiliging bij het verwerven van ICT-diensten of ICT-producten

6.1.1. Voor de toepassing van artikel 21, lid 2, punt e), van Richtlijn (EU) 2022/2555 bepalen en implementeren de relevante entiteiten, op basis van de overeenkomstig punt 2.1 uitgevoerde risicobeoordeling, processen voor het beheer van risico’s die voortvloeien uit het verwerven van ICT-diensten of ICT-producten van leveranciers of dienstverleners voor componenten die van cruciaal belang zijn voor de beveiliging van netwerk- en informatiesystemen van de relevante entiteiten, en dat gedurende hun hele levenscyclus.

6.1.2. Voor de toepassing van punt 6.1.1 omvatten de in punt 6.1.1 bedoelde processen:

beveiligingsvoorschriften die van toepassing zijn op de aan te schaffen ICT-diensten of -producten;

vereisten inzake beveiligingsupdates gedurende de gehele levensduur van de ICT-diensten of ICT-producten, of vervanging na het einde van de ondersteuningsperiode;

informatie over de hardware- en softwarecomponenten die in de ICT-diensten of ICT-producten worden gebruikt;

informatie over de uitgevoerde cyberbeveiligingsfuncties van de ICT-diensten of ICT-producten en de configuratie die nodig is voor de veilige werking ervan;

de garantie dat de ICT-diensten of ICT-producten voldoen aan de beveiligingsvereisten overeenkomstig punt a);

methoden om te valideren dat de geleverde ICT-diensten of ICT-producten aan de vermelde beveiligingseisen voldoen, alsmede documentatie van de resultaten van de validering.

6.1.3. De relevante entiteiten evalueren en, waar passend, actualiseren de processen met geplande tussenpozen en wanneer zich significante incidenten voordoen.

6.2. Beveiligde ontwikkelingscyclus

6.2.1. Alvorens een netwerk- en informatiesysteem, met inbegrip van software, te ontwikkelen, stellen de relevante entiteiten regels vast voor de beveiligde ontwikkeling van netwerk- en informatiesystemen en passen zij die toe bij de ontwikkeling van interne netwerk- en informatiesystemen of bij de uitbesteding van de ontwikkeling van netwerk- en informatiesystemen. De regels hebben betrekking op alle ontwikkelingsfasen, met inbegrip van specificatie, ontwerp, ontwikkeling, implementatie en tests.

6.2.2. Voor de toepassing van punt 6.2.1 zullen de relevante entiteiten:

een analyse uitvoeren van de beveiligingsvoorschriften in de specificatie- en ontwerpfase van elk ontwikkelings- of overnameproject dat door of namens die entiteiten wordt uitgevoerd;

beginselen voor de engineering van veilige systemen en beginselen voor veilige codering toepassen op alle activiteiten voor de ontwikkeling van informatiesystemen, zoals het bevorderen van cyberbeveiliging-by-design of zero trust-architectuur;

beveiligingsvoorschriften vaststellen met betrekking tot ontwikkelingsomgevingen;

beveiligingstestprocessen vaststellen en toepassen in de ontwikkelingscyclus;

gegevens over beveiligingstests op passende wijze selecteren, beschermen en beheren;

testgegevens saneren en anonimiseren overeenkomstig de volgens punt 2.1 uitgevoerde risicobeoordeling.

6.2.3. Voor de uitbestede ontwikkeling van netwerk- en informatiesystemen passen de relevante entiteiten tevens de in de punten 5 en 6.1 bedoelde beleidslijnen en procedures toe.

6.2.4. Met geplande tussenpozen evalueren en, indien nodig, actualiseren de relevante entiteiten hun voorschriften voor een beveiligde ontwikkeling.

6.3. Configuratiebeheer

6.3.1. De relevante entiteiten nemen passende maatregelen om configuraties vast te stellen, te documenteren, uit te voeren en te monitoren, met inbegrip van beveiligingsconfiguraties van hardware, software, diensten en netwerken.

6.3.2. Voor de toepassing van punt 6.3.1 zullen de relevante entiteiten:

de beveiliging in configuraties voor hun hardware, software, diensten en netwerken vaststellen en waarborgen;

procedures en instrumenten vaststellen en toepassen om de vastgestelde veilige configuraties te handhaven voor hardware, software, diensten en netwerken, voor nieuw geïnstalleerde systemen en voor systemen in bedrijf, gedurende hun levensduur.

6.3.3. De relevante entiteiten evalueren en, waar passend, actualiseren configuraties met geplande tussenpozen of wanneer zich significante incidenten of significante wijzigingen in de activiteiten of risico’s voordoen.

6.4. Veranderingsbeheer, reparatie en onderhoud

6.4.1. De relevante entiteiten passen procedures voor veranderingsbeheer toe om wijzigingen van netwerk- en informatiesystemen te controleren. Indien van toepassing moeten de procedures in overeenstemming zijn met het algemene beleid van de relevante entiteiten inzake veranderingsbeheer.

6.4.2. De in punt 6.4.1 bedoelde procedures worden toegepast voor releases, wijzigingen en noodwijzigingen van in bedrijf zijnde software en hardware, en wijzigingen in de configuratie. De procedures zorgen ervoor dat die wijzigingen worden gedocumenteerd en, op basis van de overeenkomstig punt 2.1 uitgevoerde risicobeoordeling, worden getest en beoordeeld in het licht van de mogelijke gevolgen voordat zij worden uitgevoerd.

6.4.3. Indien de reguliere procedures voor veranderingsbeheer niet konden worden gevolgd als gevolg van een noodsituatie, documenteren de relevante entiteiten het resultaat van de wijziging en de uitleg waarom de procedures niet konden worden gevolgd.

6.4.4. De relevante entiteiten evalueren en, waar passend, actualiseren de procedures met geplande tussenpozen en wanneer significante incidenten of significante wijzigingen in activiteiten of risico’s plaatsvinden.

6.5. Beveiligingstests

6.5.1. De relevante entiteiten dragen zorg voor het vaststellen, uitvoeren en toepassen van een beleid en procedures voor beveiligingstests.

