convert_library_version: 'v2 ; Compat Mode: [0] {[v2.1] (DEFAULT) Don''t use any Compatibility
  Mode}'
urn: urn:intuitem:risk:library:annex-technical-and-methodological-requirements-nis2
locale: en
ref_id: annex-nis2-regulation--2024-2690-with-technical-implementation-guidance-by-enisa
name: NIS2 - Annex to the Commission Implementing Regulation 2024/2690 with Technical
  Implementation Guidance by ENISA
description: 'This framework is based on 2 documents:


  1. ANNEX to the Commission Implementing Regulation laying down rules for the application
  of Directive (EU) 2022/2555 as regards technical and methodological requirements
  of cybersecurity risk-management measures and further specification of the cases
  in which an incident is considered to be significant with regard to DNS service
  providers, TLD name registries, cloud computing service providers, data centre service
  providers, content delivery network providers, managed service providers, managed
  security service providers, providers of online market places, of online search
  engines and of social networking services platforms, and trust service providers.

  Source : https://www.enisa.europa.eu/publications/nis2-technical-implementation-guidance


  2. Technical Implementation Guidance On Commission Implementing Regulation (EU)
  2024/2690 of 17 October 2024 laying down rules for the application of NIS2 Directive
  as regards technical and methodological requirements of cybersecurity risk-management
  measures.

  JUNE 2025, VERSION 1.0

  Source : https://www.enisa.europa.eu/publications/nis2-technical-implementation-guidance'
copyright: EUROPEAN COMMISSION + ENISA
version: 12
publication_date: 2025-11-22
provider: EUROPEAN COMMISSION + ENISA
packager: intuitem
labels:
- NIS2
translations:
  fr:
    name: "NIS2 - Annexe au r\xE8glement d'implementation 2024/2690 de la Commission\
      \ avec avec les recommandation techniques de mise en \u0153uvre de l\u2019ENISA"
    description: "Ce framework est issu de 2 documents :\n\n1. ANNEXE du R\xE8glement\
      \ d\u2019ex\xE9cution (UE) 2024/2690 de la Commission du 17 octobre 2024 \xE9\
      tablissant des r\xE8gles relatives \xE0 l\u2019application de la directive (UE)\
      \ 2022/2555 pour ce qui est des exigences techniques et m\xE9thodologiques li\xE9\
      es aux mesures de gestion des risques en mati\xE8re de cybers\xE9curit\xE9 et\
      \ pr\xE9cisant plus en d\xE9tail les cas dans lesquels un incident est consid\xE9\
      r\xE9 comme important, en ce qui concerne les fournisseurs de services DNS,\
      \ les registres des noms de domaine de premier niveau, les fournisseurs de services\
      \ d\u2019informatique en nuage, les fournisseurs de services de centres de donn\xE9\
      es, les fournisseurs de r\xE9seaux de diffusion de contenu, les fournisseurs\
      \ de services g\xE9r\xE9s, les fournisseurs de services de s\xE9curit\xE9 g\xE9\
      r\xE9s, ainsi que les fournisseurs de places de march\xE9 en ligne, de moteurs\
      \ de recherche en ligne et de plateformes de services de r\xE9seaux sociaux,\
      \ et les prestataires de services de confiance.\nSource : https://www.enisa.europa.eu/publications/nis2-technical-implementation-guidance\n\
      \n2. Recommandation Technique de mise en \u0153uvre sur le R\xE8glement d\u2019\
      application de la Commission (UE) 2024/2690 du 17 octobre 2024 \xE9tablissant\
      \ les r\xE8gles d\u2019application de la directive NIS2 concernant les exigences\
      \ techniques et m\xE9thodologiques des mesures de gestion des risques en cybers\xE9\
      curit\xE9.\nJUIN 2025, VERSION 1.0\nSource : https://www.enisa.europa.eu/publications/nis2-technical-implementation-guidance"
    copyright: "COMMISSION EUROP\xC9ENNE + ENISA"
  es:
    name: "NIS2 - Anexo al Reglamento de Aplicaci\xF3n de la Comisi\xF3n 2024/2690\
      \ con Directrices T\xE9cnicas de Implementaci\xF3n de ENISA"
    description: "Este referencial se basa en 2 documentos:\n\n1. ANEXO del Reglamento\
      \ de Ejecuci\xF3n de la Comisi\xF3n por el que se establecen -seg\xFAn el art\xED\
      culo 2- las disposiciones de aplicaci\xF3n de la Directiva (UE) 2022/2555 en\
      \ lo que respecta a los requisitos t\xE9cnicos y metodol\xF3gicos de las medidas\
      \ para la gesti\xF3n de riesgos de ciberseguridad.\nLink: https://eur-lex.europa.eu/legal-content/ES/TXT/HTML/?uri=OJ:L_202402690\n\
      Fuente : https://www.enisa.europa.eu/publications/nis2-technical-implementation-guidance\n\
      \n2. Gu\xEDa T\xE9cnica de Implementaci\xF3n sobre el Reglamento de Ejecuci\xF3\
      n de la Comisi\xF3n (UE) 2024/2690 de 17 de octubre de 2024 que establece las\
      \ normas para la aplicaci\xF3n de la Directiva NIS2 en cuanto a los requisitos\
      \ t\xE9cnicos y metodol\xF3gicos de las medidas de gesti\xF3n de riesgos en\
      \ ciberseguridad.\nJUNIO 2025, VERSI\xD3N 1.0\nFuente: https://www.enisa.europa.eu/publications/nis2-technical-implementation-guidance"
    copyright: COMISION EUROPEA + ENISA
  cs:
    name: "NIS2 - P\u0159\xEDloha k prov\xE1d\u011Bc\xEDmu na\u0159\xEDzen\xED Komise\
      \ 2024/2690 s technick\xFDmi implementa\u010Dn\xEDmi pokyny od ENISA"
    description: "Tento r\xE1mec vych\xE1z\xED ze 2 dokument\u016F:\n\n1. Prov\xE1\
      d\u011Bc\xED na\u0159\xEDzen\xED 2024/2690 kter\xFDm se stanov\xED pravidla\
      \ pro uplat\u0148ov\xE1n\xED sm\u011Brnice (EU) 2022/2555, pokud jde o technick\xE9\
      \ a metodick\xE9 po\u017Eadavky na opat\u0159en\xED k \u0159\xEDzen\xED kybernetick\xFD\
      ch bezpe\u010Dnostn\xEDch rizik a bli\u017E\u0161\xED up\u0159esn\u011Bn\xED\
      \ p\u0159\xEDpad\u016F, v nich\u017E se incident pova\u017Euje za v\xFDznamn\xFD\
      , pokud jde o provozovatele DNS, registry dom\xE9n nejvy\u0161\u0161\xED \xFA\
      rovn\u011B, poskytovatele slu\u017Eeb cloud computingu, poskytovatele slu\u017E\
      eb datov\xFDch center, poskytovatele s\xEDt\xED pro doru\u010Dov\xE1n\xED obsahu,\
      \ poskytovatele \u0159\xEDzen\xFDch slu\u017Eeb, poskytovatele \u0159\xEDzen\xFD\
      ch bezpe\u010Dnostn\xEDch slu\u017Eeb, poskytovatele on-line tr\u017Ei\u0161\
      \u0165, internetov\xFDch vyhled\xE1va\u010D\u016F a slu\u017Eeb platforem soci\xE1\
      ln\xEDch s\xEDt\xED a poskytovatele slu\u017Eeb vytv\xE1\u0159ej\xEDc\xEDch\
      \ d\u016Fv\u011Bru.\nhttps://eur-lex.europa.eu/legal-content/CS/TXT/HTML/?uri=OJ:L_202402690\n\
      Zdroj: https://www.enisa.europa.eu/publications/nis2-technical-implementation-guidance\n\
      \n2. Technick\xE9 implementa\u010Dn\xED pokyny k prov\xE1d\u011Bc\xEDmu na\u0159\
      \xEDzen\xED Komise (EU) 2024/2690 ze dne 17. \u0159\xEDjna 2024, kter\xE9 stanovuje\
      \ pravidla pro aplikaci sm\u011Brnice NIS2 ve vztahu k technick\xFDm a metodologick\xFD\
      m po\u017Eadavk\u016Fm opat\u0159en\xED \u0159\xEDzen\xED kybernetick\xFDch\
      \ rizik.\n\u010CERVEN 2025, VERZE 1.0\nZdroj: https://www.enisa.europa.eu/publications/nis2-technical-implementation-guidance"
    copyright: "EVROPSK\xC1 KOMISE + ENISA"
  it:
    name: NIS2 - Allegato al Regolamento di Esecuzione della Commissione 2024/2690
      con Linee Guida Tecniche per l'Implementazione di ENISA
    description: "Questo quadro di riferimento deriva da 2 documenti:\n\n1. ALLEGATO\
      \ del Regolamento di Esecuzione della Commissione che stabilisce - ai sensi\
      \ dell\u2019articolo 2 - le disposizioni di attuazione della Direttiva (UE)\
      \ 2022/2555 per quanto riguarda i requisiti tecnici e metodologici delle misure\
      \ per la gestione dei rischi di cybersicurezza.\nLink: https://eur-lex.europa.eu/legal-content/IT/TXT/HTML/?uri=OJ:L_202402690\n\
      Fonte : https://www.enisa.europa.eu/publications/nis2-technical-implementation-guidance\n\
      \n2. Linee guida tecniche per l'attuazione del Regolamento di Esecuzione della\
      \ Commissione (UE) 2024/2690 del 17 ottobre 2024 che stabilisce le regole per\
      \ l'applicazione della Direttiva NIS2 riguardo ai requisiti tecnici e metodologici\
      \ delle misure di gestione del rischio in materia di cybersecurity.\nGIUGNO\
      \ 2025, VERSIONE 1.0\nFonte: https://www.enisa.europa.eu/publications/nis2-technical-implementation-guidance"
    copyright: COMMISSIONE EUROPEA + ENISA
objects:
  framework:
    urn: urn:intuitem:risk:framework:annex-technical-and-methodological-requirements-nis2
    ref_id: annex-nis2-regulation--2024-2690-with-technical-implementation-guidance-by-enisa
    name: NIS2 - Annex to the Commission Implementing Regulation 2024/2690 with Technical
      Implementation Guidance by ENISA
    description: 'This framework is based on 2 documents :


      1. ANNEX to the Commission Implementing Regulation laying down rules for the
      application of Directive (EU) 2022/2555 as regards technical and methodological
      requirements of cybersecurity risk-management measures and further specification
      of the cases in which an incident is considered to be significant with regard
      to DNS service providers, TLD name registries, cloud computing service providers,
      data centre service providers, content delivery network providers, managed service
      providers, managed security service providers, providers of online market places,
      of online search engines and of social networking services platforms, and trust
      service providers.

      Source : https://www.enisa.europa.eu/publications/nis2-technical-implementation-guidance


      2. Technical Implementation Guidance On Commission Implementing Regulation (EU)
      2024/2690 of 17 October 2024 laying down rules for the application of NIS2 Directive
      as regards technical and methodological requirements of cybersecurity risk-management
      measures.

      JUNE 2025, VERSION 1.0

      Source : https://www.enisa.europa.eu/publications/nis2-technical-implementation-guidance'
    translations:
      fr:
        name: "NIS2 - Annexe au r\xE8glement d'implementation 2024/2690 de la Commission\
          \ avec avec les recommandation techniques de mise en \u0153uvre de l\u2019\
          ENISA"
        description: "Ce framework est issu de 2 documents :\n\n1. ANNEXE du R\xE8\
          glement d\u2019ex\xE9cution (UE) 2024/2690 de la Commission du 17 octobre\
          \ 2024 \xE9tablissant des r\xE8gles relatives \xE0 l\u2019application de\
          \ la directive (UE) 2022/2555 pour ce qui est des exigences techniques et\
          \ m\xE9thodologiques li\xE9es aux mesures de gestion des risques en mati\xE8\
          re de cybers\xE9curit\xE9 et pr\xE9cisant plus en d\xE9tail les cas dans\
          \ lesquels un incident est consid\xE9r\xE9 comme important, en ce qui concerne\
          \ les fournisseurs de services DNS, les registres des noms de domaine de\
          \ premier niveau, les fournisseurs de services d\u2019informatique en nuage,\
          \ les fournisseurs de services de centres de donn\xE9es, les fournisseurs\
          \ de r\xE9seaux de diffusion de contenu, les fournisseurs de services g\xE9\
          r\xE9s, les fournisseurs de services de s\xE9curit\xE9 g\xE9r\xE9s, ainsi\
          \ que les fournisseurs de places de march\xE9 en ligne, de moteurs de recherche\
          \ en ligne et de plateformes de services de r\xE9seaux sociaux, et les prestataires\
          \ de services de confiance.\nSource : https://www.enisa.europa.eu/publications/nis2-technical-implementation-guidance\n\
          \n2. Recommandation Technique de mise en \u0153uvre sur le R\xE8glement\
          \ d\u2019application de la Commission (UE) 2024/2690 du 17 octobre 2024\
          \ \xE9tablissant les r\xE8gles d\u2019application de la directive NIS2 concernant\
          \ les exigences techniques et m\xE9thodologiques des mesures de gestion\
          \ des risques en cybers\xE9curit\xE9.\nJUIN 2025, VERSION 1.0\nSource :\
          \ https://www.enisa.europa.eu/publications/nis2-technical-implementation-guidance"
      es:
        name: "NIS2 - Anexo al Reglamento de Aplicaci\xF3n de la Comisi\xF3n 2024/2690\
          \ con Directrices T\xE9cnicas de Implementaci\xF3n de ENISA"
        description: "Este referencial se basa en 2 documentos:\n\n1. ANEXO del Reglamento\
          \ de Ejecuci\xF3n de la Comisi\xF3n por el que se establecen -seg\xFAn el\
          \ art\xEDculo 2- las disposiciones de aplicaci\xF3n de la Directiva (UE)\
          \ 2022/2555 en lo que respecta a los requisitos t\xE9cnicos y metodol\xF3\
          gicos de las medidas para la gesti\xF3n de riesgos de ciberseguridad.\n\
          Link: https://eur-lex.europa.eu/legal-content/ES/TXT/HTML/?uri=OJ:L_202402690\n\
          Fuente : https://www.enisa.europa.eu/publications/nis2-technical-implementation-guidance\n\
          \n2. Gu\xEDa T\xE9cnica de Implementaci\xF3n sobre el Reglamento de Ejecuci\xF3\
          n de la Comisi\xF3n (UE) 2024/2690 de 17 de octubre de 2024 que establece\
          \ las normas para la aplicaci\xF3n de la Directiva NIS2 en cuanto a los\
          \ requisitos t\xE9cnicos y metodol\xF3gicos de las medidas de gesti\xF3\
          n de riesgos en ciberseguridad.\nJUNIO 2025, VERSI\xD3N 1.0\nFuente: https://www.enisa.europa.eu/publications/nis2-technical-implementation-guidance"
      cs:
        name: "NIS2 - P\u0159\xEDloha k prov\xE1d\u011Bc\xEDmu na\u0159\xEDzen\xED\
          \ Komise 2024/2690 s technick\xFDmi implementa\u010Dn\xEDmi pokyny od ENISA"
        description: "Tento r\xE1mec vych\xE1z\xED ze 2 dokument\u016F:\n\n1. Prov\xE1\
          d\u011Bc\xED na\u0159\xEDzen\xED 2024/2690 kter\xFDm se stanov\xED pravidla\
          \ pro uplat\u0148ov\xE1n\xED sm\u011Brnice (EU) 2022/2555, pokud jde o technick\xE9\
          \ a metodick\xE9 po\u017Eadavky na opat\u0159en\xED k \u0159\xEDzen\xED\
          \ kybernetick\xFDch bezpe\u010Dnostn\xEDch rizik a bli\u017E\u0161\xED up\u0159\
          esn\u011Bn\xED p\u0159\xEDpad\u016F, v nich\u017E se incident pova\u017E\
          uje za v\xFDznamn\xFD, pokud jde o provozovatele DNS, registry dom\xE9n\
          \ nejvy\u0161\u0161\xED \xFArovn\u011B, poskytovatele slu\u017Eeb cloud\
          \ computingu, poskytovatele slu\u017Eeb datov\xFDch center, poskytovatele\
          \ s\xEDt\xED pro doru\u010Dov\xE1n\xED obsahu, poskytovatele \u0159\xED\
          zen\xFDch slu\u017Eeb, poskytovatele \u0159\xEDzen\xFDch bezpe\u010Dnostn\xED\
          ch slu\u017Eeb, poskytovatele on-line tr\u017Ei\u0161\u0165, internetov\xFD\
          ch vyhled\xE1va\u010D\u016F a slu\u017Eeb platforem soci\xE1ln\xEDch s\xED\
          t\xED a poskytovatele slu\u017Eeb vytv\xE1\u0159ej\xEDc\xEDch d\u016Fv\u011B\
          ru.\nhttps://eur-lex.europa.eu/legal-content/CS/TXT/HTML/?uri=OJ:L_202402690\n\
          Zdroj: https://www.enisa.europa.eu/publications/nis2-technical-implementation-guidance\n\
          \n2. Technick\xE9 implementa\u010Dn\xED pokyny k prov\xE1d\u011Bc\xEDmu\
          \ na\u0159\xEDzen\xED Komise (EU) 2024/2690 ze dne 17. \u0159\xEDjna 2024,\
          \ kter\xE9 stanovuje pravidla pro aplikaci sm\u011Brnice NIS2 ve vztahu\
          \ k technick\xFDm a metodologick\xFDm po\u017Eadavk\u016Fm opat\u0159en\xED\
          \ \u0159\xEDzen\xED kybernetick\xFDch rizik.\n\u010CERVEN 2025, VERZE 1.0\n\
          Zdroj: https://www.enisa.europa.eu/publications/nis2-technical-implementation-guidance"
      it:
        name: NIS2 - Allegato al Regolamento di Esecuzione della Commissione 2024/2690
          con Linee Guida Tecniche per l'Implementazione di ENISA
        description: "Questo quadro di riferimento deriva da 2 documenti:\n\n1. ALLEGATO\
          \ del Regolamento di Esecuzione della Commissione che stabilisce - ai sensi\
          \ dell\u2019articolo 2 - le disposizioni di attuazione della Direttiva (UE)\
          \ 2022/2555 per quanto riguarda i requisiti tecnici e metodologici delle\
          \ misure per la gestione dei rischi di cybersicurezza.\nLink: https://eur-lex.europa.eu/legal-content/IT/TXT/HTML/?uri=OJ:L_202402690\n\
          Fonte : https://www.enisa.europa.eu/publications/nis2-technical-implementation-guidance\n\
          \n2. Linee guida tecniche per l'attuazione del Regolamento di Esecuzione\
          \ della Commissione (UE) 2024/2690 del 17 ottobre 2024 che stabilisce le\
          \ regole per l'applicazione della Direttiva NIS2 riguardo ai requisiti tecnici\
          \ e metodologici delle misure di gestione del rischio in materia di cybersecurity.\n\
          GIUGNO 2025, VERSIONE 1.0\nFonte: https://www.enisa.europa.eu/publications/nis2-technical-implementation-guidance"
    requirement_nodes:
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:1
      assessable: false
      depth: 1
      ref_id: '1'
      name: POLICY ON THE SECURITY OF NETWORK AND INFORMATION SYSTEMS (ARTICLE 21(2),
        POINT (A) OF DIRECTIVE (EU) 2022/2555)
      translations:
        fr:
          name: "Politique relative \xE0 la s\xE9curit\xE9 des r\xE9seaux et des syst\xE8\
            mes d\u2019information [article\_21, paragraphe\_2, point\_a), de la directive\
            \ (UE)\_2022/2555]"
        es:
          name: "POL\xCDTICA SOBRE LA SEGURIDAD DE LOS SISTEMAS DE REDES Y DE INFORMACI\xD3\
            N [Art\xEDculo 21, Apartado 2, Letra A), de la directiva (UE) 2022/2555]"
        cs:
          name: "Politika bezpe\u010Dnosti s\xEDt\xED a informa\u010Dn\xEDch syst\xE9\
            m\u016F (\u010Dl. 21 odst. 2 p\xEDsm. a) sm\u011Brnice (EU) 2022/2555)"
        it:
          name: POLITICA IN MATERIA DI SICUREZZA DELLE RETI E DEI SISTEMI INFORMATIVI
            [ARTICOLO 21, PARAGRAFO 2, LETTERA A), DELLA DIRETTIVA (UE) 2022/2555]
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:1.1
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:1
      ref_id: '1.1'
      name: Policy on the security of network and information systems
      translations:
        fr:
          name: "Politique relative \xE0 la s\xE9curit\xE9 des r\xE9seaux et des syst\xE8\
            mes d\u2019information"
        es:
          name: "Pol\xEDtica sobre la seguridad de las redes y sistemas de informaci\xF3\
            n"
        cs:
          name: "Politika bezpe\u010Dnosti s\xEDt\xED a informa\u010Dn\xEDch syst\xE9\
            m\u016F"
        it:
          name: Politica in materia di sicurezza delle reti e dei sistemi informativi
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:1.1.1
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:1.1
      ref_id: 1.1.1
      description: 'For the purpose of Article 21(2), point (a) of Directive (EU)
        2022/2555, the policy on the security of network and information systems shall:'
      annotation: "\u2022 Set a policy on the security of network and information\
        \ systems, covering all systems, assets and procedures that fall within the\
        \ scope of the policy. \n\u2022 Make sure that relevant personnel and relevant\
        \ interested external parties, acknowledge the policy on the security of network\
        \ and information systems, typically through a signed document or digital\
        \ acknowledgement, where applicable.\n    o Depending on the context, external\
        \ parties may mean suppliers, service providers, shareholders, authorities,\
        \ visitors, external interest groups or forums.\n    o The acknowledgement\
        \ may be included in other contracts, such as employment contracts or service\
        \ provision contracts.\n    o The policy should be communicated to relevant\
        \ personnel and interested external parties in a form that is relevant, accessible\
        \ and understandable to the intended reader.\n    o Relevant personnel and\
        \ relevant interested external parties may not be made aware of the full text\
        \ of the policy. Depending on their role, an extract or a summary containing\
        \ only relevant information should be communicated and acknowledged. If the\
        \ policy is distributed outside the entity, care should be taken not to disclose\
        \ confidential information.\n    o For contractual requirements of direct\
        \ suppliers and service providers, point 5.1.4 of the Annex to the regulation.\
        \   \n\u2022 Make sure that personnel are aware of their responsibilities\
        \ for the security of network and information systems. \n\u2022 Make sure\
        \ that the policy on the security of network and information systems is approved\
        \ by the management bodies. \n\u2022 Make sure that the topic-specific policies\
        \ are approved by an appropriate level of management. \n\u2022 Make sure that\
        \ the policy includes detailed guidance on the procedures for managing policy\
        \ exceptions."
      typical_evidence: "\u2022 Documented policy on the security of network and information\
        \ systems which contains the elements required by points 1.1.1 (a) to 1.1.1\
        \ (k) of the Annex to the regulation. \n\u2022 The date of the formal approval\
        \ by the management bodies of the relevant entities, indicated in the policy\
        \ on the security of network and information systems. \n\u2022 Where applicable,\
        \ acknowledgement forms or employment contracts, signed by personnel, which\
        \ confirm they have read and understood the security policies. \n\u2022 Where\
        \ applicable, acknowledgement forms, service provision contracts or other\
        \ contracts, signed by relevant interested external parties, which confirm\
        \ they have read and understood the security policies. \n\u2022 Evidence that\
        \ the management bodies understand their role, responsibilities and authorities\
        \ regarding network and information security. This can include but is not\
        \ limited to:\n    o allocation of resources for policy implementation;\n\
        \    o requests (e.g. announcements, emails and documents) to personnel to\
        \ apply network and information security in accordance with the established\
        \ policies and procedures; and\n    o any initiatives that indicate that management\
        \ bodies promote improvement in the area of network and information security."
      translations:
        fr:
          description: "Aux fins de l\u2019article\_21, paragraphe\_2, point\_a),\
            \ de la directive (UE)\_2022/2555, la politique relative \xE0 la s\xE9\
            curit\xE9 des r\xE9seaux et des syst\xE8mes d\u2019information:"
          annotation: "\u2022 \xC9tablir une politique sur la s\xE9curit\xE9 des r\xE9\
            seaux et des syst\xE8mes d\u2019information, couvrant tous les syst\xE8\
            mes, actifs et proc\xE9dures qui entrent dans le champ d\u2019application\
            \ de la politique. \n\u2022 Assurez-vous que le personnel concern\xE9\
            \ et les parties externes int\xE9ress\xE9es reconnaissent la politique\
            \ sur la s\xE9curit\xE9 des r\xE9seaux et des syst\xE8mes d\u2019information,\
            \ g\xE9n\xE9ralement par le biais d\u2019un document sign\xE9 ou d\u2019\
            une reconnaissance num\xE9rique, le cas \xE9ch\xE9ant.\n    o Selon le\
            \ contexte, les parties externes peuvent \xEAtre des fournisseurs, des\
            \ prestataires de services, des actionnaires, des autorit\xE9s, des visiteurs,\
            \ des groupes d\u2019int\xE9r\xEAt externes ou des forums.\n    o La reconnaissance\
            \ peut \xEAtre incluse dans d\u2019autres contrats, tels que des contrats\
            \ de travail ou des contrats de prestation de services.\n    o La politique\
            \ doit \xEAtre communiqu\xE9e au personnel concern\xE9 et aux parties\
            \ externes int\xE9ress\xE9es sous une forme pertinente, accessible et\
            \ compr\xE9hensible pour le lecteur vis\xE9.\n    o Le personnel concern\xE9\
            \ et les parties externes int\xE9ress\xE9es concern\xE9es peuvent ne pas\
            \ \xEAtre inform\xE9s du texte int\xE9gral de la politique. En fonction\
            \ de leur r\xF4le, un extrait ou un r\xE9sum\xE9 ne contenant que des\
            \ informations pertinentes doit \xEAtre communiqu\xE9 et pris en consid\xE9\
            ration. Si la politique est distribu\xE9e \xE0 l\u2019ext\xE9rieur de\
            \ l\u2019entit\xE9, il faut veiller \xE0 ne pas divulguer d\u2019informations\
            \ confidentielles.\n    o Pour les exigences contractuelles des fournisseurs\
            \ directs et des prestataires de services, point 5.1.4 de l\u2019annexe\
            \ du r\xE8glement.   \n\u2022 S\u2019assurer que le personnel est conscient\
            \ de ses responsabilit\xE9s en mati\xE8re de s\xE9curit\xE9 des r\xE9\
            seaux et des syst\xE8mes d\u2019information. \n\u2022 S\u2019assurer que\
            \ la politique de s\xE9curit\xE9 des r\xE9seaux et des syst\xE8mes d\u2019\
            information est approuv\xE9e par les organes de gestion. \n\u2022 Assurez-vous\
            \ que les politiques sp\xE9cifiques au sujet sont approuv\xE9es par un\
            \ niveau appropri\xE9 de direction. \n\u2022 Assurez-vous que la politique\
            \ comprend des directives d\xE9taill\xE9es sur les proc\xE9dures de gestion\
            \ des exceptions de politique."
          typical_evidence: "\u2022 Politique document\xE9e en mati\xE8re de s\xE9\
            curit\xE9 des r\xE9seaux et des syst\xE8mes d\u2019information qui contient\
            \ les \xE9l\xE9ments requis par les points 1.1.1 (a) \xE0 1.1.1 (k) de\
            \ l\u2019annexe du r\xE8glement. \n\u2022 La date de l\u2019approbation\
            \ formelle par les organes de direction des entit\xE9s concern\xE9es,\
            \ indiqu\xE9e dans la politique de s\xE9curit\xE9 des r\xE9seaux et des\
            \ syst\xE8mes d\u2019information. \n\u2022 Le cas \xE9ch\xE9ant, des formulaires\
            \ de reconnaissance ou des contrats de travail, sign\xE9s par le personnel,\
            \ qui confirment qu\u2019ils ont lu et compris les politiques de s\xE9\
            curit\xE9. \n\u2022 Le cas \xE9ch\xE9ant, des formulaires de reconnaissance,\
            \ des contrats de prestation de services ou d\u2019autres contrats, sign\xE9\
            s par des parties externes int\xE9ress\xE9es concern\xE9es, qui confirment\
            \ qu\u2019elles ont lu et compris les politiques de s\xE9curit\xE9. \n\
            \u2022 La preuve que les organes de direction comprennent leur r\xF4le,\
            \ leurs responsabilit\xE9s et leurs pouvoirs en mati\xE8re de s\xE9curit\xE9\
            \ des r\xE9seaux et de l\u2019information. Cela peut inclure, mais sans\
            \ s\u2019y limiter :\n    o l\u2019allocation de ressources pour la mise\
            \ en \u0153uvre des politiques ;\n    o demandes (p. ex. annonces, courriels\
            \ et documents) au personnel d\u2019appliquer la s\xE9curit\xE9 du r\xE9\
            seau et de l\u2019information conform\xE9ment aux politiques et proc\xE9\
            dures \xE9tablies\_; et\n    o toute initiative indiquant que les organes\
            \ de direction promeuvent l\u2019am\xE9lioration dans le domaine de la\
            \ s\xE9curit\xE9 des r\xE9seaux et de l\u2019information."
        es:
          description: "A efectos del art\xEDculo 21, apartado 2, letra a), de la\
            \ Directiva (UE) 2022/2555, la pol\xEDtica de seguridad de los sistemas\
            \ de redes y de informaci\xF3n:"
          annotation: "\u2022 Establecer una pol\xEDtica de seguridad de las redes\
            \ y los sistemas de informaci\xF3n, que abarque todos los sistemas, activos\
            \ y procedimientos que entren en el \xE1mbito de aplicaci\xF3n de la pol\xED\
            tica. \n\u2022 Aseg\xFArese de que el personal pertinente y las partes\
            \ externas interesadas reconozcan la pol\xEDtica de seguridad de las redes\
            \ y los sistemas de informaci\xF3n, normalmente mediante un documento\
            \ firmado o un reconocimiento digital, cuando proceda.\n    o Dependiendo\
            \ del contexto, las partes externas pueden ser proveedores, prestadores\
            \ de servicios, accionistas, autoridades, visitantes, grupos de inter\xE9\
            s externos o foros.\n    o El reconocimiento puede incluirse en otros\
            \ contratos, como contratos de trabajo o contratos de prestaci\xF3n de\
            \ servicios.\n    o La pol\xEDtica debe ser comunicada al personal pertinente\
            \ y a las partes externas interesadas en una forma que sea relevante,\
            \ accesible y comprensible para el lector al que va dirigido.\n    o Es\
            \ posible que el personal pertinente y las partes externas interesadas\
            \ no conozcan el texto completo de la pol\xEDtica. Dependiendo de su funci\xF3\
            n, se debe comunicar y reconocer un extracto o un resumen que contenga\
            \ solo informaci\xF3n relevante. Si la p\xF3liza se distribuye fuera de\
            \ la entidad, se debe tener cuidado de no divulgar informaci\xF3n confidencial.\n\
            \    o Para los requisitos contractuales de los proveedores directos y\
            \ los prestadores de servicios, el punto 5.1.4 del anexo del reglamento.\
            \   \n\u2022 Asegurarse de que el personal sea consciente de sus responsabilidades\
            \ en materia de seguridad de las redes y los sistemas de informaci\xF3\
            n. \n\u2022 Asegurarse de que la pol\xEDtica de seguridad de las redes\
            \ y sistemas de informaci\xF3n sea aprobada por los \xF3rganos de gesti\xF3\
            n. \n\u2022 Aseg\xFArese de que las pol\xEDticas espec\xEDficas del tema\
            \ sean aprobadas por un nivel adecuado de gesti\xF3n. \n\u2022 Aseg\xFA\
            rese de que la pol\xEDtica incluya instrucciones detalladas sobre los\
            \ procedimientos para administrar las excepciones de la pol\xEDtica."
          typical_evidence: "\u2022 Pol\xEDtica documentada sobre la seguridad de\
            \ las redes y sistemas de informaci\xF3n que contenga los elementos exigidos\
            \ por los puntos 1.1.1 a) a 1.1.1 k) del anexo del Reglamento. \n\u2022\
            \ La fecha de la aprobaci\xF3n formal por parte de los \xF3rganos de gesti\xF3\
            n de las entidades pertinentes, indicada en la pol\xEDtica de seguridad\
            \ de las redes y sistemas de informaci\xF3n. \n\u2022 En su caso, hojas\
            \ de reconocimiento o contratos de trabajo, firmados por el personal,\
            \ que confirmen haber le\xEDdo y comprendido las pol\xEDticas de seguridad.\
            \ \n\u2022 En su caso, formularios de reconocimiento, contratos de prestaci\xF3\
            n de servicios u otros contratos, firmados por partes externas interesadas\
            \ relevantes, que confirmen que han le\xEDdo y entendido las pol\xEDticas\
            \ de seguridad. \n\u2022 Evidencia de que los \xF3rganos de gesti\xF3\
            n comprenden su papel, responsabilidades y autoridades en materia de seguridad\
            \ de las redes y de la informaci\xF3n. Esto puede incluir, entre otros:\n\
            \    o asignaci\xF3n de recursos para la implementaci\xF3n de pol\xED\
            ticas;\n    o solicitudes (por ejemplo, anuncios, correos electr\xF3nicos\
            \ y documentos) al personal para aplicar la seguridad de la red y la informaci\xF3\
            n de acuerdo con las pol\xEDticas y procedimientos establecidos; y\n \
            \   o cualquier iniciativa que indique que los \xF3rganos de gesti\xF3\
            n promueven la mejora en el \xE1mbito de la seguridad de las redes y de\
            \ la informaci\xF3n."
        cs:
          description: "Pro \xFA\u010Dely \u010Dl. 21 odst. 2 p\xEDsm. a) sm\u011B\
            rnice (EU) 2022/2555 politika bezpe\u010Dnosti s\xEDt\xED a informa\u010D\
            n\xEDch syst\xE9m\u016F:"
          annotation: "\u2022 Stanovit politiku bezpe\u010Dnosti s\xEDt\xED a informa\u010D\
            n\xEDch syst\xE9m\u016F, kter\xE1 se vztahuje na v\u0161echny syst\xE9\
            my, aktiva a postupy, kter\xE9 spadaj\xED do oblasti p\u016Fsobnosti t\xE9\
            to politiky. \n\u2022 Zajistit, aby p\u0159\xEDslu\u0161n\xED pracovn\xED\
            ci a p\u0159\xEDslu\u0161n\xE9 zainteresovan\xE9 extern\xED strany vzali\
            \ na v\u011Bdom\xED z\xE1sady bezpe\u010Dnosti s\xEDt\xED a informa\u010D\
            n\xEDch syst\xE9m\u016F, obvykle prost\u0159ednictv\xEDm podepsan\xE9\
            ho dokumentu nebo digit\xE1ln\xEDho potvrzen\xED, pokud je to relevantn\xED\
            .\n    o V z\xE1vislosti na kontextu mohou extern\xED strany znamenat\
            \ dodavatele, poskytovatele slu\u017Eeb, akcion\xE1\u0159e, \xFA\u0159\
            ady, n\xE1v\u0161t\u011Bvn\xEDky, extern\xED z\xE1jmov\xE9 skupiny nebo\
            \ f\xF3ra.\n    o Potvrzen\xED m\u016F\u017Ee b\xFDt obsa\u017Eeno v jin\xFD\
            ch smlouv\xE1ch, jako jsou pracovn\xED smlouvy nebo smlouvy o poskytov\xE1\
            n\xED slu\u017Eeb.\n    o Z\xE1sady by m\u011Bly b\xFDt sd\u011Bleny p\u0159\
            \xEDslu\u0161n\xFDm pracovn\xEDk\u016Fm a zainteresovan\xFDm extern\xED\
            m stran\xE1m ve form\u011B, kter\xE1 je relevantn\xED, p\u0159\xEDstupn\xE1\
            \ a srozumiteln\xE1 pro zam\xFD\u0161len\xE9ho \u010Dten\xE1\u0159e.\n\
            \    o P\u0159\xEDslu\u0161n\xED zam\u011Bstnanci a p\u0159\xEDslu\u0161\
            n\xE9 zainteresovan\xE9 extern\xED strany nemus\xED b\xFDt informov\xE1\
            ni o \xFApln\xE9m zn\u011Bn\xED z\xE1sad. V z\xE1vislosti na jejich \xFA\
            loze by m\u011Bl b\xFDt sd\u011Blen a uzn\xE1n v\xFD\u0148atek nebo shrnut\xED\
            \ obsahuj\xEDc\xED pouze relevantn\xED informace. Pokud je pojistka distribuov\xE1\
            na mimo subjekt, je t\u0159eba db\xE1t na to, aby nebyly zve\u0159ejn\u011B\
            ny d\u016Fv\u011Brn\xE9 informace.\n    o Pro smluvn\xED po\u017Eadavky\
            \ p\u0159\xEDm\xFDch dodavatel\u016F a poskytovatel\u016F slu\u017Eeb\
            \ bod 5.1.4 p\u0159\xEDlohy na\u0159\xEDzen\xED.   \n\u2022 Zajistit,\
            \ aby si zam\u011Bstnanci byli v\u011Bdomi sv\xE9 odpov\u011Bdnosti za\
            \ bezpe\u010Dnost s\xEDt\xED a informa\u010Dn\xEDch syst\xE9m\u016F. \n\
            \u2022 Zajistit, aby politika bezpe\u010Dnosti s\xEDt\xED a informa\u010D\
            n\xEDch syst\xE9m\u016F byla schv\xE1lena \u0159\xEDd\xEDc\xEDmi org\xE1\
            ny. \n\u2022 Ujist\u011Bte se, \u017Ee z\xE1sady pro konkr\xE9tn\xED t\xE9\
            ma jsou schv\xE1leny p\u0159\xEDslu\u0161nou \xFArovn\xED veden\xED. \n\
            \u2022 Ujist\u011Bte se, \u017Ee z\xE1sady obsahuj\xED podrobn\xE9 pokyny\
            \ k postup\u016Fm pro spr\xE1vu v\xFDjimek z\xE1sad."
          typical_evidence: "\u2022 Zdokumentovan\xE1 politika bezpe\u010Dnosti s\xED\
            t\xED a informa\u010Dn\xEDch syst\xE9m\u016F, kter\xE1 obsahuje prvky\
            \ po\u017Eadovan\xE9 v bodech 1.1.1 p\xEDsm. a) a\u017E 1.1.1 p\xEDsm.\
            \ k) p\u0159\xEDlohy na\u0159\xEDzen\xED. \n\u2022 Datum form\xE1ln\xED\
            ho schv\xE1len\xED \u0159\xEDd\xEDc\xEDmi org\xE1ny p\u0159\xEDslu\u0161\
            n\xFDch subjekt\u016F, uveden\xE9 v z\xE1sad\xE1ch bezpe\u010Dnosti s\xED\
            t\xED a informa\u010Dn\xEDch syst\xE9m\u016F. \n\u2022 Tam, kde je to\
            \ mo\u017En\xE9, formul\xE1\u0159e potvrzen\xED nebo pracovn\xED smlouvy\
            \ podepsan\xE9 zam\u011Bstnanci, kter\xE9 potvrzuj\xED, \u017Ee si p\u0159\
            e\u010Detli a porozum\u011Bli bezpe\u010Dnostn\xEDm z\xE1sad\xE1m. \n\u2022\
            \ Tam, kde je to mo\u017En\xE9, potvrzovac\xED formul\xE1\u0159e, smlouvy\
            \ o poskytov\xE1n\xED slu\u017Eeb nebo jin\xE9 smlouvy podepsan\xE9 p\u0159\
            \xEDslu\u0161n\xFDmi zainteresovan\xFDmi extern\xEDmi stranami, kter\xE9\
            \ potvrzuj\xED, \u017Ee si p\u0159e\u010Detly a porozum\u011Bly bezpe\u010D\
            nostn\xEDm z\xE1sad\xE1m. \n\u2022 D\u016Fkaz, \u017Ee \u0159\xEDd\xED\
            c\xED org\xE1ny ch\xE1pou svou roli, odpov\u011Bdnost a pravomoci t\xFD\
            kaj\xEDc\xED se bezpe\u010Dnosti s\xEDt\xED a informac\xED. To m\u016F\
            \u017Ee mimo jin\xE9 zahrnovat:\n    o alokaci zdroj\u016F na prov\xE1\
            d\u011Bn\xED politiky;\n    o \u017E\xE1dosti (nap\u0159. ozn\xE1men\xED\
            , e-maily a dokumenty) ur\u010Den\xE9 pracovn\xEDk\u016Fm, aby uplat\u0148\
            ovali zabezpe\u010Den\xED s\xEDt\u011B a informac\xED v souladu se zaveden\xFD\
            mi z\xE1sadami a postupy; a\n    o jak\xE9koli iniciativy, kter\xE9 nazna\u010D\
            uj\xED, \u017Ee \u0159\xEDd\xEDc\xED org\xE1ny podporuj\xED zlep\u0161\
            en\xED v oblasti bezpe\u010Dnosti s\xEDt\xED a informac\xED."
        it:
          description: 'Ai fini dell''articolo 21, paragrafo 2, lettera a), della
            direttiva (UE) 2022/2555, la politica in materia di sicurezza delle reti
            e dei sistemi informativi:'
          annotation: "\u2022 Stabilire una politica sulla sicurezza delle reti e\
            \ dei sistemi informativi, che copra tutti i sistemi, le risorse e le\
            \ procedure che rientrano nell'ambito di applicazione della politica.\
            \ \n\u2022 Assicurarsi che il personale interessato e le parti esterne\
            \ interessate riconoscano la politica sulla sicurezza delle reti e dei\
            \ sistemi informativi, in genere attraverso un documento firmato o una\
            \ conferma digitale, ove applicabile.\n    o A seconda del contesto, per\
            \ parti esterne possono intendersi fornitori, fornitori di servizi, azionisti,\
            \ autorit\xE0, visitatori, gruppi di interesse esterni o forum.\n    o\
            \ Il riconoscimento pu\xF2 essere incluso in altri contratti, come i contratti\
            \ di lavoro o i contratti di fornitura di servizi.\n    o L'informativa\
            \ deve essere comunicata al personale interessato e alle parti esterne\
            \ interessate in una forma che sia pertinente, accessibile e comprensibile\
            \ per il lettore previsto.\n    o Il personale interessato e le parti\
            \ esterne interessate potrebbero non essere a conoscenza del testo completo\
            \ dell'informativa. A seconda del loro ruolo, un estratto o una sintesi\
            \ contenente solo le informazioni pertinenti dovrebbe essere comunicato\
            \ e riconosciuto. Se la polizza \xE8 distribuita all'esterno dell'entit\xE0\
            , \xE8 necessario prestare attenzione a non divulgare informazioni riservate.\n\
            \    o Per le esigenze contrattuali dei fornitori diretti e dei prestatori\
            \ di servizi, si rimanda al punto 5.1.4 dell'Allegato al regolamento.\
            \   \n\u2022 Assicurarsi che il personale sia consapevole delle proprie\
            \ responsabilit\xE0 per la sicurezza della rete e dei sistemi informativi.\
            \ \n\u2022 Assicurarsi che la politica in materia di sicurezza delle reti\
            \ e dei sistemi informativi sia approvata dagli organi di gestione. \n\
            \u2022 Assicurarsi che le politiche specifiche per argomento siano approvate\
            \ da un livello di gestione appropriato. \n\u2022 Assicurarsi che la policy\
            \ includa una guida dettagliata sulle procedure per la gestione delle\
            \ eccezioni alla policy."
          typical_evidence: "\u2022 Politica documentata in materia di sicurezza delle\
            \ reti e dei sistemi informativi che contiene gli elementi richiesti dai\
            \ punti da 1.1.1 (a) a 1.1.1 (k) dell'Allegato al regolamento. \n\u2022\
            \ La data dell'approvazione formale da parte degli organi di gestione\
            \ degli enti competenti, indicata nella politica sulla sicurezza delle\
            \ reti e dei sistemi informativi. \n\u2022 Ove applicabile, moduli di\
            \ riconoscimento o contratti di lavoro, firmati dal personale, che confermino\
            \ la lettura e la comprensione delle politiche di sicurezza. \n\u2022\
            \ Ove applicabile, moduli di conferma, contratti di fornitura di servizi\
            \ o altri contratti, firmati da parti esterne interessate, che confermano\
            \ di aver letto e compreso le politiche di sicurezza. \n\u2022 Prova che\
            \ gli organi di gestione comprendono il loro ruolo, le loro responsabilit\xE0\
            \ e le loro autorit\xE0 in materia di sicurezza delle reti e dell'informazione.\
            \ Ci\xF2 pu\xF2 includere, a titolo esemplificativo ma non esaustivo:\n\
            \    o l'assegnazione di risorse per l'attuazione delle politiche;\n \
            \   o richieste (ad es. annunci, e-mail e documenti) al personale di applicare\
            \ la sicurezza della rete e dell'informazione in conformit\xE0 con le\
            \ politiche e le procedure stabilite; e\n    o qualsiasi iniziativa che\
            \ indichi che gli organi di gestione promuovono il miglioramento nel settore\
            \ della sicurezza delle reti e dell'informazione."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:1.1.1.a
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:1.1.1
      ref_id: 1.1.1.a
      description: "set out the relevant entities\u2019 approach to managing the security\
        \ of their network and information systems;"
      translations:
        fr:
          description: "d\xE9finit l\u2019approche que les entit\xE9s concern\xE9\
            es suivent pour g\xE9rer la s\xE9curit\xE9 de leurs r\xE9seaux et de leurs\
            \ syst\xE8mes d\u2019information;"
        es:
          description: "determinar\xE1 el enfoque de las entidades pertinentes para\
            \ gestionar la seguridad de sus sistemas de redes y de informaci\xF3n;"
        cs:
          description: "stanov\xED p\u0159\xEDstup p\u0159\xEDslu\u0161n\xFDch subjekt\u016F\
            \ k \u0159\xEDzen\xED bezpe\u010Dnosti jejich s\xEDt\xED a informa\u010D\
            n\xEDch syst\xE9m\u016F;"
        it:
          description: definire l'approccio dei soggetti pertinenti alla gestione
            della sicurezza della loro rete e dei loro sistemi informativi;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:1.1.1.b
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:1.1.1
      ref_id: 1.1.1.b
      description: "be appropriate to and complementary with the relevant entities\u2019\
        \ business strategy and objectives;"
      translations:
        fr:
          description: "est adapt\xE9e et apporte un compl\xE9ment \xE0 la strat\xE9\
            gie et aux objectifs \xE9conomiques des entit\xE9s concern\xE9es;"
        es:
          description: "se adecuar\xE1 a la estrategia y los objetivos operativos\
            \ de las entidades pertinentes y los completar\xE1;"
        cs:
          description: "odpov\xEDd\xE1 obchodn\xED strategii a c\xEDl\u016Fm p\u0159\
            \xEDslu\u0161n\xFDch subjekt\u016F a dopl\u0148uje je;"
        it:
          description: essere adeguati e complementari alla strategia e agli obiettivi
            aziendali dei soggetti pertinenti;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:1.1.1.c
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:1.1.1
      ref_id: 1.1.1.c
      description: set out network and information security objectives;
      translations:
        fr:
          description: "fixe des objectifs en mati\xE8re de s\xE9curit\xE9 des r\xE9\
            seaux et de l\u2019information;"
        es:
          description: "establecer\xE1 los objetivos de seguridad de las redes y de\
            \ la informaci\xF3n;"
        cs:
          description: "stanov\xED c\xEDle bezpe\u010Dnosti s\xEDt\xED a informac\xED\
            ;"
        it:
          description: definire gli obiettivi di sicurezza delle reti e dell'informazione;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:1.1.1.d
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:1.1.1
      ref_id: 1.1.1.d
      description: include a commitment to continual improvement of the security of
        network and information systems;
      translations:
        fr:
          description: "comprend un engagement \xE0 am\xE9liorer de fa\xE7on continue\
            \ la s\xE9curit\xE9 des r\xE9seaux et des syst\xE8mes d\u2019information;"
        es:
          description: "se comprometer\xE1 a mejorar constantemente la seguridad de\
            \ los sistemas de redes y de informaci\xF3n;"
        cs:
          description: "obsahuje z\xE1vazek k neust\xE1l\xE9mu zlep\u0161ov\xE1n\xED\
            \ bezpe\u010Dnosti s\xEDt\xED a informa\u010Dn\xEDch syst\xE9m\u016F;"
        it:
          description: includere l'impegno per il miglioramento continuo della sicurezza
            delle reti e dei sistemi informativi;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:1.1.1.e
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:1.1.1
      ref_id: 1.1.1.e
      description: include a commitment to provide the appropriate resources needed
        for its implementation, including the necessary staff, financial resources,
        processes, tools and technologies;
      translations:
        fr:
          description: "comprend un engagement \xE0 fournir les ressources appropri\xE9\
            es pour sa mise en \u0153uvre, y compris le personnel, les moyens financiers,\
            \ les proc\xE9dures, les outils et les technologies n\xE9cessaires;"
        es:
          description: "se comprometer\xE1 a facilitar los recursos oportunos para\
            \ su aplicaci\xF3n, incluidos el personal, los recursos financieros, los\
            \ procedimientos, las herramientas y las tecnolog\xEDas que se necesiten;"
        cs:
          description: "obsahuje z\xE1vazek poskytnout odpov\xEDdaj\xEDc\xED zdroje\
            \ pot\u0159ebn\xE9 pro jej\xED proveden\xED, v\u010Detn\u011B pot\u0159\
            ebn\xFDch zam\u011Bstnanc\u016F, finan\u010Dn\xEDch zdroj\u016F, postup\u016F\
            , n\xE1stroj\u016F a technologi\xED;"
        it:
          description: includere l'impegno a fornire le risorse adeguate necessarie
            per la sua attuazione, compresi il personale, le risorse finanziarie,
            i processi, gli strumenti e le tecnologie necessari;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:1.1.1.f
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:1.1.1
      ref_id: 1.1.1.f
      description: be communicated to and acknowledged by relevant employees and relevant
        interested external parties;
      translations:
        fr:
          description: "est communiqu\xE9e aux membres du personnel concern\xE9s et\
            \ aux tiers concern\xE9s, qui en prennent acte;"
        es:
          description: "ser\xE1 comunicada a los empleados y partes externas que proceda,\
            \ que deber\xE1n aprobarla;"
        cs:
          description: "je sd\u011Blena p\u0159\xEDslu\u0161n\xFDm zam\u011Bstnanc\u016F\
            m a dot\u010Den\xFDm z\xFA\u010Dastn\u011Bn\xFDm extern\xEDm stran\xE1\
            m a je jimi uzn\xE1na;"
        it:
          description: essere comunicati e riconosciuti dai dipendenti interessati
            e dalle parti esterne interessate;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:1.1.1.g
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:1.1.1
      ref_id: 1.1.1.g
      description: lay down roles and responsibilities pursuant to point 1.2.;
      translations:
        fr:
          description: "d\xE9finit les r\xF4les et les responsabilit\xE9s conform\xE9\
            ment au point\_1.2;"
        es:
          description: "presentar\xE1 los roles y responsabilidades con arreglo al\
            \ punto 1.2;"
        cs:
          description: "stanov\xED role a odpov\u011Bdnosti podle bodu 1.2.;"
        it:
          description: "stabilire i ruoli e le responsabilit\xE0 di cui al punto 1.2;"
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:1.1.1.h
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:1.1.1
      ref_id: 1.1.1.h
      description: list the documentation to be kept and the duration of retention
        of the documentation;
      translations:
        fr:
          description: "dresse la liste des documents \xE0 conserver en indiquant\
            \ leur dur\xE9e de conservation;"
        es:
          description: "detallar\xE1 la documentaci\xF3n que debe conservarse y la\
            \ duraci\xF3n del per\xEDodo de conservaci\xF3n;"
        cs:
          description: "uv\xE1d\xED seznam dokumentace, kter\xE1 m\xE1 b\xFDt uchov\xE1\
            v\xE1na, a dobu jej\xEDho uchov\xE1v\xE1n\xED;"
        it:
          description: elencare la documentazione da conservare e la durata di conservazione
            della documentazione;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:1.1.1.i
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:1.1.1
      ref_id: 1.1.1.i
      description: list the topic-specific policies;
      translations:
        fr:
          description: "\xE9num\xE8re les politiques concernant des domaines sp\xE9\
            cifiques;"
        es:
          description: "enumerar\xE1 las pol\xEDticas espec\xEDficas;"
        cs:
          description: "uv\xE1d\xED seznam politik specifick\xFDch pro toto t\xE9\
            ma;"
        it:
          description: elencare le politiche specifiche per argomento;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:1.1.1.j
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:1.1.1
      ref_id: 1.1.1.j
      description: "lay down indicators and measures to monitor its implementation\
        \ and the current status of relevant entities\u2019 maturity level of network\
        \ and information security;"
      translations:
        fr:
          description: "d\xE9finit des indicateurs et des mesures pour suivre sa mise\
            \ en \u0153uvre, ainsi que le stade de maturit\xE9 atteint par les entit\xE9\
            s concern\xE9es en ce qui concerne la s\xE9curit\xE9 des r\xE9seaux et\
            \ de l\u2019information;"
        es:
          description: "fijar\xE1 indicadores y medidas para supervisar su aplicaci\xF3\
            n y el estado actual del nivel de madurez de la seguridad de las redes\
            \ y de la informaci\xF3n de las entidades pertinentes;"
        cs:
          description: "stanov\xED ukazatele a opat\u0159en\xED ke sledov\xE1n\xED\
            \ jej\xEDho prov\xE1d\u011Bn\xED a aktu\xE1ln\xEDho stavu \xFArovn\u011B\
            \ vysp\u011Blosti bezpe\u010Dnosti s\xEDt\xED a informac\xED p\u0159\xED\
            slu\u0161n\xFDch subjekt\u016F;"
        it:
          description: "stabilisce indicatori e misure per monitorarne l'attuazione\
            \ e lo stato attuale del livello di maturit\xE0 della sicurezza delle\
            \ reti e dell'informazione dei soggetti pertinenti;"
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:1.1.1.k
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:1.1.1
      ref_id: 1.1.1.k
      description: "indicate the date of the formal approval by the management bodies\
        \ of the relevant entities (the \u2018management bodies\u2019)."
      translations:
        fr:
          description: "indique la date d\u2019approbation formelle par les organes\
            \ de direction des entit\xE9s concern\xE9es (ci-apr\xE8s les \xABorganes\
            \ de direction\xBB)."
        es:
          description: "indicar\xE1 la fecha de la aprobaci\xF3n formal por parte\
            \ de los \xF3rganos de direcci\xF3n de las entidades pertinentes [en adelante,\
            \ \xAB\xF3rgano(s) de direcci\xF3n\xBB]."
        cs:
          description: "uv\xE1d\xED datum form\xE1ln\xEDho schv\xE1len\xED \u0159\xED\
            d\xEDc\xEDmi org\xE1ny p\u0159\xEDslu\u0161n\xFDch subjekt\u016F (d\xE1\
            le jen \u201E\u0159\xEDd\xEDc\xED org\xE1ny\u201C)."
        it:
          description: "indicare la data dell'approvazione formale da parte degli\
            \ organi di gestione delle entit\xE0 pertinenti (gli \xABorgani di gestione\xBB\
            )."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:1.1.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:1.1
      ref_id: 1.1.2
      description: The network and information system security policy shall be reviewed
        and, where appropriate, updated by management bodies at least annually and
        when significant incidents or significant changes to operations or risks occur.
