+ANEXĂ Cerințele tehnice și metodologice menționate la articolul 2 din prezentul regulament
---+1. Politica privind securitatea rețelelor și a sistemelor informatice [articolul 21 alineatul (2) …
------+1.1. Politica privind securitatea rețelelor și a sistemelor informatice
---------+1.1.1. În sensul articolului 21 alineatul (2) litera (a) din Directiva (UE) 2022/2555, politica …
---------+1.1.2. Politica privind rețelele și sistemele informatice este revizuită și, dacă este adecvat …
------+1.2. Rolurile, responsabilitățile și autoritățile
---------+1.2.1. În cadrul politicii lor privind securitatea rețelelor și a sistemelor informatice menționată …
---------+1.2.2. Entitățile relevante solicită întregului personal și tuturor părților terțe să aplice …
---------+1.2.3. Cel puțin o persoană raportează direct organelor de conducere cu privire la aspecte legate …
---------+1.2.4. În funcție de dimensiunea entităților relevante, securitatea rețelelor și a sistemelor …
---------+1.2.5. Sarcinile care intră în conflict și domeniile de competență care intră în conflict trebuie …
---------+1.2.6. Rolurile, responsabilitățile și autoritățile se revizuiesc și, dacă este adecvat, se …
---+2. Politica de gestionare a riscurilor [articolul 21 alineatul (2) litera (a) din Directiva (UE) …
------+2.1. Cadrul de gestionare a riscurilor
---------+2.1.1. În sensul articolului 21 alineatul (2) litera (a) din Directiva (UE) 2022/2555, entitățile …
---------+2.1.2. În sensul punctului 2.1.1, entitățile relevante stabilesc proceduri de identificare …
---------+2.1.3. Atunci când identifică și ierarhizează opțiunile și măsurile adecvate de tratare a …
---------+2.1.4. Entitățile relevante examinează și, dacă este adecvat, actualizează rezultatele evaluării …
------+2.2. Monitorizarea conformității
---------+2.2.1. Entitățile relevante examinează periodic conformitatea cu politicile lor privind securitatea …
---------+2.2.2. Entitățile relevante instituie un sistem eficace de raportare a conformității, care trebuie …
---------+2.2.3. Entitățile relevante efectuează monitorizarea conformității la intervale planificate și …
------+2.3. Examinarea independentă a securității informațiilor și rețelelor
---------+2.3.1. Entitățile relevante examinează în mod independent abordarea în ceea ce privește gestionarea …
---------+2.3.2. Entitățile relevante elaborează și mențin procese de efectuare a unor examinări …
---------+2.3.3. Rezultatele examinărilor independente, inclusiv rezultatele monitorizării conformității în …
---------+2.3.4. Examinările independente au loc la intervale planificate și atunci când apar incidente …
---+3. Gestionarea incidentelor [articolul 21 alineatul (2) litera (b) din Directiva (UE) 2022/2555]
------+3.1. Politica de gestionare a incidentelor
---------+3.1.1. În sensul articolului 21 alineatul (2) litera (b) din Directiva (UE) 2022/2555, entitățile …
---------+3.1.2. Politica menționată la punctul 3.1.1 trebuie să fie coerentă cu planul de asigurare a …
---------+3.1.3. Rolurile, responsabilitățile și procedurile stabilite în cadrul politicii sunt testate și …
------+3.2. Monitorizare și jurnalizare
---------+3.2.1. Entitățile relevante stabilesc proceduri și utilizează instrumente pentru monitorizarea și …
---------+3.2.2. În măsura în care este fezabil, monitorizarea trebuie să fie automată și să se efectueze fie …