6.5.2. De relevante entiteiten:

stellen, op basis van de overeenkomstig punt 2.1 uitgevoerde risicobeoordeling, de noodzaak, de reikwijdte, de frequentie en het type van de beveiligingstests vast;

voeren beveiligingstests uit volgens een gedocumenteerde testmethode, die betrekking heeft op de componenten die in een risicoanalyse als relevant voor een veilige werking zijn aangemerkt;

documenteren het type, de reikwijdte, het tijdstip en de resultaten van de tests, met inbegrip van de beoordeling van het kritieke karakter en de risicobeperkende maatregelen voor elke bevinding;

passen risicobeperkende maatregelen toe in geval van kritieke bevindingen.

6.5.3. De relevante entiteiten evalueren en, waar passend, actualiseren hun beveiligingstestbeleid met geplande tussenpozen.

6.6. Beveiligingspatchbeheer

6.6.1. De relevante entiteiten specificeren en passen procedures toe die in overeenstemming zijn met de in punt 6.4.1 bedoelde procedures voor veranderingsbeheer en met de procedures voor kwetsbaarheidsbeheer, risicobeheer en andere relevante beheerprocedures, om ervoor te zorgen dat:

beveiligingspatches worden toegepast binnen een redelijke termijn nadat zij beschikbaar zijn;

beveiligingspatches worden getest voordat zij in productiesystemen worden toegepast;

beveiligingspatches afkomstig zijn van betrouwbare bronnen en op integriteit worden gecontroleerd;

er aanvullende maatregelen worden genomen en restrisico’s worden aanvaard in gevallen waarin een patch niet beschikbaar is of niet wordt toegepast overeenkomstig punt 6.6.2.

6.6.2. In afwijking van punt 6.6.1, punt a), kunnen de relevante entiteiten ervoor kiezen geen beveiligingspatches toe te passen wanneer de nadelen van de toepassing van de beveiligingspatches zwaarder wegen dan de voordelen op het gebied van cyberbeveiliging. De relevante entiteiten documenteren en motiveren naar behoren de redenen voor een dergelijk besluit.

6.7. Netwerkbeveiliging

6.7.1. De relevante entiteiten nemen passende maatregelen om hun netwerk- en informatiesystemen tegen cyberdreigingen te beschermen.

6.7.2. Voor de toepassing van punt 6.7.1 zullen de relevante entiteiten:

de architectuur van het netwerk op begrijpelijke en actuele wijze documenteren;

controles vaststellen en toepassen om de interne netwerkdomeinen van de relevante entiteiten te beschermen tegen ongeoorloofde toegang;

controles configureren om toegang en netwerkcommunicatie te voorkomen die niet vereist zijn voor de werking van de relevante entiteiten;

controles bepalen en toepassen voor toegang op afstand tot netwerk- en informatiesystemen, met inbegrip van dienstenaanbieders;

geen systemen voor het beheer van de uitvoering van het beveiligingsbeleid, voor andere doeleinden gebruiken;

niet-noodzakelijke aansluitingen en diensten uitdrukkelijk verbieden of deactiveren;

waar passend uitsluitend toegang verlenen tot de netwerk- en informatiesystemen van de relevante entiteiten door middel van door die entiteiten gemachtigde apparatuur;

aansluitingen van dienstverleners alleen toestaan na een autorisatieverzoek en voor een bepaalde periode, zoals de duur van een onderhoudsactiviteit;

zorgen voor communicatie tussen verschillende systemen uitsluitend via betrouwbare kanalen die geïsoleerd zijn door middel van logische, cryptografische of fysieke scheiding van andere communicatiekanalen, en zorgen voor een gegarandeerde bepaling van hun eindpunten en bescherming van de kanaalgegevens tegen wijziging of openbaarmaking;

een uitvoeringsplan vaststellen voor de volledige overgang naar communicatieprotocollen van de recentste generatie netwerklaag op een veilige, passende en geleidelijke manier en maatregelen vaststellen om die overgang te versnellen;

een uitvoeringsplan vaststellen voor de invoering van internationaal overeengekomen en interoperabele moderne normen voor e-mailcommunicatie om e-mailcommunicatie te beveiligen om kwetsbaarheden in verband met e-mailgerelateerde dreigingen te beperken, en maatregelen vast te stellen om die uitrol te versnellen;

beste praktijken toepassen voor de beveiliging van de DNS en voor de routingbeveiliging en routinghygiëne op het internet van het verkeer dat afkomstig is van en bestemd is voor het netwerk.

6.7.3. De relevante entiteiten evalueren en, waar passend, actualiseren deze maatregelen met geplande tussenpozen en wanneer zich significante incidenten of significante wijzigingen in de activiteiten of risico’s voordoen.

6.8. Netwerksegmentatie

6.8.1. De relevante entiteiten segmenteren systemen in netwerken of zones overeenkomstig de resultaten van de in punt 2.1 bedoelde risicobeoordeling. Zij segmenteren hun systemen en netwerken van systemen en netwerken van derden.

6.8.2. Daartoe zullen de relevante entiteiten:

rekening houden met de functionele, logische en fysieke relatie, met inbegrip van de locatie, tussen betrouwbare systemen en diensten;

toegang verlenen tot een netwerk of zone op basis van een beoordeling van de beveiligingsvoorschriften;

systemen behouden die van cruciaal belang zijn voor de werking van de relevante entiteiten of voor de veiligheid in beveiligde zones;

een gedemilitariseerde zone in hun communicatienetwerken uitrollen om te waarborgen dat communicatie die afkomstig is van of bestemd is voor hun netwerken, beveiligd is;

de toegang tot en de communicatie tussen en binnen zones beperken tot die welke nodig zijn voor de werking van de relevante entiteiten of voor de veiligheid;

het specifieke netwerk voor het beheer van netwerk- en informatiesystemen scheiden van het operationele netwerk van de relevante entiteiten;

de kanalen voor netwerkbeheer scheiden van ander netwerkverkeer;

de productiesystemen voor de diensten van de relevante entiteiten scheiden van de systemen die worden gebruikt voor de ontwikkeling en tests, met inbegrip van back-ups.