        The result of the reviews shall be documented.
      annotation: "\u2022 Review the policy on the security of network and information\
        \ systems at least annually, taking into account (indicative, non-exhaustive\
        \ list):\n    o updates to the risk assessment results and the risk treatment\
        \ plan (Annex to the regulation, point 2.1.4);\n    o relevant changes in\
        \ legislation (laws, regulations and other measures imposed by national competent\
        \ authorities);\n    o recommendations provided by relevant authorities;\n\
        \    o relevant changes in industry good practices;\n    o feedback from interested\
        \ parties;\n    o findings of compliance monitoring (section 2.2) and of independent\
        \ reviews (Annex to the regulation, point 2.3), including policy violations\
        \ or policy exceptions;\n    o incidents, even those affecting similar entities\
        \ in the sector.   \n\u2022 Update the policy on the security of network and\
        \ information systems and topic-specific policies, in line with new findings\
        \ that could affect the entity\u2019s approach to managing information security,\
        \ including (9):\n    o updates to the risk assessment results and the risk\
        \ treatment plan (Annex to the regulation, point 2.1.4);\n    o changes to\
        \ the network and information systems;\n    o changes to the environment of\
        \ operation;\n    o problems identified during the implementation of the policy;\n\
        \    o findings of compliance monitoring (Annex to the regulation, point 2.2.1)\
        \ and of independent reviews (Annex to the regulation, point 2.3), including\
        \ policy violations or policy exceptions;\n    o the status of preventive\
        \ and corrective actions;\n    o trends related to threats and vulnerabilities;\
        \ and\n    o known reported security incidents. \n\u2022 All updates to the\
        \ policy should be based on the covered entity's unique security risks identified\
        \ through its risk assessment. \n\u2022 Obtain approval for the revised policy\
        \ and the policy exceptions by the management bodies.\n\n[TIPS]\n\n\u2022\
        \ Analyse the policy on the security of network and information systems for\
        \ compliance with:\n    o legislative, regulatory and contractual requirements;\n\
        \    o awareness and training requirements (Annex to the regulation, points\
        \ 8.1 and 8.2); and\n    o business continuity requirements (Annex to the\
        \ regulation, point 4.1). \n\u2022 Define procedures to facilitate the implementation\
        \ of the policy on the security of network and information systems and associated\
        \ measures. \n\u2022 Examine documentation of post-incident reviews for significant\
        \ incidents (10) that include participation and input from management bodies.\
        \ \n\u2022 Ensure that the policy is:\n    o protected in terms of confidentiality\
        \ (on a need-to-know basis), integrity, availability and authenticity;\n \
        \   o managed properly so the information is complete, correct, understandable,\
        \ easily identifiable and retrievable.\n\n(9) The occurrence of the indicative\
        \ events provided does not automatically require a covered entity to update\
        \ its policy. Instead, the occurrence of such events should be considered\
        \ through the risk-assessment process, allowing the entity to determine whether\
        \ new policy updates are necessary to address its unique security risks identified\
        \ by the risk assessment.\n(10) In accordance with Articles 3 and 5-14 of\
        \ the regulation."
      typical_evidence: "\u2022 Review comments or change logs for the policy on the\
        \ security of network and information systems and topic-specific policies.\
        \ \n\u2022 Documentation of the review process of the requirements listed\
        \ in point 1.1.1 of the Annex to the regulation. \n\u2022 Up-to-date policy\
        \ on the security of network and information systems and topic-specific policies.\
        \ \n\u2022 Evidence that any updates to the policy on the security of network\
        \ and information systems and any policy exceptions, are approved by management\
        \ bodies and a record is kept. \n\u2022 Evidence that any updates to the topic-specific\
        \ policies are approved by an appropriate level of management and a record\
        \ is kept. \n\u2022 Records of the management review.\n\n[TIPS]\n\n\u2022\
        \ Documented policy on the security of network and information systems, including\
        \ networks and services in scope, assets supporting them and the security\
        \ objectives, including applicable laws and regulations, accessible to personnel.\
        \ \n\u2022 Documented topic-specific policies, including applicable laws and\
        \ regulations, accessible to relevant personnel. \n\u2022 Evidence of cybersecurity\
        \ training of management, for instance:\n    o training records;\n    o workshop\
        \ and seminar attendance; and\n    o continuous learning materials. \n\u2022\
        \ Internal communication logs, ad hoc reports or communication policy or records\
        \ showing regular briefings or updates provided to management bodies regarding\
        \ cybersecurity matters or during significant incidents."
      translations:
        fr:
          description: "La politique relative \xE0 la s\xE9curit\xE9 des r\xE9seaux\
            \ et des syst\xE8mes d\u2019information est r\xE9examin\xE9e et, s\u2019\
            il est besoin, mise \xE0 jour par les organes de direction au moins chaque\
            \ ann\xE9e, ainsi qu\u2019en cas d\u2019incidents importants ou lorsque\
            \ des changements majeurs concernant les op\xE9rations ou les risques\
            \ se produisent. Le r\xE9sultat de ces r\xE9examens est consign\xE9."
          annotation: "\u2022 R\xE9examiner la politique de s\xE9curit\xE9 des r\xE9\
            seaux et des syst\xE8mes d'information au moins une fois par an, en tenant\
            \ compte (liste indicative et non exhaustive) :\n    o des mises \xE0\
            \ jour des r\xE9sultats de l'\xE9valuation des risques et du plan de traitement\
            \ des risques (annexe du r\xE8glement, point 2.1. 4) ;\n    o les modifications\
            \ pertinentes de la l\xE9gislation (lois, r\xE8glements et autres mesures\
            \ impos\xE9es par les autorit\xE9s nationales comp\xE9tentes) ;\n    o\
            \ les recommandations formul\xE9es par les autorit\xE9s comp\xE9tentes\
            \ ;\n    o les modifications pertinentes des bonnes pratiques du secteur\
            \ ;\n    o le retour d'information des parties int\xE9ress\xE9es ;\n \
            \   o les conclusions du contr\xF4le de conformit\xE9 (section 2.2) et\
            \ des examens ind\xE9pendants (annexe du r\xE8glement, point 2.3), y compris\
            \ les violations ou les exceptions \xE0 la politique ;\n    o les incidents,\
            \ m\xEAme ceux qui touchent des entit\xE9s similaires dans le secteur.\n\
            \u2022 Mettre \xE0 jour la politique de s\xE9curit\xE9 des r\xE9seaux\
            \ et des syst\xE8mes d'information, ainsi que les politiques sp\xE9cifiques,\
            \ en fonction des nouvelles constatations susceptibles d'affecter l'approche\
            \ de l'entit\xE9 en mati\xE8re de gestion de la s\xE9curit\xE9 de l'information,\
            \ y compris (9) :\n    o les mises \xE0 jour des r\xE9sultats de l'\xE9\
            valuation des risques et du plan de traitement des risques (annexe du\
            \ r\xE8glement, point 2.1.4) ;\n    o les modifications apport\xE9es au\
            \ r\xE9seau et aux syst\xE8mes d'information ;\n    o les modifications\
            \ apport\xE9es \xE0 l'environnement d'exploitation ;\n    o les probl\xE8\
            mes identifi\xE9s lors de la mise en \u0153uvre de la politique ;\n  \
            \  o les r\xE9sultats du contr\xF4le de conformit\xE9 (annexe du r\xE8\
            glement, point 2.2.1) et des examens ind\xE9pendants (annexe du r\xE8\
            glement, point 2.3), y compris les violations ou les exceptions \xE0 la\
            \ politique ;\n    o l'\xE9tat des actions pr\xE9ventives et correctives\
            \ ;\n    o les tendances li\xE9es aux menaces et aux vuln\xE9rabilit\xE9\
            s ; et\n    o les incidents de s\xE9curit\xE9 connus qui ont \xE9t\xE9\
            \ signal\xE9s.\n\u2022 Toutes les mises \xE0 jour de la politique doivent\
            \ \xEAtre fond\xE9es sur les risques de s\xE9curit\xE9 propres \xE0 l'entit\xE9\
            \ couverte, identifi\xE9s dans le cadre de son \xE9valuation des risques.\
            \ \n\u2022 Obtenir l'approbation de la politique r\xE9vis\xE9e et des\
            \ exceptions \xE0 la politique par les organes de direction.\n\n[CONSEILS]\n\
            \n\u2022 Analyser la politique de s\xE9curit\xE9 des r\xE9seaux et des\
            \ syst\xE8mes d'information pour en v\xE9rifier la conformit\xE9 avec\
            \ :\n    o les exigences l\xE9gislatives, r\xE9glementaires et contractuelles\
            \ ;\n    o les exigences en mati\xE8re de sensibilisation et de formation\
            \ (annexe du r\xE8glement, points 8.1 et 8.2) ; et\n    o les exigences\
            \ en mati\xE8re de continuit\xE9 des activit\xE9s (annexe du r\xE8glement,\
            \ point 4.1).\n\u2022 D\xE9finir des proc\xE9dures pour faciliter la mise\
            \ en \u0153uvre de la politique de s\xE9curit\xE9 des r\xE9seaux et des\
            \ syst\xE8mes d'information et des mesures associ\xE9es. \n\u2022 Examiner\
            \ la documentation relative aux analyses post-incidents pour les incidents\
            \ significatifs (10) qui incluent la participation et l'apport des organes\
            \ de direction. \n\u2022 Veiller \xE0 ce que la politique soit :\n   \
            \ o prot\xE9g\xE9e en termes de confidentialit\xE9 (sur la base du besoin\
            \ d'en conna\xEEtre), d'int\xE9grit\xE9, de disponibilit\xE9 et d'authenticit\xE9\
            \ ;\n    o g\xE9r\xE9e correctement de mani\xE8re \xE0 ce que les informations\
            \ soient compl\xE8tes, correctes, compr\xE9hensibles, facilement identifiables\
            \ et r\xE9cup\xE9rables.\n\n(9) La survenance des \xE9v\xE9nements indicatifs\
            \ fournis n'oblige pas automatiquement une entit\xE9 couverte \xE0 mettre\
            \ \xE0 jour sa politique. Au contraire, la survenance de ces \xE9v\xE9\
            nements doit \xEAtre prise en compte dans le cadre du processus d'\xE9\
            valuation des risques, ce qui permet \xE0 l'entit\xE9 de d\xE9terminer\
            \ si de nouvelles mises \xE0 jour de sa politique sont n\xE9cessaires\
            \ pour faire face aux risques de s\xE9curit\xE9 qui lui sont propres et\
            \ qui ont \xE9t\xE9 mis en \xE9vidence lors de l'\xE9valuation des risques.\n\
            (10) Conform\xE9ment aux articles 3 et 5-14 du r\xE8glement."
          typical_evidence: "\u2022 Examiner les commentaires ou les journaux de modifications\
            \ pour la politique sur la s\xE9curit\xE9 des r\xE9seaux et des syst\xE8\
            mes d\u2019information et les politiques sp\xE9cifiques \xE0 un sujet.\
            \ \n\u2022 Documentation du processus de r\xE9vision des exigences \xE9\
            num\xE9r\xE9es au point 1.1.1 de l\u2019annexe du r\xE8glement. \n\u2022\
            \ Politique actualis\xE9e sur la s\xE9curit\xE9 des r\xE9seaux et des\
            \ syst\xE8mes d\u2019information et politiques th\xE9matiques. \n\u2022\
            \ La preuve que toute mise \xE0 jour de la politique de s\xE9curit\xE9\
            \ des r\xE9seaux et des syst\xE8mes d\u2019information et toute exception\
            \ \xE0 la politique sont approuv\xE9es par les organes de direction et\
            \ qu\u2019un registre est conserv\xE9. \n\u2022 Preuve que toute mise\
            \ \xE0 jour des politiques sp\xE9cifiques au sujet est approuv\xE9e par\
            \ un niveau appropri\xE9 de direction et qu\u2019un registre est conserv\xE9\
            . \n\u2022 Comptes rendus de la revue de direction.\n\n[CONSEILS]\n\n\u2022\
            \ Politique document\xE9e sur la s\xE9curit\xE9 des r\xE9seaux et des\
            \ syst\xE8mes d\u2019information, y compris les r\xE9seaux et les services\
            \ concern\xE9s, les actifs qui les soutiennent et les objectifs de s\xE9\
            curit\xE9, y compris les lois et r\xE8glements applicables, accessibles\
            \ au personnel. \n\u2022 Des politiques document\xE9es et sp\xE9cifiques\
            \ au sujet, y compris les lois et r\xE8glements applicables, accessibles\
            \ au personnel concern\xE9. \n\u2022 Preuve de la formation en cybers\xE9\
            curit\xE9 de la direction, par exemple :\n    o les dossiers de formation\
            \ ;\n    o participation \xE0 des ateliers et s\xE9minaires ; et\n   \
            \ o Mat\xE9riel d\u2019apprentissage continu. \n\u2022 Journaux de communication\
            \ interne, rapports ad hoc ou politique de communication ou enregistrements\
            \ montrant des briefings r\xE9guliers ou des mises \xE0 jour fournies\
            \ aux organes de direction sur les questions de cybers\xE9curit\xE9 ou\
            \ lors d\u2019incidents significatifs."
        es:
          description: "El \xF3rgano de direcci\xF3n revisar\xE1 y, cuando proceda,\
            \ actualizar\xE1 la pol\xEDtica de seguridad de los sistemas de redes\
            \ y de informaci\xF3n al menos una vez al a\xF1o, as\xED como cuando se\
            \ produzcan incidentes significativos o cambios significativos en las\
            \ operaciones o los riesgos. Los resultados de las revisiones quedar\xE1\
            n documentados."
          annotation: "\u2022 Revisar la pol\xEDtica de seguridad de las redes y los\
            \ sistemas de informaci\xF3n al menos una vez al a\xF1o, teniendo en cuenta\
            \ (lista indicativa, no exhaustiva):\n    o las actualizaciones de los\
            \ resultados de la evaluaci\xF3n de riesgos y del plan de tratamiento\
            \ de riesgos (anexo del Reglamento, punto 2.1. 4);\n    o los cambios\
            \ pertinentes en la legislaci\xF3n (leyes, reglamentos y otras medidas\
            \ impuestas por las autoridades nacionales competentes);\n    o las recomendaciones\
            \ formuladas por las autoridades pertinentes;\n    o los cambios pertinentes\
            \ en las buenas pr\xE1cticas del sector;\n    o las reacciones de las\
            \ partes interesadas;\n    o las conclusiones de la supervisi\xF3n del\
            \ cumplimiento (secci\xF3n 2.2) y de las revisiones independientes (anexo\
            \ del reglamento, punto 2.3), incluidas las infracciones o excepciones\
            \ de la pol\xEDtica;\n    o los incidentes, incluso los que afecten a\
            \ entidades similares del sector.\n\u2022 Actualizar la pol\xEDtica de\
            \ seguridad de las redes y los sistemas de informaci\xF3n y las pol\xED\
            ticas espec\xEDficas de cada tema, en funci\xF3n de los nuevos hallazgos\
            \ que puedan afectar al enfoque de la entidad para gestionar la seguridad\
            \ de la informaci\xF3n, incluyendo (9):\n    o los cambios en la red y\
            \ los sistemas de informaci\xF3n;\n    o los cambios en el entorno operativo;\n\
            \    o los problemas detectados durante la aplicaci\xF3n de la pol\xED\
            tica;\n    o los resultados de la supervisi\xF3n del cumplimiento (anexo\
            \ del Reglamento, punto 2.2.1) y de las revisiones independientes (anexo\
            \ del Reglamento, punto 2.3), incluidas las infracciones o excepciones\
            \ de la pol\xEDtica;\n    o el estado de las medidas preventivas y correctoras;\n\
            \    o las tendencias relacionadas con las amenazas y vulnerabilidades;\
            \ y\n    o los incidentes de seguridad conocidos que se hayan notificado.\n\
            \u2022 Todas las actualizaciones de la pol\xEDtica deben basarse en los\
            \ riesgos de seguridad espec\xEDficos de la entidad cubierta identificados\
            \ a trav\xE9s de su evaluaci\xF3n de riesgos. \n\u2022 Obtener la aprobaci\xF3\
            n de la pol\xEDtica revisada y de las excepciones a la pol\xEDtica por\
            \ parte de los \xF3rganos de direcci\xF3n.\n\n[CONSEJOS]\n\n\u2022 Analizar\
            \ la pol\xEDtica de seguridad de las redes y sistemas de informaci\xF3\
            n para comprobar su conformidad con:\n    o los requisitos legislativos,\
            \ reglamentarios y contractuales;\n    o los requisitos de sensibilizaci\xF3\
            n y formaci\xF3n (anexo del reglamento, puntos 8.1 y 8.2); y\n    o los\
            \ requisitos de continuidad de la actividad (anexo del reglamento, punto\
            \ 4.1).\n\u2022 Definir procedimientos para facilitar la aplicaci\xF3\
            n de la pol\xEDtica de seguridad de las redes y sistemas de informaci\xF3\
            n y las medidas asociadas. \n\u2022 Examinar la documentaci\xF3n de las\
            \ revisiones posteriores a incidentes significativos (10) que incluyan\
            \ la participaci\xF3n y las aportaciones de los \xF3rganos de direcci\xF3\
            n. \n\u2022 Garantizar que la pol\xEDtica est\xE1:\n    o protegida en\
            \ t\xE9rminos de confidencialidad (en funci\xF3n de la necesidad de conocer),\
            \ integridad, disponibilidad y autenticidad;\n    o gestionada adecuadamente\
            \ para que la informaci\xF3n sea completa, correcta, comprensible, f\xE1\
            cilmente identificable y recuperable.\n\n(9) La ocurrencia de los hechos\
            \ indicativos previstos no obliga autom\xE1ticamente a una entidad cubierta\
            \ a actualizar su pol\xEDtica. Por el contrario, la aparici\xF3n de tales\
            \ sucesos debe considerarse a trav\xE9s del proceso de evaluaci\xF3n de\
            \ riesgos, permitiendo a la entidad determinar si son necesarias nuevas\
            \ actualizaciones de la pol\xEDtica para abordar sus riesgos de seguridad\
            \ \xFAnicos identificados por la evaluaci\xF3n de riesgos.\n(10) De conformidad\
            \ con los art\xEDculos 3 y 5-14 del Reglamento."
          typical_evidence: "\u2022 Revisar los comentarios o los registros de cambios\
            \ de la pol\xEDtica sobre la seguridad de los sistemas de red e informaci\xF3\
            n y las pol\xEDticas sobre temas espec\xEDficos. \n\u2022 Documentaci\xF3\
            n del proceso de revisi\xF3n de los requisitos enumerados en el punto\
            \ 1.1.1 del Anexo del Reglamento. \n\u2022 Pol\xEDtica actualizada sobre\
            \ la seguridad de las redes y los sistemas de informaci\xF3n y pol\xED\
            ticas espec\xEDficas por temas. \n\u2022 Evidencia de que cualquier actualizaci\xF3\
            n de la pol\xEDtica de seguridad de las redes y sistemas de informaci\xF3\
            n, as\xED como cualquier excepci\xF3n a la pol\xEDtica, son aprobadas\
            \ por los \xF3rganos de gesti\xF3n y se mantiene un registro. \n\u2022\
            \ Evidencia de que cualquier actualizaci\xF3n de las pol\xEDticas espec\xED\
            ficas del tema es aprobada por un nivel apropiado de administraci\xF3\
            n y se mantiene un registro. \n\u2022 Registros de la revisi\xF3n por\
            \ la direcci\xF3n.\n\n[CONSEJOS]\n\n\u2022 Pol\xEDtica documentada sobre\
            \ la seguridad de las redes y los sistemas de informaci\xF3n, incluidas\
            \ las redes y los servicios en su \xE1mbito, los activos que los respaldan\
            \ y los objetivos de seguridad, incluidas las leyes y reglamentos aplicables,\
            \ accesibles al personal. \n\u2022 Pol\xEDticas documentadas sobre temas\
            \ espec\xEDficos, incluidas las leyes y regulaciones aplicables, accesibles\
            \ para el personal relevante. \n\u2022 Evidencia de capacitaci\xF3n en\
            \ ciberseguridad de la gerencia, por ejemplo:\n    o registros de formaci\xF3\
            n;\n    o Asistencia a talleres y seminarios; y\n    o Materiales de aprendizaje\
            \ continuo. \n\u2022 Registros de comunicaci\xF3n interna, informes ad\
            \ hoc o pol\xEDtica de comunicaci\xF3n o registros que muestren sesiones\
            \ informativas peri\xF3dicas o actualizaciones proporcionadas a los \xF3\
            rganos de gesti\xF3n en materia de ciberseguridad o durante incidentes\
            \ significativos."
        cs:
          description: "Bezpe\u010Dnostn\xED politiku v oblasti s\xEDt\xED a informa\u010D\
            n\xEDch syst\xE9m\u016F \u0159\xEDd\xEDc\xED org\xE1ny p\u0159ezkoum\xE1\
            vaj\xED a v p\u0159\xEDpad\u011B pot\u0159eby aktualizuj\xED nejm\xE9\
            n\u011B ka\u017Ed\xFD rok a v\u017Edy v p\u0159\xEDpad\u011B v\xFDskytu\
            \ v\xFDznamn\xFDch incident\u016F nebo v\xFDznamn\xFDch zm\u011Bn operac\xED\
            \ \u010Di rizik. V\xFDsledky p\u0159ezkum\u016F se zdokumentuj\xED."
          annotation: "\u2022 P\u0159ezkoum\xE1n\xED politiky bezpe\u010Dnosti s\xED\
            t\xED a informa\u010Dn\xEDch syst\xE9m\u016F alespo\u0148 jednou ro\u010D\
            n\u011B s p\u0159ihl\xE9dnut\xEDm k (orienta\u010Dn\xEDmu, ne\xFApln\xE9\
            mu seznamu):\n    o aktualizace v\xFDsledk\u016F hodnocen\xED rizik a\
            \ pl\xE1nu o\u0161et\u0159en\xED rizik (p\u0159\xEDloha na\u0159\xEDzen\xED\
            , bod 2.1. 4);\n    o relevantn\xED zm\u011Bny v legislativ\u011B (z\xE1\
            kony, na\u0159\xEDzen\xED a jin\xE1 opat\u0159en\xED ulo\u017Een\xE1 p\u0159\
            \xEDslu\u0161n\xFDmi vnitrost\xE1tn\xEDmi org\xE1ny);\n    o doporu\u010D\
            en\xED poskytnut\xE1 p\u0159\xEDslu\u0161n\xFDmi org\xE1ny;\n    o relevantn\xED\
            \ zm\u011Bny v osv\u011Bd\u010Den\xFDch postupech v odv\u011Btv\xED;\n\
            \    o zp\u011Btnou vazbu od zainteresovan\xFDch stran;\n    o zji\u0161\
            t\u011Bn\xED z monitorov\xE1n\xED shody (bod 2.2) a z nez\xE1visl\xFD\
            ch p\u0159ezkum\u016F (p\u0159\xEDloha na\u0159\xEDzen\xED, bod 2.3),\
            \ v\u010Detn\u011B poru\u0161en\xED politiky nebo v\xFDjimek z politiky;\n\
            \    o incidenty, a to i ty, kter\xE9 se t\xFDkaj\xED podobn\xFDch subjekt\u016F\
            \ v odv\u011Btv\xED.\n\u2022 Aktualizace politiky bezpe\u010Dnosti s\xED\
            t\xED a informa\u010Dn\xEDch syst\xE9m\u016F a tematick\xFDch politik\
            \ v souladu s nov\xFDmi zji\u0161t\u011Bn\xEDmi, kter\xE1 by mohla ovlivnit\
            \ p\u0159\xEDstup subjektu k \u0159\xEDzen\xED bezpe\u010Dnosti informac\xED\
            , v\u010Detn\u011B (9):\n    o aktualizace v\xFDsledk\u016F hodnocen\xED\
            \ rizik a pl\xE1nu o\u0161et\u0159en\xED rizik (p\u0159\xEDloha na\u0159\
            \xEDzen\xED, bod 2.1.4);\n    o zm\u011Bny v s\xEDti a informa\u010Dn\xED\
            ch syst\xE9mech;\n    o zm\u011Bny v provozn\xEDm prost\u0159ed\xED;\n\
            \    o probl\xE9my zji\u0161t\u011Bn\xE9 p\u0159i prov\xE1d\u011Bn\xED\
            \ politiky;\n    o zji\u0161t\u011Bn\xED z monitorov\xE1n\xED shody (p\u0159\
            \xEDloha na\u0159\xEDzen\xED, bod 2.2.1) a z nez\xE1visl\xFDch p\u0159\
            ezkum\u016F (p\u0159\xEDloha na\u0159\xEDzen\xED, bod 2.3), v\u010Detn\u011B\
            \ poru\u0161en\xED politiky nebo v\xFDjimek z politiky;\n    o stav preventivn\xED\
            ch a n\xE1pravn\xFDch opat\u0159en\xED;\n    o trendy t\xFDkaj\xEDc\xED\
            \ se hrozeb a zranitelnost\xED a\n    o zn\xE1m\xE9 nahl\xE1\u0161en\xE9\
            \ bezpe\u010Dnostn\xED incidenty.\n\u2022 Ve\u0161ker\xE9 aktualizace\
            \ z\xE1sad by m\u011Bly vych\xE1zet z jedine\u010Dn\xFDch bezpe\u010D\
            nostn\xEDch rizik kryt\xE9ho subjektu zji\u0161t\u011Bn\xFDch na z\xE1\
            klad\u011B jeho hodnocen\xED rizik. \n\u2022 Z\xEDskejte schv\xE1len\xED\
            \ revidovan\xE9 politiky a v\xFDjimek z politiky ze strany \u0159\xED\
            dic\xEDch org\xE1n\u016F.\n\n[TIPY]\n\n\u2022 Analyzujte politiku bezpe\u010D\
            nosti s\xEDt\xED a informa\u010Dn\xEDch syst\xE9m\u016F z hlediska souladu\
            \ s:\n    o legislativn\xEDmi, regula\u010Dn\xEDmi a smluvn\xEDmi po\u017E\
            adavky;\n    o po\u017Eadavky na informovanost a \u0161kolen\xED (p\u0159\
            \xEDloha na\u0159\xEDzen\xED, body 8.1 a 8.2); a\n    o po\u017Eadavky\
            \ na kontinuitu provozu (p\u0159\xEDloha na\u0159\xEDzen\xED, bod 4.1).\n\
            \u2022 Definujte postupy usnad\u0148uj\xEDc\xED prov\xE1d\u011Bn\xED politiky\
            \ bezpe\u010Dnosti s\xEDt\xED a informa\u010Dn\xEDch syst\xE9m\u016F a\
            \ souvisej\xEDc\xEDch opat\u0159en\xED. \n\u2022 Prov\u011B\u0159te dokumentaci\
            \ o p\u0159ezkoum\xE1n\xED po z\xE1va\u017En\xFDch incidentech (10), kter\xE1\
            \ zahrnuje \xFA\u010Dast a vstupy \u0159\xEDdic\xEDch org\xE1n\u016F.\
            \ \n\u2022 Zajist\u011Bte, aby politika byla:\n    o chr\xE1n\u011Bna\
            \ z hlediska d\u016Fv\u011Brnosti (na z\xE1klad\u011B pot\u0159eby zn\xE1\
            t), integrity, dostupnosti a autenticity;\n    o \u0159\xE1dn\u011B spravov\xE1\
            na tak, aby informace byly \xFApln\xE9, spr\xE1vn\xE9, srozumiteln\xE9\
            , snadno identifikovateln\xE9 a vyhledateln\xE9.\n\n(9) V\xFDskyt uveden\xFD\
            ch orienta\u010Dn\xEDch ud\xE1lost\xED nevy\u017Eaduje, aby kryt\xFD subjekt\
            \ automaticky aktualizoval svou politiku. M\xEDsto toho by m\u011Bl b\xFD\
            t v\xFDskyt t\u011Bchto ud\xE1lost\xED zva\u017Eov\xE1n v r\xE1mci procesu\
            \ hodnocen\xED rizik, co\u017E subjektu umo\u017En\xED ur\u010Dit, zda\
            \ je k \u0159e\u0161en\xED jeho jedine\u010Dn\xFDch bezpe\u010Dnostn\xED\
            ch rizik zji\u0161t\u011Bn\xFDch na z\xE1klad\u011B hodnocen\xED rizik\
            \ nutn\xE1 nov\xE1 aktualizace z\xE1sad.\n(10) V souladu s \u010Dl\xE1\
            nky 3 a 5-14 na\u0159\xEDzen\xED."
          typical_evidence: "\u2022 Kontrolovat koment\xE1\u0159e nebo protokoly zm\u011B\
            n v z\xE1sad\xE1ch t\xFDkaj\xEDc\xEDch se bezpe\u010Dnosti s\xEDt\xED\
            \ a informa\u010Dn\xEDch syst\xE9m\u016F a z\xE1sad specifick\xFDch pro\
            \ dan\xE9 t\xE9ma. \n\u2022 Dokumentace procesu p\u0159ezkumu po\u017E\
            adavk\u016F uveden\xFDch v bod\u011B 1.1.1 p\u0159\xEDlohy na\u0159\xED\
            zen\xED. \n\u2022 Aktu\xE1ln\xED z\xE1sady bezpe\u010Dnosti s\xEDt\xED\
            \ a informa\u010Dn\xEDch syst\xE9m\u016F a politiky specifick\xE9 pro\
            \ dan\xE9 t\xE9ma. \n\u2022 D\u016Fkaz, \u017Ee ve\u0161ker\xE9 aktualizace\
            \ z\xE1sad bezpe\u010Dnosti s\xEDt\xED a informa\u010Dn\xEDch syst\xE9\
            m\u016F a jak\xE9koli v\xFDjimky ze z\xE1sad jsou schv\xE1leny \u0159\xED\
            d\xEDc\xEDmi org\xE1ny a \u017Ee jsou vedeny z\xE1znamy. \n\u2022 D\u016F\
            kaz, \u017Ee ve\u0161ker\xE9 aktualizace z\xE1sad pro konkr\xE9tn\xED\
            \ t\xE9ma jsou schv\xE1leny p\u0159\xEDslu\u0161nou \xFArovn\xED veden\xED\
            \ a \u017Ee jsou uchov\xE1v\xE1ny z\xE1znamy. \n\u2022 Z\xE1znamy o p\u0159\
            ezkoum\xE1n\xED veden\xEDm.\n\n[TIPY]\n\n\u2022 Zdokumentovan\xE1 politika\
            \ bezpe\u010Dnosti s\xEDt\xED a informa\u010Dn\xEDch syst\xE9m\u016F,\
            \ v\u010Detn\u011B s\xEDt\xED a slu\u017Eeb v rozsahu, aktiv, kter\xE1\
            \ je podporuj\xED, a bezpe\u010Dnostn\xEDch c\xEDl\u016F, v\u010Detn\u011B\
            \ platn\xFDch z\xE1kon\u016F a p\u0159edpis\u016F, kter\xE9 jsou p\u0159\
            \xEDstupn\xE9 zam\u011Bstnanc\u016Fm. \n\u2022 Zdokumentovan\xE9 z\xE1\
            sady specifick\xE9 pro dan\xE9 t\xE9ma, v\u010Detn\u011B platn\xFDch z\xE1\
            kon\u016F a p\u0159edpis\u016F, p\u0159\xEDstupn\xE9 p\u0159\xEDslu\u0161\
            n\xFDm pracovn\xEDk\u016Fm. \n\u2022 Doklady o \u0161kolen\xED managementu\
            \ v oblasti kybernetick\xE9 bezpe\u010Dnosti, nap\u0159\xEDklad:\n   \
            \ o z\xE1znamy o \u0161kolen\xED;\n    o \xFA\u010Dast na workshopech\
            \ a semin\xE1\u0159\xEDch; a\n    o pr\u016Fb\u011B\u017En\xE9 vzd\u011B\
            l\xE1vac\xED materi\xE1ly. \n\u2022 Intern\xED komunika\u010Dn\xED protokoly,\
            \ ad hoc zpr\xE1vy nebo komunika\u010Dn\xED z\xE1sady nebo z\xE1znamy\
            \ zobrazuj\xEDc\xED pravideln\xE9 br\xEDfinky nebo aktualizace poskytovan\xE9\
            \ \u0159\xEDd\xEDc\xEDm org\xE1n\u016Fm v souvislosti s ot\xE1zkami kybernetick\xE9\
            \ bezpe\u010Dnosti nebo b\u011Bhem v\xFDznamn\xFDch incident\u016F."
        it:
          description: "La politica di sicurezza delle reti e dei sistemi informativi\
            \ \xE8 riesaminata e, se del caso, aggiornata dagli organi di gestione\
            \ almeno una volta all'anno e ogniqualvolta si verifichino incidenti significativi\
            \ o modifiche significative delle operazioni o dei rischi. L'esito delle\
            \ revisioni \xE8 documentato."
          annotation: "\u2022 Rivedere la politica sulla sicurezza della rete e dei\
            \ sistemi informativi almeno una volta all'anno, tenendo conto (elenco\
            \ indicativo e non esaustivo):\n    o degli aggiornamenti dei risultati\
            \ della valutazione dei rischi e del piano di trattamento dei rischi (Allegato\
            \ al regolamento, punto 2.1. 4);\n    o cambiamenti rilevanti nella legislazione\
            \ (leggi, regolamenti e altre misure imposte dalle autorit\xE0 nazionali\
            \ competenti);\n    o raccomandazioni fornite dalle autorit\xE0 competenti;\n\
            \    o cambiamenti rilevanti nelle buone pratiche del settore;\n    o\
            \ feedback da parte delle parti interessate;\n    o risultati del monitoraggio\
            \ della conformit\xE0 (sezione 2.2) e delle revisioni indipendenti (allegato\
            \ al regolamento, punto 2.3), comprese le violazioni o le eccezioni delle\
            \ politiche;\n    o incidenti, anche quelli che hanno colpito entit\xE0\
            \ simili nel settore.\n\u2022 Aggiornare la politica sulla sicurezza della\
            \ rete e dei sistemi informativi e le politiche specifiche per argomento,\
            \ in linea con le nuove scoperte che potrebbero influenzare l'approccio\
            \ dell'ente alla gestione della sicurezza delle informazioni, tra cui\
            \ (9):\n    o aggiornamenti dei risultati della valutazione del rischio\
            \ e del piano di trattamento del rischio (Allegato al regolamento, punto\
            \ 2.1. 4);\n    o modifiche alla rete e ai sistemi informativi;\n    o\
            \ modifiche all'ambiente operativo;\n    o problemi identificati durante\
            \ l'attuazione della politica;\n    o risultati del monitoraggio della\
            \ conformit\xE0 (Allegato al regolamento, punto 2.2.1) e delle revisioni\
            \ indipendenti (Allegato al regolamento, punto 2.3), comprese le violazioni\
            \ o le eccezioni alla politica;\n    o lo stato delle azioni preventive\
            \ e correttive;\n    o le tendenze relative alle minacce e alle vulnerabilit\xE0\
            ; e\n    o gli incidenti di sicurezza segnalati.\n\u2022 Tutti gli aggiornamenti\
            \ della policy devono essere basati sui rischi di sicurezza unici dell'entit\xE0\
            \ coperta identificati attraverso la valutazione dei rischi. \n\u2022\
            \ Ottenere l'approvazione della politica rivista e delle eccezioni alla\
            \ politica da parte degli organi di gestione.\n\n[SUGGERIMENTI]\n\n\u2022\
            \ Analizzare la politica sulla sicurezza della rete e dei sistemi informativi\
            \ per verificarne la conformit\xE0 con:\n    o i requisiti legislativi,\
            \ normativi e contrattuali;\n    o i requisiti di sensibilizzazione e\
            \ formazione (Allegato al regolamento, punti 8.1 e 8.2); e\n    o i requisiti\
            \ di continuit\xE0 operativa (Allegato al regolamento, punto 4.1).\n\u2022\
            \ Definire le procedure per facilitare l'attuazione della politica sulla\
            \ sicurezza della rete e dei sistemi informativi e delle misure associate.\
            \ \n\u2022 Esaminare la documentazione delle revisioni post-incidente\
            \ per gli incidenti significativi (10) che includono la partecipazione\
            \ e il contributo degli organi di gestione. \n\u2022 Assicurarsi che la\
            \ politica sia:\n    o protetta in termini di riservatezza (in base alla\
            \ necessit\xE0 di sapere), integrit\xE0, disponibilit\xE0 e autenticit\xE0\
            ;\n    o gestita in modo adeguato affinch\xE9 le informazioni siano complete,\
            \ corrette, comprensibili, facilmente identificabili e recuperabili.\n\
            \n(9) Il verificarsi degli eventi indicativi forniti non impone automaticamente\
            \ a un'entit\xE0 coperta di aggiornare la propria politica. Al contrario,\
            \ il verificarsi di tali eventi dovrebbe essere preso in considerazione\
            \ nell'ambito del processo di valutazione del rischio, consentendo all'entit\xE0\
            \ di determinare se sia necessario aggiornare la propria politica per\
            \ affrontare i rischi di sicurezza specifici identificati dalla valutazione\
            \ del rischio.\n(10) In conformit\xE0 agli articoli 3 e 5-14 del regolamento."
          typical_evidence: "\u2022 Esaminare i commenti o i registri delle modifiche\
            \ per la politica sulla sicurezza della rete e dei sistemi informativi\
            \ e le politiche specifiche per argomento. \n\u2022 Documentazione del\
            \ processo di revisione dei requisiti elencati al punto 1.1.1 dell'Allegato\
            \ al regolamento. \n\u2022 Politica aggiornata sulla sicurezza delle reti\
            \ e dei sistemi informativi e politiche specifiche per argomento. \n\u2022\
            \ Prova che eventuali aggiornamenti della politica sulla sicurezza delle\
            \ reti e dei sistemi informativi e le eventuali eccezioni alla politica,\
            \ sono approvati dagli organi di gestione e ne viene tenuto un registro.\
            \ \n\u2022 Prova che eventuali aggiornamenti alle politiche specifiche\
            \ per argomento siano approvati da un livello di gestione appropriato\
            \ e che venga tenuto un registro. \n\u2022 Verbali del riesame della direzione.\n\
            \n[CONSIGLI]\n\n\u2022 Politica documentata sulla sicurezza delle reti\
            \ e dei sistemi informativi, comprese le reti e i servizi nell'ambito\
            \ di applicazione, le risorse che li supportano e gli obiettivi di sicurezza,\
            \ comprese le leggi e i regolamenti applicabili, accessibili al personale.\
            \ \n\u2022 Politiche documentate specifiche per argomento, comprese le\
            \ leggi e i regolamenti applicabili, accessibili al personale interessato.\
            \ \n\u2022 Prove della formazione dei dirigenti in materia di cibersicurezza,\
            \ ad esempio:\n    o registri di formazione;\n    o partecipazione a workshop\
            \ e seminari; e\n    o Materiali per l'apprendimento continuo. \n\u2022\
            \ Registri di comunicazione interna, rapporti ad hoc o politiche di comunicazione\
            \ o registrazioni che mostrano briefing periodici o aggiornamenti forniti\
            \ agli organi di gestione in merito a questioni di sicurezza informatica\
            \ o in occasione di incidenti significativi."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:1.2
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:1
      ref_id: '1.2'
      name: Roles, responsibilities and authorities
      translations:
        fr:
          name: "R\xF4les, responsabilit\xE9s et pouvoirs"
        es:
          name: Roles, responsabilidades y autoridades
        cs:
          name: "\xDAkoly, odpov\u011Bdnosti a pravomoci"
        it:
          name: "Ruoli, responsabilit\xE0 e poteri"
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:1.2.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:1.2
      ref_id: 1.2.1
      description: "As part of their policy on the security of network and information\
        \ systems referred to in point 1.1., the relevant entities shall lay down\
        \ responsibilities and authorities for network and information system security\
        \ and assign them to roles, allocate them according to the relevant entities\u2019\
        \ needs, and communicate them to the management bodies."
      annotation: "\u2022 Write job descriptions in a way that clearly outlines rights\
        \ and responsibilities. \n\u2022 Assign security roles and responsibilities\
        \ to personnel and include these roles in the organisational chart. \n\u2022\
        \ Describe roles and assign corresponding responsibilities (e.g. chief information\
        \ security officer), based on the guidance of international frameworks and\
        \ standards, including the European cybersecurity skills framework (ECSF)\
        \ (11). \n\u2022 Ensure that the roles allocated are suitable for the size\
        \ and business needs of the entity. \n\u2022 Formally appoint competent personnel\
        \ in security roles. Ensure that these assigned persons are competent on the\
        \ basis of appropriate education, training or experience.\n\n(11) https://www.enisa.europa.eu/topics/skills-and-competences/skills-development/european-cybersecurity-skills-framework-ecsf."
      typical_evidence: "\u2022 Job descriptions. \n\u2022 List of security roles,\
        \ who occupies them and contact information. \n\u2022 Formal appointment of\
        \ the key security roles and responsibilities, for example, listed in the\
        \ company organigram or management decision, etc. \n\u2022 List of appointments\
        \ and description of responsibilities and tasks for security roles. \n\u2022\
        \ Evidence of competence of the assigned persons."
      translations:
        fr:
          description: "Dans le cadre de leur politique relative \xE0 la s\xE9curit\xE9\
            \ des r\xE9seaux et des syst\xE8mes d\u2019information vis\xE9e au point\_\
            1.1, les entit\xE9s concern\xE9es d\xE9finissent les responsabilit\xE9\
            s et les pouvoirs en mati\xE8re de s\xE9curit\xE9 des r\xE9seaux et des\
            \ syst\xE8mes d\u2019information; elles les associent \xE0 des r\xF4les,\
            \ les r\xE9partissent en fonction de leurs besoins et en informent leurs\
            \ organes de direction."