---------+3.2.3. Pe baza procedurilor menționate la punctul 3.2.1, entitățile relevante păstrează …
---------+3.2.4. Jurnalele sunt reexaminate periodic pentru a identifica orice tendință neobișnuită sau …
---------+3.2.5. Entitățile relevante păstrează jurnalele și realizează copii de rezervă ale acestora pentru …
---------+3.2.6. În măsura în care este fezabil, entitățile relevante se asigură că toate sistemele dispun de …
---------+3.2.7. Procedurile, precum și lista activelor jurnalizate sunt revizuite și, după caz, actualizate …
------+3.3. Raportarea evenimentelor
---------+3.3.1. Entitățile relevante instituie un mecanism simplu care să le permită angajaților …
---------+3.3.2. Entitățile relevante comunică, dacă este adecvat, mecanismul de raportare a evenimentelor …
------+3.4. Evaluarea și clasificarea evenimentelor
---------+3.4.1. Entitățile relevante evaluează evenimentele suspecte pentru a stabili dacă acestea …
---------+3.4.2. În sensul punctului 3.4.1, entitățile relevante acționează în modul următor: (a) efectuează …
------+3.5. Răspunsul la incidente
---------+3.5.1. Entitățile relevante răspund la incidente în conformitate cu proceduri documentate și în …
---------+3.5.2. Procedurile de răspuns la incidente includ următoarele etape: (a) limitarea incidentului …
---------+3.5.3. Entitățile relevante stabilesc planuri și proceduri de comunicare: (a) împreună cu echipele …
---------+3.5.4. Entitățile relevante jurnalizează activitățile de răspuns la incidente în conformitate cu …
---------+3.5.5. Entitățile relevante testează la intervale planificate procedurile lor de răspuns la …
------+3.6. Analizele post-incident
---------+3.6.1. Dacă este adecvat, entitățile relevante efectuează analize post-incident după redresarea în …
---------+3.6.2. Entitățile relevante se asigură că analizele post-incident contribuie la îmbunătățirea …
---------+3.6.3. Entitățile relevante examinează la intervale planificate dacă incidentele au condus la …
---+4. Continuitatea activității și gestionarea crizelor [articolul 21 alineatul (2) litera (c) din …
------+4.1. Planuri de continuitate a activității și de recuperare în caz de dezastru
---------+4.1.1. În sensul articolului 21 alineatul (2) litera (c) din Directiva (UE) 2022/2555, entitățile …
---------+4.1.2. Operațiunile entităților relevante se restabilesc în conformitate cu planul de continuitate …
---------+4.1.3. Entitățile relevante efectuează o analiză a impactului asupra activității pentru a evalua …
---------+4.1.4. Planul de continuitate a activității și planul de recuperare după dezastru sunt testate și …
------+4.2. Gestionarea copiilor de rezervă și a redundanței
---------+4.2.1. Entitățile relevante păstrează copii de rezervă ale datelor și furnizează suficiente resurse …
---------+4.2.2. Pe baza rezultatelor evaluării riscurilor efectuată în temeiul punctului 2.1 și a planului …
---------+4.2.3. Entitățile relevante efectuează verificări periodice ale integrității copiilor de rezervă.
---------+4.2.4. Pe baza rezultatelor evaluării riscurilor efectuată în temeiul punctului 2.1 și a planului …
---------+4.2.5. Dacă este adecvat, entitățile relevante se asigură că monitorizarea și ajustarea resurselor …
---------+4.2.6. Entitățile relevante testează periodic recuperarea copiilor de rezervă și a redundanțelor …
------+4.3. Gestionarea crizelor
---------+4.3.1. Entitățile relevante instituie un proces de gestionare a crizelor.