6.8.3. De relevante entiteiten evalueren en, waar passend, actualiseren de netwerksegmentatie met geplande tussenpozen en wanneer significante incidenten of significante wijzigingen in activiteiten of risico’s plaatsvinden.

6.9. Bescherming tegen kwaadaardige en ongeoorloofde software

6.9.1. De relevante entiteiten beschermen hun netwerk- en informatiesystemen tegen kwaadaardige en ongeoorloofde software.

6.9.2. Daartoe implementeren de relevante entiteiten met name maatregelen om het gebruik van kwaadaardige en ongeoorloofde software op te sporen of te voorkomen. De relevante entiteiten zorgen er waar passend voor dat hun netwerk- en informatiesystemen zijn uitgerust met software voor detectie en respons, die regelmatig wordt bijgewerkt overeenkomstig de overeenkomstig punt 2.1 uitgevoerde risicobeoordeling en de contractuele overeenkomsten met de aanbieders.

6.10. Aanpak en openbaarmaking van kwetsbaarheden

6.10.1. De relevante entiteiten verkrijgen informatie over technische kwetsbaarheden in hun netwerk- en informatiesystemen, evalueren hun blootstelling aan dergelijke kwetsbaarheden en nemen passende maatregelen om de kwetsbaarheden te beheren.

6.10.2. Voor de toepassing van punt 6.10.1 zullen de relevante entiteiten:

de informatie over kwetsbaarheden monitoren via passende kanalen, zoals aankondigingen van CSIRT’s, bevoegde autoriteiten, of door leveranciers of dienstverleners verstrekte informatie;

waar passend kwetsbaarheidsscans uitvoeren en met geplande tussenpozen het bewijs van de resultaten van de scans vastleggen;

onverwijld kwetsbaarheden aanpakken die door de relevante entiteiten als kritiek voor hun activiteiten zijn aangemerkt;

ervoor zorgen dat hun aanpak van kwetsbaarheden verenigbaar is met hun procedures voor veranderingsbeheer, beveiligingspatchbeheer, risicobeheer en incidentenbeheer;

een procedure vaststellen voor de openbaarmaking van kwetsbaarheden overeenkomstig het toepasselijke nationale gecoördineerde beleid inzake openbaarmaking van kwetsbaarheden.

6.10.3. Indien de potentiële gevolgen van de kwetsbaarheid dit rechtvaardigen, stellen de relevante entiteiten een plan op en voeren zij dit uit om de kwetsbaarheid te beperken. In andere gevallen documenteren en motiveren de relevante entiteiten de reden waarom de kwetsbaarheid geen herstel vereist.

6.10.4. De relevante entiteiten evalueren en, waar passend, actualiseren met geplande tussenpozen de kanalen die zij gebruiken voor het monitoren van de informatie over kwetsbaarheden.

7. Beleid en procedures om de doeltreffendheid van maatregelen voor het beheer van cyberbeveiligingsrisico’s te beoordelen (artikel 21, lid 2, punt f), van Richtlijn (EU) 2022/2555)

7.1. Voor de toepassing van artikel 21, lid 2, punt f), van Richtlijn (EU) 2022/2555 zorgen de relevante entiteiten voor de vaststelling, uitvoering en toepassing van een beleid en procedures om te beoordelen of de maatregelen voor risicobeheer op het gebied van cyberbeveiliging die door de relevante entiteit zijn genomen, doeltreffend worden uitgevoerd en gehandhaafd.

7.2. In het beleid en de procedures als bedoeld in punt 7.1 wordt rekening gehouden met de resultaten van de risicobeoordeling overeenkomstig punt 2.1 en met significante incidenten uit het verleden. De relevante entiteiten bepalen:

welke maatregelen voor het beheer van cyberbeveiligingsrisico’s moeten worden gemonitord en gemeten, met inbegrip van processen en controles;

de methoden voor het monitoren, meten, analyseren en evalueren, al naargelang het geval, om te zorgen voor valide resultaten;

wanneer de monitoring en de meting moeten worden uitgevoerd;

wie verantwoordelijk is voor het monitoren en meten van de doeltreffendheid van de maatregelen voor het beheer van cyberbeveiligingsrisico’s;

wanneer de resultaten van de monitoring en meting moeten worden geanalyseerd en geëvalueerd;

wie deze resultaten moet analyseren en evalueren.

7.3. De relevante entiteiten evalueren en, waar passend, actualiseren het beleid en de procedures met geplande tussenpozen en bij significante incidenten of significante wijzigingen in activiteiten of risico’s.

8. Basispraktijken op het gebied van cyberhygiëne en opleiding op het gebied van cyberbeveiliging (artikel 21, lid 2, punt g), van Richtlijn (EU) 2022/2555)

8.1. Bewustmaking en basispraktijken op het gebied van cyberhygiëne

8.1.1. Voor de toepassing van artikel 21, lid 2, punt g), van Richtlijn (EU) 2022/2555 zorgen de relevante entiteiten ervoor dat hun werknemers, met inbegrip van leden van bestuursorganen, alsook directe leveranciers en dienstverleners zich bewust zijn van risico’s, op de hoogte zijn van het belang van cyberbeveiliging en praktijken op het gebied van cyberhygiëne toepassen.

8.1.2. Voor de toepassing van punt 8.1.1 bieden de relevante entiteiten aan hun werknemers, met inbegrip van leden van bestuursorganen, alsook aan directe leveranciers en dienstverleners, waar passend overeenkomstig punt 5.1.4, een bewustmakingsprogramma aan dat:

op regelmatige tijdstippen wordt gepland, zodat de activiteiten worden herhaald en nieuwe werknemers er ook bij worden betrokken;

wordt vastgesteld in overeenstemming met het beleid inzake netwerk- en informatiebeveiliging, themaspecifieke beleidsmaatregelen en relevante procedures inzake netwerk- en informatiebeveiliging;

informatie bevat over relevante cyberdreigingen, de bestaande maatregelen voor het beheer van cyberbeveiligingsrisico’s, contactpunten en middelen voor aanvullende informatie en advies over cyberbeveiligingsaangelegenheden, alsook praktijken op het gebied van cyberhygiëne voor gebruikers.