          annotation: "\u2022 R\xE9digez les descriptions de poste de mani\xE8re \xE0\
            \ d\xE9finir clairement les droits et les responsabilit\xE9s. \n\u2022\
            \ Attribuez des r\xF4les et des responsabilit\xE9s en mati\xE8re de s\xE9\
            curit\xE9 au personnel et incluez ces r\xF4les dans l\u2019organigramme.\
            \ \n\u2022 D\xE9crire les r\xF4les et attribuer les responsabilit\xE9\
            s correspondantes (par exemple, responsable principal de la s\xE9curit\xE9\
            \ de l\u2019information), sur la base des orientations des cadres et normes\
            \ internationaux, y compris le cadre europ\xE9en de comp\xE9tences en\
            \ cybers\xE9curit\xE9 (ECSF) (11). \n\u2022 S\u2019assurer que les r\xF4\
            les attribu\xE9s sont adapt\xE9s \xE0 la taille et aux besoins commerciaux\
            \ de l\u2019entit\xE9. \n\u2022 Nommer officiellement du personnel comp\xE9\
            tent dans des r\xF4les de s\xE9curit\xE9. Veiller \xE0 ce que ces personnes\
            \ soient comp\xE9tentes sur la base d\u2019\xE9tudes, de formation ou\
            \ d\u2019exp\xE9rience appropri\xE9es.\n\n(11) https://www.enisa.europa.eu/topics/skills-and-competences/skills-development/european-cybersecurity-skills-framework-ecsf."
          typical_evidence: "\u2022Descriptions. \n\u2022 Liste des r\xF4les de s\xE9\
            curit\xE9, qui les occupe et coordonn\xE9es. \n\u2022 Nomination officielle\
            \ des r\xF4les et responsabilit\xE9s cl\xE9s en mati\xE8re de s\xE9curit\xE9\
            , par exemple, \xE9num\xE9r\xE9s dans l\u2019organigramme de l\u2019entreprise\
            \ ou la d\xE9cision de la direction, etc. \n\u2022 Liste des nominations\
            \ et description des responsabilit\xE9s et des t\xE2ches pour les r\xF4\
            les de s\xE9curit\xE9. \n\u2022 Preuve de la comp\xE9tence des personnes\
            \ d\xE9sign\xE9es."
        es:
          description: "Como parte de la pol\xEDtica de seguridad de los sistemas\
            \ de redes y de informaci\xF3n a que hace referencia el punto 1.1, las\
            \ entidades pertinentes determinar\xE1n las responsabilidades y autoridades\
            \ en materia de seguridad de los sistemas de redes y de informaci\xF3\
            n y las asignar\xE1n a distintos roles, las repartir\xE1n en funci\xF3\
            n de las necesidades de la entidad y se las comunicar\xE1n a los \xF3\
            rganos de direcci\xF3n."
          annotation: "\u2022 Escribir descripciones de trabajo de una manera que\
            \ describa claramente los derechos y responsabilidades. \n\u2022 Asignar\
            \ roles y responsabilidades de seguridad al personal e incluir estos roles\
            \ en el organigrama. \n\u2022 Describir las funciones y asignar las responsabilidades\
            \ correspondientes (por ejemplo, director general de seguridad de la informaci\xF3\
            n), sobre la base de las orientaciones de los marcos y normas internacionales,\
            \ incluido el Marco Europeo de Capacidades en Ciberseguridad (CESC) (11).\
            \ \n\u2022 Asegurar que los roles asignados sean adecuados para el tama\xF1\
            o y las necesidades comerciales de la entidad. \n\u2022 Nombrar formalmente\
            \ a personal competente en funciones de seguridad. Asegurarse de que estas\
            \ personas asignadas sean competentes sobre la base de la educaci\xF3\
            n, la formaci\xF3n o la experiencia adecuadas.\n\n(11) https://www.enisa.europa.eu/topics/skills-and-competences/skills-development/european-cybersecurity-skills-framework-ecsf."
          typical_evidence: "\u2022 Descripciones de puestos. \n\u2022 Listado de\
            \ roles de seguridad, qui\xE9nes los ocupan e informaci\xF3n de contacto.\
            \ \n\u2022 Nombramiento formal de las funciones y responsabilidades clave\
            \ de seguridad, por ejemplo, enumeradas en el organigrama de la empresa\
            \ o en la decisi\xF3n de gesti\xF3n, etc. \n\u2022 Listado de nombramientos\
            \ y descripci\xF3n de responsabilidades y tareas para los roles de seguridad.\
            \ \n\u2022 Constancia de competencia de las personas asignadas."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty v r\xE1mci sv\xE9 politiky\
            \ bezpe\u010Dnosti s\xEDt\xED a informa\u010Dn\xEDch syst\xE9m\u016F uveden\xE9\
            \ v bod\u011B 1.1 stanov\xED odpov\u011Bdnosti a pravomoci v oblasti bezpe\u010D\
            nosti s\xEDt\xED a informa\u010Dn\xEDch syst\xE9m\u016F, p\u0159id\u011B\
            l\xED je k \xFAkol\u016Fm, rozd\u011Bl\xED je podle pot\u0159eb p\u0159\
            \xEDslu\u0161n\xFDch subjekt\u016F a sd\u011Bl\xED je \u0159\xEDd\xED\
            c\xEDm org\xE1n\u016Fm."
          annotation: "\u2022 Pi\u0161te popisy pracovn\xEDch m\xEDst tak, aby byla\
            \ jasn\u011B vymezena pr\xE1va a povinnosti. \n\u2022 P\u0159i\u0159a\u010F\
            te pracovn\xEDk\u016Fm bezpe\u010Dnostn\xED role a odpov\u011Bdnosti a\
            \ zahr\u0148te tyto role do organiza\u010Dn\xEDho sch\xE9matu. \n\u2022\
            \ Popi\u0161te \xFAlohy a p\u0159i\u0159a\u010Fte odpov\xEDdaj\xEDc\xED\
            \ odpov\u011Bdnosti (nap\u0159. hlavn\xED \xFA\u0159edn\xEDk pro bezpe\u010D\
            nost informac\xED) na z\xE1klad\u011B pokyn\u016F mezin\xE1rodn\xEDch\
            \ r\xE1mc\u016F a norem, v\u010Detn\u011B evropsk\xE9ho r\xE1mce dovednost\xED\
            \ v oblasti kybernetick\xE9 bezpe\u010Dnosti (ECSF) (11). \n\u2022 Zajist\u011B\
            te, aby p\u0159id\u011Blen\xE9 role odpov\xEDdaly velikosti a obchodn\xED\
            m pot\u0159eb\xE1m subjektu. \n\u2022 Form\xE1ln\u011B jmenovat kompetentn\xED\
            \ person\xE1l do bezpe\u010Dnostn\xEDch rol\xED. Zajistit, aby tyto p\u0159\
            id\u011Blen\xE9 osoby byly zp\u016Fsobil\xE9 na z\xE1klad\u011B odpov\xED\
            daj\xEDc\xEDho vzd\u011Bl\xE1n\xED, \u0161kolen\xED nebo zku\u0161enost\xED\
            .\n\n(11) https://www.enisa.europa.eu/topics/skills-and-competences/skills-development/european-cybersecurity-skills-framework-ecsf."
          typical_evidence: "\u2022 Popisy pracovn\xEDch m\xEDst. \n\u2022 Seznam\
            \ bezpe\u010Dnostn\xEDch rol\xED, kdo je obsazuje a kontaktn\xED \xFA\
            daje. \n\u2022 Form\xE1ln\xED jmenov\xE1n\xED kl\xED\u010Dov\xFDch bezpe\u010D\
            nostn\xEDch rol\xED a odpov\u011Bdnost\xED, nap\u0159\xEDklad uveden\xFD\
            ch v organiza\u010Dn\xEDm sch\xE9matu spole\u010Dnosti nebo v rozhodnut\xED\
            \ veden\xED atd. \n\u2022 Seznam sch\u016Fzek a popis odpov\u011Bdnost\xED\
            \ a \xFAkol\u016F pro bezpe\u010Dnostn\xED role. \n\u2022 Doklad o zp\u016F\
            sobilosti pov\u011B\u0159en\xFDch osob."
        it:
          description: "Nell'ambito della loro politica in materia di sicurezza delle\
            \ reti e dei sistemi informativi di cui al punto 1.1, i soggetti pertinenti\
            \ stabiliscono le responsabilit\xE0 e le autorit\xE0 in materia di sicurezza\
            \ delle reti e dei sistemi informativi e assegnano loro i ruoli, li assegnano\
            \ in base alle esigenze dei soggetti pertinenti e li comunicano agli organi\
            \ di gestione."
          annotation: "\u2022 Scrivi le descrizioni delle mansioni in modo da delineare\
            \ chiaramente diritti e responsabilit\xE0. \n\u2022 Assegnare ruoli e\
            \ responsabilit\xE0 di sicurezza al personale e includere tali ruoli nell'organigramma.\
            \ \n\u2022 Descrivere i ruoli e assegnare le responsabilit\xE0 corrispondenti\
            \ (ad esempio, responsabile della sicurezza delle informazioni), sulla\
            \ base degli orientamenti dei quadri e delle norme internazionali, tra\
            \ cui il quadro europeo per le competenze in materia di cibersicurezza\
            \ (ECSF) (11). \n\u2022 Assicurarsi che i ruoli assegnati siano adatti\
            \ alle dimensioni e alle esigenze aziendali dell'entit\xE0. \n\u2022 Nominare\
            \ formalmente personale competente nei ruoli di sicurezza. Assicurarsi\
            \ che le persone incaricate siano competenti sulla base di un'istruzione,\
            \ una formazione o un'esperienza adeguate.\n\n(11) https://www.enisa.europa.eu/topics/skills-and-competences/skills-development/european-cybersecurity-skills-framework-ecsf."
          typical_evidence: "\u2022 Descrizioni delle mansioni. \n\u2022 Elenco dei\
            \ ruoli di sicurezza, chi li occupa e informazioni di contatto. \n\u2022\
            \ Nomina formale dei ruoli e delle responsabilit\xE0 chiave per la sicurezza,\
            \ ad esempio elencati nell'organigramma aziendale o nella decisione della\
            \ direzione, ecc. \n\u2022 Elenco delle nomine e descrizione delle responsabilit\xE0\
            \ e dei compiti per i ruoli di sicurezza. \n\u2022 Prova di competenza\
            \ delle persone assegnate."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:1.2.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:1.2
      ref_id: 1.2.2
      description: The relevant entities shall require all personnel and third parties
        to apply network and information system security in accordance with the established
        network and information security policy, topic-specific policies and procedures
        of the relevant entities.
      annotation: "\u2022 Make personnel aware of the security roles in the entity\
        \ and when each role should be contacted. \n\u2022 Make personnel aware of\
        \ their network and information system security obligations, according to\
        \ their role. For the disciplinary process, see point 10.4 in the Annex to\
        \ the regulation. \n\u2022 Make relevant interested external parties aware\
        \ of their network and information system security obligations.\n    o For\
        \ contractual requirements of direct suppliers and service providers, see\
        \ point 5.1.4 in the Annex to the regulation.\n    o Consider third parties,\
        \ which means external entities or organisations not directly involved in\
        \ the operations of the entity in scope but that may still affect its network\
        \ and information security. For examples of relevant interested external parties,\
        \ consider the guidance in section 1.1. \n\u2022 The requirement that all\
        \ personnel and third parties apply network and information system security\
        \ should be communicated in a form that is relevant, accessible and understandable\
        \ to the intended reader.\n    o The network and information security policy,\
        \ topic-specific policies and procedures of the relevant entities do not necessarily\
        \ need to be communicated in their entirety."
      typical_evidence: "\u2022 Awareness/dissemination material for personnel, explaining\
        \ security roles and when/how they should be contacted. \n\u2022 Service level\
        \ agreements (SLAs), contracting contracts, data-processing agreements or\
        \ other types of contracts or agreements with third parties. \n\u2022 Acknowledgement\
        \ from third parties in various forms (letters, emails, portals or other online\
        \ options) confirming that they have received and understand their obligations\
        \ related to network and information system security, where such requirements\
        \ are not covered by contractual arrangements."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es exigent de l\u2019ensemble du\
            \ personnel et des tiers qu\u2019ils appliquent les mesures de s\xE9curit\xE9\
            \ des r\xE9seaux et des syst\xE8mes d\u2019information conform\xE9ment\
            \ \xE0 leur politique \xE9tablie en mati\xE8re de s\xE9curit\xE9 des r\xE9\
            seaux et de l\u2019information, \xE0 leurs politiques concernant des domaines\
            \ sp\xE9cifiques et \xE0 leurs proc\xE9dures respectives."
          annotation: "\u2022 Informer le personnel des r\xF4les de s\xE9curit\xE9\
            \ dans l\u2019entit\xE9 et du moment o\xF9 chaque r\xF4le doit \xEAtre\
            \ contact\xE9. \n\u2022 Sensibiliser le personnel \xE0 ses obligations\
            \ en mati\xE8re de s\xE9curit\xE9 des r\xE9seaux et des syst\xE8mes d\u2019\
            information, en fonction de son r\xF4le. Pour la proc\xE9dure disciplinaire,\
            \ voir le point 10.4 de l\u2019annexe du r\xE8glement. \n\u2022 Sensibiliser\
            \ les parties externes int\xE9ress\xE9es concern\xE9es \xE0 leurs obligations\
            \ en mati\xE8re de s\xE9curit\xE9 des r\xE9seaux et des syst\xE8mes d\u2019\
            information.\n    o Pour les exigences contractuelles des fournisseurs\
            \ directs et des prestataires de services, voir le point 5.1.4 de l\u2019\
            annexe du r\xE8glement.\n    o Tenir compte des tiers, c\u2019est-\xE0\
            -dire des entit\xE9s ou des organisations externes qui ne sont pas directement\
            \ impliqu\xE9es dans les op\xE9rations de l\u2019entit\xE9 concern\xE9\
            e mais qui peuvent tout de m\xEAme affecter la s\xE9curit\xE9 de son r\xE9\
            seau et de ses informations. Pour obtenir des exemples de parties externes\
            \ int\xE9ress\xE9es pertinentes, consultez les directives de la section\
            \ 1.1. \n\u2022 L\u2019obligation pour tout le personnel et les tiers\
            \ d\u2019appliquer la s\xE9curit\xE9 du r\xE9seau et du syst\xE8me d\u2019\
            information doit \xEAtre communiqu\xE9e sous une forme pertinente, accessible\
            \ et compr\xE9hensible pour le lecteur vis\xE9.\n    o La politique de\
            \ s\xE9curit\xE9 des r\xE9seaux et de l\u2019information, les politiques\
            \ et proc\xE9dures sp\xE9cifiques des entit\xE9s concern\xE9es n\u2019\
            ont pas n\xE9cessairement besoin d\u2019\xEAtre communiqu\xE9es dans leur\
            \ int\xE9gralit\xE9."
          typical_evidence: "\u2022 Mat\xE9riel de sensibilisation/diffusion pour\
            \ le personnel, expliquant les r\xF4les de la s\xE9curit\xE9 et quand/comment\
            \ ils doivent \xEAtre contact\xE9s. \n\u2022 Accords de niveau de service\
            \ (SLA), contrats contractuels, accords de traitement des donn\xE9es ou\
            \ autres types de contrats ou d\u2019accords avec des tiers. \n\u2022\
            \ Reconnaissance de tiers sous diverses formes (lettres, e-mails, portails\
            \ ou autres options en ligne) confirmant qu\u2019ils ont re\xE7u et compris\
            \ leurs obligations li\xE9es \xE0 la s\xE9curit\xE9 des r\xE9seaux et\
            \ des syst\xE8mes d\u2019information, lorsque ces exigences ne sont pas\
            \ couvertes par des accords contractuels."
        es:
          description: "Las entidades pertinentes exigir\xE1n a todo el personal y\
            \ a terceros que apliquen la seguridad de los sistemas de redes y de informaci\xF3\
            n de conformidad con la pol\xEDtica de seguridad de las redes y la informaci\xF3\
            n y las pol\xEDticas espec\xEDficas existentes, as\xED como con los procedimientos\
            \ de las entidades pertinentes."
          annotation: "\u2022 Informar al personal sobre los roles de seguridad en\
            \ la entidad y cu\xE1ndo se debe contactar con cada rol. \n\u2022 Sensibilizar\
            \ al personal sobre sus obligaciones de seguridad de redes y sistemas\
            \ de informaci\xF3n, de acuerdo con su funci\xF3n. Para el proceso disciplinario,\
            \ v\xE9ase el punto 10.4 del anexo del reglamento. \n\u2022 Informar a\
            \ las partes externas interesadas pertinentes de sus obligaciones en materia\
            \ de seguridad de las redes y los sistemas de informaci\xF3n.\n    o Para\
            \ los requisitos contractuales de los proveedores directos y los prestadores\
            \ de servicios, v\xE9ase el punto 5.1.4 del anexo del Reglamento.\n  \
            \  o Considerar a terceros, es decir, entidades u organizaciones externas\
            \ que no est\xE9n directamente involucradas en las operaciones de la entidad\
            \ en el \xE1mbito de aplicaci\xF3n, pero que a\xFAn puedan afectar su\
            \ red y la seguridad de la informaci\xF3n. Para ver ejemplos de partes\
            \ externas interesadas relevantes, considere la gu\xEDa en la secci\xF3\
            n 1.1. \n\u2022 El requisito de que todo el personal y terceros apliquen\
            \ la seguridad de las redes y los sistemas de informaci\xF3n debe comunicarse\
            \ de una forma que sea relevante, accesible y comprensible para el lector\
            \ al que va dirigido.\n    o La pol\xEDtica de seguridad de la red y de\
            \ la informaci\xF3n, las pol\xEDticas espec\xEDficas de cada tema y los\
            \ procedimientos de las entidades pertinentes no tienen por qu\xE9 comunicarse\
            \ necesariamente en su totalidad."
          typical_evidence: "\u2022 Material de sensibilizaci\xF3n/difusi\xF3n para\
            \ el personal, en el que se expliquen las funciones de seguridad y cu\xE1\
            ndo y c\xF3mo se debe contactar con ellos. \n\u2022 Acuerdos de nivel\
            \ de servicio (SLAs), contratos de contrataci\xF3n, acuerdos de procesamiento\
            \ de datos u otro tipo de contratos o acuerdos con terceros. \n\u2022\
            \ Reconocimiento de terceros en diversas formas (cartas, correos electr\xF3\
            nicos, portales u otras opciones en l\xEDnea) que confirmen que han recibido\
            \ y comprenden sus obligaciones relacionadas con la seguridad de las redes\
            \ y los sistemas de informaci\xF3n, cuando dichos requisitos no est\xE9\
            n cubiertos por acuerdos contractuales."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty vy\u017Eaduj\xED, aby v\u0161\
            ichni zam\u011Bstnanci a t\u0159et\xED strany uplat\u0148ovali bezpe\u010D\
            nost s\xEDt\xED a informa\u010Dn\xEDch syst\xE9m\u016F v souladu se zavedenou\
            \ politikou bezpe\u010Dnosti s\xEDt\xED a informac\xED, tematicky zam\u011B\
            \u0159en\xFDmi politikami a postupy p\u0159\xEDslu\u0161n\xFDch subjekt\u016F\
            ."
          annotation: "\u2022 Upozorn\u011Bte pracovn\xEDky na bezpe\u010Dnostn\xED\
            \ role v entit\u011B a na to, kdy je t\u0159eba ka\u017Edou roli kontaktovat.\
            \ \n\u2022 Upozornit person\xE1l na jeho povinnosti v oblasti bezpe\u010D\
            nosti s\xEDt\xED a informa\u010Dn\xEDch syst\xE9m\u016F v souladu s jeho\
            \ rol\xED. Pokud jde o disciplin\xE1rn\xED \u0159\xEDzen\xED, viz bod\
            \ 10.4 p\u0159\xEDlohy na\u0159\xEDzen\xED. \n\u2022 Informovat p\u0159\
            \xEDslu\u0161n\xE9 zainteresovan\xE9 extern\xED strany o jejich povinnostech\
            \ v oblasti bezpe\u010Dnosti s\xEDt\xED a informa\u010Dn\xEDch syst\xE9\
            m\u016F.\n    o Smluvn\xED po\u017Eadavky p\u0159\xEDm\xFDch dodavatel\u016F\
            \ a poskytovatel\u016F slu\u017Eeb viz bod 5.1.4 v p\u0159\xEDloze na\u0159\
            \xEDzen\xED.\n    o Zva\u017Ete t\u0159et\xED strany, co\u017E znamen\xE1\
            \ extern\xED subjekty nebo organizace, kter\xE9 se p\u0159\xEDmo nepod\xED\
            lej\xED na operac\xEDch subjektu v rozsahu, ale kter\xE9 mohou st\xE1\
            le ovliv\u0148ovat jeho bezpe\u010Dnost s\xEDt\u011B a informac\xED. P\u0159\
            \xEDklady relevantn\xEDch zainteresovan\xFDch extern\xEDch stran naleznete\
            \ v pokynech v odd\xEDle 1.1. \nPo\u017Eadavek, aby v\u0161ichni pracovn\xED\
            ci a t\u0159et\xED strany uplat\u0148ovali bezpe\u010Dnost s\xEDt\xED\
            \ a informa\u010Dn\xEDch syst\xE9m\u016F, by m\u011Bl b\xFDt sd\u011B\
            len formou, kter\xE1 je relevantn\xED, p\u0159\xEDstupn\xE1 a srozumiteln\xE1\
            \ zam\xFD\u0161len\xE9mu \u010Dten\xE1\u0159i.\n    o Politika bezpe\u010D\
            nosti s\xEDt\xED a informac\xED, tematick\xE9 politiky a postupy p\u0159\
            \xEDslu\u0161n\xFDch subjekt\u016F nemus\xED b\xFDt nutn\u011B sd\u011B\
            leny v pln\xE9m rozsahu."
          typical_evidence: "\u2022 Informa\u010Dn\xED/distribu\u010Dn\xED materi\xE1\
            ly pro person\xE1l, vysv\u011Btluj\xEDc\xED bezpe\u010Dnostn\xED role\
            \ a kdy/jak by m\u011Bly b\xFDt kontaktov\xE1ny. \n\u2022 Smlouvy o \xFA\
            rovni slu\u017Eeb (SLA), smluvn\xED smlouvy, smlouvy o zpracov\xE1n\xED\
            \ osobn\xEDch \xFAdaj\u016F nebo jin\xE9 typy smluv nebo dohod s t\u0159\
            et\xEDmi stranami. \n\u2022 Potvrzen\xED od t\u0159et\xEDch stran v r\u016F\
            zn\xFDch form\xE1ch (dopisy, e-maily, port\xE1ly nebo jin\xE9 online mo\u017E\
            nosti) potvrzuj\xEDc\xED, \u017Ee obdr\u017Eely a ch\xE1pou sv\xE9 povinnosti\
            \ t\xFDkaj\xEDc\xED se bezpe\u010Dnosti s\xEDt\xED a informa\u010Dn\xED\
            ch syst\xE9m\u016F, pokud tyto po\u017Eadavky nejsou pokryty smluvn\xED\
            mi ujedn\xE1n\xEDmi."
        it:
          description: I soggetti pertinenti impongono a tutto il personale e ai terzi
            di applicare la sicurezza delle reti e dei sistemi informativi conformemente
            alla politica di sicurezza delle reti e dell'informazione stabilita, alle
            politiche e alle procedure specifiche per argomento dei soggetti pertinenti.
          annotation: "\u2022 Rendere il personale consapevole dei ruoli di sicurezza\
            \ nell'entit\xE0 e di quando ciascun ruolo deve essere contattato. \n\u2022\
            \ Sensibilizzare il personale sugli obblighi di sicurezza della rete e\
            \ dei sistemi informativi, in base al proprio ruolo. Per il processo disciplinare\
            \ si veda il punto 10.4 dell'allegato al regolamento. \n\u2022 Sensibilizzare\
            \ le parti esterne interessate sui loro obblighi di sicurezza della rete\
            \ e del sistema informativo.\n    o Per le esigenze contrattuali dei fornitori\
            \ diretti e dei prestatori di servizi, si veda il punto 5.1.4 dell'Allegato\
            \ al regolamento.\n    o Prendere in considerazione terze parti, ovvero\
            \ entit\xE0 o organizzazioni esterne non direttamente coinvolte nelle\
            \ operazioni dell'entit\xE0 in questione, ma che possono comunque influire\
            \ sulla sua sicurezza della rete e delle informazioni. Per esempi di parti\
            \ esterne interessate, si considerino gli orientamenti nella sezione 1.1.\
            \ \n\u2022 L'obbligo per tutto il personale e per le terze parti di applicare\
            \ la sicurezza della rete e del sistema informativo deve essere comunicato\
            \ in una forma che sia pertinente, accessibile e comprensibile per il\
            \ lettore previsto.\n    o La politica di sicurezza delle reti e delle\
            \ informazioni, le politiche e le procedure specifiche per argomento degli\
            \ enti pertinenti non devono necessariamente essere comunicate nella loro\
            \ interezza."
          typical_evidence: "\u2022 Materiale di sensibilizzazione/divulgazione per\
            \ il personale, che spieghi i ruoli di sicurezza e quando/come dovrebbero\
            \ essere contattati. \n\u2022 Accordi sul livello di servizio (SLA), contratti\
            \ contrattuali, accordi sul trattamento dei dati o altri tipi di contratti\
            \ o accordi con terze parti. \n\u2022 Conferma da parte di terzi in varie\
            \ forme (lettere, e-mail, portali o altre opzioni online) che confermino\
            \ di aver ricevuto e compreso i loro obblighi relativi alla sicurezza\
            \ della rete e del sistema informativo, laddove tali requisiti non siano\
            \ coperti da accordi contrattuali."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:1.2.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:1.2
      ref_id: 1.2.3
      description: At least one person shall report directly to the management bodies
        on matters of network and information system security.
      annotation: "\u2022 Appoint a person (e.g. chief information security officer\
        \ or information security manager) responsible for overseeing network and\
        \ information security matters. \n\u2022 Make sure that this role is recognized\
        \ and duly authorized by management bodies."
      typical_evidence: "\u2022 Up-to-date documentation of the structure of security\
        \ role assignments and responsibilities. \n\u2022 Minutes from meetings with\
        \ the management. \n\u2022 Evidence of business decisions made (e.g. investments\
        \ in cybersecurity)."
      translations:
        fr:
          description: "Au moins une personne fait directement rapport aux organes\
            \ de direction sur les questions relatives \xE0 la s\xE9curit\xE9 des\
            \ r\xE9seaux et des syst\xE8mes d\u2019information."
          annotation: "\u2022 Nommer une personne (par exemple, un responsable de\
            \ la s\xE9curit\xE9 de l\u2019information ou un responsable de la s\xE9\
            curit\xE9 de l\u2019information) charg\xE9e de superviser les questions\
            \ de s\xE9curit\xE9 du r\xE9seau et de l\u2019information. \n\u2022 S\u2019\
            assurer que ce r\xF4le est reconnu et d\xFBment autoris\xE9 par les organes\
            \ de gestion."
          typical_evidence: "\u2022 Documentation \xE0 jour de la structure des attributions\
            \ et des responsabilit\xE9s des r\xF4les de s\xE9curit\xE9. \n\u2022 Proc\xE8\
            s-verbaux des r\xE9unions avec la direction. \n\u2022 Preuve des d\xE9\
            cisions commerciales prises (par exemple, investissements dans la cybers\xE9\
            curit\xE9)."
        es:
          description: "Al menos una persona informar\xE1 directamente a los \xF3\
            rganos de direcci\xF3n sobre cuestiones de seguridad de los sistemas de\
            \ redes y de informaci\xF3n."
          annotation: "\u2022 Designar a una persona (por ejemplo, un director de\
            \ seguridad de la informaci\xF3n o un gerente de seguridad de la informaci\xF3\
            n) responsable de supervisar los asuntos de seguridad de la red y de la\
            \ informaci\xF3n. \n\u2022 Asegurarse de que este papel sea reconocido\
            \ y debidamente autorizado por los \xF3rganos de gesti\xF3n."
          typical_evidence: "\u2022 Documentaci\xF3n actualizada de la estructura\
            \ de las asignaciones y responsabilidades de roles de seguridad. \n\u2022\
            \ Actas de reuniones con la direcci\xF3n. \n\u2022 Evidencia de las decisiones\
            \ comerciales tomadas (por ejemplo, inversiones en ciberseguridad)."
        cs:
          description: "\u0158\xEDd\xEDc\xEDm org\xE1n\u016Fm je v ot\xE1zk\xE1ch\
            \ bezpe\u010Dnosti s\xEDt\xED a informa\u010Dn\xEDch syst\xE9m\u016F p\u0159\
            \xEDmo pod\u0159\xEDzena alespo\u0148 jedna osoba."
          annotation: "\u2022 Jmenovat osobu (nap\u0159. vedouc\xEDho pracovn\xED\
            ka informa\u010Dn\xED bezpe\u010Dnosti nebo mana\u017Eera informa\u010D\
            n\xED bezpe\u010Dnosti) odpov\u011Bdnou za dohled nad z\xE1le\u017Eitostmi\
            \ bezpe\u010Dnosti s\xEDt\xED a informac\xED. \n\u2022 Ujist\u011Bte se,\
            \ \u017Ee tato role je uzn\xE1na a \u0159\xE1dn\u011B schv\xE1lena \u0159\
            \xEDd\xEDc\xEDmi org\xE1ny."
          typical_evidence: "\u2022 Aktu\xE1ln\xED dokumentace struktury p\u0159id\u011B\
            lov\xE1n\xED bezpe\u010Dnostn\xEDch rol\xED a odpov\u011Bdnost\xED. \n\
            \u2022 Z\xE1pisy z porad s veden\xEDm. \n\u2022 Evidence u\u010Din\u011B\
            n\xFDch obchodn\xEDch rozhodnut\xED (nap\u0159. investice do kybernetick\xE9\
            \ bezpe\u010Dnosti)."
        it:
          description: Almeno una persona riferisce direttamente agli organi di gestione
            su questioni relative alla sicurezza delle reti e dei sistemi informativi.
          annotation: "\u2022 Nominare una persona (ad esempio, responsabile della\
            \ sicurezza delle informazioni o responsabile della sicurezza delle informazioni)\
            \ responsabile della supervisione delle questioni relative alla sicurezza\
            \ delle reti e delle informazioni. \n\u2022 Assicurarsi che tale ruolo\
            \ sia riconosciuto e debitamente autorizzato dagli organi di gestione."
          typical_evidence: "\u2022 Documentazione aggiornata della struttura delle\
            \ assegnazioni dei ruoli e delle responsabilit\xE0 in materia di sicurezza.\
            \ \n\u2022 Verbale delle riunioni con la direzione. \n\u2022 Prove delle\
            \ decisioni aziendali prese (ad es. investimenti in sicurezza informatica)."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:1.2.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:1.2
      ref_id: 1.2.4
      description: Depending on the size of the relevant entities, network and information
        system security shall be covered by dedicated roles or duties carried out
        in addition to existing roles.
      annotation: "\u2022 It is often practical to have dedicated information security\
        \ roles (e.g. a chief information security officer or security analysts) who\
        \ focus solely on protecting the entity\u2019s data and systems. \n\u2022\
        \ In entities with limited resources, information security responsibilities\
        \ may be distributed among existing roles. For instance, information technology\
        \ (IT) staff might take on security duties alongside their regular tasks.\
        \ However, the persons assigned should have relevant experience and training\
        \ to perform the roles and to exercise their responsibilities."
      typical_evidence: "\u2022 Verify the presence of dedicated security roles in\
        \ larger entities. \n\u2022 Check if security responsibilities are assigned\
        \ to existing roles in smaller entities."
      translations:
        fr:
          description: "Selon la taille des entit\xE9s concern\xE9es, la s\xE9curit\xE9\
            \ des r\xE9seaux et des syst\xE8mes d\u2019information rel\xE8ve de r\xF4\
            les ou de fonctions sp\xE9cifiques assum\xE9s en sus des r\xF4les existants."
          annotation: "\u2022 Il est souvent pratique d\u2019avoir des r\xF4les d\xE9\
            di\xE9s \xE0 la s\xE9curit\xE9 de l\u2019information (par exemple, un\
            \ responsable de la s\xE9curit\xE9 de l\u2019information ou des analystes\
            \ de s\xE9curit\xE9) qui se concentrent uniquement sur la protection des\
            \ donn\xE9es et des syst\xE8mes de l\u2019entit\xE9. \n\u2022 Dans les\
            \ entit\xE9s disposant de ressources limit\xE9es, les responsabilit\xE9\
            s en mati\xE8re de s\xE9curit\xE9 de l\u2019information peuvent \xEAtre\
            \ r\xE9parties entre les r\xF4les existants. Par exemple, le personnel\
            \ des technologies de l\u2019information (TI) peut assumer des t\xE2ches\
            \ de s\xE9curit\xE9 en plus de ses t\xE2ches habituelles. Toutefois, les\
            \ personnes affect\xE9es doivent avoir l\u2019exp\xE9rience et la formation\
            \ n\xE9cessaires pour remplir les r\xF4les et exercer leurs responsabilit\xE9\
            s."
          typical_evidence: "\u2022 V\xE9rifier la pr\xE9sence de r\xF4les de s\xE9\
            curit\xE9 d\xE9di\xE9s dans les entit\xE9s plus grandes. \n\u2022 V\xE9\
            rifiez si les responsabilit\xE9s en mati\xE8re de s\xE9curit\xE9 sont\
            \ attribu\xE9es \xE0 des r\xF4les existants dans des entit\xE9s plus petites."
        es:
          description: "En funci\xF3n del tama\xF1o de las entidades pertinentes,\
            \ la seguridad de las redes y los sistemas de informaci\xF3n corresponder\xE1\
            \ a roles o funciones espec\xEDficos que se desempe\xF1ar\xE1n adem\xE1\
            s de los roles existentes."
          annotation: "\u2022 A menudo es pr\xE1ctico contar con funciones dedicadas\
            \ a la seguridad de la informaci\xF3n (por ejemplo, un director de seguridad\
            \ de la informaci\xF3n o analistas de seguridad) que se centren \xFAnicamente\
            \ en proteger los datos y los sistemas de la entidad. \n\u2022 En entidades\
            \ con recursos limitados, las responsabilidades de seguridad de la informaci\xF3\
            n pueden distribuirse entre los roles existentes. Por ejemplo, el personal\
            \ de tecnolog\xEDa de la informaci\xF3n (TI) puede asumir tareas de seguridad\
            \ junto con sus tareas habituales. Sin embargo, las personas asignadas\
            \ deben tener la experiencia y la formaci\xF3n pertinentes para desempe\xF1\
            ar las funciones y ejercer sus responsabilidades."
          typical_evidence: "\u2022 Verificar la presencia de roles de seguridad dedicados\
            \ en entidades m\xE1s grandes. \n\u2022 Comprobar si las responsabilidades\
            \ de seguridad est\xE1n asignadas a los roles existentes en entidades\
            \ m\xE1s peque\xF1as."
        cs:
          description: "V z\xE1vislosti na velikosti p\u0159\xEDslu\u0161n\xFDch subjekt\u016F\
            \ spad\xE1 bezpe\u010Dnost s\xEDt\xED a informa\u010Dn\xEDch syst\xE9\
            m\u016F pod specializovan\xE9 \xFAkoly nebo povinnosti, kter\xE9 jsou\
            \ vykon\xE1v\xE1ny nad r\xE1mec st\xE1vaj\xEDc\xEDch \xFAkol\u016F."
          annotation: "\u2022 \u010Casto je praktick\xE9 m\xEDt vyhrazen\xE9 role\
            \ v oblasti informa\u010Dn\xED bezpe\u010Dnosti (nap\u0159. vedouc\xED\
            \ pracovn\xEDk pro informa\u010Dn\xED bezpe\u010Dnost nebo bezpe\u010D\
            nostn\xED analytici), kter\xE9 se zam\u011B\u0159uj\xED v\xFDhradn\u011B\
            \ na ochranu dat a syst\xE9m\u016F subjektu. \n\u2022 V subjektech s omezen\xFD\
            mi zdroji m\u016F\u017Ee b\xFDt odpov\u011Bdnost za bezpe\u010Dnost informac\xED\
            \ rozd\u011Blena mezi st\xE1vaj\xEDc\xED role. Nap\u0159\xEDklad zam\u011B\
            stnanci informa\u010Dn\xEDch technologi\xED (IT) mohou vedle sv\xFDch\
            \ b\u011B\u017En\xFDch \xFAkol\u016F p\u0159evz\xEDt bezpe\u010Dnostn\xED\
            \ povinnosti. P\u0159id\u011Blen\xE9 osoby by v\u0161ak m\u011Bly m\xED\
            t odpov\xEDdaj\xEDc\xED zku\u0161enosti a odbornou p\u0159\xEDpravu, aby\
            \ mohly plnit sv\xE9 \xFAkoly a plnit sv\xE9 povinnosti."
          typical_evidence: "\u2022 Ov\u011B\u0159te p\u0159\xEDtomnost vyhrazen\xFD\
            ch rol\xED zabezpe\u010Den\xED ve v\u011Bt\u0161\xEDch entit\xE1ch. \n\
            \u2022 Zkontrolujte, zda nejsou odpov\u011Bdnosti za bezpe\u010Dnost p\u0159\
            i\u0159azeny st\xE1vaj\xEDc\xEDm rol\xEDm v men\u0161\xEDch entit\xE1\
            ch."
        it:
          description: "A seconda delle dimensioni dei soggetti pertinenti, la sicurezza\
            \ delle reti e dei sistemi informativi \xE8 coperta da ruoli o mansioni\
            \ specifici svolti in aggiunta ai ruoli esistenti."
          annotation: "\u2022 Spesso \xE8 pratico avere ruoli dedicati alla sicurezza\
            \ delle informazioni (ad esempio, un responsabile della sicurezza delle\
            \ informazioni o analisti della sicurezza) che si concentrano esclusivamente\
            \ sulla protezione dei dati e dei sistemi dell'entit\xE0. \n\u2022 Nelle\
            \ entit\xE0 con risorse limitate, le responsabilit\xE0 di sicurezza delle\
            \ informazioni possono essere distribuite tra i ruoli esistenti. Ad esempio,\
            \ il personale IT (Information Technology) potrebbe assumere compiti di\
            \ sicurezza insieme ai normali compiti. Tuttavia, le persone assegnate\
            \ devono possedere l'esperienza e la formazione necessarie per svolgere\
            \ i ruoli e per esercitare le loro responsabilit\xE0."
          typical_evidence: "\u2022 Verificare la presenza di ruoli di sicurezza dedicati\
            \ nelle entit\xE0 pi\xF9 grandi. \n\u2022 Verificare se le responsabilit\xE0\
            \ di sicurezza sono assegnate a ruoli esistenti in entit\xE0 pi\xF9 piccole."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:1.2.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:1.2
      ref_id: 1.2.5
      description: Conflicting duties and conflicting areas of responsibility shall
        be segregated, where applicable.
      annotation: "\u2022 Consider segregating conflicting duties and areas of responsibility\
        \ to reduce opportunities for unauthorized or unintentional modification or\
        \ misuse of the entity\u2019s asset. As a minimum, consider that the reviewer\
        \ (auditor) must be different from the personnel or the line of authority\
        \ of the area under review. \n\u2022 The results of the risk assessment or\
        \ the business impact analysis (BIA) could be used to identify potential conflicting\
        \ duties and areas of responsibility."
      typical_evidence: "\u2022 Up-to-date documentation of the structure of security\
        \ role assignments and responsibilities."
      translations:
        fr:
          description: "Les fonctions et les domaines de responsabilit\xE9 incompatibles\
            \ sont dissoci\xE9s, s\u2019il y a lieu."
          annotation: "\u2022 Envisager de s\xE9parer les obligations et les domaines\
            \ de responsabilit\xE9 conflictuels afin de r\xE9duire les possibilit\xE9\
            s de modification ou d\u2019utilisation abusive non autoris\xE9e ou involontaire\
            \ des actifs de l\u2019entit\xE9. \xC0 tout le moins, il faut tenir compte\
            \ du fait que l\u2019examinateur (v\xE9rificateur) doit \xEAtre diff\xE9\
            rent du personnel ou de la ligne d\u2019autorit\xE9 du secteur \xE0 l\u2019\
            \xE9tude. \n\u2022 Les r\xE9sultats de l\u2019\xE9valuation des risques\
            \ ou de l\u2019analyse d\u2019impact sur les activit\xE9s (AIB) pourraient\
            \ \xEAtre utilis\xE9s pour identifier les obligations et les domaines\
            \ de responsabilit\xE9 potentiellement conflictuels."
          typical_evidence: "\u2022 Documentation \xE0 jour de la structure des attributions\
            \ et des responsabilit\xE9s des r\xF4les de s\xE9curit\xE9."
        es:
          description: "Aquellos cargos o \xE1reas de responsabilidad que entren en\
            \ conflicto se separar\xE1n, cuando proceda."
          annotation: "\u2022 Considerar la posibilidad de separar las funciones conflictivas\
            \ y las \xE1reas de responsabilidad para reducir las oportunidades de\
            \ modificaci\xF3n no autorizada o no intencional o uso indebido de los\
            \ activos de la entidad. Como m\xEDnimo, considere que el revisor (auditor)\
            \ debe ser diferente del personal o de la l\xEDnea de autoridad del \xE1\
            rea bajo revisi\xF3n. \n\u2022 Los resultados de la evaluaci\xF3n de riesgos\
            \ o del an\xE1lisis de impacto en el negocio (BIA) podr\xEDan utilizarse\
            \ para identificar posibles conflictos de funciones y \xE1reas de responsabilidad."
          typical_evidence: "\u2022 Documentaci\xF3n actualizada de la estructura\
            \ de las asignaciones y responsabilidades de roles de seguridad."
        cs:
          description: "Koliduj\xEDc\xED povinnosti a protich\u016Fdn\xE9 oblasti\
            \ odpov\u011Bdnosti budou v p\u0159\xEDslu\u0161n\xFDch p\u0159\xEDpadech\
            \ odd\u011Bleny."
          annotation: "\u2022 Zv\xE1\u017Eit odd\u011Blen\xED protich\u016Fdn\xFD\
            ch povinnost\xED a oblast\xED odpov\u011Bdnosti, aby se sn\xED\u017Eily\
            \ p\u0159\xEDle\u017Eitosti k neopr\xE1vn\u011Bn\xFDm nebo ne\xFAmysln\xFD\
            m \xFAprav\xE1m nebo zneu\u017Eit\xED aktiv \xFA\u010Detn\xED jednotky.\
            \ Minim\xE1ln\u011B je t\u0159eba vz\xEDt v \xFAvahu, \u017Ee osoba prov\xE1\
            d\u011Bj\xEDc\xED p\u0159ezkum (auditor) mus\xED b\xFDt odli\u0161n\xE1\
            \ od person\xE1lu nebo org\xE1nu posuzovan\xE9 oblasti. \n\u2022 V\xFD\
            sledky posouzen\xED rizik nebo anal\xFDzy dopad\u016F na podnik\xE1n\xED\
            \ (BIA) by mohly b\xFDt pou\u017Eity k identifikaci potenci\xE1ln\xED\
            ch protich\u016Fdn\xFDch povinnost\xED a oblast\xED odpov\u011Bdnosti."
          typical_evidence: "\u2022 Aktu\xE1ln\xED dokumentace struktury p\u0159id\u011B\
            lov\xE1n\xED bezpe\u010Dnostn\xEDch rol\xED a odpov\u011Bdnost\xED."
        it:
          description: I doveri e le competenze contrastanti sono segregati, se del
            caso.
          annotation: "\u2022 Prendere in considerazione la possibilit\xE0 di separare\
            \ i doveri e le aree di responsabilit\xE0 in conflitto per ridurre le\
            \ opportunit\xE0 di modifiche non autorizzate o non intenzionali o di\
            \ uso improprio del bene dell'entit\xE0. Come minimo, considera che il\
            \ revisore (auditor) deve essere diverso dal personale o dalla linea di\
            \ autorit\xE0 dell'area in esame. \n\u2022 I risultati della valutazione\
            \ del rischio o dell'analisi dell'impatto aziendale (BIA) potrebbero essere\
            \ utilizzati per identificare potenziali compiti e aree di responsabilit\xE0\
            \ in conflitto."
          typical_evidence: "\u2022 Documentazione aggiornata della struttura delle\
            \ assegnazioni dei ruoli e delle responsabilit\xE0 in materia di sicurezza."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:1.2.6
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:1.2
      ref_id: 1.2.6
      description: Roles, responsibilities and authorities shall be reviewed and,
        where appropriate, updated by management bodies at planned intervals and when
        significant incidents or significant changes to operations or risks occur.
      annotation: "\u2022 Regularly review and revise the structure of security roles\
        \ and responsibilities, based on (indicative, non- exhaustive list):\n   \
        \ o significant incidents, if any;\n    o changes to the environment of operation,\
        \ including changes to the network and information systems;\n    o organisational\
        \ changes. \n\u2022 Where appropriate, updates should be approved by management\
        \ bodies.\n\n[TIPS]\n\n\u2022 Make sure that the roles responsible for security\
        \ roles are contactable in case of incidents. \n\u2022 Make sure that each\
        \ role has its deputy or that measures ensuring continuity in the event of\
        \ the role representative\u2019s absence are in place, where possible. \n\u2022\
        \ Establish a clear reporting line from the designated security officer to\
        \ senior management. \n\u2022 Ensure that security reporting is integrated\
        \ into the entity\u2019s overall risk management framework."
      typical_evidence: "\u2022 Up-to-date documentation of the structure of security\
        \ role assignments and responsibilities, including version history. \n\u2022\
        \ Documentation of the review process, taking into account changes and past\
        \ incidents.  \n\n[TIPS]\n\n\u2022 Documented incident response procedures\
        \ (Annex to the regulation, point 3.5.1) including clear procedures for contacting\
        \ security roles during an incident. \n\u2022 Logs and records of past incidents\
        \ to check if the security roles were contacted promptly and effectively.\
        \ \n\u2022 Crisis management process and incident response records to check\
        \ the involvement of the management. \n\u2022 Up-to-date organisational chart\
        \ to check if it clearly shows the reporting structure, including the designated\
        \ security officer and their direct line to senior management. The organisational\
        \ chart should be dated and the person making the update should be noted."
      translations:
        fr:
          description: "Les r\xF4les, les responsabilit\xE9s et les pouvoirs sont\
            \ r\xE9examin\xE9s et, s\u2019il est besoin, mis \xE0 jour par les organes\
            \ de direction \xE0 intervalles pr\xE9d\xE9finis, ainsi qu\u2019en cas\
            \ d\u2019incidents importants ou lorsque des changements majeurs concernant\
            \ les op\xE9rations ou les risques se produisent."
          annotation: "\u2022 Examiner et r\xE9viser r\xE9guli\xE8rement la structure\
            \ des r\xF4les et responsabilit\xE9s en mati\xE8re de s\xE9curit\xE9,\
            \ sur la base (liste indicative, non exhaustive) :\n    o les incidents\
            \ importants, le cas \xE9ch\xE9ant\_;\n    o modifications de l\u2019\
            environnement d\u2019exploitation, y compris des modifications du r\xE9\
            seau et des syst\xE8mes d\u2019information ;\n    o les changements organisationnels.\
            \ \n\u2022 Le cas \xE9ch\xE9ant, les mises \xE0 jour devraient \xEAtre\
            \ approuv\xE9es par les organes de gestion.\n\n[CONSEILS]\n\n\u2022 S\u2019\
            assurer que les r\xF4les responsables de la s\xE9curit\xE9 sont joignables\
            \ en cas d\u2019incident. \n\u2022 S\u2019assurer que chaque r\xF4le a\
            \ son adjoint ou que des mesures assurant la continuit\xE9 en cas d\u2019\
            absence du repr\xE9sentant de r\xF4le sont en place, dans la mesure du\
            \ possible. \n\u2022 \xC9tablir une ligne hi\xE9rarchique claire entre\
            \ l\u2019agent de s\xE9curit\xE9 d\xE9sign\xE9 et la haute direction.\
            \ \n\u2022 Veiller \xE0 ce que les rapports de s\xE9curit\xE9 soient int\xE9\
            gr\xE9s dans le cadre global de gestion des risques de l\u2019entit\xE9\
            ."
