Directiva (UE) 2022/2555RE (UE) 2024/2690 · Anexo
El artículo 21, apartado 2, de la directiva enumera diez medidas de gestión de riesgos en texto corrido. El Reglamento de Ejecución (UE) 2024/2690 de la Comisión las convierte en un anexo de trece puntos numerados con subrequisitos: la única enumeración válida en toda la Unión lo bastante precisa para medir con ella, y la que cita un evaluador.
El RE (UE) 2024/2690 se aplica directamente a los proveedores de servicios DNS, los registros de nombres de dominio de primer nivel, los proveedores de servicios de computación en nube, de centros de datos y de redes de distribución de contenidos, los proveedores de servicios gestionados y de servicios de seguridad gestionados, los mercados en línea, los motores de búsqueda, las plataformas de redes sociales y los prestadores de servicios de confianza. Las demás entidades esenciales e importantes cumplen el artículo 21 a través de la norma nacional de transposición. En ambos casos, los requisitos numerados son la lectura técnica del artículo 21, y por eso se emplean aquí.
Frente a cada uno, lo que un sistema de supervisión puede afirmar con honestidad. Seis son documentos y decisiones, no sucesos, y se notifican como abiertos junto con la prueba que pedirá un evaluador.
| Punto | Requisito | Probado mediante |
|---|---|---|
| 1 | Política sobre la seguridad de los sistemas de redes y de información | Documentos y decisiones |
| 2 | Política de gestión de riesgos | Documentos y decisiones |
| 3 | Gestión de incidentes | Medición |
| 4 | Continuidad de las actividades y gestión de las crisis | Parcialmente medible |
| 5 | Seguridad de las cadenas de suministro | Documentos y decisiones |
| 6 | Seguridad en la adquisición, el desarrollo y el mantenimiento de sistemas de redes y de información | Medición |
| 7 | Orientaciones y procedimientos para evaluar la eficacia de las medidas de gestión de riesgos de ciberseguridad | Documentos y decisiones |
| 8 | Formación en seguridad y prácticas básicas de ciberhigiene | Parcialmente medible |
| 9 | Criptografía | Parcialmente medible |
| 10 | Seguridad de los recursos humanos | Documentos y decisiones |
| 11 | Control de accesos | Medición |
| 12 | Gestión de activos | Parcialmente medible |
| 13 | Seguridad medioambiental y física | Documentos y decisiones |
Aproximadamente un tercio de los requisitos numerados se prueba mediante medición. Una afirmación de cobertura que exceda lo que un sistema de supervisión puede observar no resiste una evaluación, así que el resto se notifica como abierto en lugar de contabilizarse en silencio como cumplido.
NotificaciónArtículo 23
Un incidente significativo debe notificarse al CSIRT nacional o a la autoridad competente en tres fases. Los plazos corren desde el momento en que la entidad tiene conocimiento del incidente.
Citado de la Directiva (UE) 2022/2555. Este es el texto vinculante, no un resumen nuestro. Artículo 23, apartado 4
Quanovio registra la primera detección con su marca de tiempo, y es con eso con lo que un evaluador compara la notificación presentada. La presentación en sí es un proceso que usted opera; ningún sistema de supervisión puede hacerla por usted, y el que lo afirme está describiendo en realidad una alerta.
4. Los Estados miembros garantizarán que las entidades esenciales sean sancionadas por el incumplimiento de los artículos 21 o 23, de conformidad con los apartados 2 y 3 del presente artículo, con multas administrativas de un máximo de, al menos, 10 000 000 EUR o de un máximo de, al menos, el 2 % del volumen de negocios anual total a nivel mundial de la empresa a la que pertenece la entidad esencial durante el ejercicio financiero anterior, optándose por la de mayor cuantía.
5. Los Estados miembros garantizarán que las entidades importantes sean sancionadas por el incumplimiento de los artículos 21 o 23, de acuerdo con los apartados 2 y 3 del presente artículo, con multas administrativas de un máximo de, al menos, 7 000 000 EUR o de un máximo de, al menos, el 1,4 % del volumen de negocios anual total a nivel mundial de la empresa a la que pertenece la entidad importante durante el ejercicio financiero anterior, optándose por la de mayor cuantía.
Citado de la Directiva (UE) 2022/2555. Este es el texto vinculante, no un resumen nuestro. Artículo 34, apartados 4 y 5
1. Los Estados miembros velarán por que los órganos de dirección de las entidades esenciales e importantes aprueben las medidas para la gestión de riesgos de ciberseguridad adoptadas por dichas entidades para dar cumplimiento al artículo 21, supervisen su puesta en práctica y respondan por el incumplimiento por parte de las entidades de dicho artículo.
ReferenciasEUR-Lex · ENISA
Cada cifra, plazo y título de requisito de este sitio procede de los textos que figuran a continuación. Cuando este sitio cita, cita la versión lingüística oficial en la que usted lo está leyendo.
Describa su entorno y recibirá un estado punto por punto, incluidos aquellos que ningún sistema puede medir por usted.
Consulte su cobertura