8.1.3. Het bewustmakingsprogramma wordt, waar passend, getest op doeltreffendheid. Het bewustmakingsprogramma wordt geactualiseerd en op geplande tijdstippen aangeboden, rekening houdend met veranderingen in praktijken op het gebied van cyberhygiëne en het huidige dreigingslandschap en risico’s voor de relevante entiteiten.

8.2. Beveiligingsopleiding

8.2.1. De relevante entiteiten duiden werknemers aan wier taken vaardigheden en deskundigheid op het gebied van beveiliging vereisen, en zorgen ervoor dat zij regelmatig opleiding krijgen over de beveiliging van netwerk- en informatiesystemen.

8.2.2. De relevante entiteiten dragen zorg voor het opstellen, uitvoeren en toepassen van een opleidingsprogramma in overeenstemming met het beleid inzake netwerk- en informatiebeveiliging, themaspecifieke beleidsmaatregelen en andere relevante procedures inzake netwerk- en informatiebeveiliging, waarin de opleidingsbehoeften voor bepaalde rollen en functies op basis van criteria zijn vastgelegd.

8.2.3. De in punt 8.2.1 bedoelde opleiding moet relevant zijn voor de functie van de werknemer en de doeltreffendheid ervan moet worden beoordeeld. De opleiding moet rekening houden met de bestaande beveiligingsmaatregelen en betrekking hebben op het volgende:

instructies met betrekking tot de veilige configuratie en werking van de netwerk- en informatiesystemen, met inbegrip van mobiele apparaten;

een briefing over bekende cyberdreigingen;

opleiding over het gedrag wanneer zich gebeurtenissen voordoen die relevant zijn voor de beveiliging.

8.2.4. De relevante entiteiten bieden opleiding aan aan personeelsleden die overstappen naar nieuwe functies of rollen die vaardigheden en deskundigheid op beveiligingsgebied vereisen.

8.2.5. Het programma wordt bijgewerkt en op gezette tijden uitgevoerd, rekening houdend met het toepasselijke beleid en de toepasselijke regels, de toegewezen taken, de verantwoordelijkheden, evenals met bekende cyberdreigingen en technologische ontwikkelingen.

9. Cryptografie (artikel 21, lid 2, punt h), van Richtlijn (EU) 2022/2555)

9.1. Voor de toepassing van artikel 21, lid 2, punt h), van Richtlijn (EU) 2022/2555 dragen de relevante entiteiten zorg voor het vaststellen, uitvoeren en toepassen van een beleid en procedures met betrekking tot cryptografie, teneinde een adequaat en doeltreffend gebruik van cryptografie te waarborgen ter bescherming van de vertrouwelijkheid, de authenticiteit en de integriteit van gegevens in overeenstemming met het classificatieniveau van de activa van de relevante entiteiten en de resultaten van de overeenkomstig punt 2.1 uitgevoerde risicobeoordeling.

9.2. In het beleid en de procedures als bedoeld in punt 9.1 wordt het volgende vastgesteld:

in overeenstemming met de classificatie van activa van de relevante entiteiten, het type, de sterkte en de kwaliteit van de cryptografische maatregelen die nodig zijn om de activa van de relevante entiteiten te beschermen, met inbegrip van inactieve gegevens en gegevens in transit;

op basis van punt a), de vast te stellen protocollen of families van protocollen, alsmede cryptografische algoritmen, versleutelingssterkte, cryptografische oplossingen en gebruikspraktijken die moeten worden goedgekeurd en die vereist zijn voor gebruik in de relevante entiteiten, waar passend volgens een crypto-agility-benadering;

de benadering van de relevante entiteiten op het gebied van sleutelbeheer, met inbegrip van, waar passend, methoden voor:

het genereren van verschillende sleutels voor cryptografische systemen en toepassingen;

ii)

de afgifte en verkrijging van PKI-certificaten;

iii)

het uitdelen van sleutels aan beoogde entiteiten, met inbegrip van de wijze waarop sleutels bij ontvangst kunnen worden geactiveerd;

iv)

het opslaan van sleutels, met inbegrip van de wijze waarop geautoriseerde gebruikers toegang krijgen tot sleutels;

het wijzigen of bijwerken van sleutels, met inbegrip van regels over wanneer en hoe sleutels moeten worden gewijzigd;

vi)

het omgaan met gecompromitteerde sleutels;

vii)

het intrekken van sleutels, met inbegrip van het intrekken of deactiveren van sleutels;

▼C1

viii)

het herstellen van verloren of beschadigde sleutels;

▼B

ix)

het maken van een back-up of het archiveren van sleutels;

het vernietigen van sleutels;

xi)

het bijhouden in logbestanden en controleren van sleutelbeheer-activiteiten;

xii)

het instellen van activerings- en deactiveringsdata voor sleutels om ervoor te zorgen dat de sleutels alleen gedurende de gespecificeerde periode kunnen worden gebruikt volgens de regels van de organisatie inzake sleutelbeheer.

9.3. De relevante entiteiten evalueren en, waar passend, actualiseren hun beleid en procedures met geplande tussenpozen, rekening houdend met de stand van de techniek op het gebied van cryptografie.

10. Beveiligingsaspecten ten aanzien van personeel (artikel 21, lid 2, punt i), van Richtlijn (EU) 2022/2555)

10.1. Beveiligingsaspecten ten aanzien van personeel

10.1.1. Voor de toepassing van artikel 21, lid 2, punt i), van Richtlijn (EU) 2022/2555 zorgen de relevante entiteiten ervoor dat hun werknemers en directe leveranciers en dienstverleners, waar van toepassing, hun verantwoordelijkheden op het gebied van beveiliging begrijpen en aanvaarden, voor zover passend voor de aangeboden diensten en de functie en in overeenstemming met het beleid van de relevante entiteiten inzake de beveiliging van netwerk- en informatiesystemen.