          typical_evidence: "\u2022 Documentation \xE0 jour de la structure des attributions\
            \ et des responsabilit\xE9s des r\xF4les de s\xE9curit\xE9, y compris\
            \ l\u2019historique des versions. \n\u2022 Documentation du processus\
            \ d\u2019examen, en tenant compte des changements et des incidents pass\xE9\
            s.  \n\n[CONSEILS]\n\n\u2022 Des proc\xE9dures document\xE9es d\u2019\
            intervention en cas d\u2019incident (annexe au r\xE8glement, point 3.5.1),\
            \ y compris des proc\xE9dures claires pour contacter les agents de s\xE9\
            curit\xE9 en cas d\u2019incident. \n\u2022 Journaux et enregistrements\
            \ des incidents pass\xE9s pour v\xE9rifier si les r\xF4les de s\xE9curit\xE9\
            \ ont \xE9t\xE9 contact\xE9s rapidement et efficacement. \n\u2022 Processus\
            \ de gestion de crise et registres de r\xE9ponse aux incidents pour v\xE9\
            rifier l\u2019implication de la direction. \n\u2022 Un organigramme \xE0\
            \ jour pour v\xE9rifier s\u2019il montre clairement la structure hi\xE9\
            rarchique, y compris l\u2019agent de s\xE9curit\xE9 d\xE9sign\xE9 et sa\
            \ ligne directe avec la direction. L\u2019organigramme doit \xEAtre dat\xE9\
            \ et la personne qui effectue la mise \xE0 jour doit \xEAtre not\xE9e."
        es:
          description: "Los \xF3rganos de direcci\xF3n revisar\xE1n y, cuando proceda,\
            \ actualizar\xE1n los roles, responsabilidades y autoridades a intervalos\
            \ planificados, as\xED como cuando se produzcan incidentes significativos\
            \ o cambios significativos en las operaciones o los riesgos."
          annotation: "\u2022 Examinar y revisar peri\xF3dicamente la estructura de\
            \ las funciones y responsabilidades en materia de seguridad, sobre la\
            \ base de (lista indicativa y no exhaustiva):\n    o incidentes significativos,\
            \ si los hubiera;\n    o cambios en el entorno de operaci\xF3n, incluidos\
            \ los cambios en la red y los sistemas de informaci\xF3n;\n    o Cambios\
            \ organizativos. \n\u2022 En su caso, las actualizaciones deber\xE1n ser\
            \ aprobadas por los \xF3rganos de gesti\xF3n.\n\n[CONSEJOS]\n\n\u2022\
            \ Aseg\xFArese de que los roles responsables de los roles de seguridad\
            \ sean localizables en caso de incidentes. \n\u2022 Asegurarse de que\
            \ cada funci\xF3n tenga su suplente o de que se adopten medidas que garanticen\
            \ la continuidad en caso de ausencia del representante de la funci\xF3\
            n, en la medida de lo posible. \n\u2022 Establecer una l\xEDnea jer\xE1\
            rquica clara desde el oficial de seguridad designado hasta el personal\
            \ directivo superior. \n\u2022 Asegurar que los informes de seguridad\
            \ se integren en el marco general de gesti\xF3n de riesgos de la entidad."
          typical_evidence: "\u2022 Documentaci\xF3n actualizada de la estructura\
            \ de las asignaciones y responsabilidades de roles de seguridad, incluido\
            \ el historial de versiones. \n\u2022 Documentaci\xF3n del proceso de\
            \ revisi\xF3n, teniendo en cuenta los cambios e incidentes pasados.  \n\
            \n[CONSEJOS]\n\n\u2022 Procedimientos documentados de respuesta a incidentes\
            \ (anexo del reglamento, punto 3.5.1), incluidos procedimientos claros\
            \ para ponerse en contacto con los roles de seguridad durante un incidente.\
            \ \n\u2022 Registros y registros de incidentes pasados para verificar\
            \ si los roles de seguridad fueron contactados de manera r\xE1pida y efectiva.\
            \ \n\u2022 Proceso de gesti\xF3n de crisis y registros de respuesta a\
            \ incidentes para comprobar la implicaci\xF3n de la direcci\xF3n. \n\u2022\
            \ Organigrama actualizado para comprobar si muestra claramente la estructura\
            \ jer\xE1rquica, incluido el responsable de seguridad designado y su l\xED\
            nea directa con la alta direcci\xF3n. El organigrama debe estar fechado\
            \ y se debe anotar a la persona que realiza la actualizaci\xF3n."
        cs:
          description: "\u0158\xEDd\xEDc\xED org\xE1ny \xFAkoly, odpov\u011Bdnosti\
            \ a pravomoci p\u0159ezkoum\xE1vaj\xED a v p\u0159\xEDpad\u011B pot\u0159\
            eby aktualizuj\xED v pl\xE1novan\xFDch intervalech a p\u0159i v\xFDskytu\
            \ v\xFDznamn\xFDch incident\u016F nebo v\xFDznamn\xFDch zm\u011Bn operac\xED\
            \ \u010Di rizik."
          annotation: "\u2022 Pravideln\u011B p\u0159ezkoum\xE1vat a revidovat strukturu\
            \ bezpe\u010Dnostn\xEDch rol\xED a odpov\u011Bdnost\xED na z\xE1klad\u011B\
            \ (orienta\u010Dn\xEDho, nevy\u010Derp\xE1vaj\xEDc\xEDho seznamu):\n \
            \   o v\xFDznamn\xFDch incidentech, pokud k nim dojde;\n    o zm\u011B\
            ny provozn\xEDho prost\u0159ed\xED, v\u010Detn\u011B zm\u011Bn s\xEDt\xED\
            \ a informa\u010Dn\xEDch syst\xE9m\u016F;\n    o organiza\u010Dn\xED zm\u011B\
            ny. \n\u2022 Tam, kde je to vhodn\xE9, by aktualizace m\u011Bly b\xFD\
            t schv\xE1leny \u0159\xEDd\xEDc\xEDmi org\xE1ny.\n\n[TIPY]\n\n\u2022 Ujist\u011B\
            te se, \u017Ee role odpov\u011Bdn\xE9 za role zabezpe\u010Den\xED jsou\
            \ v p\u0159\xEDpad\u011B incident\u016F kontaktovateln\xE9. \n\u2022 Zajistit,\
            \ aby ka\u017Ed\xE1 role m\u011Bla sv\xE9ho z\xE1stupce nebo aby byla\
            \ pokud mo\u017Eno zavedena opat\u0159en\xED zaji\u0161\u0165uj\xEDc\xED\
            \ kontinuitu v p\u0159\xEDpad\u011B nep\u0159\xEDtomnosti z\xE1stupce\
            \ pro danou roli. \n\u2022 Stanovte jasnou linii hl\xE1\u0161en\xED od\
            \ ur\u010Den\xE9ho bezpe\u010Dnostn\xEDho pracovn\xEDka k vy\u0161\u0161\
            \xEDmu managementu. \n\u2022 Zajistit, aby pod\xE1v\xE1n\xED zpr\xE1v\
            \ o bezpe\u010Dnosti bylo integrov\xE1no do celkov\xE9ho r\xE1mce \u0159\
            \xEDzen\xED rizik subjektu."
          typical_evidence: "\u2022 Aktu\xE1ln\xED dokumentace struktury p\u0159i\u0159\
            azen\xED a odpov\u011Bdnost\xED bezpe\u010Dnostn\xEDch rol\xED, v\u010D\
            etn\u011B historie verz\xED. \n\u2022 Dokumentace procesu p\u0159ezkoum\xE1\
            n\xED s p\u0159ihl\xE9dnut\xEDm ke zm\u011Bn\xE1m a minul\xFDm incident\u016F\
            m.  \n\n[TIPY]\n\n\u2022 Zdokumentovan\xE9 postupy reakce na incidenty\
            \ (p\u0159\xEDloha na\u0159\xEDzen\xED, bod 3.5.1), v\u010Detn\u011B jasn\xFD\
            ch postup\u016F pro kontaktov\xE1n\xED bezpe\u010Dnostn\xEDch slo\u017E\
            ek b\u011Bhem incidentu. \n\u2022 Protokoly a z\xE1znamy o minul\xFDch\
            \ incidentech pro kontrolu, zda byly bezpe\u010Dnostn\xED role kontaktov\xE1\
            ny rychle a efektivn\u011B. \n\u2022 Proces krizov\xE9ho \u0159\xEDzen\xED\
            \ a evidence reakc\xED na incidenty pro kontrolu zapojen\xED managementu.\
            \ \n\u2022 Aktu\xE1ln\xED organiza\u010Dn\xED sch\xE9ma pro kontrolu,\
            \ zda je v n\u011Bm jasn\u011B zobrazena struktura reportingu, v\u010D\
            etn\u011B ur\u010Den\xE9ho bezpe\u010Dnostn\xEDho pracovn\xEDka a jeho\
            \ p\u0159\xEDm\xE9 linky na vrcholov\xFD management. Organiza\u010Dn\xED\
            \ sch\xE9ma by m\u011Blo b\xFDt datov\xE1no a m\u011Bla by b\xFDt uvedena\
            \ osoba prov\xE1d\u011Bj\xEDc\xED aktualizaci."
        it:
          description: "I ruoli, le responsabilit\xE0 e le autorit\xE0 sono riesaminati\
            \ e, se del caso, aggiornati dagli organi di gestione a intervalli pianificati\
            \ e in caso di incidenti significativi o modifiche significative delle\
            \ operazioni o dei rischi."
          annotation: "\u2022 Riesaminare e rivedere periodicamente la struttura dei\
            \ ruoli e delle responsabilit\xE0 in materia di sicurezza, sulla base\
            \ di (elenco indicativo e non esaustivo):\n    o incidenti significativi,\
            \ se presenti;\n    o modifiche dell'ambiente operativo, comprese le modifiche\
            \ alla rete e ai sistemi informativi;\n    o cambiamenti organizzativi.\
            \ \n\u2022 Se del caso, gli aggiornamenti dovrebbero essere approvati\
            \ dagli organi di gestione.\n\n[CONSIGLI]\n\n\u2022 Assicurarsi che i\
            \ ruoli responsabili dei ruoli di sicurezza siano contattabili in caso\
            \ di incidenti. \n\u2022 Assicurarsi che ogni ruolo abbia il suo sostituto\
            \ o che siano in atto, ove possibile, misure che garantiscano la continuit\xE0\
            \ in caso di assenza del rappresentante del ruolo. \n\u2022 Stabilire\
            \ una linea di riporto chiara dal responsabile della sicurezza designato\
            \ all'alta dirigenza. \n\u2022 Garantire che la segnalazione di sicurezza\
            \ sia integrata nel quadro generale di gestione del rischio dell'entit\xE0\
            ."
          typical_evidence: "\u2022 Documentazione aggiornata della struttura delle\
            \ assegnazioni e delle responsabilit\xE0 dei ruoli di sicurezza, inclusa\
            \ la cronologia delle versioni. \n\u2022 Documentazione del processo di\
            \ revisione, tenendo conto delle modifiche e degli incidenti passati.\
            \  \n\n[CONSIGLI]\n\n\u2022 Procedure documentate di risposta agli incidenti\
            \ (allegato al regolamento, punto 3.5.1), comprese procedure chiare per\
            \ contattare i ruoli di sicurezza durante un incidente. \n\u2022 Registri\
            \ e registrazioni degli incidenti passati per verificare se i ruoli di\
            \ sicurezza sono stati contattati in modo tempestivo ed efficace. \n\u2022\
            \ Processo di gestione delle crisi e registrazioni di risposta agli incidenti\
            \ per verificare il coinvolgimento della direzione. \n\u2022 Organigramma\
            \ aggiornato per verificare se mostra chiaramente la struttura di segnalazione,\
            \ incluso il responsabile della sicurezza designato e la sua linea diretta\
            \ con l'alta direzione. L'organigramma deve essere datato e la persona\
            \ che effettua l'aggiornamento deve essere annotata."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:2
      assessable: false
      depth: 1
      ref_id: '2'
      name: RISK MANAGEMENT POLICY (ARTICLE 21(2), POINT (A) OF DIRECTIVE (EU) 2022/2555)
      translations:
        fr:
          name: "Politique de gestion des risques [article\_21, paragraphe\_2, point\_\
            a), de la directive (UE)\_2022/2555]"
        es:
          name: "POL\xCDTICA DE GESTI\xD3N DE RIESGOS [Art\xEDculo 21, Apartado 2,\
            \ Letra A), de la directiva (UE) 2022/2555]"
        cs:
          name: "Politika \u0159\xEDzen\xED rizik (\u010Dl. 21 odst. 2 bod a) sm\u011B\
            rnice (EU) 2022/2555)"
        it:
          name: POLITICA DI GESTIONE DEI RISCHI (ARTICOLO 21, PARAGRAFO 2, LETTERA
            A), DELLA DIRETTIVA (UE) 2022/2555)
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:2.1
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:2
      ref_id: '2.1'
      name: Risk management framework
      translations:
        fr:
          name: Cadre de gestion des risques
        es:
          name: "Marco de la gesti\xF3n de riesgos"
        cs:
          name: "R\xE1mec pro \u0159\xEDzen\xED rizik"
        it:
          name: Quadro di riferimento per la gestione dei rischi
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:2.1.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:2.1
      ref_id: 2.1.1
      description: For the purpose of Article 21(2), point (a) of Directive (EU) 2022/2555,
        the relevant entities shall establish and maintain an appropriate risk management
        framework to identify and address the risks posed to the security of network
        and information systems. The relevant entities shall perform and document
        risk assessments and, based on the results, establish, implement and monitor
        a risk treatment plan. Risk assessment results and residual risks shall be
        accepted by management bodies or, where applicable, by persons who are accountable
        and have the authority to manage risks, provided that the relevant entities
        ensure adequate reporting to the management bodies.
      annotation: "\u2022 The entity can use its current risk management framework\
        \ or adopt a new one (13). A risk management framework is the structured approach\
        \ used by an entity to identify, assess, manage and mitigate its cybersecurity\
        \ risks. \n\u2022 Create a risk treatment plan that associates the identified\
        \ risks with assets and the measures mitigating the associated risks and takes\
        \ into account, at least, elements (g) to (h) in point 2.1.2 of the Annex\
        \ to the regulation. The plan should at least include:\n    o a description\
        \ of the identified risk and how it can negatively affect security objectives;\n\
        \    o a risk treatment option (for example risk avoidance, risk mitigation,\
        \ risk transfer or sharing or risk acceptance);\n    o the assets associated\
        \ with the risk;\n    o the measures which mitigate the risk;\n    o a procedure\
        \ for assessing the effectiveness of implementation of the measure(s);\n \
        \   o implementation timelines; and\n    o responsible roles. \n\u2022 Consider\
        \ residual risks from third parties, for example, data breaches, unaddressed\
        \ vulnerabilities, regulatory non-compliance from the from the third-party\
        \ side and over-reliance on a single third party. \n\u2022 Ensure residual\
        \ risks are accepted by management bodies or, where applicable, persons who\
        \ are accountable and have the authority to manage risks, in line with the\
        \ acceptable residual risk levels of the entity. \n\u2022 Make sure that management\
        \ bodies or, where applicable, persons who are accountable and have the authority\
        \ to manage risks approve the risk-assessment results and risk-treatment plan.\n\
        \n(13) For example, ISO/IEC 27005:2022 \u2013 Information security, cybersecurity\
        \ and privacy protection \u2013 Guidance on managing information security\
        \ risks. A collection of frameworks and methodologies that provide high-level\
        \ guidelines for risk-management processes that can be applied in all types\
        \ of organisations is available at https://www.enisa.europa.eu/publications/compendium-of-risk-management-frameworks."
      typical_evidence: "\u2022 Documented risk management framework. \n\u2022 Documented\
        \ results from previous risk assessments. \n\u2022 Documented risk treatment\
        \ plan.  \n\u2022 Record of approval of risk assessment results by management\
        \ bodies or by persons who are accountable and have the authority to manage\
        \ risks. \n\u2022 Record of approval of residual risks by management bodies\
        \ or, where applicable, by persons who are accountable and have the authority\
        \ to manage risks."
      translations:
        fr:
          description: "Aux fins de l\u2019article\_21, paragraphe\_2, point\_a),\
            \ de la directive (UE)\_2022/2555, les entit\xE9s concern\xE9es \xE9tablissent\
            \ et maintiennent un cadre appropri\xE9 pour la gestion des risques afin\
            \ d'identifier les risques pour la s\xE9curit\xE9 des r\xE9seaux et des\
            \ syst\xE8mes d\u2019information et d\u2019y apporter une r\xE9ponse.\
            \ Les entit\xE9s concern\xE9es r\xE9alisent des \xE9valuations des risques,\
            \ qu\u2019elles consignent, et, sur la base des r\xE9sultats obtenus,\
            \ elles \xE9tablissent, mettent en \u0153uvre et suivent un plan de traitement\
            \ des risques. Les r\xE9sultats de l\u2019\xE9valuation des risques et\
            \ les risques r\xE9siduels sont approuv\xE9s par les organes de direction\
            \ ou, s\u2019il y a lieu, par des personnes qui sont tenues de rendre\
            \ des comptes et sont habilit\xE9es \xE0 g\xE9rer les risques, \xE0 condition\
            \ que les entit\xE9s concern\xE9es fassent rapport de mani\xE8re ad\xE9\
            quate aux organes de direction."
          annotation: "\u2022 L\u2019entit\xE9 peut utiliser son cadre actuel de gestion\
            \ des risques ou en adopter un nouveau (13). Un cadre de gestion des risques\
            \ est l\u2019approche structur\xE9e utilis\xE9e par une entit\xE9 pour\
            \ identifier, \xE9valuer, g\xE9rer et att\xE9nuer ses risques de cybers\xE9\
            curit\xE9. \n\u2022 \xC9laborer un plan de traitement des risques qui\
            \ associe les risques identifi\xE9s aux actifs et aux mesures d\u2019\
            att\xE9nuation des risques associ\xE9s et qui tient compte, au moins,\
            \ des \xE9l\xE9ments g) \xE0 h) du point 2.1.2 de l\u2019annexe du r\xE8\
            glement. Le plan doit au moins inclure :\n    o une description du risque\
            \ identifi\xE9 et de la mani\xE8re dont il peut affecter n\xE9gativement\
            \ les objectifs de s\xE9curit\xE9 ;\n    o une option de traitement des\
            \ risques (par exemple, \xE9vitement des risques, att\xE9nuation des risques,\
            \ transfert ou partage des risques ou acceptation des risques) ;\n   \
            \ o les actifs associ\xE9s au risque ;\n    o les mesures qui att\xE9\
            nuent le risque ;\n    o une proc\xE9dure d\u2019\xE9valuation de l\u2019\
            efficacit\xE9 de la mise en \u0153uvre de la ou des mesures\_;\n    o\
            \ les d\xE9lais de mise en \u0153uvre ; et\n    o R\xF4les responsables.\
            \ \n\u2022 Tenez compte des risques r\xE9siduels provenant de tiers, par\
            \ exemple, les violations de donn\xE9es, les vuln\xE9rabilit\xE9s non\
            \ trait\xE9es, la non-conformit\xE9 r\xE9glementaire du c\xF4t\xE9 des\
            \ tiers et la d\xE9pendance excessive \xE0 l\u2019\xE9gard d\u2019un seul\
            \ tiers. \n\u2022 Veiller \xE0 ce que les risques r\xE9siduels soient\
            \ accept\xE9s par les organes de direction ou, le cas \xE9ch\xE9ant, par\
            \ les personnes qui sont responsables et habilit\xE9es \xE0 g\xE9rer les\
            \ risques, conform\xE9ment aux niveaux de risque r\xE9siduel acceptables\
            \ de l\u2019entit\xE9. \n\u2022 S\u2019assurer que les organes de direction\
            \ ou, le cas \xE9ch\xE9ant, les personnes qui sont responsables et qui\
            \ ont le pouvoir de g\xE9rer les risques approuvent les r\xE9sultats de\
            \ l\u2019\xE9valuation des risques et le plan de traitement des risques.\n\
            \n(13) Par exemple, ISO/IEC 27005:2022 \u2013 S\xE9curit\xE9 de l\u2019\
            information, cybers\xE9curit\xE9 et protection de la vie priv\xE9e \u2013\
            \ Lignes directrices sur la gestion des risques li\xE9s \xE0 la s\xE9\
            curit\xE9 de l\u2019information. Une collection de cadres et de m\xE9\
            thodologies qui fournissent des directives de haut niveau pour les processus\
            \ de gestion des risques pouvant \xEAtre appliqu\xE9es dans tous les types\
            \ d\u2019organisations est disponible sur https://www.enisa.europa.eu/publications/compendium-of-risk-management-frameworks."
          typical_evidence: "\u2022 Cadre de gestion des risques document\xE9. \n\u2022\
            \ Documentation des r\xE9sultats des \xE9valuations pr\xE9c\xE9dentes\
            \ des risques. \n\u2022 Plan de traitement des risques document\xE9. \
            \ \n\u2022 Enregistrement de l\u2019approbation des r\xE9sultats de l\u2019\
            \xE9valuation des risques par les organes de direction ou par des personnes\
            \ qui sont responsables et habilit\xE9es \xE0 g\xE9rer les risques. \n\
            \u2022 Enregistrement de l\u2019approbation des risques r\xE9siduels par\
            \ les organes de direction ou, le cas \xE9ch\xE9ant, par des personnes\
            \ responsables et habilit\xE9es \xE0 g\xE9rer les risques."
        es:
          description: "A efectos del art\xEDculo 21, apartado 2, letra a), de la\
            \ Directiva (UE) 2022/2555, las entidades pertinentes establecer\xE1n\
            \ y mantendr\xE1n un marco de la gesti\xF3n de riesgos adecuado para detectar\
            \ y abordar los riesgos que se planteen para la seguridad de los sistemas\
            \ de redes y de informaci\xF3n. Las entidades pertinentes realizar\xE1\
            n evaluaciones de riesgos cuyos resultados documentar\xE1n y, a partir\
            \ de estos \xFAltimos, establecer\xE1n un plan de tratamiento de riesgos,\
            \ que aplicar\xE1n y supervisar\xE1n. Siempre que las entidades pertinentes\
            \ garanticen una informaci\xF3n adecuada a los \xF3rganos de direcci\xF3\
            n, estos \xFAltimos o, cuando proceda, las personas que sean responsables\
            \ y tengan autoridad para gestionar los riesgos, aprobar\xE1n los resultados\
            \ de la evaluaci\xF3n de riesgos y los riesgos residuales."
          annotation: "\u2022 La entidad puede utilizar su marco actual de gesti\xF3\
            n de riesgos o adoptar uno nuevo (13). Un marco de gesti\xF3n de riesgos\
            \ es el enfoque estructurado utilizado por una entidad para identificar,\
            \ evaluar, gestionar y mitigar sus riesgos de ciberseguridad. \n\u2022\
            \ Crear un plan de tratamiento de riesgos que asocie los riesgos identificados\
            \ con los activos y las medidas de mitigaci\xF3n de los riesgos asociados\
            \ y tenga en cuenta, al menos, los elementos g) a h) del punto 2.1.2 del\
            \ anexo del reglamento. El plan debe incluir, como m\xEDnimo:\n    o una\
            \ descripci\xF3n del riesgo identificado y de c\xF3mo puede afectar negativamente\
            \ a los objetivos de seguridad;\n    o una opci\xF3n de tratamiento de\
            \ riesgos (por ejemplo, evitaci\xF3n de riesgos, mitigaci\xF3n de riesgos,\
            \ transferencia o distribuci\xF3n de riesgos o aceptaci\xF3n de riesgos);\n\
            \    o los activos asociados al riesgo;\n    o las medidas que mitigan\
            \ el riesgo;\n    o un procedimiento para evaluar la eficacia de la aplicaci\xF3\
            n de la medida o medidas;\n    o plazos de ejecuci\xF3n; y\n    o Roles\
            \ responsables. \n\u2022 Considere los riesgos residuales de terceros,\
            \ por ejemplo, violaciones de datos, vulnerabilidades no abordadas, incumplimiento\
            \ regulatorio del lado de terceros y dependencia excesiva de un solo tercero.\
            \ \n\u2022 Asegurar que los riesgos residuales sean aceptados por los\
            \ \xF3rganos de direcci\xF3n o, en su caso, por las personas que sean\
            \ responsables y tengan autoridad para gestionar los riesgos, en l\xED\
            nea con los niveles de riesgo residual aceptables de la entidad. \n\u2022\
            \ Asegurarse de que los \xF3rganos de direcci\xF3n o, en su caso, las\
            \ personas responsables y competentes para gestionar los riesgos aprueben\
            \ los resultados de la evaluaci\xF3n de riesgos y el plan de tratamiento\
            \ de riesgos.\n\n(13) Por ejemplo, ISO/IEC 27005:2022 \u2013 Seguridad\
            \ de la informaci\xF3n, ciberseguridad y protecci\xF3n de la privacidad\
            \ \u2013 Orientaciones sobre la gesti\xF3n de los riesgos de seguridad\
            \ de la informaci\xF3n. Una colecci\xF3n de marcos y metodolog\xEDas que\
            \ proporcionan directrices de alto nivel para los procesos de gesti\xF3\
            n de riesgos que pueden aplicarse en todo tipo de organizaciones est\xE1\
            \ disponible en https://www.enisa.europa.eu/publications/compendium-of-risk-management-frameworks."
          typical_evidence: "\u2022 Marco de gesti\xF3n de riesgos documentado. \n\
            \u2022 Resultados documentados de evaluaciones de riesgos anteriores.\
            \ \n\u2022 Plan de tratamiento de riesgos documentado.  \n\u2022 Registro\
            \ de aprobaci\xF3n de los resultados de la evaluaci\xF3n de riesgos por\
            \ parte de los \xF3rganos de gesti\xF3n o de las personas que sean responsables\
            \ y tengan autoridad para gestionar los riesgos. \n\u2022 Registro de\
            \ aprobaci\xF3n de los riesgos residuales por parte de los \xF3rganos\
            \ de gesti\xF3n o, en su caso, de las personas responsables y facultadas\
            \ para gestionar los riesgos."
        cs:
          description: "Pro \xFA\u010Dely \u010Dl. 21 odst. 2 p\xEDsm. a) sm\u011B\
            rnice (EU) 2022/2555 p\u0159\xEDslu\u0161n\xE9 subjekty z\u0159\xEDd\xED\
            \ a spravuj\xED vhodn\xFD r\xE1mec \u0159\xEDzen\xED rizik, aby identifikovaly\
            \ a \u0159e\u0161ily rizika pro bezpe\u010Dnost s\xEDt\xED a informa\u010D\
            n\xEDch syst\xE9m\u016F. P\u0159\xEDslu\u0161n\xE9 subjekty provedou a\
            \ zdokumentuj\xED posouzen\xED rizik a na z\xE1klad\u011B v\xFDsledk\u016F\
            \ vypracuj\xED, zavedou a sleduj\xED pl\xE1n o\u0161et\u0159en\xED rizik.\
            \ V\xFDsledky posouzen\xED rizik a zbytkov\xE1 rizika p\u0159ij\xEDmaj\xED\
            \ \u0159\xEDd\xEDc\xED org\xE1ny nebo v p\u0159\xEDslu\u0161n\xFDch p\u0159\
            \xEDpadech osoby, kter\xE9 jsou odpov\u011Bdn\xE9 a maj\xED pravomoc \u0159\
            \xEDdit rizika, za p\u0159edpokladu, \u017Ee p\u0159\xEDslu\u0161n\xE9\
            \ subjekty zajist\xED odpov\xEDdaj\xEDc\xED pod\xE1v\xE1n\xED zpr\xE1\
            v \u0159\xEDd\xEDc\xEDm org\xE1n\u016Fm."
          annotation: "\u2022 Subjekt m\u016F\u017Ee pou\u017E\xEDt sv\u016Fj st\xE1\
            vaj\xEDc\xED r\xE1mec \u0159\xEDzen\xED rizik nebo p\u0159ijmout nov\xFD\
            \ (13). R\xE1mec \u0159\xEDzen\xED rizik je strukturovan\xFD p\u0159\xED\
            stup, kter\xFD subjekt pou\u017E\xEDv\xE1 k identifikaci, posouzen\xED\
            , \u0159\xEDzen\xED a zm\xEDrn\u011Bn\xED sv\xFDch kybernetick\xFDch bezpe\u010D\
            nostn\xEDch rizik. \n\u2022 Vytvo\u0159it pl\xE1n \u0159\xEDzen\xED rizik,\
            \ kter\xFD spoj\xED identifikovan\xE1 rizika s aktivy a opat\u0159en\xED\
            mi zm\xEDr\u0148uj\xEDc\xEDmi souvisej\xEDc\xED rizika a zohledn\xED alespo\u0148\
            \ prvky uveden\xE9 v p\xEDsmenech g) a\u017E h) v bod\u011B 2.1.2 p\u0159\
            \xEDlohy na\u0159\xEDzen\xED. Pl\xE1n by m\u011Bl obsahovat alespo\u0148\
            :\n    o popis identifikovan\xE9ho rizika a toho, jak m\u016F\u017Ee negativn\u011B\
            \ ovlivnit bezpe\u010Dnostn\xED c\xEDle;\n    o mo\u017Enosti \u0159e\u0161\
            en\xED rizik (nap\u0159\xEDklad p\u0159edch\xE1zen\xED rizik, zm\xEDr\u0148\
            ov\xE1n\xED rizik, p\u0159enos nebo sd\xEDlen\xED rizik nebo p\u0159ijet\xED\
            \ rizika),\n    o aktiva spojen\xE1 s rizikem;\n    o opat\u0159en\xED\
            ch, kter\xE1 toto riziko zm\xEDr\u0148uj\xED;\n    o postup pro posouzen\xED\
            \ \xFA\u010Dinnosti prov\xE1d\u011Bn\xED opat\u0159en\xED (opat\u0159\
            en\xED);\n    o harmonogramy implementace; a\n    o odpov\u011Bdn\xE9\
            \ role. \n\u2022 Zva\u017Ete zbytkov\xE1 rizika ze strany t\u0159et\xED\
            ch stran, nap\u0159\xEDklad naru\u0161en\xED dat, ne\u0159e\u0161en\xE1\
            \ zraniteln\xE1 m\xEDsta, nedodr\u017Eov\xE1n\xED p\u0159edpis\u016F ze\
            \ strany t\u0159et\xED strany a p\u0159\xEDli\u0161n\xE9 spol\xE9h\xE1\
            n\xED se na jednu t\u0159et\xED stranu. \n\u2022 Zajistit, aby zbytkov\xE1\
            \ rizika byla p\u0159ij\xEDm\xE1na vedouc\xEDmi org\xE1ny nebo p\u0159\
            \xEDpadn\u011B osobami, kter\xE9 jsou odpov\u011Bdn\xE9 a maj\xED pravomoc\
            \ \u0159\xEDdit rizika, v souladu s p\u0159ijateln\xFDmi \xFArovn\u011B\
            mi zbytkov\xE9ho rizika subjektu. \n\u2022 Zajistit, aby vedouc\xED org\xE1\
            ny nebo p\u0159\xEDpadn\u011B osoby, kter\xE9 jsou odpov\u011Bdn\xE9 a\
            \ maj\xED pravomoc \u0159\xEDdit rizika, schv\xE1lily v\xFDsledky hodnocen\xED\
            \ rizik a pl\xE1n l\xE9\u010Dby rizik.\n\n(13) Nap\u0159\xEDklad ISO/IEC\
            \ 27005:2022 \u2013 Bezpe\u010Dnost informac\xED, kybernetick\xE1 bezpe\u010D\
            nost a ochrana soukrom\xED \u2013 Pokyny pro \u0159\xEDzen\xED rizik v\
            \ oblasti bezpe\u010Dnosti informac\xED. Na adrese https://www.enisa.europa.eu/publications/compendium-of-risk-management-frameworks\
            \ je k dispozici soubor r\xE1mc\u016F a metodik, kter\xE9 poskytuj\xED\
            \ pokyny na vysok\xE9 \xFArovni pro procesy \u0159\xEDzen\xED rizik, je\u017E\
            \ lze pou\u017E\xEDt ve v\u0161ech typech organizac\xED."
          typical_evidence: "\u2022 Zdokumentovan\xFD r\xE1mec \u0159\xEDzen\xED rizik.\
            \ \n\u2022 Zdokumentovan\xE9 v\xFDsledky z p\u0159edchoz\xEDch hodnocen\xED\
            \ rizik. \n\u2022 Zdokumentovan\xFD pl\xE1n l\xE9\u010Dby rizik.  \n\u2022\
            \ Z\xE1znam o schv\xE1len\xED v\xFDsledk\u016F hodnocen\xED rizik vedouc\xED\
            mi org\xE1ny nebo osobami, kter\xE9 jsou odpov\u011Bdn\xE9 a maj\xED pravomoc\
            \ \u0159\xEDdit rizika. \n\u2022 Z\xE1znam o schv\xE1len\xED zbytkov\xFD\
            ch rizik vedouc\xEDmi org\xE1ny nebo p\u0159\xEDpadn\u011B osobami, kter\xE9\
            \ jsou odpov\u011Bdn\xE9 a maj\xED pravomoc \u0159\xEDdit rizika."
        it:
          description: "Ai fini dell'articolo 21, paragrafo 2, lettera a), della direttiva\
            \ (UE) 2022/2555, i soggetti pertinenti istituiscono e mantengono un quadro\
            \ adeguato per la gestione dei rischi per individuare e affrontare i rischi\
            \ posti alla sicurezza delle reti e dei sistemi informativi. I soggetti\
            \ pertinenti effettuano e documentano le valutazioni dei rischi e, sulla\
            \ base dei risultati, stabiliscono, attuano e monitorano un piano di trattamento\
            \ dei rischi. I risultati della valutazione del rischio e i rischi residui\
            \ sono accettati dagli organi di gestione o, se del caso, dalle persone\
            \ che sono responsabili e hanno l'autorit\xE0 di gestire i rischi, a condizione\
            \ che i soggetti pertinenti garantiscano un'adeguata comunicazione agli\
            \ organi di gestione."
          annotation: "\u2022 L'entit\xE0 pu\xF2 utilizzare il proprio attuale quadro\
            \ di gestione del rischio o adottarne uno nuovo (13). Un quadro di gestione\
            \ dei rischi \xE8 l'approccio strutturato utilizzato da un'entit\xE0 per\
            \ identificare, valutare, gestire e mitigare i propri rischi di cibersicurezza.\
            \ \n\u2022 Creare un piano di trattamento dei rischi che associ i rischi\
            \ identificati agli asset e alle misure di mitigazione dei rischi associati\
            \ e tenga conto, almeno, degli elementi da (g) a (h) di cui al punto 2.1.2\
            \ dell'Allegato al regolamento. Il piano dovrebbe includere almeno:\n\
            \    o una descrizione del rischio individuato e del modo in cui pu\xF2\
            \ incidere negativamente sugli obiettivi di sicurezza;\n    o un'opzione\
            \ di trattamento del rischio (ad esempio evitamento, mitigazione del rischio,\
            \ trasferimento o condivisione del rischio o accettazione del rischio);\n\
            \    o le attivit\xE0 associate al rischio;\n    o le misure che mitigano\
            \ il rischio;\n    o una procedura per valutare l'efficacia dell'attuazione\
            \ della misura o delle misure;\n    o tempistiche di attuazione; e\n \
            \   o ruoli di responsabilit\xE0. \n\u2022 Considerare i rischi residui\
            \ di terze parti, ad esempio violazioni dei dati, vulnerabilit\xE0 non\
            \ affrontate, non conformit\xE0 normativa da parte di terze parti e eccessiva\
            \ dipendenza da una singola terza parte. \n\u2022 Garantire che i rischi\
            \ residui siano accettati dagli organi di gestione o, se del caso, da\
            \ persone responsabili e dotate dell'autorit\xE0 per gestire i rischi,\
            \ in linea con i livelli di rischio residuo accettabili dell'entit\xE0\
            . \n\u2022 Assicurarsi che gli organi di gestione o, se del caso, le persone\
            \ responsabili e aventi l'autorit\xE0 per gestire i rischi approvino i\
            \ risultati della valutazione del rischio e il piano di trattamento del\
            \ rischio.\n\n(13) Ad esempio, ISO/IEC 27005:2022 \u2014 Sicurezza delle\
            \ informazioni, cibersicurezza e protezione della vita privata \u2014\
            \ Orientamenti sulla gestione dei rischi per la sicurezza delle informazioni.\
            \ Una raccolta di framework e metodologie che forniscono linee guida di\
            \ alto livello per i processi di gestione del rischio che possono essere\
            \ applicati in tutti i tipi di organizzazioni \xE8 disponibile all'https://www.enisa.europa.eu/publications/compendium-of-risk-management-frameworks."
          typical_evidence: "\u2022 Quadro documentato di gestione del rischio. \n\
            \u2022 Risultati documentati da precedenti valutazioni del rischio. \n\
            \u2022 Piano di trattamento del rischio documentato.  \n\u2022 Registrazione\
            \ dell'approvazione dei risultati della valutazione del rischio da parte\
            \ degli organi di gestione o di persone responsabili e aventi l'autorit\xE0\
            \ per gestire i rischi. \n\u2022 Registrazione dell'approvazione dei rischi\
            \ residui da parte degli organi di gestione o, se del caso, da parte di\
            \ persone responsabili e competenti in materia di gestione dei rischi."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:2.1.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:2.1
      ref_id: 2.1.2
      description: "For the purpose of point 2.1.1., the relevant entities shall establish\
        \ procedures for identification, analysis, assessment and treatment of risks\
        \ (\u2018cybersecurity risk management process\u2019). The cybersecurity risk\
        \ management process shall be an integral part of the relevant entities\u2019\
        \ overall risk management process, where applicable. As part of the cybersecurity\
        \ risk management process, the relevant entities shall:"
      annotation: "\u2022 Select a risk management methodology (14). \n\u2022 Establish\
        \ the entity's risk appetite, that is the amount of risk that the entity is\
        \ strategically willing to accept to achieve its objectives. Criteria may\
        \ include (indicative, non-exhaustive list):\n    o business strategic objectives;\n\
        \    o stakeholder expectations;\n    o regulatory requirements; and\n   \
        \ o organizational culture. \n\u2022 Define the risk tolerance level, which\
        \ refers to the level of risk that an entity is willing to accept in pursuit\
        \ of its long-term objectives. Examples may include (indicative, non-exhaustive\
        \ list):\n    o acceptable downtime for systems for which criticality is high\
        \ (e.g. up to two hours of downtime per month);\n    o tolerance for data\
        \ loss (e.g. loss of data with low criticality within a 24-hour window);\n\
        \    o maximum financial loss that can be absorbed without jeopardizing operations\
        \ (e.g. up to EUR 100,000 in recovery costs);\n    o willingness to invest\
        \ a certain percentage of revenue in measures (e.g. 5% of annual revenue);\n\
        \    o adherence to regulatory obligations with specific penalties or fines\
        \ influencing risk acceptance;\n    o acceptable level of customer dissatisfaction\
        \ or negative media exposure from a data breach (e.g. tolerating one major\
        \ incident every few years);\n    o acceptance of certain vulnerabilities\
        \ based on risk mitigation measures in place (e.g. outdated software provided\
        \ that it is monitored and patched regularly);\n    o time frame for responding\
        \ to and recovering from incidents (e.g. a maximum of 48 hours for containment);\
        \ and\n    o acceptance of minor incidents as part of normal operations while\
        \ prioritizing major threats. \n\u2022 Define risk acceptance criteria, which\
        \ may include (indicative, non-exhaustive list) (15):\n    o accepting risks\
        \ categorized as low severity, such as minor data leaks that don't expose\
        \ sensitive information;\n    o accepting risks assessed as having a low likelihood\
        \ of occurrence (e.g. certain rare types of cyberattacks);\n    o accepting\
        \ risks if the cost of mitigation exceeds the potential impact (e.g. not upgrading\
        \ legacy systems if the upgrade cost is significantly higher than potential\
        \ losses);\n    o accepting specific compliance risks if there is a plan in\
        \ place to address them within a defined timeframe (e.g. temporarily accepting\
        \ minor non-compliance with a commitment to remediate within six months);\n\
        \    o allowing certain risks in low-criticality systems or departments that\
        \ do not affect core business operations (e.g. accepting a risk in a test\
        \ environment);\n    o accepting certain vulnerabilities for a defined period\
        \ while planning for remediation (e.g. accepting the risk of outdated software\
        \ for three months until a full upgrade can be completed);\n    o accepting\
        \ risks where the expected incident impact falls below a predetermined financial\
        \ threshold (e.g. losses under EUR 50,000 accepted without further action);\n\
        \    o accepting risks after informing stakeholders and receiving their agreement,\
        \ particularly if they understand the trade-offs involved; and\n    o accepting\
        \ residual risks where existing measures reduce the likelihood or impact to\
        \ an acceptable level (e.g. using encryption for sensitive data but accepting\
        \ risks of loss due to user error). \n\u2022 Define risk criteria, that is,\
        \ how the entity evaluates the significance of the risks that it identifies\
        \ and makes decisions concerning risks. Risk criteria may include (indicative,\
        \ non-exhaustive list):\n    o alignment with risk appetite: accepting risks\
        \ that align with the organization's overall risk appetite, such as delays\
        \ in internal reporting processes that do not impact customer service or compliance;\n\
        \    o regulatory and legal exposure: prioritizing risks based on potential\
        \ legal or regulatory consequences, such as treating violations of the General\
        \ Data Protection Regulation (GDPR) involving customer data as high-risk due\
        \ to potential fines and reputational damage;\n    o reputational impact:\
        \ escalating risks that could significantly harm the organization's public\
        \ image, such as incidents likely to attract media attention;\n    o risk\
        \ velocity: giving higher priority to risks with high velocity, such as zero-day\
        \ exploits that can be weaponised before patches are available;\n    o recovery\
        \ complexity: treating risks as critical if they involve complex or time-consuming\
        \ recovery, such as cyber-attacks on legacy systems with limited vendor support;\n\
        \    o emerging technology risks: Considering risks involving emerging technologies\
        \ as higher priority, such as AI systems producing unexplainable or non-compliant\
        \ decisions due to lack of transparency;\n    o stakeholder sensitivity: re-evaluating\
        \ risks that concern key stakeholders, such as risks flagged by the board,\
        \ regulators or major customers, even if the assessed technical risk is low.\
        \ \n\u2022 Criteria for performing cybersecurity risk assessments refer to\
        \ consequences, likelihood or level of risk. These may refer to (indicative,\
        \ non-exhaustive list):\n    o the importance of assets;\n    o the severity\
        \ of threats;\n    o the vulnerability of network and information systems\
        \ (16);\n    o impact analysis;\n    o existing measures; and\n    o stakeholders\
        \ concerns or requirements. \n\u2022 Make a list of the main risks for the\
        \ security of network and information systems, taking into account the main\
        \ threats to the assets in scope. \n\u2022 Make sure that each risk is associated\
        \ with at least one:\n    o of the risk treatment options or a combination\
        \ of them, in line with the results of the risk assessment and in accordance\
        \ with the entity\u2019s policy on the security of network and information\
        \ systems (recital 11 of the regulation); and\n    o specific risk treatment\
        \ measure. \n\u2022 Develop risk-treatment plans to address the elements in\
        \ points (i) and (j) in point 2.1.2 of the Annex to the regulation. \n\u2022\
        \ Assign responsibilities to appropriate individuals or teams for executing\
        \ these risk treatment plans.\n\n(14) There are many risk-management standards,\
        \ frameworks and methodologies. A non-exhaustive list of them can be found\
        \ in the ENISA publication Compendium of risk-managements frameworks with\
        \ potential interoperability, https://www.enisa.europa.eu/publications/compendium-of-risk-\
        \ management-frameworks. \n(15) More information on risk criteria can be found\
        \ in ISO/IEC 27005:2022, paragraph 6.4. It is important to understand that\
        \ risk appetite, defined as the amount of risk an entity is willing to pursue\
        \ or accept, can vary considerably from entity to entity. For instance, factors\
        \ affecting an entity\u2019s risk appetite include size, complexity and sector.\
        \ \n(16) Vulnerabilities of network and information systems may also arise\
        \ from human, organizational, and procedural weaknesses."
      typical_evidence: "\u2022 Documented cybersecurity risk-management process that\
        \ takes into account elements referred to in point 2.1.2 of the Annex to the\
        \ regulation. \n\u2022 Documented risk-management methodology and/or tools\
        \ that take into account at least elements (a) to (f) in point 2.1.2 of the\
        \ Annex to the regulation. \n\u2022 List of the main risks described at a\
        \ high level, including underlying threat(s) and unaddressed vulnerabilities\
        \ and their potential impact on the security of networks and services. \n\u2022\
        \ Make sure that the entity follows an all-hazards approach (check that the\
        \ risk-assessment approach addresses a wide range of potential threats and\
        \ risks, not just the cyber ones, but natural or man-made, accidental or intentional\
        \ threats and risks). \n\u2022 Evidence that residual risks resulting from\
        \ dependencies on third parties are listed and mitigated."