---------+4.3.2. Entitățile relevante se asigură că procesul de gestionare a crizelor abordează cel puțin …
---------+4.3.3. Entitățile relevante instituie un proces de gestionare și de utilizare a informațiilor …
---------+4.3.4. Entitățile relevante testează, revizuiesc și, dacă este adecvat, actualizează planul de …
---+5. Securitatea lanțului de aprovizionare [articolul 21 alineatul (2) litera (d) din Directiva (UE) …
------+5.1. P olitica de securitate a lanțului de aprovizionare
---------+5.1.1. În sensul articolului 21 alineatul (2) litera (d) din Directiva (UE) 2022/2555, entitățile …
---------+5.1.2. Ca parte a politicii de securitate a lanțului de aprovizionare menționată la punctul 5.1.1 …
---------+5.1.3. Atunci când își stabilesc politica de securitate a lanțului de aprovizionare, entitățile …
---------+5.1.4. Pe baza politicii de securitate a lanțului de aprovizionare și ținând seama de rezultatele …
---------+5.1.5. Entitățile relevante iau în considerare elementele menționate la punctele 5.1.2 și 5.1.3 ca …
---------+5.1.6. Entitățile relevante revizuiesc politica de securitate a lanțului de aprovizionare și …
---------+5.1.7. În sensul punctului 5.1.6, entitățile relevante: (a) monitorizează periodic rapoartele …
------+5.2. Anuarul furnizorilor și prestatorilor de servicii
---+6. Securitatea în achiziționarea, dezvoltarea și întreținerea rețelelor și a sistemelor informatice …
------+6.1. Securitatea în achiziționarea de servicii TIC sau de produse TIC
---------+6.1.1. În sensul articolului 21 alineatul (2) litera (e) din Directiva (UE) 2022/2555, entitățile …
---------+6.1.2. În sensul punctului 6.1.1, procesele menționate la punctul 6.1.1 includ: (a) cerințe de …
---------+6.1.3. Entitățile relevante revizuiesc și, dacă este adecvat, actualizează procesele la intervale …
------+6.2. Ciclul de viață al dezvoltării securizate
---------+6.2.1. Înainte de a dezvolta o rețea și un sistem informatic, inclusiv un software, entitățile …
---------+6.2.2. În sensul punctului 6.2.1, entitățile relevante: (a) efectuează o analiză a cerințelor de …
---------+6.2.3. În cazul în care dezvoltarea rețelelor și a sistemelor informatice este externalizată …
---------+6.2.4. Entitățile relevante își revizuiesc și, dacă este necesar, își actualizează normele de …
------+6.3. Gestionarea configurației
---------+6.3.1. Entitățile relevante iau măsurile adecvate pentru a stabili, a documenta, a pune în aplicare …
---------+6.3.2. În sensul punctului 6.3.1, entitățile relevante: (a) stabilesc și asigură securitatea …
---------+6.3.3. Entitățile relevante revizuiesc și, dacă este adecvat, actualizează configurațiile la …
------+6.4. Gestionarea modificărilor, reparații și întreținere
---------+6.4.1. Entitățile relevante aplică proceduri de gestionare a modificărilor pentru a controla …
---------+6.4.2. Procedurile menționate la punctul 6.4.1 se aplică noilor versiuni, modificărilor și …
---------+6.4.3. În cazul în care procedurile obișnuite de gestionare a modificărilor nu au putut fi urmate …
---------+6.4.4. Entitățile relevante revizuiesc și, dacă este adecvat, actualizează procedurile la intervale …
------+6.5. Teste de securitate
---------+6.5.1. Entitățile relevante stabilesc, implementează și aplică o politică și proceduri pentru …
---------+6.5.2. Entitățile relevante: (a) stabilesc, pe baza evaluării riscurilor efectuată în temeiul …
---------+6.5.3. Entitățile relevante își revizuiesc și, dacă este adecvat, își actualizează politicile …
------+6.6. Gestionarea corecțiilor de securitate
---------+6.6.1. Entitățile relevante specifică și aplică proceduri coerente cu procedurile de gestionare a …
---------+6.6.2. Prin derogare de la punctul 6.6.1 litera (a), entitățile relevante pot alege să nu aplice …
------+6.7. Securitatea rețelelor