10.1.2. Het in punt 10.1.1 bedoelde voorschrift omvat het volgende:

mechanismen om ervoor te zorgen dat alle werknemers, directe leveranciers en dienstverleners, indien van toepassing, de standaardpraktijken op het gebied van cyberhygiëne die de relevante entiteiten overeenkomstig punt 8.1 toepassen, begrijpen en volgen;

mechanismen om ervoor te zorgen dat alle gebruikers met administratieve of bevoorrechte toegang op de hoogte zijn van en handelen in overeenstemming met hun taken, verantwoordelijkheden en bevoegdheden;

mechanismen om ervoor te zorgen dat de leden van bestuursorganen hun rol, verantwoordelijkheden en bevoegdheden met betrekking tot de beveiliging van netwerk- en informatiesystemen begrijpen en naleven;

mechanismen voor het aanwerven van voor de respectieve taken gekwalificeerd personeel, zoals referentiecontroles, screeningprocedures, validering van certificaten of schriftelijke tests.

10.1.3. De relevante entiteiten evalueren op geplande tijdstippen en ten minste eenmaal per jaar de toewijzing van personeel aan specifieke rollen als bedoeld in punt 1.2, evenals hun verbintenis inzake personeel in dat opzicht. Zij werken de toewijzing indien nodig bij.

10.2. Verificatie van de achtergrond

10.2.1. De relevante entiteiten zorgen er binnen de mate van het mogelijke voor dat verificatie van de achtergrond van hun werknemers wordt uitgevoerd en, indien van toepassing, van directe leveranciers en dienstverleners overeenkomstig punt 5.1.4, indien dit noodzakelijk is voor hun rol, verantwoordelijkheden en bevoegdheden.

10.2.2. Voor de toepassing van punt 10.2.1 zullen de relevante entiteiten:

criteria vaststellen die bepalen welke taken, verantwoordelijkheden en bevoegdheden alleen mogen worden uitgeoefend door personen wier achtergrond is geverifieerd;

ervoor zorgen dat de in punt 10.2.1. bedoelde verificatie op deze personen wordt toegepast voordat zij deze taken, verantwoordelijkheden en bevoegdheden gaan uitoefenen, waarbij rekening wordt gehouden met de toepasselijke regeltechnische en ethische eisen in verhouding tot de bedrijfsvereisten, de classificatie van de activa als bedoeld in punt 12.1 en de netwerk- en informatiesystemen waartoe toegang moet worden verkregen, en de waargenomen risico’s.

10.2.3. De relevante entiteiten evalueren en, waar passend, actualiseren het beleid met geplande tussenpozen en werken het indien nodig bij.

10.3. Beëindiging of wijziging van arbeidsprocedures

10.3.1. De relevante entiteiten zorgen ervoor dat de verantwoordelijkheden en taken op het gebied van netwerk- en informatiebeveiliging die van kracht blijven na beëindiging of wijziging van het dienstverband van hun werknemers, contractueel worden vastgelegd en gehandhaafd.

10.3.2. Voor de toepassing van punt 10.3.1 nemen de relevante entiteiten in de arbeidsvoorwaarden of overeenkomsten van de betrokkene de verantwoordelijkheden en taken op die na de beëindiging van de arbeidsovereenkomst blijven gelden, zoals vertrouwelijkheidsclausules.

10.4. Tuchtprocedure

10.4.1. De relevante entiteiten zorgen voor het opzetten, communiceren en onderhouden van een tuchtprocedure voor de behandeling van inbreuken op het beleid inzake netwerk- en informatiebeveiliging. Bij deze procedure wordt rekening gehouden met relevante wettelijke, statutaire, contractuele en zakelijke eisen.

10.4.2. De relevante entiteiten evalueren en, waar passend, actualiseren de tuchtprocedure met geplande tussenpozen en indien nodig vanwege juridische wijzigingen of ingrijpende wijzigingen in activiteiten of risico’s.

11. Toegangscontrole (artikel 21, lid 2, punten i) en j), van Richtlijn (EU) 2022/2555)

11.1. Beleid inzake toegangscontrole

11.1.1. Voor de toepassing van artikel 21, lid 2, punt i), van Richtlijn (EU) 2022/2555 bepalen, documenteren en implementeren de relevante entiteiten een logisch en fysiek toegangscontrolebeleid voor de toegang tot hun netwerk- en informatiesystemen, op basis van bedrijfsvereisten en vereisten inzake de beveiliging van netwerk- en informatiesystemen.

11.1.2. Het in punt 11.1.1 bedoelde beleid:

omvat de toegang van personen, met inbegrip van personeel, bezoekers en externe entiteiten zoals leveranciers en dienstverleners;

omvat de toegang van netwerk- en informatiesystemen;

waarborgt dat alleen toegang wordt verleend aan gebruikers die naar behoren geauthenticeerd zijn.

11.1.3. De relevante entiteiten evalueren en, waar passend, actualiseren het beleid met geplande tussenpozen en wanneer zich significante incidenten of significante wijzigingen in de bedrijfsactiviteiten of risico’s voordoen.

11.2. Beheer van toegangsrechten

11.2.1. De relevante entiteiten verstrekken, wijzigen, verwijderen en documenteren toegangsrechten tot netwerk- en informatiesystemen overeenkomstig het in punt 11.1 bedoelde beleid inzake toegangscontrole.

11.2.2. De relevante entiteiten:

wijzen toegangsrechten toe en trekken deze in op basis van de beginselen “need-to-know”, “least privilege” en scheiding van functies;

zorgen ervoor dat de toegangsrechten bij beëindiging of verandering van baan dienovereenkomstig worden gewijzigd;

zorgen ervoor dat de toegang tot netwerk- en informatiesystemen door de relevante personen wordt toegestaan;

zorgen ervoor dat toegangsrechten op passende wijze betrekking hebben op toegang van derden, zoals bezoekers, leveranciers en dienstverleners, met name door de toegangsrechten te beperken in reikwijdte en duur;

houden een register bij van de verleende toegangsrechten;

loggen het beheer van toegangsrechten.

11.2.3. De relevante entiteiten evalueren de toegangsrechten met geplande tussenpozen en wijzigen deze op basis van organisatorische wijzigingen. De relevante entiteiten documenteren de resultaten van de evaluatie, met inbegrip van de noodzakelijke wijzigingen van de toegangsrechten.