      translations:
        fr:
          description: "Aux fins du point\_2.1.1, les entit\xE9s concern\xE9es \xE9\
            tablissent des proc\xE9dures d\u2019identification, d\u2019analyse, d\u2019\
            \xE9valuation et de traitement des risques (ci-apr\xE8s la \xABproc\xE9\
            dure de gestion des risques de cybers\xE9curit\xE9\xBB). La proc\xE9dure\
            \ de gestion des risques de cybers\xE9curit\xE9 fait partie int\xE9grante\
            \ de la proc\xE9dure globale de gestion des risques des entit\xE9s concern\xE9\
            es, s\u2019il y a lieu. Dans le cadre de la proc\xE9dure de gestion des\
            \ risques de cybers\xE9curit\xE9, les entit\xE9s concern\xE9es:"
          annotation: "\u2022 Choisir une m\xE9thode de gestion des risques (14).\
            \ \n\u2022 D\xE9terminer l'app\xE9tence de l'entit\xE9 pour le risque,\
            \ c'est-\xE0-dire le niveau de risque que l'entit\xE9 est strat\xE9giquement\
            \ pr\xEAte \xE0 accepter pour atteindre ses objectifs. Les crit\xE8res\
            \ peuvent inclure (liste indicative et non exhaustive) :\n    o les objectifs\
            \ strat\xE9giques de l'entreprise ;\n    o les attentes des parties prenantes\
            \ ;\n    o les exigences r\xE9glementaires ; et\n    o la culture de l'organisation.\n\
            \u2022 D\xE9finir le niveau de tol\xE9rance au risque, c'est-\xE0-dire\
            \ le niveau de risque qu'une entit\xE9 est pr\xEAte \xE0 accepter pour\
            \ atteindre ses objectifs \xE0 long terme. Les exemples peuvent inclure\
            \ (liste indicative et non exhaustive) :\n    o temps d'arr\xEAt acceptable\
            \ pour les syst\xE8mes dont la criticit\xE9 est \xE9lev\xE9e (par exemple,\
            \ jusqu'\xE0 deux heures de temps d'arr\xEAt par mois) ;\n    o tol\xE9\
            rance \xE0 la perte de donn\xE9es (par exemple, perte de donn\xE9es de\
            \ faible criticit\xE9 dans une fen\xEAtre de 24 heures) ;\n    o perte\
            \ financi\xE8re maximale pouvant \xEAtre absorb\xE9e sans compromettre\
            \ les op\xE9rations (par exemple, jusqu'\xE0 100 000 euros de frais de\
            \ r\xE9cup\xE9ration) ;\n    o volont\xE9 d'investir un certain pourcentage\
            \ du chiffre d'affaires dans des mesures (par exemple, 5 % du chiffre\
            \ d'affaires annuel).\n    o respect des obligations r\xE9glementaires\
            \ avec des p\xE9nalit\xE9s ou amendes sp\xE9cifiques influen\xE7ant l'acceptation\
            \ du risque.\n    o niveau acceptable d'insatisfaction des clients ou\
            \ d'exposition m\xE9diatique n\xE9gative \xE0 la suite d'une violation\
            \ de donn\xE9es (par exemple, tol\xE9rer un incident majeur toutes les\
            \ quelques ann\xE9es). o le niveau acceptable d'insatisfaction des clients\
            \ ou d'exposition m\xE9diatique n\xE9gative \xE0 la suite d'une violation\
            \ de donn\xE9es (par exemple, tol\xE9rer un incident majeur toutes les\
            \ quelques ann\xE9es).\n    o l'acceptation de certaines vuln\xE9rabilit\xE9\
            s sur la base des mesures d'att\xE9nuation des risques en place (par exemple,\
            \ un logiciel obsol\xE8te \xE0 condition qu'il soit surveill\xE9 et corrig\xE9\
            \ r\xE9guli\xE8rement).\n    o le d\xE9lai de r\xE9ponse et de r\xE9cup\xE9\
            ration des incidents (par exemple, un maximum de 48 heures pour le confinement)\
            \ ; et\n    o l'acceptation d'incidents mineurs dans le cadre des op\xE9\
            rations normales, tout en donnant la priorit\xE9 aux menaces majeures.\n\
            \u2022 D\xE9finir les crit\xE8res d'acceptation des risques, qui peuvent\
            \ inclure (liste indicative et non exhaustive) (15) :\n    o accepter\
            \ les risques class\xE9s comme \xE9tant de faible gravit\xE9, tels que\
            \ les fuites de donn\xE9es mineures qui n'exposent pas d'informations\
            \ sensibles ;\n    o accepter les risques \xE9valu\xE9s comme ayant une\
            \ faible probabilit\xE9 d'occurrence (par exemple, certains types rares\
            \ de cyberattaques) ; o accepter les risques \xE9valu\xE9s comme ayant\
            \ une faible probabilit\xE9 d'occurrence (par exemple, certains types\
            \ rares de cyberattaques). certains types rares de cyberattaques) ;\n\
            \    o accepter des risques si le co\xFBt de l'att\xE9nuation est sup\xE9\
            rieur \xE0 l'impact potentiel (par exemple, ne pas mettre \xE0 niveau\
            \ les syst\xE8mes existants si le co\xFBt de la mise \xE0 niveau est nettement\
            \ sup\xE9rieur aux pertes potentielles) ;\n    o accepter des risques\
            \ de conformit\xE9 sp\xE9cifiques s'il existe un plan pour y rem\xE9dier\
            \ dans un d\xE9lai d\xE9fini (par exemple, accepter temporairement une\
            \ non-conformit\xE9 mineure \xE0 une loi ou \xE0 un r\xE8glement). accepter\
            \ temporairement une non-conformit\xE9 mineure en s'engageant \xE0 y rem\xE9\
            dier dans les six mois) ;\n    o accepter certains risques dans des syst\xE8\
            mes ou des d\xE9partements \xE0 faible criticit\xE9 qui n'affectent pas\
            \ les activit\xE9s principales de l'entreprise (par exemple, accepter\
            \ un risque dans un environnement de test) ;\n    o accepter certaines\
            \ vuln\xE9rabilit\xE9s pendant une p\xE9riode d\xE9finie tout en planifiant\
            \ la rem\xE9diation (par exemple, accepter le risque d'un syst\xE8me obsol\xE8\
            te si le co\xFBt de la mise \xE0 niveau est beaucoup plus \xE9lev\xE9\
            \ que les pertes potentielles) par exemple, accepter le risque d'un logiciel\
            \ obsol\xE8te pendant trois mois jusqu'\xE0 ce qu'une mise \xE0 niveau\
            \ compl\xE8te puisse \xEAtre effectu\xE9e) ;\n    o accepter les risques\
            \ dont l'impact attendu est inf\xE9rieur \xE0 un seuil financier pr\xE9\
            d\xE9termin\xE9 (par exemple, les pertes inf\xE9rieures \xE0 50 000 euros\
            \ sont accept\xE9es sans autre forme de proc\xE8s) ;\n    o accepter les\
            \ risques apr\xE8s avoir inform\xE9 les parties prenantes et obtenu leur\
            \ accord, en particulier si elles comprennent les compromis impliqu\xE9\
            s ; et\n    o accepter les risques r\xE9siduels lorsque les mesures existantes\
            \ r\xE9duisent la probabilit\xE9 ou l'impact \xE0 un niveau acceptable\
            \ (par exemple, utiliser le cryptage pour les donn\xE9es sensibles mais\
            \ accepter les risques de perte dus \xE0 une erreur de l'utilisateur).\n\
            \u2022 D\xE9finir les crit\xE8res de risque, c'est-\xE0-dire la fa\xE7\
            on dont l'entit\xE9 \xE9value l'importance des risques qu'elle identifie\
            \ et prend des d\xE9cisions concernant les risques. Les crit\xE8res de\
            \ risque peuvent inclure (liste indicative et non exhaustive) :\n    o\
            \ l'alignement sur l'app\xE9tit pour le risque : accepter les risques\
            \ qui s'alignent sur l'app\xE9tit pour le risque global de l'organisation,\
            \ tels que les retards dans les processus de reporting interne qui n'ont\
            \ pas d'incidence sur le service \xE0 la client\xE8le ou la conformit\xE9\
            \ ;\n    o l'exposition r\xE9glementaire et juridique : hi\xE9rarchiser\
            \ les risques en fonction des cons\xE9quences juridiques ou r\xE9glementaires\
            \ potentielles, telles que traiter les violations du r\xE8glement g\xE9\
            n\xE9ral sur la protection des donn\xE9es (RGPD) concernant les donn\xE9\
            es des clients comme des risques \xE9lev\xE9s en raison des amendes potentielles\
            \ et des atteintes \xE0 la r\xE9putation ;\n    o l'impact sur la r\xE9\
            putation : en augmentant les risques qui pourraient nuire de mani\xE8\
            re significative \xE0 l'image publique de l'organisation, tels que les\
            \ incidents susceptibles d'attirer l'attention des m\xE9dias ;\n    o\
            \ v\xE9locit\xE9 du risque : accorder une priorit\xE9 plus \xE9lev\xE9\
            e aux risques \xE0 v\xE9locit\xE9 \xE9lev\xE9e, tels que les exploits\
            \ de type \xAB zero-day \xBB qui peuvent \xEAtre utilis\xE9s \xE0 des\
            \ fins militaires avant que les correctifs ne soient disponibles ;\n \
            \   o complexit\xE9 de la r\xE9cup\xE9ration : traiter les risques comme\
            \ critiques s'ils impliquent une r\xE9cup\xE9ration complexe ou longue,\
            \ tels que les cyber-attaques sur les syst\xE8mes existants avec un soutien\
            \ limit\xE9 des fournisseurs ;\n    o risques li\xE9s aux technologies\
            \ \xE9mergentes : Consid\xE9rer les risques impliquant des technologies\
            \ \xE9mergentes comme plus prioritaires, tels que les syst\xE8mes d'intelligence\
            \ artificielle produisant des d\xE9cisions inexplicables ou non conformes\
            \ en raison d'un manque de transparence ;\n    o sensibilit\xE9 des parties\
            \ prenantes : r\xE9\xE9valuer les risques qui concernent les principales\
            \ parties prenantes, tels que les risques signal\xE9s par le conseil d'administration,\
            \ les autorit\xE9s de r\xE9glementation ou les principaux clients, m\xEA\
            me si le risque technique \xE9valu\xE9 est faible.\n\u2022 Les crit\xE8\
            res d'\xE9valuation des risques de cybers\xE9curit\xE9 portent sur les\
            \ cons\xE9quences, la probabilit\xE9 ou le niveau de risque. Ils peuvent\
            \ concerner (liste indicative et non exhaustive) :\n    o l'importance\
            \ des actifs ;\n    o la gravit\xE9 des menaces ;\n    o la vuln\xE9rabilit\xE9\
            \ des r\xE9seaux et des syst\xE8mes d'information (16) ;\n    o l'analyse\
            \ d'impact ;\n    o les mesures existantes ; et\n    o les pr\xE9occupations\
            \ ou les exigences des parties prenantes.\n\u2022 Dressez une liste des\
            \ principaux risques pour la s\xE9curit\xE9 des r\xE9seaux et des syst\xE8\
            mes d'information, en tenant compte des principales menaces pesant sur\
            \ les biens concern\xE9s.\n\u2022 Veillez \xE0 ce que chaque risque soit\
            \ associ\xE9 \xE0 au moins une :\n    o des options de traitement des\
            \ risques ou d'une combinaison d'entre elles, conform\xE9ment aux r\xE9\
            sultats de l'\xE9valuation des risques et \xE0 la politique de l'entit\xE9\
            \ en mati\xE8re de s\xE9curit\xE9 des r\xE9seaux et des syst\xE8mes d'information\
            \ (consid\xE9rant 11 du r\xE8glement) ; et\n    o mesure sp\xE9cifique\
            \ de traitement des risques.\n\u2022 \xC9laborer des plans de traitement\
            \ des risques pour traiter les \xE9l\xE9ments vis\xE9s aux points i) et\
            \ j) du point 2.1.2 de l'annexe du r\xE8glement. \n\u2022 Attribuer des\
            \ responsabilit\xE9s aux personnes ou \xE9quipes appropri\xE9es pour l'ex\xE9\
            cution de ces plans de traitement des risques.\n\n(14) Il existe de nombreuses\
            \ normes, cadres et m\xE9thodes de gestion des risques. Une liste non\
            \ exhaustive est disponible dans la publication de l'ENISA intitul\xE9\
            e Compendium of risk-managements frameworks with potential interoperability,\
            \ https://www.enisa.europa.eu/publications/compendium-of-risk- management-frameworks.\
            \ \n(15) De plus amples informations sur les crit\xE8res de risque figurent\
            \ dans la norme ISO/IEC 27005:2022, paragraphe 6.4. Il est important de\
            \ comprendre que l'app\xE9tit pour le risque, d\xE9fini comme le niveau\
            \ de risque qu'une entit\xE9 est pr\xEAte \xE0 poursuivre ou \xE0 accepter,\
            \ peut varier consid\xE9rablement d'une entit\xE9 \xE0 l'autre. Par exemple,\
            \ la taille, la complexit\xE9 et le secteur d'activit\xE9 sont des facteurs\
            \ qui influencent l'app\xE9tence d'une entit\xE9 pour le risque. \n(16)\
            \ Les vuln\xE9rabilit\xE9s des r\xE9seaux et des syst\xE8mes d'information\
            \ peuvent \xE9galement r\xE9sulter de faiblesses humaines, organisationnelles\
            \ et proc\xE9durales."
          typical_evidence: "\u2022 Un processus document\xE9 de gestion des risques\
            \ de cybers\xE9curit\xE9 qui prend en compte les \xE9l\xE9ments vis\xE9\
            s au point 2.1.2 de l\u2019annexe du r\xE8glement. \n\u2022 M\xE9thodologie\
            \ et/ou outils document\xE9s de gestion des risques qui tiennent compte\
            \ au moins des \xE9l\xE9ments a) \xE0 f) du point 2.1.2 de l\u2019annexe\
            \ du r\xE8glement. \n\u2022 Liste des principaux risques d\xE9crits \xE0\
            \ un niveau \xE9lev\xE9, y compris les menaces sous-jacentes et les vuln\xE9\
            rabilit\xE9s non trait\xE9es et leur impact potentiel sur la s\xE9curit\xE9\
            \ des r\xE9seaux et des services. \n\u2022 S\u2019assurer que l\u2019\
            entit\xE9 suit une approche tous risques (v\xE9rifier que l\u2019approche\
            \ d\u2019\xE9valuation des risques aborde un large \xE9ventail de menaces\
            \ et de risques potentiels, pas seulement les cybermenaces, mais aussi\
            \ les menaces et les risques naturels ou d\u2019origine humaine, accidentels\
            \ ou intentionnels). \n\u2022 La preuve que les risques r\xE9siduels r\xE9\
            sultant de d\xE9pendances \xE0 l\u2019\xE9gard de tiers sont r\xE9pertori\xE9\
            s et att\xE9nu\xE9s."
        es:
          description: "A los efectos del punto 2.1.1, las entidades pertinentes establecer\xE1\
            n procedimientos para detectar, analizar, evaluar y tratar los riesgos\
            \ (\xABproceso de gesti\xF3n de riesgos de ciberseguridad\xBB). El proceso\
            \ de gesti\xF3n de riesgos de ciberseguridad formar\xE1 parte del proceso\
            \ de gesti\xF3n de riesgos general de la entidad pertinente, seg\xFAn\
            \ proceda. Como parte del proceso de gesti\xF3n de riesgos de ciberseguridad,\
            \ las entidades pertinentes:"
          annotation: "\u2022 Seleccionar una metodolog\xEDa de gesti\xF3n de riesgos\
            \ (14). \n\u2022 Establecer la propensi\xF3n al riesgo de la entidad,\
            \ es decir, la cantidad de riesgo que la entidad est\xE1 estrat\xE9gicamente\
            \ dispuesta a aceptar para alcanzar sus objetivos. Los criterios pueden\
            \ incluir (lista indicativa, no exhaustiva):\n    o objetivos estrat\xE9\
            gicos empresariales;\n    o expectativas de las partes interesadas;\n\
            \    o requisitos normativos; y\n    o cultura organizativa.\n\u2022 Definir\
            \ el nivel de tolerancia al riesgo, que se refiere al nivel de riesgo\
            \ que una entidad est\xE1 dispuesta a aceptar en la consecuci\xF3n de\
            \ sus objetivos a largo plazo. Los ejemplos pueden incluir (lista indicativa,\
            \ no exhaustiva):\n    o tiempo de inactividad aceptable para los sistemas\
            \ para los que la criticidad es alta (por ejemplo, hasta dos horas de\
            \ inactividad al mes);\n    o tolerancia a la p\xE9rdida de datos (por\
            \ ejemplo, p\xE9rdida de datos con baja criticidad dentro de una ventana\
            \ de 24 horas);\n    o p\xE9rdida financiera m\xE1xima que puede ser absorbida\
            \ sin poner en peligro las operaciones (por ejemplo, hasta 100.000 euros\
            \ en costes de recuperaci\xF3n);\n    o voluntad de invertir un determinado\
            \ porcentaje de los ingresos en medidas (por ejemplo. 5% de los ingresos\
            \ anuales);\n    o cumplimiento de las obligaciones reglamentarias con\
            \ sanciones o multas espec\xEDficas que influyan en la aceptaci\xF3n del\
            \ riesgo;\n    o nivel aceptable de insatisfacci\xF3n de los clientes\
            \ o exposici\xF3n negativa a los medios de comunicaci\xF3n por una violaci\xF3\
            n de datos (por ejemplo, tolerar un incidente importante cada pocos a\xF1\
            os);\n    o aceptaci\xF3n de ciertas vulnerabilidades en funci\xF3n de\
            \ las medidas de mitigaci\xF3n del riesgo aplicadas (por ejemplo, software\
            \ obsoleto siempre que se supervise y parchee con regularidad);\n    o\
            \ plazo para responder a los incidentes y recuperarse de ellos (por ejemplo,\
            \ un m\xE1ximo de 48 horas para la contenci\xF3n); y\n    o aceptaci\xF3\
            n de incidentes menores como parte de las operaciones normales, al tiempo\
            \ que se da prioridad a las amenazas mayores.\n\u2022 Definir los criterios\
            \ de aceptaci\xF3n de riesgos, que pueden incluir (lista indicativa, no\
            \ exhaustiva) (15):\n    o aceptar riesgos clasificados como de baja gravedad,\
            \ como fugas de datos menores que no expongan informaci\xF3n sensible;\n\
            \    o aceptar riesgos evaluados como de baja probabilidad de ocurrencia\
            \ (por ej. determinados tipos de ciberataques poco frecuentes);\n    o\
            \ aceptar riesgos si el coste de la mitigaci\xF3n supera el impacto potencial\
            \ (por ejemplo, no actualizar los sistemas heredados si el coste de la\
            \ actualizaci\xF3n es significativamente superior a las p\xE9rdidas potenciales);\n\
            \    o aceptar riesgos de cumplimiento espec\xEDficos si existe un plan\
            \ para abordarlos en un plazo definido (por ejemplo. aceptar temporalmente\
            \ incumplimientos menores con el compromiso de remediarlos en un plazo\
            \ de seis meses);\n    o permitir ciertos riesgos en sistemas o departamentos\
            \ de baja criticidad que no afecten a las operaciones principales de la\
            \ empresa (por ejemplo, aceptar un riesgo en un entorno de pruebas);\n\
            \    o aceptar ciertas vulnerabilidades durante un periodo definido mientras\
            \ se planifica su remediaci\xF3n (por ejemplo, aceptar el riesgo de un\
            \ software obsoleto durante tres meses hasta que pueda completarse una\
            \ actualizaci\xF3n completa);\n    o aceptar los riesgos cuando el impacto\
            \ previsto del incidente sea inferior a un umbral financiero predeterminado\
            \ (por ejemplo, p\xE9rdidas inferiores a 50.000 euros aceptadas sin m\xE1\
            s medidas);\n    o aceptar los riesgos despu\xE9s de informar a las partes\
            \ interesadas y recibir su acuerdo, en particular si comprenden las compensaciones\
            \ implicadas; y\n    o aceptar los riesgos residuales cuando las medidas\
            \ existentes reduzcan la probabilidad o el impacto a un nivel aceptable\
            \ (por ejemplo, utilizar el cifrado para los datos sensibles pero aceptar\
            \ los riesgos de p\xE9rdida por error del usuario).\n\u2022 Definir los\
            \ criterios de riesgo, es decir, la forma en que la entidad eval\xFAa\
            \ la importancia de los riesgos que identifica y toma decisiones relativas\
            \ a los riesgos. Los criterios de riesgo pueden incluir (lista indicativa,\
            \ no exhaustiva):\n    o alineaci\xF3n con el apetito de riesgo: aceptar\
            \ riesgos que se alineen con el apetito de riesgo general de la organizaci\xF3\
            n, como retrasos en los procesos de informaci\xF3n interna que no afecten\
            \ al servicio al cliente o al cumplimiento;\n    o exposici\xF3n regulatoria\
            \ y legal: priorizar los riesgos en funci\xF3n de las posibles consecuencias\
            \ legales o normativas, como tratar las infracciones del Reglamento General\
            \ de Protecci\xF3n de Datos (RGPD) que afecten a los datos de los clientes\
            \ como de alto riesgo debido a las posibles multas y da\xF1os a la reputaci\xF3\
            n;\n    o impacto reputacional: escalar los riesgos que podr\xEDan da\xF1\
            ar significativamente la imagen p\xFAblica de la organizaci\xF3n, como\
            \ los incidentes susceptibles de atraer la atenci\xF3n de los medios de\
            \ comunicaci\xF3n;\n    o velocidad del riesgo: dar mayor prioridad a\
            \ los riesgos con alta velocidad, como los exploits de d\xEDa cero que\
            \ pueden convertirse en armas antes de que los parches est\xE9n disponibles;\n\
            \    o complejidad de la recuperaci\xF3n: tratar los riesgos como cr\xED\
            ticos si implican una recuperaci\xF3n compleja o lenta, como los ciberataques\
            \ a sistemas heredados con soporte limitado de los proveedores;\n    o\
            \ riesgos tecnol\xF3gicos emergentes: Considerar los riesgos que implican\
            \ tecnolog\xEDas emergentes como de mayor prioridad, como los sistemas\
            \ de IA que producen decisiones inexplicables o no conformes debido a\
            \ la falta de transparencia;\n    o sensibilidad de las partes interesadas:\
            \ reevaluar los riesgos que preocupan a las partes interesadas clave,\
            \ como los riesgos se\xF1alados por el consejo, los reguladores o los\
            \ principales clientes, incluso si el riesgo t\xE9cnico evaluado es bajo.\n\
            \u2022 Los criterios para realizar evaluaciones de riesgos de ciberseguridad\
            \ hacen referencia a las consecuencias, la probabilidad o el nivel de\
            \ riesgo. Pueden referirse a (lista indicativa, no exhaustiva):\n    o\
            \ la importancia de los activos;\n    o la gravedad de las amenazas;\n\
            \    o la vulnerabilidad de los sistemas de red y de informaci\xF3n (16);\n\
            \    o el an\xE1lisis de impacto;\n    o las medidas existentes; y\n \
            \   o las preocupaciones o requisitos de las partes interesadas.\n\u2022\
            \ Haz una lista de los principales riesgos para la seguridad de la red\
            \ y los sistemas de informaci\xF3n, teniendo en cuenta las principales\
            \ amenazas para los activos en el \xE1mbito de aplicaci\xF3n. \n\u2022\
            \ Aseg\xFArese de que cada riesgo est\xE1 asociado con al menos una:\n\
            \    o de las opciones de tratamiento del riesgo o una combinaci\xF3n\
            \ de ellas, en consonancia con los resultados de la evaluaci\xF3n del\
            \ riesgo y de conformidad con la pol\xEDtica de la entidad en materia\
            \ de seguridad de las redes y sistemas de informaci\xF3n (considerando\
            \ 11 del Reglamento); y\n    o medida espec\xEDfica de tratamiento del\
            \ riesgo.\n\u2022 Elaborar planes de tratamiento de riesgos para abordar\
            \ los elementos de las letras i) y j) del punto 2.1.2 del anexo del Reglamento.\
            \ \n\u2022 Asignar responsabilidades a las personas o equipos adecuados\
            \ para la ejecuci\xF3n de estos planes de tratamiento de riesgos.\n\n\
            (14) Existen numerosas normas, marcos y metodolog\xEDas de gesti\xF3n\
            \ de riesgos. Puede encontrarse una lista no exhaustiva en la publicaci\xF3\
            n de ENISA Compendium of risk-managements frameworks with potential interoperability,\
            \ https://www.enisa.europa.eu/publications/compendium-of-risk- management-frameworks.\
            \ \n(15) Puede encontrarse m\xE1s informaci\xF3n sobre criterios de riesgo\
            \ en ISO/IEC 27005:2022, apartado 6.4. Es importante comprender que la\
            \ propensi\xF3n al riesgo, definida como la cantidad de riesgo que una\
            \ entidad est\xE1 dispuesta a perseguir o aceptar, puede variar considerablemente\
            \ de una entidad a otra. Por ejemplo, los factores que afectan a la propensi\xF3\
            n al riesgo de una entidad incluyen el tama\xF1o, la complejidad y el\
            \ sector. \n(16) Las vulnerabilidades de los sistemas de red y de informaci\xF3\
            n tambi\xE9n pueden derivarse de deficiencias humanas, organizativas y\
            \ de procedimiento."
          typical_evidence: "\u2022 Proceso documentado de gesti\xF3n de riesgos de\
            \ ciberseguridad que tenga en cuenta los elementos a que se refiere el\
            \ punto 2.1.2 del anexo del Reglamento. \n\u2022 Metodolog\xEDa y/o herramientas\
            \ de gesti\xF3n de riesgos documentadas que tengan en cuenta, como m\xED\
            nimo, los elementos a) a f) del punto 2.1.2 del anexo del Reglamento.\
            \ \n\u2022 Lista de los principales riesgos descritos a alto nivel, incluidas\
            \ las amenazas subyacentes y las vulnerabilidades no abordadas y su posible\
            \ impacto en la seguridad de las redes y los servicios. \n\u2022 Asegurarse\
            \ de que la entidad sigue un enfoque de todos los peligros (compruebe\
            \ que el enfoque de evaluaci\xF3n de riesgos aborda una amplia gama de\
            \ amenazas y riesgos potenciales, no solo los cibern\xE9ticos, sino tambi\xE9\
            n las amenazas y riesgos naturales o provocados por el hombre, accidentales\
            \ o intencionales). \n\u2022 Evidencia de que se enumeran y mitigan los\
            \ riesgos residuales derivados de las dependencias de terceros."
        cs:
          description: "Pro \xFA\u010Dely bodu 2.1.1 p\u0159\xEDslu\u0161n\xE9 subjekty\
            \ stanov\xED postupy pro identifikaci, anal\xFDzu, posouzen\xED a o\u0161\
            et\u0159en\xED rizik (d\xE1le jen \u201Eproces \u0159\xEDzen\xED rizik\
            \ v oblasti kybernetick\xE9 bezpe\u010Dnosti\u201C). Proces \u0159\xED\
            zen\xED rizik v oblasti kybernetick\xE9 bezpe\u010Dnosti mus\xED b\xFD\
            t v p\u0159\xEDslu\u0161n\xFDch p\u0159\xEDpadech ned\xEDlnou sou\u010D\
            \xE1st\xED celkov\xE9ho procesu \u0159\xEDzen\xED rizik p\u0159\xEDslu\u0161\
            n\xFDch subjekt\u016F. V r\xE1mci procesu \u0159\xEDzen\xED rizik v oblasti\
            \ kybernetick\xE9 bezpe\u010Dnosti p\u0159\xEDslu\u0161n\xE9 subjekty:"
          annotation: "\u2022 Zvolte metodiku \u0159\xEDzen\xED rizik (14). \n\u2022\
            \ Stanovte rizikov\xFD apetit \xFA\u010Detn\xED jednotky, tj. m\xEDru\
            \ rizika, kterou je \xFA\u010Detn\xED jednotka strategicky ochotna akceptovat\
            \ pro dosa\u017Een\xED sv\xFDch c\xEDl\u016F. Krit\xE9ria mohou zahrnovat\
            \ (orienta\u010Dn\xED, ne\xFApln\xFD seznam):\n    o strategick\xE9 c\xED\
            le podniku;\n    o o\u010Dek\xE1v\xE1n\xED zainteresovan\xFDch stran;\n\
            \    o regulatorn\xED po\u017Eadavky; a\n    o organiza\u010Dn\xED kulturu.\n\
            \u2022 Definujte m\xEDru tolerance rizika, kter\xE1 se t\xFDk\xE1 \xFA\
            rovn\u011B rizika, kterou je subjekt ochoten akceptovat p\u0159i pln\u011B\
            n\xED sv\xFDch dlouhodob\xFDch c\xEDl\u016F. P\u0159\xEDklady mohou zahrnovat\
            \ (orienta\u010Dn\xED, ne\xFApln\xFD seznam):\n    o p\u0159ijatelnou\
            \ dobu odst\xE1vky syst\xE9m\u016F, u nich\u017E je kriti\u010Dnost vysok\xE1\
            \ (nap\u0159. do dvou hodin odst\xE1vky za m\u011Bs\xEDc);\n    o toleranci\
            \ ztr\xE1ty dat (nap\u0159. ztr\xE1ta dat s n\xEDzkou kriti\u010Dnost\xED\
            \ v r\xE1mci 24hodinov\xE9ho okna);\n    o maxim\xE1ln\xED finan\u010D\
            n\xED ztr\xE1tu, kterou lze absorbovat, ani\u017E by byl ohro\u017Een\
            \ provoz (nap\u0159. do 100 000 EUR n\xE1klad\u016F na obnovu);\n    o\
            \ ochotu investovat ur\u010Dit\xE9 procento p\u0159\xEDjm\u016F do opat\u0159\
            en\xED (nap\u0159. sn\xED\u017Een\xED n\xE1klad\u016F na obnovu). 5 %\
            \ ro\u010Dn\xEDch p\u0159\xEDjm\u016F);\n    o dodr\u017Eov\xE1n\xED regula\u010D\
            n\xEDch povinnost\xED s konkr\xE9tn\xEDmi sankcemi nebo pokutami, kter\xE9\
            \ ovliv\u0148uj\xED p\u0159ijatelnost rizika;\n    o p\u0159ijateln\xE1\
            \ \xFArove\u0148 nespokojenosti z\xE1kazn\xEDk\u016F nebo negativn\xED\
            \ medializace v d\u016Fsledku \xFAniku dat (nap\u0159. tolerov\xE1n\xED\
            \ jednoho z\xE1va\u017En\xE9ho incidentu za n\u011Bkolik let);\n    o\
            \ akceptov\xE1n\xED ur\u010Dit\xFDch zranitelnost\xED na z\xE1klad\u011B\
            \ zaveden\xFDch opat\u0159en\xED ke zm\xEDrn\u011Bn\xED rizika (nap\u0159\
            . zastaral\xFD software za p\u0159edpokladu, \u017Ee je pravideln\u011B\
            \ monitorov\xE1n a opravov\xE1n);\n    o \u010Dasov\xFD r\xE1mec pro reakci\
            \ na incidenty a obnovu po nich (nap\u0159. maxim\xE1ln\u011B 48 hodin\
            \ pro omezen\xED jejich v\xFDskytu); a\n    o akceptov\xE1n\xED men\u0161\
            \xEDch incident\u016F jako sou\u010D\xE1sti b\u011B\u017En\xE9ho provozu\
            \ p\u0159i sou\u010Dasn\xE9m up\u0159ednostn\u011Bn\xED velk\xFDch hrozeb.\n\
            \u2022 Definujte krit\xE9ria pro akceptaci rizik, kter\xE1 mohou zahrnovat\
            \ (orienta\u010Dn\xED, ne\xFApln\xFD seznam) (15):\n    o akceptaci rizik\
            \ za\u0159azen\xFDch do kategorie n\xEDzk\xE9 z\xE1va\u017Enosti, jako\
            \ jsou drobn\xE9 \xFAniky dat, kter\xE9 neodhaluj\xED citliv\xE9 informace;\n\
            \    o akceptaci rizik vyhodnocen\xFDch jako rizika s n\xEDzkou pravd\u011B\
            podobnost\xED v\xFDskytu (nap\u0159. n\u011Bkter\xE9 vz\xE1cn\xE9 typy\
            \ kybernetick\xFDch \xFAtok\u016F);\n    o akceptov\xE1n\xED rizik, pokud\
            \ n\xE1klady na jejich zm\xEDrn\u011Bn\xED p\u0159evy\u0161uj\xED potenci\xE1\
            ln\xED dopad (nap\u0159. neprov\xE1d\u011Bn\xED modernizace star\u0161\
            \xEDch syst\xE9m\u016F, pokud jsou n\xE1klady na modernizaci v\xFDrazn\u011B\
            \ vy\u0161\u0161\xED ne\u017E potenci\xE1ln\xED ztr\xE1ty);\n    o akceptov\xE1\
            n\xED specifick\xFDch rizik v oblasti dodr\u017Eov\xE1n\xED p\u0159edpis\u016F\
            , pokud existuje pl\xE1n na jejich \u0159e\u0161en\xED ve stanoven\xE9\
            m \u010Dasov\xE9m r\xE1mci (nap\u0159. do\u010Dasn\xE9 akceptov\xE1n\xED\
            \ drobn\xFDch neshod se z\xE1vazkem n\xE1pravy do \u0161esti m\u011Bs\xED\
            c\u016F);\n    o povolen\xED ur\u010Dit\xFDch rizik v syst\xE9mech nebo\
            \ odd\u011Blen\xEDch s n\xEDzkou kriti\u010Dnost\xED, kter\xE1 nemaj\xED\
            \ vliv na hlavn\xED obchodn\xED operace (nap\u0159. akceptov\xE1n\xED\
            \ rizika v testovac\xEDm prost\u0159ed\xED);\n    o akceptov\xE1n\xED\
            \ ur\u010Dit\xFDch zranitelnost\xED na definovanou dobu p\u0159i pl\xE1\
            nov\xE1n\xED n\xE1pravy (nap\u0159. nap\u0159. akceptov\xE1n\xED rizika\
            \ zastaral\xE9ho softwaru po dobu t\u0159\xED m\u011Bs\xEDc\u016F, dokud\
            \ nebude dokon\u010Dena \xFApln\xE1 aktualizace);\n    o akceptov\xE1\
            n\xED rizik, u nich\u017E o\u010Dek\xE1van\xFD dopad incidentu klesne\
            \ pod p\u0159edem stanoven\xFD finan\u010Dn\xED pr\xE1h (nap\u0159. ztr\xE1\
            ty pod 50 000 EUR akceptovan\xE9 bez dal\u0161\xEDch opat\u0159en\xED\
            );\n    o akceptov\xE1n\xED rizik po informov\xE1n\xED z\xFA\u010Dastn\u011B\
            n\xFDch stran a z\xEDsk\xE1n\xED jejich souhlasu, zejm\xE9na pokud ch\xE1\
            pou souvisej\xEDc\xED kompromisy; a\n    o akceptov\xE1n\xED zbytkov\xFD\
            ch rizik, pokud existuj\xEDc\xED opat\u0159en\xED sni\u017Euj\xED pravd\u011B\
            podobnost nebo dopad na p\u0159ijatelnou \xFArove\u0148 (nap\u0159. pou\u017E\
            \xEDv\xE1n\xED \u0161ifrov\xE1n\xED citliv\xFDch \xFAdaj\u016F, ale akceptov\xE1\
            n\xED rizika ztr\xE1ty v d\u016Fsledku chyby u\u017Eivatele).\n\u2022\
            \ Definujte krit\xE9ria rizik, tj. zp\u016Fsob, jak\xFDm subjekt vyhodnocuje\
            \ v\xFDznamnost rizik, kter\xE1 identifikuje, a p\u0159ij\xEDm\xE1 rozhodnut\xED\
            \ t\xFDkaj\xEDc\xED se rizik. Krit\xE9ria rizik mohou zahrnovat (orienta\u010D\
            n\xED, ne\xFApln\xFD seznam):\n    o soulad s ochotou podstupovat rizika:\
            \ akceptov\xE1n\xED rizik, kter\xE1 jsou v souladu s celkovou ochotou\
            \ organizace podstupovat rizika, jako jsou zpo\u017Ed\u011Bn\xED v intern\xED\
            ch procesech vykazov\xE1n\xED, kter\xE1 nemaj\xED dopad na slu\u017Eby\
            \ z\xE1kazn\xEDk\u016Fm nebo dodr\u017Eov\xE1n\xED p\u0159edpis\u016F\
            ;\n    o regula\u010Dn\xED a pr\xE1vn\xED expozice: stanoven\xED priorit\
            \ rizik na z\xE1klad\u011B potenci\xE1ln\xEDch pr\xE1vn\xEDch nebo regula\u010D\
            n\xEDch d\u016Fsledk\u016F, nap\u0159\xEDklad pova\u017Eov\xE1n\xED poru\u0161\
            en\xED obecn\xE9ho na\u0159\xEDzen\xED o ochran\u011B osobn\xEDch \xFA\
            daj\u016F (GDPR), kter\xE9 se t\xFDk\xE1 \xFAdaj\u016F z\xE1kazn\xEDk\u016F\
            , za vysoce rizikov\xE9 kv\u016Fli mo\u017En\xFDm pokut\xE1m a po\u0161\
            kozen\xED pov\u011Bsti;\n    o dopad na pov\u011Bst: eskalace rizik, kter\xE1\
            \ by mohla v\xFDznamn\u011B po\u0161kodit ve\u0159ejnou image organizace,\
            \ nap\u0159\xEDklad incident\u016F, kter\xE9 pravd\u011Bpodobn\u011B p\u0159\
            it\xE1hnou pozornost m\xE9di\xED;\n    o rychlost rizika: vy\u0161\u0161\
            \xED priorita rizik\u016Fm s vysokou rychlost\xED, jako jsou exploity\
            \ nult\xE9ho dne, kter\xE9 mohou b\xFDt zneu\u017Eity d\u0159\xEDve, ne\u017E\
            \ jsou k dispozici z\xE1platy;\n    o slo\u017Eitost obnovy: pova\u017E\
            ov\xE1n\xED rizik za kritick\xE1, pokud zahrnuj\xED slo\u017Eitou nebo\
            \ \u010Dasov\u011B n\xE1ro\u010Dnou obnovu, jako jsou kybernetick\xE9\
            \ \xFAtoky na star\u0161\xED syst\xE9my s omezenou podporou dodavatele;\n\
            \    o rizika nov\xFDch technologi\xED: o citlivost zainteresovan\xFD\
            ch stran: p\u0159ehodnocen\xED rizik, kter\xE1 se t\xFDkaj\xED kl\xED\u010D\
            ov\xFDch zainteresovan\xFDch stran, jako jsou rizika ozna\u010Den\xE1\
            \ p\u0159edstavenstvem, regula\u010Dn\xEDmi org\xE1ny nebo v\xFDznamn\xFD\
            mi z\xE1kazn\xEDky, a to i v p\u0159\xEDpad\u011B, \u017Ee je vyhodnocen\xE9\
            \ technick\xE9 riziko n\xEDzk\xE9.\n\u2022 Krit\xE9ria pro prov\xE1d\u011B\
            n\xED hodnocen\xED kybernetick\xFDch bezpe\u010Dnostn\xEDch rizik se t\xFD\
            kaj\xED d\u016Fsledk\u016F, pravd\u011Bpodobnosti nebo \xFArovn\u011B\
            \ rizika. Mohou se t\xFDkat (orienta\u010Dn\xED, ne\xFApln\xFD seznam):\n\
            \    o d\u016Fle\u017Eitosti aktiv;\n    o z\xE1va\u017Enosti hrozeb;\n\
            \    o zranitelnosti s\xED\u0165ov\xFDch a informa\u010Dn\xEDch syst\xE9\
            m\u016F (16);\n    o anal\xFDzy dopad\u016F;\n    o st\xE1vaj\xEDc\xED\
            ch opat\u0159en\xED a\n    o obav nebo po\u017Eadavk\u016F z\xFA\u010D\
            astn\u011Bn\xFDch stran.\n\u2022 Sestavte seznam hlavn\xEDch rizik pro\
            \ bezpe\u010Dnost s\xEDt\xED a informa\u010Dn\xEDch syst\xE9m\u016F s\
            \ p\u0159ihl\xE9dnut\xEDm k hlavn\xEDm hrozb\xE1m pro aktiva v oblasti\
            \ p\u016Fsobnosti.\n\u2022 Ujist\u011Bte se, \u017Ee ke ka\u017Ed\xE9\
            mu riziku je p\u0159i\u0159azeno alespo\u0148 jedno:\n    o z mo\u017E\
            nost\xED o\u0161et\u0159en\xED rizik nebo jejich kombinace v souladu s\
            \ v\xFDsledky posouzen\xED rizik a v souladu s politikou subjektu v oblasti\
            \ bezpe\u010Dnosti s\xEDt\xED a informa\u010Dn\xEDch syst\xE9m\u016F (bod\
            \ 11 od\u016Fvodn\u011Bn\xED na\u0159\xEDzen\xED) a\n    o konkr\xE9tn\xED\
            \ opat\u0159en\xED k o\u0161et\u0159en\xED rizik.\n\u2022 Vypracov\xE1\
            n\xED pl\xE1n\u016F o\u0161et\u0159en\xED rizik, kter\xE9 budou \u0159\
            e\u0161it prvky uveden\xE9 v bodech i) a j) v bod\u011B 2.1.2 p\u0159\xED\
            lohy na\u0159\xEDzen\xED. \n\u2022 P\u0159id\u011Blte p\u0159\xEDslu\u0161\
            n\xFDm osob\xE1m nebo t\xFDm\u016Fm odpov\u011Bdnost za prov\xE1d\u011B\
            n\xED t\u011Bchto pl\xE1n\u016F o\u0161et\u0159en\xED rizik.\n\n(14) Existuje\
            \ mnoho standard\u016F, r\xE1mc\u016F a metodik pro \u0159\xEDzen\xED\
            \ rizik. Jejich ne\xFApln\xFD seznam lze nal\xE9zt v publikaci agentury\
            \ ENISA Compendium of risk-management frameworks with potential interoperability,\
            \ https://www.enisa.europa.eu/publications/compendium-of-risk- management-frameworks.\
            \ \n(15) V\xEDce informac\xED o krit\xE9ri\xEDch rizik lze nal\xE9zt v\
            \ norm\u011B ISO/IEC 27005:2022, odstavec 6.4. Je d\u016Fle\u017Eit\xE9\
            \ si uv\u011Bdomit, \u017Ee ochota riskovat, definovan\xE1 jako m\xED\
            ra rizika, kterou je subjekt ochoten podstoupit nebo p\u0159ijmout, se\
            \ m\u016F\u017Ee u jednotliv\xFDch subjekt\u016F zna\u010Dn\u011B li\u0161\
            it. Mezi faktory ovliv\u0148uj\xEDc\xED ochotu subjektu riskovat pat\u0159\
            \xED nap\u0159\xEDklad velikost, slo\u017Eitost a odv\u011Btv\xED. \n\
            (16) Zranitelnost s\xED\u0165ov\xFDch a informa\u010Dn\xEDch syst\xE9\
            m\u016F m\u016F\u017Ee vypl\xFDvat tak\xE9 z lidsk\xFDch, organiza\u010D\
            n\xEDch a procesn\xEDch nedostatk\u016F."
          typical_evidence: "\u2022 Zdokumentovan\xFD proces \u0159\xEDzen\xED kybernetick\xFD\
            ch bezpe\u010Dnostn\xEDch rizik, kter\xFD zohled\u0148uje prvky uveden\xE9\
            \ v bod\u011B 2.1.2 p\u0159\xEDlohy na\u0159\xEDzen\xED. \n\u2022 Zdokumentovan\xE1\
            \ metodika a/nebo n\xE1stroje \u0159\xEDzen\xED rizik, kter\xE9 zohled\u0148\
            uj\xED alespo\u0148 prvky uveden\xE9 v p\xEDsmenech a) a\u017E f) v bod\u011B\
            \ 2.1.2 p\u0159\xEDlohy na\u0159\xEDzen\xED. \n\u2022 Seznam hlavn\xED\
            ch rizik popsan\xFDch na vysok\xE9 \xFArovni, v\u010Detn\u011B z\xE1kladn\xED\
            ch hrozeb a ne\u0159e\u0161en\xFDch zranitelnost\xED a jejich potenci\xE1\
            ln\xEDho dopadu na bezpe\u010Dnost s\xEDt\xED a slu\u017Eeb. \n\u2022\
            \ Zajistit, aby subjekt uplat\u0148oval p\u0159\xEDstup zohled\u0148uj\xED\
            c\xED v\u0161echna rizika (zkontrolovat, zda se p\u0159\xEDstup zalo\u017E\
            en\xFD na hodnocen\xED rizik zab\xFDv\xE1 \u0161irokou \u0161k\xE1lou\
            \ potenci\xE1ln\xEDch hrozeb a rizik, a to nejen kybernetick\xFDch, ale\
            \ i p\u0159\xEDrodn\xEDch nebo \u010Dlov\u011Bkem zp\u016Fsoben\xFDch,\
            \ n\xE1hodn\xFDch nebo \xFAmysln\xFDch hrozeb a rizik). \n\u2022 D\u016F\
            kaz, \u017Ee jsou uvedena a zm\xEDrn\u011Bna zbytkov\xE1 rizika vypl\xFD\
            vaj\xEDc\xED ze z\xE1vislosti na t\u0159et\xEDch stran\xE1ch."
        it:
          description: "Ai fini del punto 2.1.1, i soggetti pertinenti stabiliscono\
            \ procedure per l'individuazione, l'analisi, la valutazione e il trattamento\
            \ dei rischi (\xABprocesso di gestione dei rischi di cibersicurezza\xBB\
            ). Il processo di gestione dei rischi di cibersicurezza \xE8 parte integrante\
            \ del processo generale di gestione dei rischi dei soggetti pertinenti,\
            \ se del caso. Nell'ambito del processo di gestione dei rischi di cibersicurezza,\
            \ i soggetti pertinenti:"
          annotation: "\u2022 Selezionare una metodologia di gestione del rischio\
            \ (14). \n\u2022 Stabilire la propensione al rischio dell'entit\xE0, ovvero\
            \ la quantit\xE0 di rischio che l'entit\xE0 \xE8 strategicamente disposta\
            \ ad accettare per raggiungere i propri obiettivi. I criteri possono includere\
            \ (elenco indicativo e non esaustivo):\n    o obiettivi strategici aziendali;\n\
            \    o aspettative degli stakeholder;\n    o requisiti normativi; e\n\
            \    o cultura organizzativa.\n\u2022 Definire il livello di tolleranza\
            \ al rischio, che si riferisce al livello di rischio che un'entit\xE0\
            \ \xE8 disposta ad accettare per perseguire i propri obiettivi a lungo\
            \ termine. Alcuni esempi possono includere (elenco indicativo e non esaustivo):\n\
            \    o tempi di inattivit\xE0 accettabili per i sistemi ad alta criticit\xE0\
            \ (ad esempio, fino a due ore di inattivit\xE0 al mese);\n    o tolleranza\
            \ per la perdita di dati (ad esempio, perdita di dati a bassa criticit\xE0\
            \ entro una finestra di 24 ore);\n    o perdita finanziaria massima che\
            \ pu\xF2 essere assorbita senza compromettere l'operativit\xE0 (ad esempio,\
            \ fino a 100.000 euro di costi di ripristino);\n    o disponibilit\xE0\
            \ a investire una certa percentuale delle entrate in misure (ad esempio,\
            \ il 5% delle entrate annuali); o adesione a misure di prevenzione e protezione\
            \ (ad esempio, il 5% delle entrate annuali). 5% del fatturato annuo);\n\
            \    o adesione agli obblighi normativi con sanzioni o multe specifiche\
            \ che influenzano l'accettazione del rischio;\n    o livello accettabile\
            \ di insoddisfazione dei clienti o di esposizione negativa ai media a\
            \ causa di una violazione dei dati (ad esempio, tollerare un incidente\
            \ grave ogni pochi anni);\n    o accettazione di determinate vulnerabilit\xE0\
            \ in base alle misure di mitigazione del rischio in atto (ad esempio,\
            \ software obsoleto a condizione che sia monitorato e patchato regolarmente);\n\
            \    o tempi di risposta e recupero dagli incidenti (ad esempio, un massimo\
            \ di 48 ore per il contenimento); e\n    o accettazione di incidenti minori\
            \ come parte delle normali operazioni, pur dando priorit\xE0 alle minacce\
            \ maggiori.\n\u2022 Definire i criteri di accettazione dei rischi, che\
            \ possono includere (elenco indicativo e non esaustivo) (15):\n    o accettare\
            \ rischi classificati come di bassa gravit\xE0, come fughe di dati minori\
            \ che non espongono informazioni sensibili;\n    o accettare rischi valutati\
            \ come aventi una bassa probabilit\xE0 di verificarsi (ad es. alcuni tipi\
            \ rari di cyberattacchi);\n    o accettare rischi se il costo della mitigazione\
            \ supera l'impatto potenziale (ad esempio, non aggiornare i sistemi legacy\
            \ se il costo dell'aggiornamento \xE8 significativamente superiore alle\
            \ perdite potenziali);\n    o accettare rischi specifici di conformit\xE0\
            \ se esiste un piano per affrontarli entro un periodo di tempo definito\
            \ (ad esempio, accettare temporaneamente non conformit\xE0 minori che\
            \ non espongono informazioni sensibili). accettare temporaneamente non\
            \ conformit\xE0 minori con l'impegno di porvi rimedio entro sei mesi);\n\
            \    o consentire alcuni rischi in sistemi o reparti a bassa criticit\xE0\
            \ che non incidono sulle operazioni di core business (ad esempio, accettare\
            \ un rischio in un ambiente di test);\n    o accettare alcune vulnerabilit\xE0\
            \ per un periodo di tempo definito, pianificando al contempo il rimedio\
            \ (ad esempio, accettare il rischio di sistemi obsoleti o di un'azienda\
            \ che non \xE8 in grado di gestire il rischio di non conformit\xE0). accettare\
            \ il rischio di un software obsoleto per tre mesi fino al completamento\
            \ di un aggiornamento completo);\n    o accettare i rischi in cui l'impatto\
            \ previsto dell'incidente scende al di sotto di una soglia finanziaria\
            \ predeterminata (ad esempio, perdite inferiori a 50.000 euro accettate\
            \ senza ulteriori azioni);\n    o accettare i rischi dopo aver informato\
            \ le parti interessate e aver ricevuto il loro consenso, in particolare\
            \ se comprendono i compromessi che ne derivano; e\n    o accettare i rischi\
            \ residui quando le misure esistenti riducono la probabilit\xE0 o l'impatto\
            \ a un livello accettabile (ad esempio, utilizzando la crittografia per\
            \ i dati sensibili ma accettando i rischi di perdita dovuti a un errore\
            \ dell'utente).\n\u2022 Definire i criteri di rischio, ossia il modo in\
            \ cui l'entit\xE0 valuta la significativit\xE0 dei rischi che identifica\
            \ e prende decisioni in merito. I criteri di rischio possono includere\
            \ (elenco indicativo e non esaustivo):\n    o allineamento con la propensione\
            \ al rischio: accettare i rischi che si allineano con la propensione al\
            \ rischio complessiva dell'organizzazione, come ad esempio i ritardi nei\
            \ processi di rendicontazione interna che non hanno un impatto sul servizio\
            \ clienti o sulla conformit\xE0;\n    o esposizione normativa e legale:\
            \ dare priorit\xE0 ai rischi in base alle potenziali conseguenze legali\
            \ o normative, come ad esempio trattare le violazioni del Regolamento\
            \ generale sulla protezione dei dati (GDPR) che coinvolgono i dati dei\
            \ clienti come ad alto rischio a causa di potenziali multe e danni alla\
            \ reputazione;\n    o impatto sulla reputazione: l'escalation dei rischi\
            \ che potrebbero danneggiare in modo significativo l'immagine pubblica\
            \ dell'organizzazione, come ad esempio gli incidenti che potrebbero attirare\
            \ l'attenzione dei media;\n    o velocit\xE0 del rischio: dare maggiore\
            \ priorit\xE0 ai rischi con velocit\xE0 elevata, come ad esempio gli exploit\
            \ zero-day che possono essere armati prima che siano disponibili le patch;\n\
            \    o complessit\xE0 del ripristino: trattare i rischi come critici se\
            \ comportano un ripristino complesso o che richiede tempo, come nel caso\
            \ di attacchi informatici a sistemi legacy con un supporto limitato da\
            \ parte dei fornitori;\n    o rischi tecnologici emergenti: Considerare\
            \ i rischi che coinvolgono le tecnologie emergenti come pi\xF9 prioritari,\
            \ come ad esempio i sistemi di intelligenza artificiale che producono\
            \ decisioni inspiegabili o non conformi a causa della mancanza di trasparenza;\n\
            \    o sensibilit\xE0 degli stakeholder: rivalutare i rischi che riguardano\
            \ gli stakeholder principali, come i rischi segnalati dal consiglio di\
            \ amministrazione, dalle autorit\xE0 di regolamentazione o dai principali\
            \ clienti, anche se il rischio tecnico valutato \xE8 basso.\n\u2022 I\
            \ criteri per l'esecuzione delle valutazioni del rischio di cybersecurity\
            \ si riferiscono alle conseguenze, alla probabilit\xE0 o al livello di\
            \ rischio. Questi possono riferirsi a (elenco indicativo e non esaustivo):\n\
            \    o all'importanza degli asset;\n    o alla gravit\xE0 delle minacce;\n\
            \    o alla vulnerabilit\xE0 della rete e dei sistemi informativi (16);\n\
            \    o all'analisi dell'impatto;\n    o alle misure esistenti; e\n   \
            \ o alle preoccupazioni o ai requisiti delle parti interessate.\n\u2022\
            \ Stilare un elenco dei principali rischi per la sicurezza della rete\
            \ e dei sistemi informativi, tenendo conto delle principali minacce agli\
            \ asset in questione. \n\u2022 Assicurarsi che a ciascun rischio sia associata\
            \ almeno una:\n    o delle opzioni di trattamento del rischio o una combinazione\
            \ di esse, in linea con i risultati della valutazione del rischio e in\
            \ conformit\xE0 con la politica dell'ente in materia di sicurezza delle\
            \ reti e dei sistemi informativi (considerando 11 del regolamento); e\n\
            \    o misura di trattamento del rischio specifico. \n\u2022 Sviluppare\
            \ piani di trattamento del rischio per affrontare gli elementi di cui\
            \ ai punti (i) e (j) del punto 2.1.2 dell'allegato al regolamento. \n\u2022\
            \ Assegnare le responsabilit\xE0 a persone o gruppi appropriati per l'esecuzione\
            \ di questi piani di trattamento del rischio.\n\n(14) Esistono numerosi\
            \ standard, quadri e metodologie di gestione del rischio. Un elenco non\
            \ esaustivo si trova nella pubblicazione ENISA Compendium of risk-managements\
            \ frameworks with potential interoperability, https://www.enisa.europa.eu/publications/compendium-of-risk-\
            \ management-frameworks. \n(15) Ulteriori informazioni sui criteri di\
            \ rischio sono disponibili nella norma ISO/IEC 27005:2022, paragrafo 6.4.\
            \ \xC8 importante capire che la propensione al rischio, definita come\
            \ la quantit\xE0 di rischio che un'entit\xE0 \xE8 disposta a perseguire\
            \ o accettare, pu\xF2 variare notevolmente da entit\xE0 a entit\xE0. Ad\
            \ esempio, tra i fattori che influenzano la propensione al rischio di\
            \ un'entit\xE0 vi sono le dimensioni, la complessit\xE0 e il settore.\
            \ \n(16) Le vulnerabilit\xE0 dei sistemi di rete e informativi possono\
            \ derivare anche da carenze umane, organizzative e procedurali."