---------+6.7.1. Entitățile relevante iau măsurile adecvate pentru a-și proteja rețelele și sistemele …
---------+6.7.2. În sensul punctului 6.7.1, entitățile relevante: (a) documentează arhitectura rețelei …
---------+6.7.3. Entitățile relevante revizuiesc și, dacă este adecvat, actualizează aceste măsuri la …
------+6.8. Segmentarea rețelei
---------+6.8.1. Entitățile relevante segmentează sistemele în rețele sau zone în conformitate cu rezultatele …
---------+6.8.2. În acest scop, entitățile relevante: (a) iau în considerare relația funcțională, logică și …
---------+6.8.3. Entitățile relevante revizuiesc și, dacă este adecvat, actualizează segmentarea rețelei la …
------+6.9. Protecția împotriva software-ului rău-intenționat și neautorizat
---------+6.9.1. Entitățile relevante își protejează rețelele și sistemele informatice împotriva …
---------+6.9.2. În acest scop, entitățile relevante pun în aplicare, în special, măsuri de detectare sau de …
------+6.10. Gestionarea și divulgarea vulnerabilităților
---------+6.10.1. Entitățile relevante obțin informații cu privire la vulnerabilitățile tehnice din rețelele …
---------+6.10.2. În sensul punctului 6.10.1, entitățile relevante: (a) monitorizează informațiile privind …
---------+6.10.3. Atunci când acest lucru este justificat de impactul potențial al vulnerabilității …
---------+6.10.4. Entitățile relevante revizuiesc și, după caz, actualizează la intervale planificate …
---+7. Politici și proceduri pentru a evalua eficacitatea măsurilor de gestionare a riscurilor în …
------+7.1. În sensul articolului 21 alineatul (2) litera (f) din Directiva (UE) 2022/2555, entitățile …
------+7.2. Politica și procedurile menționate la punctul 7.1 țin seama de rezultatele evaluării …
------+7.3. Entitățile relevante revizuiesc și, dacă este adecvat, actualizează politicile și procedurile …
---+8. Practici de bază în materie de igienă cibernetică și formare în domeniul securității cibernetice …
------+8.1. Sensibilizare și practici de bază în materie de igienă cibernetică
---------+8.1.1. În sensul articolului 21 alineatul (2) litera (g) din Directiva (UE) 2022/2555, entitățile …
---------+8.1.2. În sensul punctului 8.1.1, entitățile relevante oferă angajaților lor, inclusiv membrilor …
---------+8.1.3. Dacă este adecvat, programul de sensibilizare este testat din punctul de vedere al …
------+8.2. Formare în domeniul securității
---------+8.2.1. Entitățile relevante identifică angajații ale căror roluri necesită seturi de competențe și …
---------+8.2.2. Entitățile relevante stabilesc, implementează și aplică un program de formare în …
---------+8.2.3. Formarea menționată la punctul 8.2.1 trebuie să fie relevantă pentru funcția postului …
---------+8.2.4. Entitățile relevante aplică cursuri de formare membrilor personalului care se transferă în …
---------+8.2.5. Programul se actualizează și se desfășoară periodic, ținând seama de politicile și normele …
---+9. Criptografie [articolul 21 alineatul (2) litera (h) din Directiva (UE) 2022/2555]
------+9.1. În sensul articolului 21 alineatul (2) litera (h) din Directiva (UE) 2022/2555, entitățile …
------+9.2. Politica și procedurile menționate la punctul 9.1 stabilesc: (a) în conformitate cu …
------+9.3. Entitățile relevante revizuiesc și, dacă este adecvat, își actualizează politicile și …
---+10. Securitatea resurselor umane [articolul 21 alineatul (2) litera (i) din Directiva (UE) …
------+10.1. Securitatea resurselor umane
---------+10.1.1. În sensul articolului 21 alineatul (2) litera (i) din Directiva (UE) 2022/2555, entitățile …
---------+10.1.2. Cerința menționată la punctul 10.1.1 include: (a) mecanisme prin care să se asigure că toți …
---------+10.1.3. Entitățile relevante revizuiesc alocarea personalului în roluri specifice, astfel cum se …