11.3. Bevoorrechte accounts en systeembeheeraccounts

11.3.1. De relevante entiteiten voeren een beleid voor het beheer van bevoorrechte accounts en systeembeheeraccounts als onderdeel van het in punt 11.1 bedoelde beleid inzake toegangscontrole.

11.3.2. Het in punt 11.3.1 bedoelde beleid:

omvat sterke identificatie-, authenticatie-, zoals multifactorauthenticatie, en autorisatieprocedures voor bevoorrechte accounts en systeembeheeraccounts;

zet specifieke accounts op die uitsluitend voor systeembeheer worden gebruikt, zoals installatie, configuratie, beheer of onderhoud;

individualiseert en beperkt de voorrechten op het gebied van systeembeheer zoveel mogelijk;

zorgt ervoor dat systeembeheeraccounts alleen worden gebruikt om te verbinden met de systemen voor systeembeheer.

11.3.3. De relevante entiteiten toetsen de toegangsrechten van bevoorrechte accounts en systeembeheeraccounts met geplande tussenpozen, passen deze aan op basis van organisatorische wijzigingen en documenteren de resultaten van de evaluatie, met inbegrip van de noodzakelijke wijzigingen van toegangsrechten.

11.4. Beheersystemen

11.4.1. De relevante entiteiten beperken en controleren het gebruik van systemen voor systeembeheer overeenkomstig het in punt 11.1 bedoelde beleid inzake toegangscontrole.

11.4.2. Daartoe zullen de relevante entiteiten:

systemen voor systeembeheer uitsluitend gebruiken voor systeembeheerdoeleinden en niet voor andere activiteiten;

dergelijke systemen logisch scheiden van applicatiesoftware die niet voor systeembeheerdoeleinden wordt gebruikt;

de toegang tot systemen voor systeembeheer beschermen door middel van authenticatie en encryptie.

11.5. Identificatie

11.5.1. De relevante entiteiten beheren de volledige levenscyclus van de identiteit van netwerk- en informatiesystemen en hun gebruikers.

11.5.2. Daartoe zullen de relevante entiteiten:

unieke identiteiten creëren voor netwerk- en informatiesystemen en hun gebruikers;

de identiteit van gebruikers aan één persoon koppelen;

toezicht houden op de identiteiten van de netwerk- en informatiesystemen;

het beheer van identiteiten loggen.

11.5.3. De relevante entiteiten staan aan meer personen toegewezen identiteiten, zoals gedeelde identiteiten, alleen toe als die om zakelijke of operationele redenen noodzakelijk zijn en aan een expliciete goedkeuringsprocedure en documentatie onderworpen zijn. De relevante entiteiten houden in het in punt 2.1 bedoelde kader voor het beheer van cyberbeveiligingsrisico’s rekening met de aan meer personen toegewezen identiteiten.

11.5.4. De relevante entiteiten evalueren regelmatig de identiteiten van netwerk- en informatiesystemen en de gebruikers ervan en deactiveren deze onverwijld zodra zij niet langer nodig zijn.

11.6. Authenticatie

11.6.1. De relevante entiteiten passen beveiligde authenticatieprocedures en -technologieën toe op basis van toegangsbeperkingen en het beleid inzake toegangscontrole.

11.6.2. Daartoe zullen de relevante entiteiten:

ervoor zorgen dat de sterkte van de authenticatie passend is voor de classificatie van het actief waartoe toegang moet worden gekregen;

de toewijzing aan gebruikers en het beheer van geheime authenticatie-informatie controleren door middel van een proces dat de vertrouwelijkheid van de informatie waarborgt, met inbegrip van het adviseren van het personeel over de juiste behandeling van authenticatie-informatie;

in het begin, met vooraf vastgestelde tussenpozen en bij het vermoeden dat de inloggegevens zijn gecompromitteerd, verzoeken om wijziging van de authenticatiegegevens;

eisen dat authenticatiegegevens opnieuw worden ingesteld en gebruikers worden geblokkeerd na een vooraf vastgesteld aantal mislukte inlogpogingen;

inactieve sessies beëindigen na een vooraf bepaalde periode van inactiviteit, en

afzonderlijke gegevens verlangen om toegang te krijgen tot bevoorrechte accounts of beheeraccounts.

11.6.3. De relevante entiteiten gebruiken zoveel mogelijk geavanceerde authenticatiemethoden, in overeenstemming met het oordeel over het bijbehorende risico en de classificatie van het actief waartoe toegang moet worden verkregen, en unieke authenticatie-informatie.

11.6.4. De relevante entiteiten evalueren de authenticatieprocedures en -technologieën met geplande tussenpozen.

11.7. Multifactorauthenticatie

11.7.1. De relevante entiteiten zorgen ervoor dat gebruikers worden geauthenticeerd door middel van multifactorauthenticatie of continue authenticatiemechanismen om toegang te krijgen tot de netwerk- en informatiesystemen van de relevante entiteit, waar passend, in overeenstemming met de classificatie van het actief waartoe toegang moet worden verkregen.

11.7.2. De relevante entiteiten zorgen ervoor dat de sterkte van de authenticatie passend is voor de classificatie van het actief waartoe toegang moet worden verkregen.

12. Beheer van activa (artikel 21, lid 2, punt i), van Richtlijn (EU) 2022/2555)

12.1. Classificatie van activa

12.1.1. Voor de toepassing van artikel 21, lid 2, punt i), van Richtlijn (EU) 2022/2555 stellen de relevante entiteiten classificatieniveaus van alle activa, met inbegrip van informatie, binnen het toepassingsgebied van hun netwerk- en informatiesystemen vast voor het vereiste beschermingsniveau.

12.1.2. Voor de toepassing van punt 12.1.1 zullen de relevante entiteiten:

een systeem van classificatieniveaus voor activa vaststellen;

alle activa verbinden met een classificatieniveau op basis van vereisten inzake vertrouwelijkheid, integriteit, authenticiteit en beschikbaarheid, om de vereiste bescherming aan te geven op basis van hun gevoeligheid, kritieke karakter, risico en bedrijfswaarde;

de beschikbaarheidsvereisten voor de activa afstemmen op de leverings- en hersteldoelstellingen die in hun bedrijfscontinuïteits- en noodvoorzieningenplannen zijn vastgesteld.