          typical_evidence: "\u2022 Processo documentato di gestione dei rischi di\
            \ sicurezza informatica che tiene conto degli elementi di cui al punto\
            \ 2.1.2 dell'Allegato al regolamento. \n\u2022 Metodologia e/o strumenti\
            \ documentati di gestione del rischio che tengano conto almeno degli elementi\
            \ da a) a f) di cui al punto 2.1.2 dell'allegato al regolamento. \n\u2022\
            \ Elenco dei principali rischi descritti ad alto livello, comprese le\
            \ minacce sottostanti e le vulnerabilit\xE0 non affrontate e il loro potenziale\
            \ impatto sulla sicurezza delle reti e dei servizi. \n\u2022 Assicurarsi\
            \ che l'entit\xE0 segua un approccio che metta in campo tutti i rischi\
            \ (verificare che l'approccio basato sulla valutazione del rischio riguardi\
            \ un'ampia gamma di minacce e rischi potenziali, non solo quelli informatici,\
            \ ma anche quelli naturali o causati dall'uomo, accidentali o intenzionali).\
            \ \n\u2022 Evidenza che i rischi residui derivanti dalla dipendenza da\
            \ terzi sono elencati e mitigati."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:2.1.2.a
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:2.1.2
      ref_id: 2.1.2.a
      description: follow a risk management methodology;
      translations:
        fr:
          description: "suivent une m\xE9thodologie de gestion des risques;"
        es:
          description: "seguir\xE1n una metodolog\xEDa de gesti\xF3n de riesgos;"
        cs:
          description: "dodr\u017Euj\xED metodiku \u0159\xEDzen\xED rizik;"
        it:
          description: seguire una metodologia di gestione del rischio;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:2.1.2.b
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:2.1.2
      ref_id: 2.1.2.b
      description: establish the risk tolerance level in accordance with the risk
        appetite of the relevant entities;
      translations:
        fr:
          description: "\xE9tablissent le niveau de tol\xE9rance au risque en fonction\
            \ de leur propension au risque;"
        es:
          description: "establecer\xE1n un nivel de tolerancia al riesgo conforme\
            \ con la propensi\xF3n al riesgo de la entidad;"
        cs:
          description: "stanov\xED \xFArove\u0148 tolerance rizika v souladu s ochotou\
            \ p\u0159\xEDslu\u0161n\xFDch subjekt\u016F riskovat;"
        it:
          description: stabilire il livello di tolleranza al rischio in base alla
            propensione al rischio dei soggetti pertinenti;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:2.1.2.c
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:2.1.2
      ref_id: 2.1.2.c
      description: establish and maintain relevant risk criteria;
      translations:
        fr:
          description: "d\xE9finissent et maintiennent les crit\xE8res de risque pertinents;"
        es:
          description: "establecer\xE1n y mantendr\xE1n criterios de riesgo pertinentes;"
        cs:
          description: "stanov\xED a spravuj\xED p\u0159\xEDslu\u0161n\xE1 krit\xE9\
            ria rizik;"
        it:
          description: stabilire e mantenere criteri di rischio pertinenti;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:2.1.2.d
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:2.1.2
      ref_id: 2.1.2.d
      description: in line with an all-hazards approach, identify and document the
        risks posed to the security of network and information systems, in particular
        in relation to third parties and risks that could lead to disruptions in the
        availability, integrity, authenticity and confidentiality of the network and
        information systems, including the identification of single point of failures;
      translations:
        fr:
          description: "en suivant une approche \xABtous risques\xBB, identifient\
            \ et consignent les risques pour la s\xE9curit\xE9 des r\xE9seaux et des\
            \ syst\xE8mes d\u2019information, en particulier en ce qui concerne les\
            \ tiers et les risques susceptibles de perturber la disponibilit\xE9,\
            \ l\u2019int\xE9grit\xE9, l\u2019authenticit\xE9 et la confidentialit\xE9\
            \ des r\xE9seaux et des syst\xE8mes d\u2019information, y compris l\u2019\
            identification de points uniques de d\xE9faillance;"
        es:
          description: "de conformidad con un enfoque que abarque todos los riesgos,\
            \ determinar\xE1n y registrar\xE1n todos los riesgos existentes para la\
            \ seguridad de los sistemas de redes y de informaci\xF3n, en especial\
            \ con relaci\xF3n a terceros o a aquellos riesgos que puedan generar alteraciones\
            \ en la disponibilidad, integridad, autenticidad y confidencialidad de\
            \ los sistemas de redes y de informaci\xF3n, incluida la detecci\xF3n\
            \ de puntos \xFAnicos de fallo;"
        cs:
          description: "v souladu s p\u0159\xEDstupem zohled\u0148uj\xEDc\xEDm v\u0161\
            echny druhy rizik identifikuj\xED a dokumentuj\xED rizika pro bezpe\u010D\
            nost s\xEDt\xED a informa\u010Dn\xEDch syst\xE9m\u016F, zejm\xE9na ve\
            \ vztahu ke t\u0159et\xEDm stran\xE1m, a rizika, kter\xE1 by mohla v\xE9\
            st k naru\u0161en\xED dostupnosti, integrity, autenticity a d\u016Fv\u011B\
            rnosti s\xEDt\xED a informa\u010Dn\xEDch syst\xE9m\u016F, v\u010Detn\u011B\
            \ identifikace kritick\xE9ho m\xEDsta (tzv. single point of failures);"
        it:
          description: "in linea con un approccio multirischio, individuare e documentare\
            \ i rischi posti alla sicurezza delle reti e dei sistemi informativi,\
            \ in particolare in relazione a terzi, e i rischi che potrebbero comportare\
            \ perturbazioni della disponibilit\xE0, dell'integrit\xE0, dell'autenticit\xE0\
            \ e della riservatezza della rete e dei sistemi informativi, compresa\
            \ l'individuazione di un unico punto di guasto;"
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:2.1.2.e
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:2.1.2
      ref_id: 2.1.2.e
      description: analyse the risks posed to the security of network and information
        systems, including threat, likelihood, impact, and risk level, taking into
        account cyber threat intelligence and vulnerabilities;
      translations:
        fr:
          description: "analysent les risques qui p\xE8sent sur la s\xE9curit\xE9\
            \ des r\xE9seaux et des syst\xE8mes d\u2019information, y compris la menace,\
            \ la probabilit\xE9, l\u2019impact et le niveau de risque, en tenant compte\
            \ des renseignements sur les cybermenaces et des vuln\xE9rabilit\xE9s;"
        es:
          description: "analizar\xE1n los riesgos que se planteen para la seguridad\
            \ de los sistemas de redes y de informaci\xF3n, especialmente la amenaza,\
            \ la probabilidad, el impacto y el nivel de riesgo, teniendo en cuenta\
            \ la inteligencia sobre ciberamenazas y las vulnerabilidades;"
        cs:
          description: "analyzuj\xED rizika pro bezpe\u010Dnost s\xEDt\xED a informa\u010D\
            n\xEDch syst\xE9m\u016F, v\u010Detn\u011B hrozby, pravd\u011Bpodobnosti,\
            \ dopadu a \xFArovn\u011B rizika, s p\u0159ihl\xE9dnut\xEDm k informac\xED\
            m o kybernetick\xFDch hrozb\xE1ch a zranitelnostech;"
        it:
          description: "analizzare i rischi posti alla sicurezza delle reti e dei\
            \ sistemi informativi, compresi la minaccia, la probabilit\xE0, l'impatto\
            \ e il livello di rischio, tenendo conto dell'intelligence sulle minacce\
            \ informatiche e delle vulnerabilit\xE0;"
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:2.1.2.f
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:2.1.2
      ref_id: 2.1.2.f
      description: evaluate the identified risks based on the risk criteria;
      translations:
        fr:
          description: "\xE9valuent les risques identifi\xE9s en se fondant sur les\
            \ crit\xE8res de risque;"
        es:
          description: "evaluar\xE1n los riesgos detectados a partir de los criterios\
            \ de riesgo;"
        cs:
          description: "vyhodnot\xED identifikovan\xE1 rizika na z\xE1klad\u011B krit\xE9\
            ri\xED rizik;"
        it:
          description: valutare i rischi identificati in base ai criteri di rischio;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:2.1.2.g
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:2.1.2
      ref_id: 2.1.2.g
      description: identify and prioritise appropriate risk treatment options and
        measures;
      translations:
        fr:
          description: "d\xE9terminent et hi\xE9rarchisent les options et les mesures\
            \ qu\u2019il convient d\u2019appliquer en mati\xE8re de traitement des\
            \ risques;"
        es:
          description: "determinar\xE1n y priorizar\xE1n las opciones y medidas adecuadas\
            \ de tratamiento de riesgos;"
        cs:
          description: "identifikuj\xED vhodn\xE9 mo\u017Enosti a opat\u0159en\xED\
            \ k o\u0161et\u0159en\xED rizik a stanov\xED po\u0159ad\xED jejich d\u016F\
            le\u017Eitosti;"
        it:
          description: "individuare e dare priorit\xE0 alle opzioni e alle misure\
            \ appropriate per il trattamento dei rischi;"
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:2.1.2.h
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:2.1.2
      ref_id: 2.1.2.h
      description: continuously monitor the implementation of the risk treatment measures;
      translations:
        fr:
          description: "suivent en continu la mise en \u0153uvre des mesures de traitement\
            \ du risque;"
        es:
          description: "supervisar\xE1n constantemente la aplicaci\xF3n de las medidas\
            \ de tratamiento de riesgos;"
        cs:
          description: "pr\u016Fb\u011B\u017En\u011B sleduj\xED prov\xE1d\u011Bn\xED\
            \ opat\u0159en\xED k o\u0161et\u0159en\xED rizik;"
        it:
          description: monitorare costantemente l'attuazione delle misure di trattamento
            dei rischi;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:2.1.2.i
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:2.1.2
      ref_id: 2.1.2.i
      description: identify who is responsible for implementing the risk treatment
        measures and when they should be implemented;
      translations:
        fr:
          description: "d\xE9terminent qui est responsable de la mise en \u0153uvre\
            \ des mesures de traitement des risques et quand celles-ci devraient \xEA\
            tre mises en \u0153uvre;"
        es:
          description: "determinar\xE1n qui\xE9n es responsable de la aplicaci\xF3\
            n de las medidas de tratamiento de riesgos y cu\xE1ndo deben aplicarse\
            \ estas;"
        cs:
          description: "ur\u010D\xED, kdo je odpov\u011Bdn\xFD za prov\xE1d\u011B\
            n\xED opat\u0159en\xED k o\u0161et\u0159en\xED rizik a kdy by tato opat\u0159\
            en\xED m\u011Bla b\xFDt provedena;"
        it:
          description: "identificare chi \xE8 responsabile dell'attuazione delle misure\
            \ di trattamento dei rischi e quando dovrebbero essere attuate;"
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:2.1.2.j
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:2.1.2
      ref_id: 2.1.2.j
      description: document the chosen risk treatment measures in a risk treatment
        plan and the reasons justifying the acceptance of residual risks in a comprehensible
        manner.
      translations:
        fr:
          description: "consignent de mani\xE8re compr\xE9hensible dans un plan de\
            \ traitement des risques les mesures de traitement des risques choisies\
            \ et les raisons justifiant l\u2019acceptation des risques r\xE9siduels."
        es:
          description: "informar\xE1n de manera comprensible de las medidas de tratamiento\
            \ de riesgos elegidas en un plan de tratamiento de riesgos y de las razones\
            \ que justifiquen la aceptaci\xF3n de los riesgos residuales."
        cs:
          description: "komplexn\u011B zdokumentuj\xED zvolen\xE1 opat\u0159en\xED\
            \ k o\u0161et\u0159en\xED rizik v pl\xE1nu o\u0161et\u0159en\xED rizik\
            \ a d\u016Fvody, kter\xE9 vedly k akceptaci zbytkov\xFDch rizik."
        it:
          description: Documentare in modo comprensibile le misure di trattamento
            dei rischi scelte in un piano di trattamento dei rischi e i motivi che
            giustificano l'accettazione dei rischi residui.
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:2.1.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:2.1
      ref_id: 2.1.3
      description: When identifying and prioritising appropriate risk treatment options
        and measures, the relevant entities shall take into account the risk assessment
        results, the results of the procedure to assess the effectiveness of cybersecurity
        risk-management measures, the cost of implementation in relation to the expected
        benefit, the asset classification referred to in point 12.1., and the business
        impact analysis referred to in point 4.1.3.
      annotation: "\u2022 Make sure that personnel take into account the elements\
        \ referred to in point 2.1.3 of the Annex to the regulation."
      typical_evidence: "\u2022 Guidance for personnel on assessing risks that takes\
        \ into account the elements referred to in point 2.1.3 of the Annex to the\
        \ regulation."
      translations:
        fr:
          description: "Lorsqu\u2019elles identifient et hi\xE9rarchisent les options\
            \ et les mesures de traitement des risques qu\u2019il convient d\u2019\
            appliquer, les entit\xE9s concern\xE9es tiennent compte des r\xE9sultats\
            \ de l\u2019\xE9valuation des risques, des r\xE9sultats de la proc\xE9\
            dure d\u2019\xE9valuation de l\u2019efficacit\xE9 des mesures de gestion\
            \ des risques en mati\xE8re de cybers\xE9curit\xE9, du co\xFBt de la mise\
            \ en \u0153uvre par rapport \xE0 l\u2019avantage escompt\xE9, de la classification\
            \ des actifs vis\xE9e au point\_12.1 et du bilan d'impact sur l'activit\xE9\
            \ vis\xE9 au point\_4.1.3."
          annotation: "\u2022 Veiller \xE0 ce que le personnel prenne en compte les\
            \ \xE9l\xE9ments vis\xE9s au point 2.1.3 de l\u2019annexe du r\xE8glement."
          typical_evidence: "\u2022 Des orientations pour le personnel sur l\u2019\
            \xE9valuation des risques qui tiennent compte des \xE9l\xE9ments vis\xE9\
            s au point 2.1.3 de l\u2019annexe du r\xE8glement."
        es:
          description: "Cuando detecten y prioricen las opciones y medidas adecuadas\
            \ para el tratamiento de los riesgos, las entidades pertinentes tendr\xE1\
            n en cuenta los resultados de la evaluaci\xF3n de riesgos, los resultados\
            \ del procedimiento para evaluar la eficacia de las medidas para la gesti\xF3\
            n de riesgos de ciberseguridad, el coste de su aplicaci\xF3n en relaci\xF3\
            n con los beneficios previstos, la clasificaci\xF3n de activos contemplada\
            \ en el punto 12.1 y el an\xE1lisis de impacto operativo a que se refiere\
            \ el punto 4.1.3."
          annotation: "\u2022 Asegurarse de que el personal tiene en cuenta los elementos\
            \ a que se refiere el punto 2.1.3 del anexo del reglamento."
          typical_evidence: "\u2022 Orientaci\xF3n para el personal sobre la evaluaci\xF3\
            n de riesgos que tenga en cuenta los elementos mencionados en el punto\
            \ 2.1.3 del anexo del Reglamento."
        cs:
          description: "P\u0159i identifikov\xE1n\xED vhodn\xFDch mo\u017Enost\xED\
            \ a opat\u0159en\xED k o\u0161et\u0159en\xED rizik a stanoven\xED po\u0159\
            ad\xED jejich d\u016Fle\u017Eitosti p\u0159\xEDslu\u0161n\xE9 subjekty\
            \ zohledn\xED v\xFDsledky posouzen\xED rizik, v\xFDsledky postupu pro\
            \ zhodnocen\xED \xFA\u010Dinnosti opat\u0159en\xED k \u0159\xEDzen\xED\
            \ kybernetick\xFDch bezpe\u010Dnostn\xEDch rizik, n\xE1klady na proveden\xED\
            \ ve vztahu k o\u010Dek\xE1van\xE9mu p\u0159\xEDnosu, klasifikaci aktiv\
            \ uvedenou v bod\u011B 12.1 a anal\xFDzu obchodn\xEDho dopadu uvedenou\
            \ v bod\u011B 4.1.3."
          annotation: "\u2022 Zajistit, aby person\xE1l vzal v \xFAvahu prvky uveden\xE9\
            \ v bod\u011B 2.1.3 p\u0159\xEDlohy na\u0159\xEDzen\xED."
          typical_evidence: "\u2022 Pokyny pro pracovn\xEDky k posuzov\xE1n\xED rizik,\
            \ kter\xE9 zohled\u0148uj\xED prvky uveden\xE9 v bod\u011B 2.1.3 p\u0159\
            \xEDlohy na\u0159\xEDzen\xED."
        it:
          description: "Nell'individuare e stabilire le priorit\xE0 delle opzioni\
            \ e delle misure adeguate per il trattamento dei rischi, i soggetti pertinenti\
            \ tengono conto dei risultati della valutazione dei rischi, dei risultati\
            \ della procedura per valutare l'efficacia delle misure di gestione dei\
            \ rischi di cibersicurezza, dei costi di attuazione in relazione al beneficio\
            \ atteso, della classificazione delle attivit\xE0 di cui al punto 12.1\
            \ e dell'analisi dell'impatto sulle imprese di cui al punto 4.1.3."
          annotation: "\u2022 Assicurarsi che il personale tenga conto degli elementi\
            \ di cui al punto 2.1.3 dell'Allegato al regolamento."
          typical_evidence: "\u2022 Orientamento per il personale sulla valutazione\
            \ dei rischi che tenga conto degli elementi di cui al punto 2.1.3 dell'Allegato\
            \ al regolamento."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:2.1.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:2.1
      ref_id: 2.1.4
      description: The relevant entities shall review and, where appropriate, update
        the risk assessment results and the risk treatment plan at planned intervals
        and at least annually, and when significant changes to operations or risks
        or significant incidents occur.
      annotation: "\u2022 Review risk assessment results and risk treatment at least\
        \ annually taking into account:\n    o results of audits and previous reviews,\
        \ o status of implementation of the measures described in the risk treatment\
        \ plan (see the policy on the assessment of the effectiveness of measures\
        \ in line with the Annex to Regulation, point 7.1.1);\n    o changes to the\
        \ information systems;\n    o changes to the environment of operation;\n \
        \   o post-incident review findings (section 3.6); and\n    o trends and changes\
        \ related to threats and vulnerabilities, as they may affect risks.\n\n[TIPS]\n\
        \n\u2022 Ensure that key personnel use the risk management methodology and\
        \ tools. \n\u2022 Overall, the entity has four risk treatment options associated\
        \ with each risk. Each option should be accompanied by specific risk treatment\
        \ measures (indicative, non-exhaustive list of examples):\n    o Risk avoidance:\
        \ as a measure to treat this risk, the entity might choose to eliminate activities\
        \ or conditions that expose the entity to this risk, for example, discontinuing\
        \ the use of a vulnerable software application.\n    o Risk mitigation: as\
        \ a measure to treat this risk, the entity might choose to implement measures\
        \ to reduce the likelihood or impact of such a risk. This can include installing\
        \ firewalls, using encryption and conducting regular security training for\
        \ employees.\n    o Risk transfer or sharing: as a measure to treat this risk,\
        \ the entity might choose to shift parts of the risk impact to another party,\
        \ typically through insurance or outsourcing certain functions to third-party\
        \ providers. However, it is important to note that such arrangements do not\
        \ eliminate the entity\u2019s overall accountability or legal obligations\
        \ regarding the risk. For instance, purchasing cyber insurance may cover potential\
        \ data breach costs, but the entity remains responsible for implementing appropriate\
        \ security measures and complying with data protection regulations.\n    o\
        \ Risk acceptance: as a measure to treat this risk, the entity might choose\
        \ to acknowledge the risk and decide to accept it without taking any specific\
        \ action, often because the cost of mitigation is higher than the potential\
        \ impact. This approach is usually accompanied by a contingency plan to manage\
        \ the risk if it materialises. The approach should be clearly documented,\
        \ supported by a realistic estimation of potential costs and including financial\
        \ provisions to address the impact should the risk materialise. \n\u2022 Make\
        \ sure that the risk from vulnerabilities assigned to the highest classification\
        \ (e.g. \u2018critical\u2019 in the common vulnerability scoring system (CVSS))\
        \ or equivalent is not accepted, if possible (section 6.10). \n\u2022 Concerning\
        \ the risk treatment plans, the entity might additionally take into account:\n\
        \    o findings of the review;\n    o implementation steps; and\n    o resources\
        \ needed. \n\u2022 Manage any exceptions in the risk treatment plans\u2019\
        \ implementation."
      typical_evidence: "\u2022 Documentation of the review process. \n\u2022 Review\
        \ comments or change logs for the risk assessment and risk treatment plan.\n\
        \n[TIPS]\n\n\u2022 Documented action plans developed in response to review\
        \ findings. \n\u2022 Key personnel knowing the main risks (e.g. evidence from\
        \ emails, interviews and awareness-raising sessions). \n\u2022 Documented\
        \ risk treatment plan implementation exceptions. \n\u2022 Risk register."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es r\xE9examinent et, s\u2019il\
            \ est besoin, mettent \xE0 jour les r\xE9sultats de l\u2019\xE9valuation\
            \ des risques et le plan de traitement des risques \xE0 intervalles pr\xE9\
            d\xE9finis et au moins chaque ann\xE9e, et lorsque des changements majeurs\
            \ concernant les op\xE9rations ou les risques se produisent, ou lorsque\
            \ des incidents importants surviennent."
          annotation: "\u2022 Examiner les r\xE9sultats de l\u2019\xE9valuation des\
            \ risques et le traitement des risques au moins une fois par an en tenant\
            \ compte des \xE9l\xE9ments suivants :\n    o les r\xE9sultats des audits\
            \ et des examens ant\xE9rieurs, o l\u2019\xE9tat d\u2019avancement de\
            \ la mise en \u0153uvre des mesures d\xE9crites dans le plan de traitement\
            \ des risques (voir la politique d\u2019\xE9valuation de l\u2019efficacit\xE9\
            \ des mesures conform\xE9ment \xE0 l\u2019annexe du r\xE8glement, point\
            \ 7.1.1)\_;\n    o modifications des syst\xE8mes d\u2019information ;\n\
            \    o modifications de l\u2019environnement de fonctionnement ;\n   \
            \ o les constatations de l\u2019examen apr\xE8s l\u2019incident (section\
            \ 3.6)\_; et\n    o Tendances et changements li\xE9s aux menaces et aux\
            \ vuln\xE9rabilit\xE9s, car ils peuvent affecter les risques.\n\n[CONSEILS]\n\
            \n\u2022 S\u2019assurer que le personnel cl\xE9 utilise la m\xE9thodologie\
            \ et les outils de gestion des risques. \n\u2022 Dans l\u2019ensemble,\
            \ l\u2019entit\xE9 dispose de quatre options de traitement des risques\
            \ associ\xE9es \xE0 chaque risque. Chaque option doit \xEAtre accompagn\xE9\
            e de mesures sp\xE9cifiques de traitement des risques (liste indicative\
            \ et non exhaustive d\u2019exemples) :\n    o \xC9vitement des risques\
            \ : pour traiter ce risque, l\u2019entit\xE9 peut choisir d\u2019\xE9\
            liminer les activit\xE9s ou les conditions qui l\u2019exposent \xE0 ce\
            \ risque, par exemple, l\u2019arr\xEAt de l\u2019utilisation d\u2019une\
            \ application logicielle vuln\xE9rable.\n    o Att\xE9nuation des risques\
            \ : \xE0 titre de mesure pour traiter ce risque, l\u2019entit\xE9 pourrait\
            \ choisir de mettre en \u0153uvre des mesures visant \xE0 r\xE9duire la\
            \ probabilit\xE9 ou l\u2019impact d\u2019un tel risque. Il peut s\u2019\
            agir d\u2019installer des pare-feu, d\u2019utiliser le chiffrement et\
            \ d\u2019organiser r\xE9guli\xE8rement des formations \xE0 la s\xE9curit\xE9\
            \ pour les employ\xE9s.\n    o Transfert ou partage des risques : pour\
            \ traiter ce risque, l\u2019entit\xE9 peut choisir de transf\xE9rer une\
            \ partie de l\u2019impact du risque \xE0 une autre partie, g\xE9n\xE9\
            ralement par le biais d\u2019une assurance ou de l\u2019externalisation\
            \ de certaines fonctions \xE0 des fournisseurs tiers. Toutefois, il est\
            \ important de noter que de tels arrangements n\u2019\xE9liminent pas\
            \ la responsabilit\xE9 globale de l\u2019entit\xE9 ou ses obligations\
            \ juridiques \xE0 l\u2019\xE9gard du risque. Par exemple, la souscription\
            \ d\u2019une cyberassurance peut couvrir les co\xFBts potentiels d\u2019\
            une violation de donn\xE9es, mais l\u2019entit\xE9 reste responsable de\
            \ la mise en \u0153uvre des mesures de s\xE9curit\xE9 appropri\xE9es et\
            \ du respect des r\xE9glementations en mati\xE8re de protection des donn\xE9\
            es.\n    o Acceptation du risque : pour traiter ce risque, l\u2019entit\xE9\
            \ peut choisir de reconna\xEEtre le risque et de l\u2019accepter sans\
            \ prendre de mesures sp\xE9cifiques, souvent parce que le co\xFBt de l\u2019\
            att\xE9nuation est sup\xE9rieur \xE0 l\u2019impact potentiel. Cette approche\
            \ s\u2019accompagne g\xE9n\xE9ralement d\u2019un plan d\u2019urgence pour\
            \ g\xE9rer le risque s\u2019il se concr\xE9tise. L\u2019approche doit\
            \ \xEAtre clairement document\xE9e, \xE9tay\xE9e par une estimation r\xE9\
            aliste des co\xFBts potentiels et inclure des dispositions financi\xE8\
            res pour faire face \xE0 l\u2019impact si le risque se mat\xE9rialise.\
            \ \n\u2022 S\u2019assurer que le risque li\xE9 aux vuln\xE9rabilit\xE9\
            s class\xE9es au niveau le plus \xE9lev\xE9 (par exemple, \xAB critique\
            \ \xBB dans le syst\xE8me commun de notation des vuln\xE9rabilit\xE9s\
            \ (CVSS)) ou \xE9quivalent n\u2019est pas accept\xE9, si possible (section\
            \ 6.10). \n\u2022 En ce qui concerne les plans de traitement des risques,\
            \ l\u2019entit\xE9 peut en outre prendre en compte :\n    o les conclusions\
            \ de l\u2019examen\_;\n    o les \xE9tapes de mise en \u0153uvre ; et\n\
            \    o Ressources n\xE9cessaires. \n\u2022 G\xE9rer les \xE9ventuelles\
            \ exceptions dans la mise en \u0153uvre des plans de traitement des risques."
          typical_evidence: "\u2022 Documentation du processus d\u2019examen. \n\u2022\
            \ Examiner les commentaires ou les registres des modifications pour l\u2019\
            \xE9valuation des risques et le plan de traitement des risques.\n\n[CONSEILS]\n\
            \n\u2022 Documentation des plans d\u2019action \xE9labor\xE9s en r\xE9\
            ponse aux conclusions de l\u2019examen. \n\u2022 Le personnel cl\xE9 conna\xEE\
            t les principaux risques (par exemple, des preuves provenant d\u2019e-mails,\
            \ d\u2019entretiens et de sessions de sensibilisation). \n\u2022 Documentation\
            \ des exceptions de mise en \u0153uvre du plan de traitement des risques.\
            \ \n\u2022 Registre des risques."
        es:
          description: "Las entidades pertinentes revisar\xE1n y, cuando proceda,\
            \ actualizar\xE1n los resultados de la evaluaci\xF3n de riesgos y el plan\
            \ de tratamiento de riesgos a intervalos planificados y como m\xEDnimo\
            \ anualmente, as\xED como cuando se produzcan incidentes significativos\
            \ o cambios significativos en las operaciones o los riegos."
          annotation: "\u2022 Revisar los resultados de la evaluaci\xF3n de riesgos\
            \ y el tratamiento de riesgos al menos una vez al a\xF1o, teniendo en\
            \ cuenta:\n    o resultados de auditor\xEDas y revisiones anteriores,\
            \ o estado de aplicaci\xF3n de las medidas descritas en el plan de tratamiento\
            \ de riesgos (v\xE9ase la pol\xEDtica de evaluaci\xF3n de la eficacia\
            \ de las medidas de conformidad con el anexo del Reglamento, punto 7.1.1);\n\
            \    o cambios en los sistemas de informaci\xF3n;\n    o cambios en el\
            \ entorno de operaci\xF3n;\n    o Hallazgos de la revisi\xF3n posterior\
            \ al incidente (secci\xF3n 3.6); y\n    o Tendencias y cambios relacionados\
            \ con las amenazas y vulnerabilidades, ya que pueden afectar a los riesgos.\n\
            \n[CONSEJOS]\n\n\u2022 Asegurar que el personal clave utilice la metodolog\xED\
            a y las herramientas de gesti\xF3n de riesgos. \n\u2022 En general, la\
            \ entidad tiene cuatro opciones de tratamiento de riesgos asociados con\
            \ cada riesgo. Cada opci\xF3n debe ir acompa\xF1ada de medidas espec\xED\
            ficas de tratamiento del riesgo (lista indicativa y no exhaustiva de ejemplos):\n\
            \    o Evitaci\xF3n de riesgos: como medida para tratar este riesgo, la\
            \ entidad podr\xEDa optar por eliminar las actividades o condiciones que\
            \ exponen a la entidad a este riesgo, por ejemplo, interrumpir el uso\
            \ de una aplicaci\xF3n de software vulnerable.\n    o Mitigaci\xF3n de\
            \ riesgos: como medida para tratar este riesgo, la entidad podr\xEDa optar\
            \ por implementar medidas para reducir la probabilidad o el impacto de\
            \ dicho riesgo. Esto puede incluir la instalaci\xF3n de firewalls, el\
            \ uso de cifrado y la realizaci\xF3n de capacitaciones peri\xF3dicas de\
            \ seguridad para los empleados.\n    Transferencia o distribuci\xF3n de\
            \ riesgos: como medida para tratar este riesgo, la entidad podr\xEDa optar\
            \ por trasladar partes del impacto del riesgo a otra parte, normalmente\
            \ a trav\xE9s de seguros o externalizando ciertas funciones a proveedores\
            \ externos. Sin embargo, es importante tener en cuenta que tales acuerdos\
            \ no eliminan la responsabilidad general de la entidad o las obligaciones\
            \ legales con respecto al riesgo. Por ejemplo, la compra de un seguro\
            \ cibern\xE9tico puede cubrir los costos potenciales de violaci\xF3n de\
            \ datos, pero la entidad sigue siendo responsable de implementar las medidas\
            \ de seguridad adecuadas y cumplir con las regulaciones de protecci\xF3\
            n de datos.\n    o Aceptaci\xF3n del riesgo: como medida para tratar este\
            \ riesgo, la entidad puede optar por reconocer el riesgo y decidir aceptarlo\
            \ sin tomar ninguna acci\xF3n espec\xEDfica, a menudo porque el costo\
            \ de la mitigaci\xF3n es mayor que el impacto potencial. Este enfoque\
            \ suele ir acompa\xF1ado de un plan de contingencia para gestionar el\
            \ riesgo en caso de que se materialice. El enfoque debe estar claramente\
            \ documentado, respaldado por una estimaci\xF3n realista de los costes\
            \ potenciales e incluir disposiciones financieras para hacer frente al\
            \ impacto en caso de que el riesgo se materialice. \n\u2022 Aseg\xFArese\
            \ de que el riesgo de las vulnerabilidades asignadas a la clasificaci\xF3\
            n m\xE1s alta (por ejemplo, \"cr\xEDtico\" en el sistema com\xFAn de puntuaci\xF3\
            n de vulnerabilidades (CVSS)) o equivalente no se acepte, si es posible\
            \ (secci\xF3n 6.10). \n\u2022 En relaci\xF3n con los planes de tratamiento\
            \ de riesgos, la entidad podr\xEDa tener en cuenta adicionalmente:\n \
            \   o conclusiones de la revisi\xF3n;\n    o etapas de implementaci\xF3\
            n; y\n    o Recursos necesarios. \n\u2022 Gestionar las excepciones en\
            \ la implementaci\xF3n de los planes de tratamiento de riesgos."
          typical_evidence: "\u2022 Documentaci\xF3n del proceso de revisi\xF3n. \n\
            \u2022 Revisar los comentarios o los registros de cambios para la evaluaci\xF3\
            n de riesgos y el plan de tratamiento de riesgos.\n\n[CONSEJOS]\n\n\u2022\
            \ Planes de acci\xF3n documentados desarrollados en respuesta a los hallazgos\
            \ de la revisi\xF3n. \n\u2022 Personal clave que conoce los principales\
            \ riesgos (por ejemplo, evidencia de correos electr\xF3nicos, entrevistas\
            \ y sesiones de sensibilizaci\xF3n). \n\u2022 Excepciones documentadas\
            \ a la implementaci\xF3n del plan de tratamiento de riesgos. \n\u2022\
            \ Registro de riesgos."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty v\xFDsledky posouzen\xED\
            \ rizik a pl\xE1n o\u0161et\u0159en\xED rizik p\u0159ezkoumaj\xED a v\
            \ p\u0159\xEDpad\u011B pot\u0159eby aktualizuj\xED v pl\xE1novan\xFDch\
            \ intervalech alespo\u0148 jednou ro\u010Dn\u011B a p\u0159i v\xFDskytu\
            \ v\xFDznamn\xFDch incident\u016F nebo v\xFDznamn\xFDch zm\u011Bn operac\xED\
            \ \u010Di rizik."
          annotation: "\u2022 P\u0159ezkoumat v\xFDsledky hodnocen\xED rizik a jejich\
            \ o\u0161et\u0159en\xED alespo\u0148 jednou ro\u010Dn\u011B s p\u0159\
            ihl\xE9dnut\xEDm k:\n    o v\xFDsledky audit\u016F a p\u0159edchoz\xED\
            ch p\u0159ezkum\u016F, o stav prov\xE1d\u011Bn\xED opat\u0159en\xED popsan\xFD\
            ch v pl\xE1nu \u0159e\u0161en\xED rizik (viz politika posuzov\xE1n\xED\
            \ \xFA\u010Dinnosti opat\u0159en\xED v souladu s p\u0159\xEDlohou na\u0159\
            \xEDzen\xED, bod 7.1.1),\n    o zm\u011Bny v informa\u010Dn\xEDch syst\xE9\
            mech;\n    o zm\u011Bny provozn\xEDho prost\u0159ed\xED;\n    o zji\u0161\
            t\u011Bn\xED p\u0159ezkumu po incidentu (odd\xEDl 3.6); a\n    o trendy\
            \ a zm\u011Bny souvisej\xEDc\xED s hrozbami a zranitelnostmi, proto\u017E\
            e mohou ovlivnit rizika.\n\n[TIPY]\n\n\u2022 Zajist\u011Bte, aby kl\xED\
            \u010Dov\xED pracovn\xEDci pou\u017E\xEDvali metodiku a n\xE1stroje \u0159\
            \xEDzen\xED rizik. \n\u2022 Celkov\u011B m\xE1 \xFA\u010Detn\xED jednotka\
            \ \u010Dty\u0159i mo\u017Enosti \u0159e\u0161en\xED rizik spojen\xFDch\
            \ s ka\u017Ed\xFDm rizikem. Ka\u017Ed\xE1 mo\u017Enost by m\u011Bla b\xFD\
            t doprov\xE1zena specifick\xFDmi opat\u0159en\xEDmi pro \u0159e\u0161\
            en\xED rizik (orienta\u010Dn\xED, ne\xFApln\xFD seznam p\u0159\xEDklad\u016F\
            ):\n    o Vyh\xFDb\xE1n\xED se riziku: jako opat\u0159en\xED k \u0159\
            e\u0161en\xED tohoto rizika se subjekt m\u016F\u017Ee rozhodnout vylou\u010D\
            it \u010Dinnosti nebo podm\xEDnky, kter\xE9 jej tomuto riziku vystavuj\xED\
            , nap\u0159\xEDklad ukon\u010Den\xED pou\u017E\xEDv\xE1n\xED zraniteln\xE9\
            \ softwarov\xE9 aplikace.\n    o Zm\xEDrn\u011Bn\xED rizika: jako opat\u0159\
            en\xED k \u0159e\u0161en\xED tohoto rizika se \xFA\u010Detn\xED jednotka\
            \ m\u016F\u017Ee rozhodnout zav\xE9st opat\u0159en\xED ke sn\xED\u017E\
            en\xED pravd\u011Bpodobnosti nebo dopadu takov\xE9ho rizika. To m\u016F\
            \u017Ee zahrnovat instalaci firewall\u016F, pou\u017E\xEDv\xE1n\xED \u0161\
            ifrov\xE1n\xED a prov\xE1d\u011Bn\xED pravideln\xFDch bezpe\u010Dnostn\xED\
            ch \u0161kolen\xED pro zam\u011Bstnance.\n    o P\u0159enos nebo sd\xED\
            len\xED rizika: jako opat\u0159en\xED k \u0159e\u0161en\xED tohoto rizika\
            \ se subjekt m\u016F\u017Ee rozhodnout p\u0159esunout \u010D\xE1sti dopadu\
            \ rizika na jinou stranu, obvykle prost\u0159ednictv\xEDm poji\u0161t\u011B\
            n\xED nebo outsourcingu ur\u010Dit\xFDch funkc\xED poskytovatel\u016F\
            m t\u0159et\xEDch stran. Je v\u0161ak d\u016Fle\u017Eit\xE9 poznamenat,\
            \ \u017Ee takov\xE1 ujedn\xE1n\xED neodstra\u0148uj\xED celkovou odpov\u011B\
            dnost subjektu ani jeho z\xE1konn\xE9 povinnosti t\xFDkaj\xEDc\xED se\
            \ rizika. Nap\u0159\xEDklad n\xE1kup kybernetick\xE9ho poji\u0161t\u011B\
            n\xED m\u016F\u017Ee pokr\xFDt potenci\xE1ln\xED n\xE1klady na naru\u0161\
            en\xED dat, ale subjekt z\u016Fst\xE1v\xE1 odpov\u011Bdn\xFD za zaveden\xED\
            \ vhodn\xFDch bezpe\u010Dnostn\xEDch opat\u0159en\xED a dodr\u017Eov\xE1\
            n\xED p\u0159edpis\u016F o ochran\u011B dat.\n    o P\u0159ijet\xED rizika:\
            \ jako opat\u0159en\xED k \u0159e\u0161en\xED tohoto rizika se \xFA\u010D\
            etn\xED jednotka m\u016F\u017Ee rozhodnout riziko uznat a rozhodnout se\
            \ jej p\u0159ijmout, ani\u017E by podnikla jak\xE9koli konkr\xE9tn\xED\
            \ kroky, \u010Dasto proto, \u017Ee n\xE1klady na zm\xEDrn\u011Bn\xED jsou\
            \ vy\u0161\u0161\xED ne\u017E potenci\xE1ln\xED dopad. Tento p\u0159\xED\
            stup je obvykle doprov\xE1zen pohotovostn\xEDm pl\xE1nem pro \u0159\xED\
            zen\xED rizika, pokud se napln\xED. Tento p\u0159\xEDstup by m\u011Bl\
            \ b\xFDt jasn\u011B zdokumentov\xE1n, podpo\u0159en realistick\xFDm odhadem\
            \ potenci\xE1ln\xEDch n\xE1klad\u016F a m\u011Bl by zahrnovat finan\u010D\
            n\xED rezervy na \u0159e\u0161en\xED dopadu, pokud by se riziko naplnilo.\
            \ \n\u2022 Pokud je to mo\u017En\xE9, ujist\u011Bte se, \u017Ee riziko\
            \ vypl\xFDvaj\xEDc\xED ze zranitelnost\xED p\u0159i\u0159azen\xFDch nejvy\u0161\
            \u0161\xED klasifikaci (nap\u0159. \"kritick\xE9\" ve spole\u010Dn\xE9\
            m syst\xE9mu hodnocen\xED zranitelnost\xED (CVSS)) nebo ekvivalentn\xED\
            \ (odd\xEDl 6.10) nen\xED akceptov\xE1no (odd\xEDl 6.10). \n\u2022 Pokud\
            \ jde o pl\xE1ny \u0159e\u0161en\xED rizik, m\u016F\u017Ee \xFA\u010D\
            etn\xED jednotka d\xE1le vz\xEDt v \xFAvahu:\n    o zji\u0161t\u011Bn\xED\
            \ p\u0159ezkumu;\n    o implementa\u010Dn\xED kroky; a\n    o pot\u0159\
            ebn\xFDch zdroj\u016F. \n\u2022 \u0158\xEDdit ve\u0161ker\xE9 v\xFDjimky\
            \ v implementaci pl\xE1n\u016F l\xE9\u010Dby rizik."
          typical_evidence: "\u2022 Dokumentace recenzn\xEDho \u0159\xEDzen\xED. \n\
            \u2022 Zkontrolujte koment\xE1\u0159e nebo protokoly zm\u011Bn pro hodnocen\xED\
            \ rizik a pl\xE1n l\xE9\u010Dby rizik.\n\n[TIPY]\n\n\u2022 Zdokumentovan\xE9\
            \ ak\u010Dn\xED pl\xE1ny vypracovan\xE9 v reakci na zji\u0161t\u011Bn\xED\
            \ p\u0159ezkumu. \n\u2022 Kl\xED\u010Dov\xED pracovn\xEDci znaj\xED hlavn\xED\
            \ rizika (nap\u0159. d\u016Fkazy z e-mail\u016F, rozhovor\u016F a osv\u011B\
            tov\xFDch setk\xE1n\xED). \n\u2022 Zdokumentovan\xE9 v\xFDjimky z implementace\
            \ pl\xE1nu \u0159e\u0161en\xED rizik. \n\u2022 Registr rizik."
        it:
          description: I soggetti pertinenti riesaminano e, se del caso, aggiornano
            i risultati della valutazione dei rischi e il piano di trattamento dei
            rischi a intervalli pianificati e almeno una volta all'anno e quando si
            verificano modifiche significative delle operazioni o dei rischi o incidenti
            significativi.
          annotation: "\u2022 Riesaminare i risultati della valutazione del rischio\
            \ e il trattamento del rischio almeno una volta all'anno, tenendo conto\
            \ di:\n    o risultati degli audit e delle revisioni precedenti, o stato\
            \ di attuazione delle misure descritte nel piano di trattamento dei rischi\
            \ (cfr. la politica sulla valutazione dell'efficacia delle misure in linea\
            \ con l'allegato del regolamento, punto 7.1.1);\n    o modifiche ai sistemi\
            \ informativi;\n    o modifiche all'ambiente di funzionamento;\n    o\
            \ risultati della revisione post-incidente (sezione 3.6); e\n    o tendenze\
            \ e cambiamenti relativi a minacce e vulnerabilit\xE0, in quanto possono\
            \ influire sui rischi.\n\n[CONSIGLI]\n\n\u2022 Garantire che il personale\
            \ chiave utilizzi la metodologia e gli strumenti di gestione del rischio.\
            \ \n\u2022 Nel complesso, l'entit\xE0 dispone di quattro opzioni di trattamento\
            \ del rischio associate a ciascun rischio. Ogni opzione dovrebbe essere\
            \ accompagnata da misure specifiche di trattamento del rischio (elenco\
            \ indicativo e non esaustivo di esempi):\n    o Prevenzione del rischio:\
            \ come misura per trattare tale rischio, l'entit\xE0 potrebbe scegliere\
            \ di eliminare le attivit\xE0 o le condizioni che espongono l'entit\xE0\
            \ a tale rischio, ad esempio interrompendo l'uso di un'applicazione software\
            \ vulnerabile.\n    o Mitigazione del rischio: come misura per trattare\
            \ tale rischio, l'entit\xE0 potrebbe scegliere di attuare misure per ridurre\
            \ la probabilit\xE0 o l'impatto di tale rischio. Ci\xF2 pu\xF2 includere\
            \ l'installazione di firewall, l'utilizzo della crittografia e l'esecuzione\
            \ di regolari corsi di formazione sulla sicurezza per i dipendenti.\n\
            \    o trasferimento o condivisione del rischio: come misura per trattare\
            \ tale rischio, l'entit\xE0 potrebbe scegliere di trasferire parte dell'impatto\
            \ del rischio a un'altra parte, in genere attraverso l'assicurazione o\
            \ l'esternalizzazione di determinate funzioni a fornitori terzi. Tuttavia,\
            \ \xE8 importante notare che tali accordi non eliminano la responsabilit\xE0\
            \ generale dell'entit\xE0 o gli obblighi giuridici relativi al rischio.\
            \ Ad esempio, l'acquisto di un'assicurazione informatica pu\xF2 coprire\
            \ i potenziali costi di violazione dei dati, ma l'entit\xE0 rimane responsabile\
            \ dell'implementazione di misure di sicurezza adeguate e del rispetto\
            \ delle normative sulla protezione dei dati.\n    o Accettazione del rischio:\
            \ come misura per trattare questo rischio, l'entit\xE0 potrebbe scegliere\
            \ di riconoscere il rischio e decidere di accettarlo senza intraprendere\
            \ alcuna azione specifica, spesso perch\xE9 il costo della mitigazione\
            \ \xE8 superiore all'impatto potenziale. Questo approccio \xE8 solitamente\
            \ accompagnato da un piano di emergenza per gestire il rischio se si concretizza.\
            \ L'approccio dovrebbe essere chiaramente documentato, corroborato da\
            \ una stima realistica dei costi potenziali e includere disposizioni finanziarie\
            \ per affrontare l'impatto qualora il rischio si concretizzasse. \n\u2022\
            \ Assicurarsi che il rischio derivante da vulnerabilit\xE0 assegnate alla\
            \ classificazione pi\xF9 alta (ad esempio \"critico\" nel sistema comune\
            \ di punteggio delle vulnerabilit\xE0 (CVSS)) o equivalente non sia accettato,\
            \ se possibile (sezione 6.10). \n\u2022 Per quanto riguarda i piani di\
            \ trattamento del rischio, l'entit\xE0 potrebbe inoltre prendere in considerazione:\n\
            \    o risultati della revisione;\n    o fasi di attuazione; e\n    o\
            \ risorse necessarie. \n\u2022 Gestire eventuali eccezioni nell'attuazione\
            \ dei piani di trattamento del rischio."