------+10.2. Verificarea antecedentelor
---------+10.2.1. Entitățile relevante se asigură că se efectuează, în măsura în care este fezabil …
---------+10.2.2. În sensul punctului 10.2.1, entitățile relevante: (a) instituie criterii care stabilesc …
---------+10.2.3. Entitățile relevante revizuiesc și, dacă este adecvat, actualizează politica la intervale …
------+10.3. Procedura în caz de încetare sau modificare a raporturilor de muncă
---------+10.3.1. Entitățile relevante se asigură că responsabilitățile și sarcinile în materie de securitate …
---------+10.3.2. În sensul punctului 10.3.1, entitățile relevante includ în termenii și condițiile de muncă …
------+10.4. Procesul disciplinar
---------+10.4.1. Entitățile relevante instituie, comunică și mențin un proces disciplinar pentru gestionarea …
---------+10.4.2. Entitățile relevante revizuiesc și, dacă este adecvat, actualizează procesul disciplinar la …
---+11. Controlul accesului [articolul 21 alineatul (2) literele (i) și (j) din Directiva (UE) …
------+11.1. Politica de control al accesului
---------+11.1.1. În sensul articolului 21 alineatul (2) litera (i) din Directiva (UE) 2022/2555, entitățile …
---------+11.1.2. Politicile menționate la punctul 11.1.1: (a) abordează accesul persoanelor, inclusiv al …
---------+11.1.3. Entitățile relevante revizuiesc și, dacă este adecvat, actualizează politicile la intervale …
------+11.2. Gestionarea drepturilor de acces
---------+11.2.1. Entitățile relevante acordă, modifică, elimină și documentează drepturile de acces la …
---------+11.2.2. Entitățile relevante: (a) atribuie și revocă drepturi de acces pe baza principiilor …
---------+11.2.3. Entitățile relevante revizuiesc drepturile de acces la intervale planificate și le modifică …
------+11.3. Conturile privilegiate și conturile de administrare a sistemului
---------+11.3.1. Entitățile relevante mențin politici de gestionare a conturilor privilegiate și a …
---------+11.3.2. Politicile menționate la punctul 11.3.1: (a) instituie proceduri riguroase de identificare …
---------+11.3.3. Entitățile relevante revizuiesc drepturile de acces aferente conturilor privilegiate și …
------+11.4. Sisteme de administrare
---------+11.4.1. Entitățile relevante restricționează și controlează utilizarea sistemelor de administrare a …
---------+11.4.2. În acest scop, entitățile relevante: (a) utilizează sisteme de administrare a sistemului …
------+11.5. Identificare
---------+11.5.1. Entitățile relevante gestionează întregul ciclu de viață al identităților rețelelor și …
---------+11.5.2. În acest scop, entitățile relevante: (a) stabilesc identități unice pentru rețele și …
---------+11.5.3. Entitățile relevante permit identitățile atribuite mai multor persoane, cum ar fi …
---------+11.5.4. Entitățile relevante revizuiesc periodic identitățile pentru rețele și sisteme informatice …
------+11.6. Autentificare
---------+11.6.1. Entitățile relevante pun în aplicare proceduri și tehnologii de autentificare securizată …
---------+11.6.2. În acest scop, entitățile relevante: (a) se asigură că puterea autentificării este adecvată …
---------+11.6.3. Entitățile relevante utilizează, în măsura posibilului, metode de autentificare de ultimă …
---------+11.6.4. Entitățile relevante revizuiesc procedurile și tehnologiile de autentificare la intervale …
------+11.7. Autentificarea multifactor
---------+11.7.1. Entitățile relevante se asigură că utilizatorii sunt autentificați prin factori de …
---------+11.7.2. Entitățile relevante se asigură că forța autentificării este adecvată pentru clasificarea …
---+12. Gestionarea activelor [articolul 21 alineatul (2) litera (i) din Directiva (UE) 2022/2555]
------+12.1. Clasificarea activelor
---------+12.1.1. În sensul articolului 21 alineatul (2) litera (i) din Directiva (UE) 2022/2555, entitățile …