12.1.3. De relevante entiteiten verrichten periodieke toetsingen van de classificatieniveaus van activa en werken deze waar passend bij.

12.2. Behandeling van activa

12.2.1. De relevante entiteiten zorgen voor de vaststelling, uitvoering en toepassing van een beleid voor de correcte behandeling van activa, met inbegrip van informatie, in overeenstemming met hun beleid inzake netwerk- en informatiebeveiliging, en delen het beleid inzake de passende behandeling van activa mee aan eenieder die activa gebruikt of behandelt.

12.2.2. Het beleid:

bestrijkt de volledige levenscyclus van de activa, met inbegrip van de verwerving, het gebruik, de opslag, het vervoer en de vervreemding;

biedt regels over veilig gebruik, veilige opslag, veilig vervoer en de onherstelbare verwijdering en vernietiging van de activa;

bepaalt dat de overdracht op een veilige manier plaatsvindt, in overeenstemming met het type actief dat wordt overgedragen.

12.2.3. De relevante entiteiten evalueren en, waar passend, actualiseren het beleid met geplande tussenpozen en wanneer zich significante incidenten of significante wijzigingen in de activiteiten of risico’s voordoen.

12.3. Beleid inzake verwijderbare media

12.3.1. De relevante entiteiten zorgen voor de vaststelling, de uitvoering en de toepassing van een beleid inzake het beheer van verwijderbare opslagmedia en delen dit beleid mee aan hun werknemers en derden die verwijderbare opslagmedia behandelen in de gebouwen van de relevante entiteiten of op andere locaties waar de verwijderbare media verbonden zijn met de netwerk- en informatiesystemen van de relevante entiteiten.

12.3.2. Het beleid:

behelst een technisch verbod op de aansluiting van verwijderbare media, tenzij er een organisatorische reden is voor het gebruik ervan;

regelt de uitschakeling van self-executables vanuit dergelijke media en het scannen van die media op kwaadaardige codes voordat zij in de systemen van de relevante entiteiten worden gebruikt;

biedt maatregelen voor de controle en de bescherming van draagbare opslagapparaten die gegevens in transit en in opslag bevatten;

biedt, waar passend, maatregelen voor het gebruik van cryptografische technieken om gegevens op verwijderbare opslagmedia te beschermen.

12.3.3. De relevante entiteiten evalueren en, waar passend, actualiseren het beleid met geplande tussenpozen en wanneer zich significante incidenten of significante wijzigingen in de activiteiten of risico’s voordoen.

12.4. Inventaris van activa

12.4.1. De relevante entiteiten stellen een volledige, nauwkeurige, actuele en consistente inventaris van hun activa op en houden deze bij. Zij registreren wijzigingen in de inventarisgegevens op traceerbare wijze.

12.4.2. De granulariteit van de inventaris van activa moet afgestemd zijn op de behoeften van de relevante entiteiten. De inventaris omvat het volgende:

de lijst van verrichtingen en diensten en de beschrijving daarvan;

de lijst van netwerk- en informatiesystemen en andere bijbehorende activa ter ondersteuning van de activiteiten en diensten van de relevante entiteiten.

12.4.3. De relevante entiteiten evalueren en actualiseren de inventaris en hun activa regelmatig en documenteren de geschiedenis van de wijzigingen.

12.5. Afgeven, teruggeven of verwijderen van activa bij beëindiging van het dienstverband

De relevante entiteiten dragen zorg voor het vaststellen, het uitvoeren en het toepassen van procedures die waarborgen dat hun activa die onder het gezag van het personeel staan, bij beëindiging van het dienstverband worden afgegeven, teruggegeven of verwijderd, en documenteren het afgeven, teruggeven en verwijderen van die activa. Wanneer het afgeven, teruggeven of verwijderen van activa niet mogelijk is, zorgen de relevante entiteiten ervoor dat de activa geen toegang meer hebben tot de netwerk- en informatiesystemen van de relevante entiteiten in overeenstemming met punt 12.2.2.

13. Milieu- en fysieke beveiliging (artikel 21, lid 2, punten c), e) en i), van Richtlijn (EU) 2022/2555)

13.1. Ondersteunende nutsbedrijven

13.1.1. Voor de toepassing van artikel 21, lid 2, punt c), van Richtlijn (EU) 2022/2555 voorkomen de relevante entiteiten verlies, beschadiging of compromittering van netwerk- en informatiesystemen of onderbreking van hun activiteiten als gevolg van het falen of de verstoring van ondersteunende nutsvoorzieningen.

13.1.2. Daartoe zorgen de relevante entiteiten, waar passend, voor:

het beschermen van installaties tegen stroomstoringen en andere storingen als gevolg van storingen in ondersteunende nutsvoorzieningen, zoals elektriciteit, telecommunicatie, watervoorziening, gas, riolering, ventilatie en airconditioning;

het eventuele gebruik van redundantie in nutsvoorzieningen;

het beschermen van nutsvoorzieningen voor elektriciteit en telecommunicatie, die gegevens transporteren of netwerk- en informatiesystemen van stroom voorzien, tegen onderschepping en beschadiging;

het monitoren van de in punt c) bedoelde nutsdiensten en het rapporteren aan de bevoegde interne of externe personeelsleden van gebeurtenissen buiten de in punt 13.2.2, b), bedoelde minimum- en maximumcontroledrempels die van invloed zijn op de nutsdiensten;

het sluiten van contracten voor de noodvoorziening met bijbehorende diensten, zoals de levering van de brandstof voor de noodstroomvoorziening;

de continue doeltreffendheid, de monitoring, het onderhoud en het testen van de stroomvoorziening van de netwerk- en informatiesystemen die nodig zijn voor de werking van de aangeboden dienst, met name de elektriciteits-, temperatuur- en vochtigheidscontrole, en de telecommunicatie- en internetverbinding.

13.1.3. De relevante entiteiten testen, evalueren en, waar passend, actualiseren de beschermingsmaatregelen regelmatig of naar aanleiding van significante incidenten of significante wijzigingen in activiteiten of risico’s.