          typical_evidence: "\u2022 Documentazione del processo di revisione. \n\u2022\
            \ Esaminare i commenti o i registri delle modifiche per la valutazione\
            \ del rischio e il piano di trattamento del rischio.\n\n[CONSIGLI]\n\n\
            \u2022 Piani d'azione documentati sviluppati in risposta ai risultati\
            \ della revisione. \n\u2022 Personale chiave che conosce i principali\
            \ rischi (ad es. evidenze da e-mail, interviste e sessioni di sensibilizzazione).\
            \ \n\u2022 Eccezioni documentate per l'attuazione del piano di trattamento\
            \ del rischio. \n\u2022 Registro dei rischi."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:2.2
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:2
      ref_id: '2.2'
      name: Compliance monitoring
      translations:
        fr:
          name: "Contr\xF4le de la conformit\xE9"
        es:
          name: Control del cumplimiento
        cs:
          name: "Sledov\xE1n\xED souladu"
        it:
          name: "Monitoraggio della conformit\xE0"
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:2.2.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:2.2
      ref_id: 2.2.1
      description: The relevant entities shall regularly review the compliance with
        their policies on network and information system security, topic-specific
        policies, rules, and standards. The management bodies shall be informed of
        the status of network and information security on the basis of the compliance
        reviews by means of regular reporting.
      annotation: "\u2022 Develop a standardized report format for reporting to management\
        \ bodies. Consider the following elements (indicative, non-exhaustive list):\n\
        \    o key metrics, o compliance status, including policy exceptions, o identified\
        \ risks and o recommended actions. \n\u2022 Reports are generated and presented\
        \ to management bodies at least annually."
      typical_evidence: "\u2022 Recent compliance review reports.   \n\u2022 Logs\
        \ of policy exceptions. Examples of such exceptions include, among others,\
        \ the situations mentioned in the second paragraph of Article 2(2) and those\
        \ under recital 5 of the regulation. Other examples include (indicative, non-exhaustive\
        \ list):\n    o software updates: if a system relies on an older version of\
        \ software that is incompatible with the latest update, an exception might\
        \ be granted to delay the update until a compatible solution is found;\n \
        \   o access control: if a particular user or system cannot support an authentication\
        \ mechanism (e.g. multi-factor authentication (MFA)) due to technical limitations,\
        \ an exception might be granted while alternative measures are implemented;\
        \ and\n    o encryption: if a legacy system does not support encryption, an\
        \ exception might be granted until the system is replaced. \n\u2022 Records\
        \ of the exception request and approval, along with details of the compensatory\
        \ controls implemented."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es r\xE9examinent r\xE9guli\xE8\
            rement la conformit\xE9 avec leurs politiques en mati\xE8re de s\xE9curit\xE9\
            \ des r\xE9seaux et des syst\xE8mes d\u2019information, les politiques\
            \ concernant des domaines sp\xE9cifiques, les r\xE8gles et les normes.\
            \ Les organes de direction sont inform\xE9s, au moyen de rapports r\xE9\
            guliers \xE9tablis sur la base des examens de conformit\xE9, du stade\
            \ atteint en mati\xE8re de s\xE9curit\xE9 des r\xE9seaux et de l\u2019\
            information."
          annotation: "\u2022 \xC9laborer un format de rapport normalis\xE9 pour les\
            \ rapports aux organes de gestion. Tenez compte des \xE9l\xE9ments suivants\
            \ (liste indicative, non exhaustive) :\n    o les indicateurs cl\xE9s,\
            \ o l\u2019\xE9tat de conformit\xE9, y compris les exceptions aux politiques,\
            \ o les risques identifi\xE9s et o les actions recommand\xE9es. \n\u2022\
            \ Des rapports sont produits et pr\xE9sent\xE9s aux organes de direction\
            \ au moins une fois par an."
          typical_evidence: "\u2022 Rapports r\xE9cents d\u2019examen de la conformit\xE9\
            .   \n\u2022 Journaux des exceptions de politique. Des exemples de telles\
            \ exceptions comprennent, entre autres, les situations mentionn\xE9es\
            \ \xE0 l\u2019article 2, paragraphe 2, deuxi\xE8me alin\xE9a, et celles\
            \ vis\xE9es au consid\xE9rant 5 du r\xE8glement. D\u2019autres exemples\
            \ incluent (liste indicative, non exhaustive) :\n    o Mises \xE0 jour\
            \ logicielles : si un syst\xE8me s\u2019appuie sur une ancienne version\
            \ d\u2019un logiciel incompatible avec la derni\xE8re mise \xE0 jour,\
            \ une exception peut \xEAtre accord\xE9e pour retarder la mise \xE0 jour\
            \ jusqu\u2019\xE0 ce qu\u2019une solution compatible soit trouv\xE9e ;\n\
            \    o contr\xF4le d\u2019acc\xE8s : si un utilisateur ou un syst\xE8\
            me particulier ne peut pas prendre en charge un m\xE9canisme d\u2019authentification\
            \ (par exemple, l\u2019authentification multifactorielle (MFA)) en raison\
            \ de limitations techniques, une exception peut \xEAtre accord\xE9e pendant\
            \ que des mesures alternatives sont mises en \u0153uvre ; et\n    o Chiffrement\
            \ : si un syst\xE8me h\xE9rit\xE9 ne prend pas en charge le chiffrement,\
            \ une exception peut \xEAtre accord\xE9e jusqu\u2019\xE0 ce que le syst\xE8\
            me soit remplac\xE9. \n\u2022 Enregistrements de la demande d\u2019exception\
            \ et de l\u2019approbation, ainsi que des d\xE9tails sur les contr\xF4\
            les compensatoires mis en \u0153uvre."
        es:
          description: "Las entidades pertinentes revisar\xE1n peri\xF3dicamente el\
            \ cumplimiento de sus pol\xEDticas en materia de seguridad de los sistemas\
            \ de redes y de informaci\xF3n, pol\xEDticas espec\xEDficas, reglas y\
            \ normas. Los \xF3rganos de direcci\xF3n ser\xE1n informados, mediante\
            \ informes peri\xF3dicos, del estado de seguridad de las redes y la informaci\xF3\
            n a partir de las revisiones del cumplimiento."
          annotation: "\u2022 Elaborar un formato de informe normalizado para la presentaci\xF3\
            n de informes a los \xF3rganos de gesti\xF3n. Considere los siguientes\
            \ elementos (lista indicativa, no exhaustiva):\n    o M\xE9tricas clave,\
            \ o Estado de cumplimiento, incluidas las excepciones a las pol\xEDticas,\
            \ o Riesgos identificados y o Acciones recomendadas. \n\u2022 Los informes\
            \ se generan y presentan a los \xF3rganos de gesti\xF3n al menos una vez\
            \ al a\xF1o."
          typical_evidence: "\u2022 Informes recientes de revisi\xF3n de cumplimiento.\
            \   \n\u2022 Registros de excepciones de pol\xEDticas. Ejemplos de tales\
            \ excepciones incluyen, entre otras, las situaciones mencionadas en el\
            \ art\xEDculo 2, apartado 2, p\xE1rrafo segundo, y las contempladas en\
            \ el considerando 5 del Reglamento. Otros ejemplos son (lista indicativa\
            \ y no exhaustiva):\n    o Actualizaciones de software: si un sistema\
            \ se basa en una versi\xF3n anterior de software que es incompatible con\
            \ la \xFAltima actualizaci\xF3n, se puede conceder una excepci\xF3n para\
            \ retrasar la actualizaci\xF3n hasta que se encuentre una soluci\xF3n\
            \ compatible;\n    o control de acceso: si un usuario o sistema en particular\
            \ no puede soportar un mecanismo de autenticaci\xF3n (por ejemplo, autenticaci\xF3\
            n multifactor (MFA)) debido a limitaciones t\xE9cnicas, se puede conceder\
            \ una excepci\xF3n mientras se implementan medidas alternativas; y\n \
            \   o Cifrado: Si un sistema heredado no admite el cifrado, se puede conceder\
            \ una excepci\xF3n hasta que se reemplace el sistema. \n\u2022 Registros\
            \ de la solicitud y aprobaci\xF3n de la excepci\xF3n, junto con detalles\
            \ de los controles compensatorios implementados."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty pravideln\u011B p\u0159\
            ezkoum\xE1vaj\xED dodr\u017Eov\xE1n\xED sv\xFDch politik bezpe\u010Dnosti\
            \ s\xEDt\xED a informa\u010Dn\xEDch syst\xE9m\u016F, tematicky zam\u011B\
            \u0159en\xFDch politik, pravidel a norem. \u0158\xEDd\xEDc\xED org\xE1\
            ny jsou informov\xE1ny o stavu bezpe\u010Dnosti s\xEDt\xED a informac\xED\
            \ na z\xE1klad\u011B p\u0159ezkum\u016F dodr\u017Eov\xE1n\xED souladu\
            \ prost\u0159ednictv\xEDm pravideln\xFDch zpr\xE1v."
          annotation: "\u2022 Vypracovat standardizovan\xFD form\xE1t zpr\xE1vy pro\
            \ pod\xE1v\xE1n\xED zpr\xE1v \u0159\xEDd\xEDc\xEDm org\xE1n\u016Fm. Zva\u017E\
            te n\xE1sleduj\xEDc\xED prvky (orienta\u010Dn\xED, ne\xFApln\xFD seznam):\n\
            \    o kl\xED\u010Dov\xE9 metriky, o stav souladu, v\u010Detn\u011B v\xFD\
            jimek z\xE1sad, o identifikovan\xE1 rizika a o doporu\u010Den\xE1 opat\u0159\
            en\xED. \n\u2022 Zpr\xE1vy jsou generov\xE1ny a p\u0159edkl\xE1d\xE1ny\
            \ \u0159\xEDd\xEDc\xEDm org\xE1n\u016Fm nejm\xE9n\u011B jednou ro\u010D\
            n\u011B."
          typical_evidence: "\u2022 Ned\xE1vn\xE9 zpr\xE1vy o kontrole souladu.  \
            \ \n\u2022 Protokoly v\xFDjimek z\xE1sad. P\u0159\xEDklady takov\xFDch\
            \ v\xFDjimek zahrnuj\xED mimo jin\xE9 situace uveden\xE9 v \u010Dl. 2\
            \ odst. 2 druh\xE9m pododstavci a situace uveden\xE9 v bod\u011B 5 od\u016F\
            vodn\u011Bn\xED na\u0159\xEDzen\xED. Mezi dal\u0161\xED p\u0159\xEDklady\
            \ pat\u0159\xED (orienta\u010Dn\xED, ne\xFApln\xFD seznam):\n    o Aktualizace\
            \ softwaru: Pokud syst\xE9m spol\xE9h\xE1 na star\u0161\xED verzi softwaru,\
            \ kter\xE1 nen\xED kompatibiln\xED s nejnov\u011Bj\u0161\xED aktualizac\xED\
            , m\u016F\u017Ee b\xFDt ud\u011Blena v\xFDjimka pro odlo\u017Een\xED aktualizace,\
            \ dokud nebude nalezeno kompatibiln\xED \u0159e\u0161en\xED;\n    o \u0159\
            \xEDzen\xED p\u0159\xEDstupu: pokud konkr\xE9tn\xED u\u017Eivatel nebo\
            \ syst\xE9m nem\u016F\u017Ee podporovat mechanismus ov\u011B\u0159ov\xE1\
            n\xED (nap\u0159. v\xEDcefaktorov\xE9 ov\u011B\u0159ov\xE1n\xED (MFA))\
            \ kv\u016Fli technick\xFDm omezen\xEDm, m\u016F\u017Ee b\xFDt ud\u011B\
            lena v\xFDjimka, dokud nebudou implementov\xE1na alternativn\xED opat\u0159\
            en\xED; a\n    o \u0160ifrov\xE1n\xED: Pokud star\u0161\xED syst\xE9m\
            \ nepodporuje \u0161ifrov\xE1n\xED, m\u016F\u017Ee b\xFDt ud\u011Blena\
            \ v\xFDjimka, dokud nebude syst\xE9m nahrazen. \n\u2022 Z\xE1znamy o \u017E\
            \xE1dosti o v\xFDjimku a schv\xE1len\xED spolu s podrobnostmi o proveden\xFD\
            ch kompenza\u010Dn\xEDch kontrol\xE1ch."
        it:
          description: "I soggetti pertinenti riesaminano periodicamente la conformit\xE0\
            \ alle loro politiche in materia di sicurezza delle reti e dei sistemi\
            \ informativi, alle politiche, alle regole e agli standard specifici per\
            \ argomento. Gli organi di gestione sono informati dello stato della sicurezza\
            \ delle reti e dell'informazione sulla base delle verifiche di conformit\xE0\
            \ mediante relazioni periodiche."
          annotation: "\u2022 Sviluppare un formato di report standardizzato per la\
            \ rendicontazione agli organi di gestione. Considerare i seguenti elementi\
            \ (elenco indicativo, non esaustivo):\n    o metriche chiave, o stato\
            \ di conformit\xE0, comprese le eccezioni alle policy, o rischi identificati\
            \ e o azioni consigliate. \n\u2022 I rapporti sono generati e presentati\
            \ agli organi di gestione almeno una volta all'anno."
          typical_evidence: "\u2022 Rapporti recenti di revisione della conformit\xE0\
            .   \n\u2022 Registri delle eccezioni ai criteri. Esempi di tali eccezioni\
            \ comprendono, tra l'altro, le situazioni di cui all'articolo 2, paragrafo\
            \ 2, secondo comma, e quelle di cui al considerando 5 di tale regolamento.\
            \ Altri esempi includono (elenco indicativo, non esaustivo):\n    o Aggiornamenti\
            \ software: se un sistema si basa su una versione precedente del software\
            \ incompatibile con l'ultimo aggiornamento, potrebbe essere concessa un'eccezione\
            \ per ritardare l'aggiornamento fino a quando non viene trovata una soluzione\
            \ compatibile;\n    o controllo degli accessi: se un particolare utente\
            \ o sistema non \xE8 in grado di supportare un meccanismo di autenticazione\
            \ (ad esempio l'autenticazione a pi\xF9 fattori (MFA)) a causa di limitazioni\
            \ tecniche, potrebbe essere concessa un'eccezione mentre vengono implementate\
            \ misure alternative; e\n    o Crittografia: se un sistema legacy non\
            \ supporta la crittografia, potrebbe essere concessa un'eccezione fino\
            \ a quando il sistema non viene sostituito. \n\u2022 Registrazioni della\
            \ richiesta di eccezione e dell'approvazione, insieme ai dettagli dei\
            \ controlli compensativi implementati."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:2.2.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:2.2
      ref_id: 2.2.2
      description: "The relevant entities shall put in place an effective compliance\
        \ reporting system which shall be appropriate to their structures, operating\
        \ environments and threat landscapes. The compliance reporting system shall\
        \ be capable to provide to the management bodies an informed view of the current\
        \ state of the relevant entities\u2019 management of risks."
      annotation: "\u2022 Set up procedures for compliance monitoring, including (indicative,\
        \ non-exhaustive list):\n    o objectives and a high-level approach to compliance\
        \ monitoring;\n    o relevant security policies that are subject to compliance\
        \ monitoring;\n    o the frequency of compliance reviews;\n    o who should\
        \ carry out compliance reviews (internal or external); and\n    o templates\
        \ for compliance review reports. \n\u2022 Analyse and evaluate the results\
        \ of the compliance review."
      typical_evidence: "\u2022 Documented procedures for monitoring compliance. \n\
        \u2022 Documented analysis and evaluation of the results, including the current\
        \ state of the entity\u2019s risk management. \n\u2022 Detailed compliance\
        \ monitoring plans, including long-term, high-level objectives and planning."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es mettent en place un syst\xE8\
            me de rapports de conformit\xE9 efficace et adapt\xE9 \xE0 leur structure,\
            \ \xE0 l\u2019environnement dans lequel elles op\xE8rent et \xE0 leur\
            \ paysage des menaces. Le syst\xE8me de rapports de conformit\xE9 est\
            \ de nature \xE0 donner aux organes de direction une vision fiable du\
            \ stade atteint par les entit\xE9s concern\xE9es en mati\xE8re de gestion\
            \ des risques."
          annotation: "\u2022 Mettre en place des proc\xE9dures de suivi de la conformit\xE9\
            , y compris (liste indicative non exhaustive) :\n    o des objectifs et\
            \ une approche de haut niveau en mati\xE8re de surveillance de la conformit\xE9\
            \_;\n    o les politiques de s\xE9curit\xE9 pertinentes qui font l\u2019\
            objet d\u2019un contr\xF4le de conformit\xE9 ;\n    o la fr\xE9quence\
            \ des examens de conformit\xE9\_;\n    o qui doit effectuer les revues\
            \ de conformit\xE9 (internes ou externes) ; et\n    o Mod\xE8les de rapports\
            \ d\u2019examen de conformit\xE9. \n\u2022 Analyser et \xE9valuer les\
            \ r\xE9sultats de la revue de conformit\xE9."
          typical_evidence: "\u2022 Proc\xE9dures document\xE9es de contr\xF4le de\
            \ la conformit\xE9. \n\u2022 Analyse et \xE9valuation document\xE9es des\
            \ r\xE9sultats, y compris l\u2019\xE9tat actuel de la gestion des risques\
            \ de l\u2019entit\xE9. \n\u2022 Plans d\xE9taill\xE9s de surveillance\
            \ de la conformit\xE9, y compris des objectifs et une planification \xE0\
            \ long terme de haut niveau."
        es:
          description: "Las entidades pertinentes pondr\xE1n en marcha un sistema\
            \ eficaz de notificaci\xF3n del cumplimiento que ser\xE1 adecuado a sus\
            \ estructuras, sus entornos operativos y su panorama de amenazas. El sistema\
            \ de notificaci\xF3n del cumplimiento podr\xE1 ofrecer a los \xF3rganos\
            \ de direcci\xF3n una visi\xF3n informada del estado en que se encuentre\
            \ la gesti\xF3n de riesgos de las entidades pertinentes."
          annotation: "\u2022 Establecer procedimientos para el seguimiento del cumplimiento,\
            \ en particular (lista indicativa y no exhaustiva):\n    o objetivos y\
            \ un enfoque de alto nivel para el seguimiento del cumplimiento;\n   \
            \ o pol\xEDticas de seguridad relevantes que est\xE1n sujetas a supervisi\xF3\
            n de cumplimiento;\n    o la frecuencia de las revisiones de cumplimiento;\n\
            \    o qui\xE9n debe llevar a cabo las revisiones de cumplimiento (internas\
            \ o externas); y\n    o Plantillas para informes de revisi\xF3n de cumplimiento.\
            \ \n\u2022 Analizar y evaluar los resultados de la revisi\xF3n de cumplimiento."
          typical_evidence: "\u2022 Procedimientos documentados para monitorear el\
            \ cumplimiento. \n\u2022 An\xE1lisis y evaluaci\xF3n documentada de los\
            \ resultados, incluyendo el estado actual de la gesti\xF3n de riesgos\
            \ de la entidad. \n\u2022 Planes detallados de seguimiento del cumplimiento,\
            \ incluidos los objetivos y la planificaci\xF3n a largo plazo y de alto\
            \ nivel."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty zavedou \xFA\u010Dinn\xFD\
            \ syst\xE9m pod\xE1v\xE1n\xED zpr\xE1v o dodr\u017Eov\xE1n\xED souladu,\
            \ kter\xFD bude odpov\xEDdat jejich struktu\u0159e, provozn\xEDmu prost\u0159\
            ed\xED a prost\u0159ed\xED hrozeb. Syst\xE9m pod\xE1v\xE1n\xED zpr\xE1\
            v o dodr\u017Eov\xE1n\xED souladu mus\xED b\xFDt schopen poskytovat \u0159\
            \xEDdic\xEDm org\xE1n\u016Fm informovan\xFD p\u0159ehled o aktu\xE1ln\xED\
            m stavu \u0159\xEDzen\xED rizik p\u0159\xEDslu\u0161n\xFDmi subjekty."
          annotation: "\u2022 Nastavit postupy pro sledov\xE1n\xED dodr\u017Eov\xE1\
            n\xED p\u0159edpis\u016F, v\u010Detn\u011B (orienta\u010Dn\xEDho, nevy\u010D\
            erp\xE1vaj\xEDc\xEDho seznamu):\n    o c\xEDle a p\u0159\xEDstup na vysok\xE9\
            \ \xFArovni ke sledov\xE1n\xED dodr\u017Eov\xE1n\xED p\u0159edpis\u016F\
            ,\n    o p\u0159\xEDslu\u0161n\xE9 bezpe\u010Dnostn\xED politiky, kter\xE9\
            \ podl\xE9haj\xED sledov\xE1n\xED souladu;\n    o \u010Detnost kontrol\
            \ souladu,\n    o kdo by m\u011Bl prov\xE1d\u011Bt kontroly dodr\u017E\
            ov\xE1n\xED p\u0159edpis\u016F (intern\xED nebo extern\xED); a\n    o\
            \ \u0161ablony pro zpr\xE1vy o kontrole souladu. \n\u2022 Analyzujte a\
            \ vyhodnocujte v\xFDsledky kontroly souladu."
          typical_evidence: "\u2022 Zdokumentovan\xE9 postupy pro sledov\xE1n\xED\
            \ dodr\u017Eov\xE1n\xED p\u0159edpis\u016F. \n\u2022 Dokumentovan\xE1\
            \ anal\xFDza a vyhodnocen\xED v\xFDsledk\u016F, v\u010Detn\u011B sou\u010D\
            asn\xE9ho stavu \u0159\xEDzen\xED rizik subjektu. \n\u2022 Podrobn\xE9\
            \ pl\xE1ny sledov\xE1n\xED dodr\u017Eov\xE1n\xED p\u0159edpis\u016F, v\u010D\
            etn\u011B dlouhodob\xFDch c\xEDl\u016F a pl\xE1nov\xE1n\xED na vysok\xE9\
            \ \xFArovni."
        it:
          description: "I soggetti pertinenti istituiscono un sistema efficace di\
            \ segnalazione della conformit\xE0 che sia adeguato alle loro strutture,\
            \ ai loro ambienti operativi e ai loro scenari di minacce. Il sistema\
            \ di segnalazione di conformit\xE0 \xE8 in grado di fornire agli organi\
            \ di gestione una visione informata dello stato attuale della gestione\
            \ dei rischi da parte dei soggetti pertinenti."
          annotation: "\u2022 Impostare procedure per il monitoraggio della conformit\xE0\
            , tra cui (elenco indicativo e non esaustivo):\n    o obiettivi e un approccio\
            \ di alto livello al monitoraggio della conformit\xE0;\n    o politiche\
            \ di sicurezza pertinenti che sono soggette a monitoraggio della conformit\xE0\
            ;\n    o la frequenza delle revisioni di conformit\xE0;\n    o chi dovrebbe\
            \ effettuare le revisioni di conformit\xE0 (interne o esterne); e\n  \
            \  o modelli per i rapporti di verifica della conformit\xE0. \n\u2022\
            \ Analizzare e valutare i risultati della revisione della conformit\xE0\
            ."
          typical_evidence: "\u2022 Procedure documentate per il monitoraggio della\
            \ conformit\xE0. \n\u2022 Analisi e valutazione documentate dei risultati,\
            \ compreso lo stato attuale della gestione del rischio dell'entit\xE0\
            . \n\u2022 Piani dettagliati di monitoraggio della conformit\xE0, inclusi\
            \ obiettivi e pianificazione a lungo termine e di alto livello."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:2.2.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:2.2
      ref_id: 2.2.3
      description: The relevant entities shall perform the compliance monitoring at
        planned intervals and when significant incidents or significant changes to
        operations or risks occur.
      annotation: "\u2022 Compliance monitoring should take place at least annually,\
        \ taking into account:\n    o significant incidents, if any;\n    o changes\
        \ to the environment of operation;\n    o changes to the threat landscape\
        \ and cybersecurity legal and regulatory requirements;\n    o changes to standards;\
        \ and\n    o changes to the policy on the security of network and information\
        \ systems and/or topic-specific policies."
      typical_evidence: "\u2022 Any corrective actions resulting from the assessments\
        \ and tests, including changes to the measures made by the entity once the\
        \ effectiveness of the measures has been assessed in line with the Annex to\
        \ the regulation, point 7.1.1. \n\u2022 Evidence that reports of lessons learned\
        \ or root cause analysis of past incidents, if any, were taken into account."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es proc\xE8dent \xE0 un contr\xF4\
            le de conformit\xE9 \xE0 intervalles pr\xE9d\xE9finis ainsi qu\u2019en\
            \ cas d\u2019incidents importants ou lorsque des changements majeurs concernant\
            \ les op\xE9rations ou les risques se produisent."
          annotation: "\u2022 Le contr\xF4le de la conformit\xE9 doit avoir lieu au\
            \ moins une fois par an, en tenant compte des \xE9l\xE9ments suivants\
            \ :\n    o les incidents importants, le cas \xE9ch\xE9ant\_;\n    o modifications\
            \ de l\u2019environnement de fonctionnement ;\n    o l\u2019\xE9volution\
            \ du paysage des menaces et des exigences l\xE9gales et r\xE9glementaires\
            \ en mati\xE8re de cybers\xE9curit\xE9 ;\n    o les modifications des\
            \ normes\_; et\n    o Modifications de la politique sur la s\xE9curit\xE9\
            \ des r\xE9seaux et des syst\xE8mes d\u2019information et/ou de politiques\
            \ sp\xE9cifiques \xE0 un sujet."
          typical_evidence: "\u2022 Toute action corrective r\xE9sultant des \xE9\
            valuations et des tests, y compris les modifications apport\xE9es aux\
            \ mesures par l\u2019entit\xE9 une fois que l\u2019efficacit\xE9 des mesures\
            \ a \xE9t\xE9 \xE9valu\xE9e conform\xE9ment \xE0 l\u2019annexe du r\xE8\
            glement, point 7.1.1. \n\u2022 Des preuves que les rapports sur les le\xE7\
            ons apprises ou l\u2019analyse des causes profondes d\u2019incidents pass\xE9\
            s, le cas \xE9ventuel, ont \xE9t\xE9 pris en compte."
        es:
          description: "Las entidades pertinentes realizar\xE1n el control del cumplimiento\
            \ a intervalos planificados, as\xED como cuando se produzcan incidentes\
            \ significativos o cambios significativos en las operaciones o los riesgos."
          annotation: "\u2022 El seguimiento del cumplimiento debe realizarse al menos\
            \ una vez al a\xF1o, teniendo en cuenta:\n    o incidentes significativos,\
            \ si los hubiera;\n    o cambios en el entorno de operaci\xF3n;\n    o\
            \ cambios en el panorama de amenazas y los requisitos legales y regulatorios\
            \ de ciberseguridad;\n    o cambios en las normas; y\n    o Cambios en\
            \ la pol\xEDtica de seguridad de las redes y sistemas de informaci\xF3\
            n y/o pol\xEDticas tem\xE1ticas."
          typical_evidence: "\u2022 Las acciones correctivas que se deriven de las\
            \ evaluaciones y ensayos, incluidos los cambios en las medidas realizados\
            \ por la entidad una vez que se haya evaluado la eficacia de las medidas\
            \ de conformidad con el anexo del reglamento, punto 7.1.1. \n\u2022 Pruebas\
            \ de que se tuvieron en cuenta los informes de lecciones aprendidas o\
            \ el an\xE1lisis de la causa ra\xEDz de incidentes anteriores, si los\
            \ hubo."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty prov\xE1d\u011Bj\xED sledov\xE1\
            n\xED souladu v pl\xE1novan\xFDch intervalech a p\u0159i v\xFDskytu v\xFD\
            znamn\xFDch incident\u016F nebo v\xFDznamn\xFDch zm\u011Bn operac\xED\
            \ \u010Di rizik."
          annotation: "\u2022 Sledov\xE1n\xED dodr\u017Eov\xE1n\xED p\u0159edpis\u016F\
            \ by m\u011Blo b\xFDt prov\xE1d\u011Bno alespo\u0148 jednou ro\u010Dn\u011B\
            \ s p\u0159ihl\xE9dnut\xEDm k:\n    o v\xFDznamn\xFDch incidentech, pokud\
            \ k nim dojde;\n    o zm\u011Bny provozn\xEDho prost\u0159ed\xED;\n  \
            \  o zm\u011Bny v oblasti hrozeb a pr\xE1vn\xEDch a regula\u010Dn\xED\
            ch po\u017Eadavk\u016F v oblasti kybernetick\xE9 bezpe\u010Dnosti;\n \
            \   o zm\u011Bny standard\u016F; a\n    o zm\u011Bny z\xE1sad t\xFDkaj\xED\
            c\xEDch se bezpe\u010Dnosti s\xEDt\xED a informa\u010Dn\xEDch syst\xE9\
            m\u016F a/nebo z\xE1sad specifick\xFDch pro konkr\xE9tn\xED t\xE9ma."
          typical_evidence: "\u2022 ve\u0161ker\xE1 n\xE1pravn\xE1 opat\u0159en\xED\
            \ vypl\xFDvaj\xEDc\xED z posouzen\xED a zkou\u0161ek, v\u010Detn\u011B\
            \ zm\u011Bn opat\u0159en\xED proveden\xFDch subjektem pot\xE9, co byla\
            \ posouzena \xFA\u010Dinnost opat\u0159en\xED v souladu s p\u0159\xED\
            lohou na\u0159\xEDzen\xED, bodem 7.1.1. \n\u2022 D\u016Fkazy, \u017Ee\
            \ byly vzaty v \xFAvahu zpr\xE1vy o z\xEDskan\xFDch poznatc\xEDch nebo\
            \ anal\xFDza hlavn\xEDch p\u0159\xED\u010Din minul\xFDch incident\u016F\
            , pokud n\u011Bjak\xE9 existuj\xED."
        it:
          description: "I soggetti pertinenti effettuano il monitoraggio della conformit\xE0\
            \ a intervalli pianificati e quando si verificano incidenti significativi\
            \ o modifiche significative delle operazioni o dei rischi."
          annotation: "\u2022 Il monitoraggio della conformit\xE0 dovrebbe avvenire\
            \ almeno una volta all'anno, tenendo conto:\n    o incidenti significativi,\
            \ se presenti;\n    o modifiche all'ambiente di funzionamento;\n    o\
            \ modifiche al panorama delle minacce e ai requisiti legali e normativi\
            \ in materia di sicurezza informatica;\n    o modifiche alle norme; e\n\
            \    o Modifiche alla politica sulla sicurezza delle reti e dei sistemi\
            \ informativi e/o alle politiche specifiche per argomento."
          typical_evidence: "\u2022 Eventuali azioni correttive conseguenti alle valutazioni\
            \ e ai test, comprese le modifiche alle misure apportate dall'ente una\
            \ volta valutata l'efficacia delle misure in linea con l'Allegato al regolamento,\
            \ punto 7.1.1. \n\u2022 Prove che sono stati presi in considerazione i\
            \ resoconti delle lezioni apprese o l'analisi delle cause profonde degli\
            \ incidenti passati, se presenti."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:2.3
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:2
      ref_id: '2.3'
      name: Independent review of information and network security
      translations:
        fr:
          name: "R\xE9examen ind\xE9pendant de la s\xE9curit\xE9 de l\u2019information\
            \ et des r\xE9seaux"
        es:
          name: "Revisi\xF3n independiente de la seguridad de la informaci\xF3n y\
            \ las redes"
        cs:
          name: "Nez\xE1visl\xFD p\u0159ezkum bezpe\u010Dnosti informac\xED a s\xED\
            t\xED"
        it:
          name: Revisione indipendente della sicurezza delle informazioni e delle
            reti
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:2.3.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:2.3
      ref_id: 2.3.1
      description: The relevant entities shall review independently their approach
        to managing network and information system security and its implementation
        including people, processes and technologies.
      annotation: "\u2022 Make sure that the independent review is conducted by a\
        \ person or persons with the appropriate competences (indicative, non-exhaustive\
        \ list):\n    o cybersecurity technical knowledge, for example cybersecurity\
        \ frameworks (ISO/IEC 27001, National Institute of Standards and Technology\
        \ (NIST) cybersecurity framework, etc.), o industry knowledge, o risk assessment\
        \ skills, o compliance and regulatory knowledge, for example the NIS2 Directive,\
        \ the GDPR and the Digital Operational Resilience Act, o good understanding\
        \ of good practices in auditing and o good understanding of when technical\
        \ certification and conformance are required and must be documented in the\
        \ conformance and compliance report, to ensure that global standards are implemented\
        \ correctly."
      typical_evidence: "\u2022 Documented results of the review or audit. \n\u2022\
        \ Evidence of the competences of the independent reviewers, for example professional\
        \ experience and academic qualifications, certifications such as certified\
        \ information systems auditor, certified information systems security professional,\
        \ certified information security manager, etc."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es r\xE9examinent en toute ind\xE9\
            pendance leur approche de la gestion de la s\xE9curit\xE9 des r\xE9seaux\
            \ et des syst\xE8mes d\u2019information et sa mise en \u0153uvre, y compris\
            \ en ce qui concerne les effectifs, les proc\xE9dures et les technologies."
          annotation: "\u2022 S\u2019assurer que l\u2019examen ind\xE9pendant est\
            \ men\xE9 par une ou plusieurs personnes ayant les comp\xE9tences appropri\xE9\
            es (liste indicative et non exhaustive) :\n    o connaissance technique\
            \ de la cybers\xE9curit\xE9, par exemple les cadres de cybers\xE9curit\xE9\
            \ (ISO/IEC 27001, cadre de cybers\xE9curit\xE9 du National Institute of\
            \ Standards and Technology (NIST), etc.), o connaissance de l\u2019industrie,\
            \ o comp\xE9tences en \xE9valuation des risques, o connaissance de la\
            \ conformit\xE9 et de la r\xE9glementation, par exemple la directive NIS2,\
            \ le RGPD et le Digital Operational Resilience Act, o bonne compr\xE9\
            hension des bonnes pratiques en audit et o bonne compr\xE9hension du moment\
            \ o\xF9 la certification technique et la conformit\xE9 sont requises et\
            \ doivent l\u2019\xEAtre Document\xE9 dans le rapport de conformit\xE9\
            \ et de conformit\xE9, afin de garantir la mise en \u0153uvre correcte\
            \ des normes mondiales."
          typical_evidence: "\u2022 Documentation des r\xE9sultats de l\u2019examen\
            \ ou de l\u2019audit. \n\u2022 Preuve des comp\xE9tences des examinateurs\
            \ ind\xE9pendants, par exemple exp\xE9rience professionnelle et qualifications\
            \ acad\xE9miques, certifications telles que v\xE9rificateur certifi\xE9\
            \ des syst\xE8mes d\u2019information, professionnel certifi\xE9 de la\
            \ s\xE9curit\xE9 des syst\xE8mes d\u2019information, responsable certifi\xE9\
            \ de la s\xE9curit\xE9 de l\u2019information, etc."
        es:
          description: "Las entidades pertinentes revisar\xE1n de forma independiente\
            \ su enfoque de gesti\xF3n de la seguridad de los sistemas de redes y\
            \ de informaci\xF3n y su aplicaci\xF3n, incluidas las personas, los procesos\
            \ y las tecnolog\xEDas."
          annotation: "\u2022 Asegurarse de que la revisi\xF3n independiente sea realizada\
            \ por una o varias personas con las competencias adecuadas (lista indicativa\
            \ y no exhaustiva):\n    o conocimientos t\xE9cnicos de ciberseguridad,\
            \ por ejemplo, marcos de ciberseguridad (ISO/IEC 27001, marco de ciberseguridad\
            \ del Instituto Nacional de Normas y Tecnolog\xEDa (NIST), etc.), o conocimiento\
            \ de la industria, o habilidades de evaluaci\xF3n de riesgos, o conocimiento\
            \ de cumplimiento y regulaci\xF3n, por ejemplo, la Directiva NIS2, el\
            \ GDPR y la Ley de Resiliencia Operativa Digital, o buena comprensi\xF3\
            n de las buenas pr\xE1cticas en auditor\xEDa y o buena comprensi\xF3n\
            \ de cu\xE1ndo se requiere y debe ser la certificaci\xF3n t\xE9cnica y\
            \ la conformidad documentado en el informe de conformidad y cumplimiento,\
            \ para garantizar que los est\xE1ndares globales se implementen correctamente."
          typical_evidence: "\u2022 Resultados documentados de la revisi\xF3n o auditor\xED\
            a. \n\u2022 Evidencia de las competencias de los revisores independientes,\
            \ por ejemplo, experiencia profesional y calificaciones acad\xE9micas,\
            \ certificaciones como auditor de sistemas de informaci\xF3n certificado,\
            \ profesional de seguridad de sistemas de informaci\xF3n certificado,\
            \ gerente de seguridad de la informaci\xF3n certificado, etc."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty nez\xE1visle p\u0159ezkoum\xE1\
            vaj\xED sv\u016Fj p\u0159\xEDstup k \u0159\xEDzen\xED bezpe\u010Dnosti\
            \ s\xEDt\xED a informa\u010Dn\xEDch syst\xE9m\u016F a jeho prov\xE1d\u011B\
            n\xED, v\u010Detn\u011B lid\xED, proces\u016F a technologi\xED."
          annotation: "\u2022 Zajist\u011Bte, aby nez\xE1visl\xE9 p\u0159ezkoum\xE1\
            n\xED provedla osoba nebo osoby s odpov\xEDdaj\xEDc\xEDmi kompetencemi\
            \ (orienta\u010Dn\xED, ne\xFApln\xFD seznam):\n    o technick\xE9 znalosti\
            \ v oblasti kybernetick\xE9 bezpe\u010Dnosti, nap\u0159\xEDklad r\xE1\
            mce kybernetick\xE9 bezpe\u010Dnosti (ISO/IEC 27001, r\xE1mec kybernetick\xE9\
            \ bezpe\u010Dnosti N\xE1rodn\xEDho institutu pro standardy a technologie\
            \ (NIST) atd.), o znalosti odv\u011Btv\xED, o dovednosti v oblasti hodnocen\xED\
            \ rizik, o znalosti dodr\u017Eov\xE1n\xED p\u0159edpis\u016F a p\u0159\
            edpis\u016F, nap\u0159\xEDklad sm\u011Brnice NIS2, GDPR a z\xE1kon o digit\xE1\
            ln\xED provozn\xED odolnosti, o dobr\xE9 porozum\u011Bn\xED osv\u011B\
            d\u010Den\xFDm postup\u016Fm v oblasti auditu a o dobr\xE9 pochopen\xED\
            \ toho, kdy je a mus\xED b\xFDt vy\u017Eadov\xE1na technick\xE1 certifikace\
            \ a shoda. zdokumentovan\xE9 ve zpr\xE1v\u011B o shod\u011B a shod\u011B\
            , aby bylo zaji\u0161t\u011Bno spr\xE1vn\xE9 prov\xE1d\u011Bn\xED glob\xE1\
            ln\xEDch norem."
          typical_evidence: "\u2022 Zdokumentovan\xE9 v\xFDsledky p\u0159ezkoum\xE1\
            n\xED nebo auditu. \n\u2022 Doklady o kompetenc\xEDch nez\xE1visl\xFD\
            ch posuzovatel\u016F, nap\u0159\xEDklad odborn\xE9 zku\u0161enosti a akademick\xE9\
            \ kvalifikace, certifikace jako certifikovan\xFD auditor informa\u010D\
            n\xEDch syst\xE9m\u016F, certifikovan\xFD odborn\xEDk na bezpe\u010Dnost\
            \ informa\u010Dn\xEDch syst\xE9m\u016F, certifikovan\xFD mana\u017Eer\
            \ bezpe\u010Dnosti informac\xED atd."
        it:
          description: I soggetti pertinenti riesaminano in modo indipendente il loro
            approccio alla gestione della sicurezza delle reti e dei sistemi informativi
            e alla sua attuazione, comprese le persone, i processi e le tecnologie.
          annotation: "\u2022 Assicurarsi che la revisione indipendente sia condotta\
            \ da una o pi\xF9 persone con le competenze appropriate (elenco indicativo,\
            \ non esaustivo):\n    o conoscenze tecniche in materia di cibersicurezza,\
            \ ad esempio quadri di sicurezza informatica (ISO/IEC 27001, quadro di\
            \ sicurezza informatica del National Institute of Standards and Technology\
            \ (NIST), ecc.), o conoscenze del settore, o capacit\xE0 di valutazione\
            \ del rischio, o conoscenze in materia di conformit\xE0 e normative, ad\
            \ esempio la direttiva NIS2, il GDPR e il Digital Operational Resilience\
            \ Act, o una buona comprensione delle buone pratiche in materia di audit\
            \ e o una buona comprensione dei casi in cui la certificazione tecnica\
            \ e la conformit\xE0 sono richieste e devono essere documentato nel rapporto\
            \ di conformit\xE0 e conformit\xE0, per garantire che gli standard globali\
            \ siano implementati correttamente."
          typical_evidence: "\u2022 Risultati documentati della revisione o dell'audit.\
            \ \n\u2022 Prova delle competenze dei revisori indipendenti, ad esempio\
            \ esperienza professionale e qualifiche accademiche, certificazioni come\
            \ revisore certificato dei sistemi informativi, professionista certificato\
            \ della sicurezza dei sistemi informativi, responsabile certificato della\
            \ sicurezza delle informazioni, ecc."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:2.3.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:2.3
      ref_id: 2.3.2
      description: The relevant entities shall develop and maintain processes to conduct
        independent reviews which shall be carried out by individuals with appropriate
        audit competence. Where the independent review is conducted by staff members
        of the relevant entity, the persons conducting the reviews shall not be in
        the line of authority of the personnel of the area under review. If the size
        of the relevant entities does not allow such separation of line of authority,
        the relevant entities shall put in place alternative measures to guarantee
        the impartiality of the reviews.
      annotation: "\u2022 Set up a process for independent review of information and\
        \ network security, including (indicative and non-exhaustive list):\n    o\
        \ scope and purpose of the independent reviews (e.g. compliance, risk assessment,\
        \ policy adherence);\n    o methodology of the reviews (e.g. standardised\
        \ checklist, standard based, ad hoc, how it addresses processes that will\
        \ be tested in real time for conformance (e.g. cloud service) or those that\
        \ will be periodically evaluated);\n    o review committee\u2019s role;\n\
        \    o frequency of the independent reviews;\n    o who should carry out independent\
        \ reviews (internal or external); and\n    o templates for independent review\
        \ reports. \n\u2022 Maintain independence in line with point 2.3.2 of the\
        \ Annex to the regulation; \n\u2022 Where appropriate, consider alternative\
        \ measures to the separation of line of authority (indicative and non- exhaustive\
        \ list):\n    o review personnel rotation;\n    o set up a review committee\
        \ with members from different departments;\n    o external third-party review\
        \ service provider."
      typical_evidence: "\u2022 Documented process for independent review of information\
        \ and network security. \n\u2022 Conflict of interest declarations. \n\u2022\
        \ Contracts with external third-party review service providers. \n\u2022 Detailed\
        \ independent review plans."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es \xE9laborent et maintiennent\
            \ les proc\xE9dures \xE0 suivre en vue de r\xE9aliser des r\xE9examens\
            \ ind\xE9pendants, lesquels seront confi\xE9s \xE0 des personnes poss\xE9\
            dant les comp\xE9tences appropri\xE9es en mati\xE8re d\u2019audit. Lorsque\
            \ le r\xE9examen ind\xE9pendant est r\xE9alis\xE9 par des membres du personnel\
            \ de l\u2019entit\xE9 concern\xE9e, les personnes qui en sont charg\xE9\
            es ne se trouvent pas sous l'autorit\xE9 hi\xE9rarchique du personnel\
            \ du domaine faisant l\u2019objet du r\xE9examen. Si la taille des entit\xE9\
            s concern\xE9es ne permet pas une telle ind\xE9pendance vis-\xE0-vis de\
            \ l'autorit\xE9 hi\xE9rarchique, les entit\xE9s concern\xE9es mettent\
            \ en place d\u2019autres mesures pour garantir l\u2019impartialit\xE9\
            \ des r\xE9examens."
          annotation: "\u2022 Mettre en place un processus d\u2019examen ind\xE9pendant\
            \ de la s\xE9curit\xE9 de l\u2019information et des r\xE9seaux, incluant\
            \ (liste indicative et non exhaustive) :\n    o la port\xE9e et l\u2019\
            objectif des examens ind\xE9pendants (par exemple, la conformit\xE9, l\u2019\
            \xE9valuation des risques, l\u2019adh\xE9sion aux politiques) ;\n    o\
            \ la m\xE9thodologie des examens (par exemple, liste de contr\xF4le standardis\xE9\
            e, bas\xE9e sur des normes, ad hoc, comment elle traite les processus\
            \ dont la conformit\xE9 sera test\xE9e en temps r\xE9el (par exemple,\
            \ le service cloud) ou ceux qui seront \xE9valu\xE9s p\xE9riodiquement)\
            \ ;\n    o le r\xF4le du comit\xE9 d\u2019examen\_;\n    o la fr\xE9quence\
            \ des examens ind\xE9pendants\_;\n    o qui devrait effectuer des examens\
            \ ind\xE9pendants (internes ou externes) ; et\n    o Mod\xE8les de rapports\
            \ d\u2019examen ind\xE9pendants. \n\u2022 Maintenir l\u2019ind\xE9pendance\
            \ conform\xE9ment au point 2.3.2 de l\u2019annexe du r\xE8glement\_; \n\
            \u2022 Le cas \xE9ch\xE9ant, envisager des mesures alternatives \xE0 la\
            \ s\xE9paration des pouvoirs (liste indicative et non exhaustive) :\n\
            \    o examiner la rotation du personnel\_;\n    o mettre sur pied un\
            \ comit\xE9 d\u2019examen compos\xE9 de membres provenant de diff\xE9\
            rents d\xE9partements\_;\n    o Fournisseur de services d\u2019examen\
            \ externe par un tiers."
          typical_evidence: "\u2022 Processus document\xE9 d\u2019examen ind\xE9pendant\
            \ de l\u2019information et de la s\xE9curit\xE9 du r\xE9seau. \n\u2022\
            \ D\xE9clarations de conflits d\u2019int\xE9r\xEAts. \n\u2022 Contrats\
            \ avec des prestataires de services d\u2019examen tiers externes. \n\u2022\
            \ Plans d\u2019examen ind\xE9pendants d\xE9taill\xE9s."
        es:
          description: "Las entidades pertinentes desarrollar\xE1n y mantendr\xE1\
            n procedimientos para llevar a cabo revisiones independientes que ser\xE1\
            n ejecutados por personas con las debidas competencias en materia de auditor\xED\
            a. Cuando miembros del personal de la entidad pertinente realicen una\
            \ revisi\xF3n independiente, las personas encargadas de la misma no podr\xE1\
            n ejercer poder jer\xE1rquico sobre el personal de la zona objeto de la\
            \ revisi\xF3n. Si el tama\xF1o de la entidad pertinente no permite esta\
            \ separaci\xF3n del poder jer\xE1rquico, la entidad pondr\xE1 en marcha\
            \ medidas alternativas para garantizar la imparcialidad de las revisiones."