---------+12.1.2. În sensul punctului 12.1.1, entitățile relevante: (a) stabilesc un sistem de niveluri de …
---------+12.1.3. Entitățile relevante efectuează revizuiri periodice ale nivelurilor de clasificare a …
------+12.2. Gestionarea activelor
---------+12.2.1. Entitățile relevante stabilesc, implementează și aplică o politică pentru gestionarea …
---------+12.2.2. Politica: (a) acoperă întregul ciclu de viață al activelor, inclusiv achiziționarea …
---------+12.2.3. Entitățile relevante revizuiesc și, dacă este adecvat, actualizează politica la intervale …
------+12.3. Politica privind suporturile amovibile
---------+12.3.1. Entitățile relevante stabilesc, implementează și aplică o politică de gestionare a …
---------+12.3.2. Politica: (a) prevede o interdicție tehnică de conectare a suporturilor amovibile, cu …
---------+12.3.3. Entitățile relevante revizuiesc și, dacă este adecvat, actualizează politica la intervale …
------+12.4. Inventarul activelor
---------+12.4.1. Entitățile relevante elaborează și mențin un inventar complet, exact, actualizat și …
---------+12.4.2. Granularitatea inventarului activelor este la un nivel adecvat nevoilor entităților …
---------+12.4.3. Entitățile relevante revizuiesc și actualizează periodic inventarul și activele lor și …
------+12.5. Depozitarea, restituirea sau eliminarea activelor la încetarea raportului de muncă
---+13. Securitatea mediului și fizică [articolul 21 alineatul (2) literele (c), (e) și (i) din …
------+13.1. Utilități de sprijin
---------+13.1.1. În sensul articolului 21 alineatul (2) litera (c) din Directiva (UE) 2022/2555, entitățile …
---------+13.1.2. În acest scop, entitățile relevante, dacă este adecvat: (a) protejează instalațiile …
---------+13.1.3. Entitățile relevante testează, revizuiesc și, dacă este adecvat, actualizează măsurile de …
------+13.2. Protecția împotriva amenințărilor fizice și de mediu
---------+13.2.1. În sensul articolului 21 alineatul (2) litera (e) din Directiva (UE) 2022/2555, entitățile …
---------+13.2.2. În acest scop, entitățile relevante, dacă este adecvat: (a) concep și pun în aplicare …
---------+13.2.3. Entitățile relevante testează, revizuiesc și, dacă este adecvat, actualizează măsurile de …
------+13.3. Controlul perimetrului și al accesului fizic
---------+13.3.1. În sensul articolului 21 alineatul (2) litera (i) din Directiva (UE) 2022/2555, entitățile …
---------+13.3.2. În acest scop, entitățile relevante: (a) pe baza evaluării riscurilor efectuată în temeiul …
---------+13.3.3. Entitățile relevante testează, revizuiesc și, dacă este adecvat, actualizează măsurile de …
|
ANEXĂ Cerințele tehnice și metodologice menționate la articolul 2 din prezentul regulament
ANEXĂ Cerințele tehnice și metodologice menționate la articolul 2 din prezentul regulament
1. Prezentare generală
1.1 Referințe
1.2 Cerințe identificate
1.3 Standarde asociate
2. Cerințe identificate
3. Standarde asociate
- Builddate: 18.10.2024 00:00:00 -Doknr: CELEX:32024R2690
- EULAW -
EN: Legal acts of the European Union from EUR-Lex, https://eur-lex.europa.eu/. © European Union. Re-use is authorised by Decision 2011/833/EU, provided the source is acknowledged; the consolidated texts are licensed under CC BY 4.0 (EUR-Lex legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the legislation published in the Official Journal of the European Union is deemed authentic.
DE: Rechtsakte der Europäischen Union aus EUR-Lex, https://eur-lex.europa.eu/. © Europäische Union. Weiterverwendung nach Beschluss 2011/833/EU mit Quellenangabe gestattet; die konsolidierten Fassungen stehen unter CC BY 4.0 (Rechtlicher Hinweis von EUR-Lex). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Verbindlich sind allein die im Amtsblatt der Europäischen Union veröffentlichten Rechtsakte.
|