13.2. Bescherming tegen fysieke en milieudreigingen

13.2.1. Voor de toepassing van artikel 21, lid 2, punt e), van Richtlijn (EU) 2022/2555 voorkomen of beperken de relevante entiteiten de gevolgen van gebeurtenissen naar aanleiding van fysieke en milieudreigingen, zoals natuurrampen en andere opzettelijke of onopzettelijke bedreigingen, op basis van de resultaten van de overeenkomstig punt 2.1 uitgevoerde risicobeoordeling.

13.2.2. Daartoe zorgen de relevante entiteiten, waar passend, voor:

het opstellen en uitvoeren van beschermingsmaatregelen tegen fysieke en milieudreigingen;

het vaststellen van minimum- en maximumcontroledrempels voor fysieke en milieudreigingen;

het monitoren van milieuparameters en het rapporteren aan de bevoegde interne of externe personeelsleden van gebeurtenissen die buiten de in punt b) bedoelde minimum- en maximumcontroledrempels vallen.

13.2.3. De relevante entiteiten testen, evalueren en, waar passend, actualiseren de beschermingsmaatregelen tegen fysieke en milieudreigingen regelmatig of naar aanleiding van significante incidenten of significante wijzigingen in activiteiten of risico’s.

13.3. Controle van de perimeter en de fysieke toegang

13.3.1. Voor de toepassing van artikel 21, lid 2, punt i), van Richtlijn (EU) 2022/2555 voorkomen en monitoren de relevante entiteiten ongeoorloofde fysieke toegang tot, beschadiging van en interferentie met hun netwerk- en informatiesystemen.

13.3.2. Daartoe zullen de relevante entiteiten:

op basis van de overeenkomstig punt 2.1 uitgevoerde risicobeoordeling beveiligingsperimeters vaststellen en gebruiken ter bescherming van gebieden waar netwerk- en informatiesystemen en andere bijbehorende activa zich bevinden;

de in punt a) bedoelde gebieden beschermen door middel van passende toegangscontroles en toegangspunten;

de fysieke beveiliging van kantoren, ruimten en faciliteiten ontwerpen en implementeren;

hun bedrijfsruimten voortdurend monitoren op ongeoorloofde fysieke toegang.

13.3.3. De relevante entiteiten testen, evalueren en, waar passend, actualiseren de fysieke toegangscontrolemaatregelen regelmatig of naar aanleiding van significante incidenten of significante wijzigingen in activiteiten of risico’s.

1. Overzicht

Titel	Regelgeving
1. Policy on the security of network and information systems (Article 21(2), point (a) of Directive …	1. Policy on the security of network and information systems (Article 21(2), point (a) of Directive (EU) 2022/2555)
2. Risk management policy (Article 21(2), point (a) of Directive (EU) 2022/2555)	2. Risk management policy (Article 21(2), point (a) of Directive (EU) 2022/2555)
3. Incident handling (Article 21(2), point (b), of Directive (EU) 2022/2555)	3. Incident handling (Article 21(2), point (b), of Directive (EU) 2022/2555)
4. Business continuity and crisis management (Article 21(2), point (c), of Directive (EU) 2022/2555)	4. Business continuity and crisis management (Article 21(2), point (c), of Directive (EU) 2022/2555)
5. Supply chain security (Article 21(2), point (d), of Directive (EU) 2022/2555)	5. Supply chain security (Article 21(2), point (d), of Directive (EU) 2022/2555)
6. Security in network and information systems acquisition, development and maintenance (Article …	6. Security in network and information systems acquisition, development and maintenance (Article 21(2), point (e), of Directive (EU) 2022/2555)
7. Policies and procedures to assess the effectiveness of cybersecurity risk-management measures …	7. Policies and procedures to assess the effectiveness of cybersecurity risk-management measures (Article 21(2), point (f), of Directive (EU) 2022/2555)
8. Basic cyber hygiene practices and security training (Article 21(2), point (g), of Directive (EU) …	8. Basic cyber hygiene practices and security training (Article 21(2), point (g), of Directive (EU) 2022/2555)
9. Cryptography (Article 21(2), point (h), of Directive (EU) 2022/2555)	9. Cryptography (Article 21(2), point (h), of Directive (EU) 2022/2555)
10. Human resources security (Article 21(2), point (i), of Directive (EU) 2022/2555)	10. Human resources security (Article 21(2), point (i), of Directive (EU) 2022/2555)
11. Access control (Article 21(2), points (i) and (j), of Directive (EU) 2022/2555)	11. Access control (Article 21(2), points (i) and (j), of Directive (EU) 2022/2555)
12. Asset management (Article 21(2), point (i), of Directive (EU) 2022/2555)	12. Asset management (Article 21(2), point (i), of Directive (EU) 2022/2555)
13. Environmental and physical security (Article 21(2), points (c), (e) and (i) of Directive (EU) …	13. Environmental and physical security (Article 21(2), points (c), (e) and (i) of Directive (EU) 2022/2555)

1.1 Referenties

1.2 Geïdentificeerde eisen

1.3 Gerelateerde standaarden

2. Geïdentificeerde eisen

Eisen
Bron	Eis

3. Gerelateerde standaarden

Standaarden
Bron	Eis

Builddate: 18.10.2024 00:00:00 -Doknr: CELEX:32024R2690
EULAW -
EN: Legal acts of the European Union from EUR-Lex, https://eur-lex.europa.eu/. © European Union. Re-use is authorised by Decision 2011/833/EU, provided the source is acknowledged; the consolidated texts are licensed under CC BY 4.0 (EUR-Lex legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the legislation published in the Official Journal of the European Union is deemed authentic.

DE: Rechtsakte der Europäischen Union aus EUR-Lex, https://eur-lex.europa.eu/. © Europäische Union. Weiterverwendung nach Beschluss 2011/833/EU mit Quellenangabe gestattet; die konsolidierten Fassungen stehen unter CC BY 4.0 (Rechtlicher Hinweis von EUR-Lex). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Verbindlich sind allein die im Amtsblatt der Europäischen Union veröffentlichten Rechtsakte.