          annotation: "\u2022 Establecer un proceso para la revisi\xF3n independiente\
            \ de la seguridad de la informaci\xF3n y la red, que incluya (lista indicativa\
            \ y no exhaustiva):\n    o alcance y prop\xF3sito de las revisiones independientes\
            \ (por ejemplo, cumplimiento, evaluaci\xF3n de riesgos, adherencia a las\
            \ pol\xEDticas);\n    o metodolog\xEDa de las revisiones (por ejemplo,\
            \ lista de verificaci\xF3n estandarizada, basada en est\xE1ndares, ad\
            \ hoc, c\xF3mo se abordan los procesos que se probar\xE1n en tiempo real\
            \ para determinar su conformidad (por ejemplo, servicio en la nube) o\
            \ aquellos que se evaluar\xE1n peri\xF3dicamente);\n    o Papel del comit\xE9\
            \ de revisi\xF3n;\n    o la frecuencia de las revisiones independientes;\n\
            \    o qui\xE9n debe llevar a cabo revisiones independientes (internas\
            \ o externas); y\n    o Plantillas para informes de revisi\xF3n independientes.\
            \ \n\u2022 Mantener la independencia de conformidad con el punto 2.3.2\
            \ del anexo del Reglamento; \n\u2022 Cuando proceda, considerar medidas\
            \ alternativas a la separaci\xF3n de la l\xEDnea de autoridad (lista indicativa\
            \ y no exhaustiva):\n    o revisar la rotaci\xF3n del personal;\n    o\
            \ establecer un comit\xE9 de revisi\xF3n con miembros de diferentes departamentos;\n\
            \    o Proveedor externo de servicios de revisi\xF3n de terceros."
          typical_evidence: "\u2022 Proceso documentado para la revisi\xF3n independiente\
            \ de la informaci\xF3n y la seguridad de la red. \n\u2022 Declaraciones\
            \ de conflicto de intereses. \n\u2022 Contratos con proveedores externos\
            \ de servicios de revisi\xF3n de terceros. \n\u2022 Planes detallados\
            \ de revisi\xF3n independiente."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty vypracov\xE1vaj\xED a spravuj\xED\
            \ postupy pro prov\xE1d\u011Bn\xED nez\xE1visl\xFDch p\u0159ezkum\u016F\
            , kter\xE9 vykon\xE1vaj\xED osoby s pat\u0159i\u010Dnou kvalifikac\xED\
            \ pro audit. Pokud nez\xE1visl\xFD p\u0159ezkum vykon\xE1vaj\xED zam\u011B\
            stnanci p\u0159\xEDslu\u0161n\xE9ho subjektu, nesm\xED b\xFDt osoby prov\xE1\
            d\u011Bj\xEDc\xED p\u0159ezkumy pod\u0159\xEDzeny zam\u011Bstnanc\u016F\
            m p\u0159ezkoum\xE1van\xE9 oblasti. V p\u0159\xEDpad\u011B, \u017Ee velikost\
            \ p\u0159\xEDslu\u0161n\xFDch subjekt\u016F neumo\u017E\u0148uje takov\xE9\
            \ odd\u011Blen\xED pravomoc\xED, zavedou p\u0159\xEDslu\u0161n\xE9 subjekty\
            \ alternativn\xED opat\u0159en\xED, kter\xE1 zaru\u010D\xED nestrannost\
            \ p\u0159ezkum\u016F."
          annotation: "\u2022 Nastavit proces nez\xE1visl\xE9ho p\u0159ezkumu bezpe\u010D\
            nosti informac\xED a s\xEDt\u011B, v\u010Detn\u011B (orienta\u010Dn\xED\
            ho a demonstrativn\xEDho seznamu):\n    o rozsahu a \xFA\u010Delu nez\xE1\
            visl\xFDch p\u0159ezkum\u016F (nap\u0159. dodr\u017Eov\xE1n\xED p\u0159\
            edpis\u016F, hodnocen\xED rizik, dodr\u017Eov\xE1n\xED z\xE1sad);\n  \
            \  o metodologii p\u0159ezkum\u016F (nap\u0159. standardizovan\xFD kontroln\xED\
            \ seznam, standardizovan\xFD, ad hoc, jak \u0159e\u0161\xED procesy, kter\xE9\
            \ budou v re\xE1ln\xE9m \u010Dase testov\xE1ny z hlediska shody (nap\u0159\
            . cloudov\xE1 slu\u017Eba) nebo kter\xE9 budou pravideln\u011B vyhodnocov\xE1\
            ny);\n    o \xFAloha revizn\xED komise;\n    o \u010Detnost nez\xE1visl\xFD\
            ch p\u0159ezkum\u016F;\n    o kdo by m\u011Bl prov\xE1d\u011Bt nez\xE1\
            visl\xE9 p\u0159ezkumy (intern\xED nebo extern\xED); a\n    o \u0161ablony\
            \ pro nez\xE1visl\xE9 recenzn\xED zpr\xE1vy. \n\u2022 zachovat nez\xE1\
            vislost v souladu s bodem 2.3.2 p\u0159\xEDlohy na\u0159\xEDzen\xED; \n\
            \u2022 Tam, kde je to vhodn\xE9, zva\u017Ete alternativn\xED opat\u0159\
            en\xED k odd\u011Blen\xED pravomoc\xED (orienta\u010Dn\xED a demonstrativn\xED\
            \ seznam):\n    o p\u0159ezkoum\xE1n\xED rotace person\xE1lu;\n    o z\u0159\
            \xEDdila revizn\xED komisi se \u010Dleny z r\u016Fzn\xFDch odd\u011Blen\xED\
            ;\n    o extern\xED poskytovatel recenzn\xEDch slu\u017Eeb t\u0159et\xED\
            \ strany."
          typical_evidence: "\u2022 Zdokumentovan\xFD proces nez\xE1visl\xE9ho p\u0159\
            ezkoum\xE1n\xED bezpe\u010Dnosti informac\xED a s\xEDt\u011B. \n\u2022\
            \ Prohl\xE1\u0161en\xED o st\u0159etu z\xE1jm\u016F. \n\u2022 Smlouvy\
            \ s extern\xEDmi poskytovateli slu\u017Eeb recenzov\xE1n\xED t\u0159et\xED\
            ch stran. \n\u2022 Podrobn\xE9 pl\xE1ny nez\xE1visl\xE9ho p\u0159ezkumu."
        it:
          description: "I soggetti pertinenti sviluppano e mantengono processi per\
            \ condurre revisioni indipendenti, che devono essere effettuate da persone\
            \ con adeguate competenze di revisione. Se l'esame indipendente \xE8 condotto\
            \ da membri del personale dell'ente interessato, le persone che effettuano\
            \ gli esami non devono essere nella linea di autorit\xE0 del personale\
            \ dell'area oggetto di esame. Se le dimensioni dei soggetti pertinenti\
            \ non consentono tale separazione dei poteri di competenza, i soggetti\
            \ pertinenti mettono in atto misure alternative per garantire l'imparzialit\xE0\
            \ dei ricorsi."
          annotation: "\u2022 Istituire un processo per la revisione indipendente\
            \ della sicurezza delle informazioni e delle reti, comprendente (elenco\
            \ indicativo e non esaustivo):\n    o ambito e finalit\xE0 delle revisioni\
            \ indipendenti (ad es. conformit\xE0, valutazione del rischio, aderenza\
            \ alle politiche);\n    o metodologia delle revisioni (ad es. checklist\
            \ standardizzata, basata su standard, ad hoc, come affronta i processi\
            \ che saranno testati in tempo reale per verificarne la conformit\xE0\
            \ (ad es. servizio cloud) o quelli che saranno valutati periodicamente);\n\
            \    o ruolo del comitato di revisione;\n    o frequenza delle revisioni\
            \ indipendenti;\n    o chi dovrebbe effettuare revisioni indipendenti\
            \ (interne o esterne); e\n    o modelli per rapporti di revisione indipendenti.\
            \ \n\u2022 Mantenere l'indipendenza in linea con il punto 2.3.2 dell'Allegato\
            \ al regolamento; \n\u2022 Se del caso, prendere in considerazione misure\
            \ alternative alla separazione delle competenze (elenco indicativo e non\
            \ esaustivo):\n    o rivedere la rotazione del personale;\n    o istituire\
            \ un comitato di revisione composto da membri di diversi dipartimenti;\n\
            \    o fornitore esterno di servizi di revisione di terze parti."
          typical_evidence: "\u2022 Processo documentato per la revisione indipendente\
            \ della sicurezza delle informazioni e della rete. \n\u2022 Dichiarazioni\
            \ di conflitto di interessi. \n\u2022 Contratti con fornitori esterni\
            \ di servizi di revisione di terze parti. \n\u2022 Piani di revisione\
            \ indipendenti dettagliati."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:2.3.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:2.3
      ref_id: 2.3.3
      description: "The results of the independent reviews, including the results\
        \ from the compliance monitoring pursuant to point 2.2. and the monitoring\
        \ and measurement pursuant to point 7, shall be reported to the management\
        \ bodies. Corrective actions shall be taken or residual risk accepted according\
        \ to the relevant entities\u2019 risk acceptance criteria."
      annotation: "\u2022 Analyse and evaluate the results of the independent review.\
        \ \n\u2022 Report results to management bodies. \n\u2022 Use a standardized\
        \ report format for reporting to the management bodies. Consider the following\
        \ elements (indicative, non-exhaustive list):\n    o executive summary, including\
        \ the scope and key findings, o methodology, o detailed findings, including\
        \ gaps identified and non-compliance issues, o recommendations and o conclusions.\
        \ \n\u2022 Reports are generated and presented to management bodies at least\
        \ annually. \n\u2022 Take corrective actions or justify, accept and document\
        \ residual risks. \n\u2022 The outcomes of independent reviews should be systematically\
        \ reflected in the risk assessment results and risk treatment plans (Annex\
        \ to the regulation, point 2.1). Specifically, when a risk is identified or\
        \ reassessed through an independent review, the corresponding risk assessment\
        \ should be updated accordingly. This ensures that the risk profile remains\
        \ accurate and that any emerging or evolving risks are adequately captured\
        \ and addressed in the overall risk management framework."
      typical_evidence: "\u2022 Documented analysis and evaluation of the results,\
        \ including any residual risks. \n\u2022 Minutes from past reviews.   \n\u2022\
        \ Any corrective actions resulting from the assessments and tests, including\
        \ changes to the measures made by the entity once the effectiveness of the\
        \ measures has been assessed in line with the Annex to the regulation, point\
        \ 7.1.1. \n\u2022 Documentation of any corrective actions. \n\u2022 Budget\
        \ approval for any corrective actions. \n\u2022 The most recent results of\
        \ compliance monitoring and auditing. \n\u2022 Records from updated risk register."
      translations:
        fr:
          description: "Les r\xE9sultats des r\xE9examens ind\xE9pendants, y compris\
            \ les r\xE9sultats du contr\xF4le de la conformit\xE9 pr\xE9vu au point\_\
            2.2 ainsi que du suivi et du mesurage pr\xE9vus au point\_7, sont communiqu\xE9\
            s aux organes de direction. Des mesures correctrices sont prises ou le\
            \ risque r\xE9siduel est accept\xE9 conform\xE9ment aux crit\xE8res d\u2019\
            acceptation des risques des entit\xE9s concern\xE9es."
          annotation: "\u2022 Analyser et \xE9valuer les r\xE9sultats de l\u2019examen\
            \ ind\xE9pendant. \n\u2022 Rendre compte des r\xE9sultats aux organes\
            \ de direction. \n\u2022 Utiliser un format de rapport normalis\xE9 pour\
            \ les rapports aux organes de gestion. Tenez compte des \xE9l\xE9ments\
            \ suivants (liste indicative, non exhaustive) :\n    o R\xE9sum\xE9, y\
            \ compris la port\xE9e et les principales constatations, o M\xE9thodologie,\
            \ o Constatations d\xE9taill\xE9es, y compris les lacunes identifi\xE9\
            es et les probl\xE8mes de non-conformit\xE9, o Recommandations et o Conclusions.\
            \ \n\u2022 Des rapports sont produits et pr\xE9sent\xE9s aux organes de\
            \ direction au moins une fois par an. \n\u2022 Prendre des actions correctives\
            \ ou justifier, accepter et documenter les risques r\xE9siduels. \n\u2022\
            \ Les r\xE9sultats des examens ind\xE9pendants devraient \xEAtre syst\xE9\
            matiquement pris en compte dans les r\xE9sultats de l\u2019\xE9valuation\
            \ des risques et les plans de traitement des risques (annexe du r\xE8\
            glement, point 2.1). Plus pr\xE9cis\xE9ment, lorsqu\u2019un risque est\
            \ identifi\xE9 ou r\xE9\xE9valu\xE9 dans le cadre d\u2019un examen ind\xE9\
            pendant, l\u2019\xE9valuation des risques correspondante doit \xEAtre\
            \ mise \xE0 jour en cons\xE9quence. Cela permet de s\u2019assurer que\
            \ le profil de risque demeure exact et que tous les risques \xE9mergents\
            \ ou en \xE9volution sont correctement saisis et pris en compte dans le\
            \ cadre global de gestion des risques."
          typical_evidence: "\u2022 Analyse et \xE9valuation document\xE9es des r\xE9\
            sultats, y compris les risques r\xE9siduels. \n\u2022 Proc\xE8s-verbal\
            \ des avis pr\xE9c\xE9dents.   \n\u2022 Toute action corrective r\xE9\
            sultant des \xE9valuations et des tests, y compris les modifications apport\xE9\
            es aux mesures par l\u2019entit\xE9 une fois que l\u2019efficacit\xE9\
            \ des mesures a \xE9t\xE9 \xE9valu\xE9e conform\xE9ment \xE0 l\u2019annexe\
            \ du r\xE8glement, point 7.1.1. \n\u2022 Documentation des \xE9ventuelles\
            \ actions correctives. \n\u2022 Approbation du budget pour toutes les\
            \ actions correctives. \n\u2022 Les r\xE9sultats les plus r\xE9cents de\
            \ la surveillance et de l\u2019audit de la conformit\xE9. \n\u2022 Enregistrements\
            \ du registre des risques mis \xE0 jour."
        es:
          description: "Los resultados de las revisiones independientes, especialmente\
            \ los resultados del control del cumplimiento de conformidad con el punto\
            \ 2.2 y del control y la medici\xF3n con arreglo al punto 7, se notificar\xE1\
            n a los \xF3rganos de control. De acuerdo con los criterios de aceptaci\xF3\
            n del riesgo de las entidades pertinentes, se adoptar\xE1n medidas correctoras\
            \ o se aceptar\xE1 el riesgo residual."
          annotation: "\u2022 Analizar y evaluar los resultados de la revisi\xF3n\
            \ independiente. \n\u2022 Reportar resultados a los \xF3rganos de gesti\xF3\
            n. \n\u2022 Utilizar un formato de informe normalizado para informar a\
            \ los \xF3rganos de gesti\xF3n. Considere los siguientes elementos (lista\
            \ indicativa, no exhaustiva):\n    o Resumen ejecutivo, incluyendo el\
            \ alcance y las principales conclusiones, o metodolog\xEDa, o Conclusiones\
            \ detalladas, incluyendo las brechas identificadas y los problemas de\
            \ incumplimiento, o Recomendaciones y o conclusiones. \n\u2022 Los informes\
            \ se generan y presentan a los \xF3rganos de gesti\xF3n al menos una vez\
            \ al a\xF1o. \n\u2022 Tomar acciones correctivas o justificar, aceptar\
            \ y documentar los riesgos residuales. \n\u2022 Los resultados de las\
            \ revisiones independientes deben reflejarse sistem\xE1ticamente en los\
            \ resultados de la evaluaci\xF3n de riesgos y en los planes de tratamiento\
            \ de riesgos (anexo del Reglamento, punto 2.1). En concreto, cuando se\
            \ identifique o reeval\xFAe un riesgo mediante una revisi\xF3n independiente,\
            \ la evaluaci\xF3n de riesgos correspondiente debe actualizarse en consecuencia.\
            \ Esto garantiza que el perfil de riesgo siga siendo preciso y que cualquier\
            \ riesgo emergente o en evoluci\xF3n se capture y aborde adecuadamente\
            \ en el marco general de gesti\xF3n de riesgos."
          typical_evidence: "\u2022 An\xE1lisis y evaluaci\xF3n documentados de los\
            \ resultados, incluidos los riesgos residuales. \n\u2022 Actas de revisiones\
            \ pasadas.   \n\u2022 Las acciones correctivas que se deriven de las evaluaciones\
            \ y ensayos, incluidos los cambios en las medidas realizados por la entidad\
            \ una vez que se haya evaluado la eficacia de las medidas de conformidad\
            \ con el anexo del reglamento, punto 7.1.1. \n\u2022 Documentaci\xF3n\
            \ de cualquier acci\xF3n correctiva. \n\u2022 Aprobaci\xF3n del presupuesto\
            \ para cualquier acci\xF3n correctiva. \n\u2022 Los resultados m\xE1s\
            \ recientes del seguimiento y auditor\xEDa del cumplimiento. \n\u2022\
            \ Registros del registro de riesgos actualizado."
        cs:
          description: "V\xFDsledky nez\xE1visl\xFDch p\u0159ezkum\u016F, v\u010D\
            etn\u011B v\xFDsledk\u016F sledov\xE1n\xED souladu podle bodu 2.2 a monitorov\xE1\
            n\xED a m\u011B\u0159en\xED podle bodu 7, se oznamuj\xED \u0159\xEDd\xED\
            c\xEDm org\xE1n\u016Fm. P\u0159ijmou se n\xE1pravn\xE1 opat\u0159en\xED\
            \ nebo se akceptuje zbytkov\xE9 riziko podle krit\xE9ri\xED, kter\xE9\
            \ si p\u0159\xEDslu\u0161n\xE9 subjekty stanovily pro p\u0159ijatelnost\
            \ rizika."
          annotation: "\u2022 Analyzovat a vyhodnotit v\xFDsledky nez\xE1visl\xE9\
            ho p\u0159ezkumu. \n\u2022 Pod\xE1v\xE1n\xED zpr\xE1v o v\xFDsledc\xED\
            ch \u0159\xEDd\xEDc\xEDm org\xE1n\u016Fm. \n\u2022 Pou\u017E\xEDvat standardizovan\xFD\
            \ form\xE1t zpr\xE1vy pro pod\xE1v\xE1n\xED zpr\xE1v \u0159\xEDd\xEDc\xED\
            m org\xE1n\u016Fm. Zva\u017Ete n\xE1sleduj\xEDc\xED prvky (orienta\u010D\
            n\xED, ne\xFApln\xFD seznam):\n    o shrnut\xED, v\u010Detn\u011B rozsahu\
            \ a kl\xED\u010Dov\xFDch zji\u0161t\u011Bn\xED, o metodika, o podrobn\xE1\
            \ zji\u0161t\u011Bn\xED, v\u010Detn\u011B zji\u0161t\u011Bn\xFDch nedostatk\u016F\
            \ a probl\xE9m\u016F s nedodr\u017Eov\xE1n\xEDm p\u0159edpis\u016F, o\
            \ doporu\u010Den\xED a o z\xE1v\u011Bry. \n\u2022 Zpr\xE1vy jsou generov\xE1\
            ny a p\u0159edkl\xE1d\xE1ny \u0159\xEDd\xEDc\xEDm org\xE1n\u016Fm nejm\xE9\
            n\u011B jednou ro\u010Dn\u011B. \n\u2022 P\u0159ijmout n\xE1pravn\xE1\
            \ opat\u0159en\xED nebo zd\u016Fvodnit, p\u0159ijmout a zdokumentovat\
            \ zbytkov\xE1 rizika. \n\u2022 V\xFDsledky nez\xE1visl\xFDch p\u0159ezkum\u016F\
            \ by m\u011Bly b\xFDt systematicky zohled\u0148ov\xE1ny ve v\xFDsledc\xED\
            ch hodnocen\xED rizik a pl\xE1nech \u0159e\u0161en\xED rizik (p\u0159\xED\
            loha na\u0159\xEDzen\xED, bod 2.1). Konkr\xE9tn\u011B, pokud je riziko\
            \ identifikov\xE1no nebo p\u0159ehodnoceno prost\u0159ednictv\xEDm nez\xE1\
            visl\xE9ho p\u0159ezkumu, m\u011Blo by b\xFDt odpov\xEDdaj\xEDc\xEDm zp\u016F\
            sobem aktualizov\xE1no odpov\xEDdaj\xEDc\xED hodnocen\xED rizik. T\xED\
            m je zaji\u0161t\u011Bno, \u017Ee rizikov\xFD profil z\u016Fstane p\u0159\
            esn\xFD a \u017Ee ve\u0161ker\xE1 vznikaj\xEDc\xED nebo vyv\xEDjej\xED\
            c\xED se rizika budou odpov\xEDdaj\xEDc\xEDm zp\u016Fsobem zachycena a\
            \ \u0159e\u0161ena v celkov\xE9m r\xE1mci \u0159\xEDzen\xED rizik."
          typical_evidence: "\u2022 Zdokumentovan\xE1 anal\xFDza a vyhodnocen\xED\
            \ v\xFDsledk\u016F, v\u010Detn\u011B p\u0159\xEDpadn\xFDch zbytkov\xFD\
            ch rizik. \n\u2022 Z\xE1pisy z minul\xFDch recenz\xED.   \n\u2022 ve\u0161\
            ker\xE1 n\xE1pravn\xE1 opat\u0159en\xED vypl\xFDvaj\xEDc\xED z posouzen\xED\
            \ a zkou\u0161ek, v\u010Detn\u011B zm\u011Bn opat\u0159en\xED proveden\xFD\
            ch subjektem pot\xE9, co byla posouzena \xFA\u010Dinnost opat\u0159en\xED\
            \ v souladu s p\u0159\xEDlohou na\u0159\xEDzen\xED, bodem 7.1.1. \n\u2022\
            \ Dokumentace v\u0161ech n\xE1pravn\xFDch opat\u0159en\xED. \n\u2022 Schv\xE1\
            len\xED rozpo\u010Dtu na p\u0159\xEDpadn\xE1 n\xE1pravn\xE1 opat\u0159\
            en\xED. \n\u2022 Nejnov\u011Bj\u0161\xED v\xFDsledky sledov\xE1n\xED a\
            \ auditu dodr\u017Eov\xE1n\xED p\u0159edpis\u016F. \n\u2022 Z\xE1znamy\
            \ z aktualizovan\xE9ho registru rizik."
        it:
          description: "I risultati delle revisioni indipendenti, compresi i risultati\
            \ del monitoraggio della conformit\xE0 di cui al punto 2.2. e il monitoraggio\
            \ e la misurazione di cui al punto 7 sono comunicati agli organi di gestione.\
            \ Devono essere adottate azioni correttive o deve essere accettato il\
            \ rischio residuo in base ai criteri di accettazione del rischio dei soggetti\
            \ pertinenti."
          annotation: "\u2022 Analizzare e valutare i risultati della revisione indipendente.\
            \ \n\u2022 Riferire i risultati agli organi di gestione. \n\u2022 Utilizzare\
            \ un formato di report standardizzato per la rendicontazione agli organi\
            \ di gestione. Considerare i seguenti elementi (elenco indicativo, non\
            \ esaustivo):\n    o sintesi, che comprende l'ambito di applicazione e\
            \ i risultati principali, o metodologia, o risultati dettagliati, comprese\
            \ le lacune individuate e i problemi di non conformit\xE0, o raccomandazioni\
            \ e conclusioni. \n\u2022 I rapporti sono generati e presentati agli organi\
            \ di gestione almeno una volta all'anno. \n\u2022 Intraprendere azioni\
            \ correttive o giustificare, accettare e documentare i rischi residui.\
            \ \n\u2022 I risultati delle revisioni indipendenti dovrebbero essere\
            \ sistematicamente riflessi nei risultati della valutazione del rischio\
            \ e nei piani di trattamento del rischio (allegato al regolamento, punto\
            \ 2.1). In particolare, quando un rischio \xE8 individuato o rivalutato\
            \ attraverso una revisione indipendente, la corrispondente valutazione\
            \ del rischio dovrebbe essere aggiornata di conseguenza. Ci\xF2 garantisce\
            \ che il profilo di rischio rimanga accurato e che eventuali rischi emergenti\
            \ o in evoluzione siano adeguatamente rilevati e affrontati nel quadro\
            \ generale di gestione del rischio."
          typical_evidence: "\u2022 Analisi e valutazione documentata dei risultati,\
            \ compresi eventuali rischi residui. \n\u2022 Minuti dalle recensioni\
            \ passate.   \n\u2022 Eventuali azioni correttive conseguenti alle valutazioni\
            \ e ai test, comprese le modifiche alle misure apportate dall'ente una\
            \ volta valutata l'efficacia delle misure in linea con l'Allegato al regolamento,\
            \ punto 7.1.1. \n\u2022 Documentazione di eventuali azioni correttive.\
            \ \n\u2022 Approvazione del budget per eventuali azioni correttive. \n\
            \u2022 I risultati pi\xF9 recenti del monitoraggio e dell'audit della\
            \ conformit\xE0. \n\u2022 Registrazioni dal registro dei rischi aggiornato."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:2.3.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:2.3
      ref_id: 2.3.4
      description: The independent reviews shall take place at planned intervals and
        when significant incidents or significant changes to operations or risks occur.
      annotation: "\u2022 Independent reviews should take place at least annually,\
        \ taking into account:\n    o significant incidents, if any;\n    o changes\
        \ to the environment of operation;\n    o changes to the threat landscape\
        \ and cybersecurity legal and regulatory requirements; and\n    o changes\
        \ to the policy on the security of network and information systems and/or\
        \ topic-specific policies.\n\n[TIPS]\n\n\u2022 Make sure that the independent\
        \ review process is approved by management bodies. \n\u2022 Make sure that\
        \ the results of the review are approved by management bodies."
      typical_evidence: "\u2022 Independent review reports documenting findings, recommendations\
        \ and actions taken in response. \n\u2022 Summaries of previous independent\
        \ reviews, highlighting the scope and frequency. \n\u2022 Records of significant\
        \ incidents that occurred in the past year, along with any corresponding review\
        \ or analysis documentation. \n\u2022 Annual independent review plans or schedules\
        \ that outline the scope of independent reviews and the specific measures\
        \ being evaluated.\n\n[TIPS]\n\n\u2022 Documented procedures approved by management\
        \ bodies. \n\u2022 Approval of the residual risks by management bodies."
      translations:
        fr:
          description: "Les r\xE9examens ind\xE9pendants ont lieu \xE0 intervalles\
            \ pr\xE9d\xE9finis et en cas d\u2019incidents importants ou lorsque des\
            \ changements majeurs concernant les op\xE9rations ou les risques se produisent."
          annotation: "\u2022 Des examens ind\xE9pendants devraient avoir lieu au\
            \ moins une fois par an, en tenant compte des \xE9l\xE9ments suivants\
            \ :\n    o les incidents importants, le cas \xE9ch\xE9ant\_;\n    o modifications\
            \ de l\u2019environnement de fonctionnement ;\n    o l\u2019\xE9volution\
            \ du paysage des menaces et des exigences l\xE9gales et r\xE9glementaires\
            \ en mati\xE8re de cybers\xE9curit\xE9 ; et\n    o Modifications de la\
            \ politique sur la s\xE9curit\xE9 des r\xE9seaux et des syst\xE8mes d\u2019\
            information et/ou de politiques sp\xE9cifiques \xE0 un sujet.\n\n[CONSEILS]\n\
            \n\u2022 S\u2019assurer que le processus d\u2019examen ind\xE9pendant\
            \ est approuv\xE9 par les organes de gestion. \n\u2022 S\u2019assurer\
            \ que les r\xE9sultats de l\u2019examen sont approuv\xE9s par les organes\
            \ de gestion."
          typical_evidence: "\u2022 Rapports d\u2019examen ind\xE9pendants documentant\
            \ les constatations, les recommandations et les mesures prises en r\xE9\
            ponse. \n\u2022 R\xE9sum\xE9s des examens ind\xE9pendants pr\xE9c\xE9\
            dents, en soulignant la port\xE9e et la fr\xE9quence. \n\u2022 Dossiers\
            \ des incidents importants survenus au cours de la derni\xE8re ann\xE9\
            e, ainsi que tout document d\u2019examen ou d\u2019analyse correspondant.\
            \ \n\u2022 Des plans ou des calendriers annuels d\u2019examens ind\xE9\
            pendants qui d\xE9crivent la port\xE9e des examens ind\xE9pendants et\
            \ les mesures sp\xE9cifiques \xE9valu\xE9es.\n\n[CONSEILS]\n\n\u2022 Proc\xE9\
            dures document\xE9es et approuv\xE9es par les organes de gestion. \n\u2022\
            \ Validation des risques r\xE9siduels par les organes de gestion."
        es:
          description: "Las revisiones independientes tendr\xE1n lugar a intervalos\
            \ planificados, as\xED como cuando se produzcan incidentes significativos\
            \ o cambios significativos en las operaciones o los riesgos."
          annotation: "\u2022 Las revisiones independientes deben tener lugar al menos\
            \ una vez al a\xF1o, teniendo en cuenta:\n    o incidentes significativos,\
            \ si los hubiera;\n    o cambios en el entorno de operaci\xF3n;\n    o\
            \ cambios en el panorama de amenazas y los requisitos legales y regulatorios\
            \ de ciberseguridad; y\n    o Cambios en la pol\xEDtica de seguridad de\
            \ las redes y sistemas de informaci\xF3n y/o pol\xEDticas tem\xE1ticas.\n\
            \n[CONSEJOS]\n\n\u2022 Asegurarse de que el proceso de revisi\xF3n independiente\
            \ sea aprobado por los \xF3rganos de gesti\xF3n. \n\u2022 Asegurarse de\
            \ que los resultados de la revisi\xF3n sean aprobados por los \xF3rganos\
            \ de gesti\xF3n."
          typical_evidence: "\u2022 Informes de revisi\xF3n independientes que documenten\
            \ los hallazgos, recomendaciones y acciones tomadas en respuesta. \n\u2022\
            \ Res\xFAmenes de revisiones independientes previas, destacando el alcance\
            \ y la frecuencia. \n\u2022 Registros de incidentes significativos que\
            \ ocurrieron en el \xFAltimo a\xF1o, junto con cualquier documentaci\xF3\
            n de revisi\xF3n o an\xE1lisis correspondiente. \n\u2022 Planes o cronogramas\
            \ anuales de revisi\xF3n independiente que describen el alcance de las\
            \ revisiones independientes y las medidas espec\xEDficas que se eval\xFA\
            an.\n\n[CONSEJOS]\n\n\u2022 Procedimientos documentados y aprobados por\
            \ los \xF3rganos de gesti\xF3n. \n\u2022 Aprobaci\xF3n de los riesgos\
            \ residuales por parte de los \xF3rganos de gesti\xF3n."
        cs:
          description: "Nez\xE1visl\xE9 p\u0159ezkumy se prov\xE1d\u011Bj\xED v pl\xE1\
            novan\xFDch intervalech a p\u0159i v\xFDskytu v\xFDznamn\xFDch incident\u016F\
            \ nebo v\xFDznamn\xFDch zm\u011Bn operac\xED \u010Di rizik."
          annotation: "\u2022 Nez\xE1visl\xE9 p\u0159ezkumy by m\u011Bly b\xFDt prov\xE1\
            d\u011Bny alespo\u0148 jednou ro\u010Dn\u011B s p\u0159ihl\xE9dnut\xED\
            m k:\n    o v\xFDznamn\xFDch incidentech, pokud k nim dojde;\n    o zm\u011B\
            ny provozn\xEDho prost\u0159ed\xED;\n    o zm\u011Bny v oblasti hrozeb\
            \ a pr\xE1vn\xEDch a regula\u010Dn\xEDch po\u017Eadavk\u016F v oblasti\
            \ kybernetick\xE9 bezpe\u010Dnosti; a\n    o zm\u011Bny z\xE1sad t\xFD\
            kaj\xEDc\xEDch se bezpe\u010Dnosti s\xEDt\xED a informa\u010Dn\xEDch syst\xE9\
            m\u016F a/nebo z\xE1sad specifick\xFDch pro konkr\xE9tn\xED t\xE9ma.\n\
            \n[TIPY]\n\n\u2022 Ujist\u011Bte se, \u017Ee proces nez\xE1visl\xE9ho\
            \ p\u0159ezkumu je schv\xE1len \u0159\xEDd\xEDc\xEDmi org\xE1ny. \n\u2022\
            \ Ujist\u011Bte se, \u017Ee v\xFDsledky p\u0159ezkumu jsou schv\xE1leny\
            \ \u0159\xEDd\xEDc\xEDmi org\xE1ny."
          typical_evidence: "\u2022 Nez\xE1visl\xE9 zpr\xE1vy o p\u0159ezkumu dokumentuj\xED\
            c\xED zji\u0161t\u011Bn\xED, doporu\u010Den\xED a opat\u0159en\xED p\u0159\
            ijat\xE1 v reakci na n\u011B. \n\u2022 Shrnut\xED p\u0159edchoz\xEDch\
            \ nez\xE1visl\xFDch p\u0159ezkum\u016F s d\u016Frazem na rozsah a \u010D\
            etnost. \n\u2022 Z\xE1znamy o v\xFDznamn\xFDch incidentech, ke kter\xFD\
            m do\u0161lo v uplynul\xE9m roce, spolu s ve\u0161kerou odpov\xEDdaj\xED\
            c\xED dokumentac\xED p\u0159ezkumu nebo anal\xFDzy. \n\u2022 Ro\u010D\
            n\xED pl\xE1ny nebo harmonogramy nez\xE1visl\xE9ho p\u0159ezkumu, kter\xE9\
            \ nasti\u0148uj\xED rozsah nez\xE1visl\xFDch p\u0159ezkum\u016F a konkr\xE9\
            tn\xED opat\u0159en\xED, kter\xE1 jsou hodnocena.\n\n[TIPY]\n\n\u2022\
            \ Zdokumentovan\xE9 postupy schv\xE1len\xE9 \u0159\xEDd\xEDc\xEDmi org\xE1\
            ny. \n\u2022 Schv\xE1len\xED zbytkov\xFDch rizik \u0159\xEDd\xEDc\xED\
            mi org\xE1ny."
        it:
          description: Le revisioni indipendenti si svolgono a intervalli pianificati
            e quando si verificano incidenti significativi o modifiche significative
            delle operazioni o dei rischi.
          annotation: "\u2022 Le revisioni indipendenti dovrebbero essere effettuate\
            \ almeno una volta all'anno, tenendo conto:\n    o incidenti significativi,\
            \ se presenti;\n    o modifiche all'ambiente di funzionamento;\n    o\
            \ modifiche al panorama delle minacce e ai requisiti legali e normativi\
            \ in materia di sicurezza informatica; e\n    o Modifiche alla politica\
            \ sulla sicurezza delle reti e dei sistemi informativi e/o alle politiche\
            \ specifiche per argomento.\n\n[CONSIGLI]\n\n\u2022 Assicurarsi che il\
            \ processo di revisione indipendente sia approvato dagli organi di gestione.\
            \ \n\u2022 Assicurarsi che i risultati della revisione siano approvati\
            \ dagli organi di gestione."
          typical_evidence: "\u2022 Rapporti di revisione indipendenti che documentano\
            \ i risultati, le raccomandazioni e le azioni intraprese in risposta.\
            \ \n\u2022 Riassunti di precedenti revisioni indipendenti, evidenziandone\
            \ la portata e la frequenza. \n\u2022 Registrazioni di incidenti significativi\
            \ verificatisi nell'ultimo anno, insieme a qualsiasi documentazione di\
            \ revisione o analisi corrispondente. \n\u2022 Piani o programmi di revisione\
            \ indipendenti annuali che delineano l'ambito delle revisioni indipendenti\
            \ e le misure specifiche valutate.\n\n[CONSIGLI]\n\n\u2022 Procedure documentate\
            \ approvate dagli organi di gestione. \n\u2022 Approvazione dei rischi\
            \ residui da parte degli organi di gestione."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3
      assessable: false
      depth: 1
      ref_id: '3'
      name: INCIDENT HANDLING (ARTICLE 21(2), POINT (B), OF DIRECTIVE (EU) 2022/2555)
      translations:
        fr:
          name: "Gestion des incidents [article\_21, paragraphe\_2, point\_b), de\
            \ la directive (UE)\_2022/2555]"
        es:
          name: "GESTI\xD3N DE INCIDENTES [Art\xEDculo 21, Apartado 2, Letra B), de\
            \ la directiva (UE) 2022/2555]"
        cs:
          name: "\u0158e\u0161en\xED incident\u016F (\u010Dl. 21 odst. 2 p\xEDsm.\
            \ b) sm\u011Brnice (EU) 2022/2555)"
        it:
          name: GESTIONE DEGLI INCIDENTI [ARTICOLO 21, PARAGRAFO 2, LETTERA B), DELLA
            DIRETTIVA (UE) 2022/2555]
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.1
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3
      ref_id: '3.1'
      name: Incident handling policy
      translations:
        fr:
          name: Politique de gestion des incidents
        es:
          name: "Pol\xEDtica de gesti\xF3n de incidentes"
        cs:
          name: "Politika \u0159e\u0161en\xED incident\u016F"
        it:
          name: Criteri di gestione degli incidenti
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.1.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.1
      ref_id: 3.1.1
      description: For the purpose of Article 21(2), point (b) of Directive (EU) 2022/2555,
        the relevant entities shall establish and implement an incident handling policy
        laying down the roles, responsibilities, and procedures for detecting, analysing,
        containing or responding to, recovering from, documenting and reporting of
        incidents in a timely manner.
      annotation: "\u2022 Define clear objectives for the incident handling policy.\
        \ \n\u2022 Ensure the policy complies with relevant laws, regulations and\
        \ industry standards (17).\n\n(17) In addition, consider the \u2018Incident\
        \ response recommendations and considerations for cybersecurity risk management\u2019\
        \ from NIST, https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-61r3.pdf."
      typical_evidence: "\u2022 Documented incident handling policy that contains,\
        \ at least, the elements referred to in point 3.1.2 of the Annex to the regulation.\
        \ \n\u2022 Documented standards and/or good practices that are taken into\
        \ consideration for this policy."
      translations:
        fr:
          description: "Aux fins de l\u2019article\_21, paragraphe\_2, point\_b),\
            \ de la directive (UE)\_2022/2555, les entit\xE9s concern\xE9es \xE9tablissent\
            \ et mettent en \u0153uvre, en temps utile, une politique de gestion des\
            \ incidents qui d\xE9finit les r\xF4les, les responsabilit\xE9s et les\
            \ proc\xE9dures permettant de d\xE9tecter, d\u2019analyser, d\u2019endiguer\
            \ un incident ou d\u2019y r\xE9agir, ainsi que de r\xE9tablir la situation,\
            \ de consigner l\u2019incident et de faire rapport."
          annotation: "\u2022 D\xE9finir des objectifs clairs pour la politique de\
            \ traitement des incidents. \n\u2022 S\u2019assurer que la politique est\
            \ conforme aux lois, r\xE8glements et normes de l\u2019industrie pertinents\
            \ (17).\n\n(17) En outre, il convient d\u2019examiner les \xAB\_Recommandations\
            \ et consid\xE9rations en mati\xE8re de r\xE9ponse aux incidents pour\
            \ la gestion des risques de cybers\xE9curit\xE9\_\xBB du NIST, https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-61r3.pdf."
          typical_evidence: "\u2022 Une politique document\xE9e de gestion des incidents\
            \ qui contient, au moins, les \xE9l\xE9ments vis\xE9s au point 3.1.2 de\
            \ l\u2019annexe du r\xE8glement. \n\u2022 Normes et/ou bonnes pratiques\
            \ document\xE9es qui sont prises en compte pour cette politique."
        es:
          description: "A los efectos del art\xEDculo 21, apartado 2, letra b), de\
            \ la Directiva (UE) 2022/2555, las entidades pertinentes elaborar\xE1\
            n y pondr\xE1n en marcha una pol\xEDtica de gesti\xF3n de incidentes por\
            \ la que se establezcan los roles, responsabilidades y procedimientos\
            \ para la detecci\xF3n, el an\xE1lisis, la contenci\xF3n y la gesti\xF3\
            n de los incidentes, as\xED como la posterior recuperaci\xF3n, documentaci\xF3\
            n y notificaci\xF3n de los mismos a su debido tiempo."
          annotation: "\u2022 Definir objetivos claros para la pol\xEDtica de manejo\
            \ de incidentes. \n\u2022 Garantizar que la pol\xEDtica cumpla con las\
            \ leyes, regulaciones y est\xE1ndares de la industria pertinentes (17).\n\
            \n(17) Adem\xE1s, consid\xE9rense las \xABRecomendaciones y consideraciones\
            \ de respuesta a incidentes para la gesti\xF3n de riesgos de ciberseguridad\xBB\
            \ del NIST, https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-61r3.pdf."
          typical_evidence: "\u2022 Pol\xEDtica documentada de gesti\xF3n de incidencias\
            \ que contenga, al menos, los elementos a que se refiere el punto 3.1.2\
            \ del Anexo del Reglamento. \n\u2022 Normas documentadas y/o buenas pr\xE1\
            cticas que se tengan en cuenta para esta pol\xEDtica."
        cs:
          description: "Pro \xFA\u010Dely \u010Dl. 21 odst. 2 p\xEDsm. b) sm\u011B\
            rnice (EU) 2022/2555 p\u0159\xEDslu\u0161n\xE9 subjekty vypracuj\xED a\
            \ zavedou politiku \u0159e\u0161en\xED incident\u016F, kter\xE1 stanov\xED\
            \ \xFAkoly, odpov\u011Bdnosti a postupy pro v\u010Dasn\xE9 odhalov\xE1\
            n\xED, anal\xFDzu a omezov\xE1n\xED incident\u016F nebo reagov\xE1n\xED\
            \ na n\u011B, obnovu po incidentech, dokumentov\xE1n\xED a oznamov\xE1\
            n\xED incident\u016F."
          annotation: "\u2022 Definujte jasn\xE9 c\xEDle pro z\xE1sady \u0159e\u0161\
            en\xED incident\u016F. \n\u2022 Zajistit, aby z\xE1sady byly v souladu\
            \ s p\u0159\xEDslu\u0161n\xFDmi z\xE1kony, p\u0159edpisy a pr\u016Fmyslov\xFD\
            mi normami (17).\n\n(17) Krom\u011B toho zva\u017Ete \"Doporu\u010Den\xED\
            \ a \xFAvahy t\xFDkaj\xEDc\xED se reakce na incidenty pro \u0159\xEDzen\xED\
            \ kybernetick\xFDch bezpe\u010Dnostn\xEDch rizik\" od NIST, https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-61r3.pdf."
          typical_evidence: "\u2022 Zdokumentovan\xE9 z\xE1sady \u0159e\u0161en\xED\
            \ incident\u016F, kter\xE9 obsahuj\xED alespo\u0148 prvky uveden\xE9 v\
            \ bod\u011B 3.1.2 p\u0159\xEDlohy na\u0159\xEDzen\xED. \n\u2022 Zdokumentovan\xE9\
            \ standardy a/nebo osv\u011Bd\u010Den\xE9 postupy, kter\xE9 jsou v t\u011B\
            chto z\xE1sad\xE1ch br\xE1ny v \xFAvahu."
        it:
          description: "Ai fini dell'articolo 21, paragrafo 2, lettera b), della direttiva\
            \ (UE) 2022/2555, i soggetti pertinenti stabiliscono e attuano una politica\
            \ di gestione degli incidenti che stabilisce i ruoli, le responsabilit\xE0\
            \ e le procedure per l'individuazione, l'analisi, il contenimento o la\
            \ risposta, il recupero, la documentazione e la segnalazione tempestiva\
            \ degli incidenti."
          annotation: "\u2022 Definire obiettivi chiari per la politica di gestione\
            \ degli incidenti. \n\u2022 Assicurarsi che la politica sia conforme alle\
            \ leggi, ai regolamenti e agli standard di settore pertinenti (17).\n\n\
            (17) Inoltre, si considerino le \xABRaccomandazioni e considerazioni in\
            \ materia di risposta agli incidenti per la gestione dei rischi di cibersicurezza\xBB\
            \ del NIST https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-61r3.pdf."
          typical_evidence: "\u2022 Politica documentata di gestione degli incidenti\
            \ che contenga almeno gli elementi di cui al punto 3.1.2 dell'Allegato\
            \ al regolamento. \n\u2022 Standard documentati e/o buone pratiche che\
            \ vengono prese in considerazione per questa politica."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.1.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.1
      ref_id: 3.1.2
      description: 'The policy referred to in point 3.1.1 shall be coherent with the
        business continuity and disaster recovery plan referred to in point 4.1. The
        policy shall include:'
      annotation: "\u2022 Align the incident handling policy with the business continuity\
        \ and disaster recovery plan (Annex to the regulation, point 4.1) by (indicative,\
        \ non-exhaustive list):\n    o ensuring that they aim to minimise disruptions,\
        \ protect assets and ensure a swift return to normal operations;\n    o identifying\
        \ interfaces between the incident handling policy and business continuity\
        \ management;\n    o describing workflows which trigger business continuity\
        \ (Annex to the regulation, points 4.1, 4.2 or 4.3) during an incident; and\n\
        \    o developing scenarios that test the interaction between these processes\
        \ and describe the result of this interaction in the incident handling policy.\
        \  \n\u2022 Set up a categorisation system for incidents, which refers to\
        \ the scheme that the entity uses to identify the consequences and the priority\
        \ of an incident, together with the criteria for categorising events as incidents(18).\
        \ An indicative, non-exhaustive list of criteria might include one or more\
        \ of the following:\n    o impact on business operations,\n    o data sensitivity\
        \ in accordance with risk management,\n    o legal and regulatory impact,\
        \ including reporting timelines stemming from regulatory framework e.g. GDPR,\
        \ national regulations,\n    o scope and scale meaning the evaluation of how\
        \ widespread the event is,\n    o type of attack (19), o malicious software/vulnerability\
        \ exploitation,\n    o criticality of the systems affected, o incident containment\
        \ urgency,\n    o potential of data exfiltration or corruption, such as in\
        \ the case of ransomware,\n    o likelihood of recovery, o impact on human\
        \ lives and safety and o other criteria on what constitutes a significant\
        \ incident as per this regulation. \n\u2022 Ensure that the incident handling\
        \ policy refers to different types of incidents such as (indicative, non-\
        \ exhaustive list):\n    o system failures and loss of service availability;\n\
        \    o malicious code;\n    o denial of service;\n    o errors;\n    o breaches\
        \ of confidentiality and integrity; and\n    o misuse of network and information\
        \ systems. \n\u2022 Communicate the incident to relevant stakeholders and\
        \ personnel according to a communication plan. The communication plan should\
        \ consider the event reporting mechanism (Annex to the regulation, point 3.3)\
        \ and may include (indicative, non-exhaustive list) the following:\n    o\
        \ purpose and scope of the plan,\n    o roles and responsibilities for communication\
        \ tasks,\n    o list of internal and external stakeholders to be informed,\n\
        \    o reporting timelines stemming from regulatory framework, e.g. GDPR,\
        \ national regulations,\n    o conditions and procedures for escalation of\
        \ incidents,\n    o channels to be used for communication (e.g. email, intranet,\
        \ phone calls, social media, press releases),\n    o channels of communication\
        \ need to be tailored based on the target audience (that is internal, client\
        \ or general public, etc.),\n    o methods for stakeholders to provide feedback\
        \ or ask questions and \n    o guidelines for when to communicate and the\
        \ frequency of updates, along with pre-drafted message templates for various\
        \ scenarios and the core messages to be communicated. \n\u2022 Identify the\
        \ necessary roles and responsibilities to be assigned for incident handling.\
        \ The entities can use already established skills frameworks, for example\
        \ the ECSF, to assist them in identifying the necessary skills and knowledge.\n\
        \n(18) The ISO/IEC 27035 series provides further guidance on incident management:\
        \ ISO/IEC 27035-1:2023(en) Information technology \u2013 Information security\
        \ incident management \u2013 Part 1: Principles and process. For the categorisation\
        \ of incidents, please also consult the ENISA guidelines related to Article\
        \ 23(9) summary reporting for the NIS2 Directive or information provided by\
        \ the national computer security incident response teams (CSIRTs).\n(19) A\
        \ cyberattack involves deliberate and malicious attempts to compromise the\
        \ availability, authenticity, integrity or confidentiality of stored, transmitted\
        \ or processed data or of the services offered by or accessible via, network\
        \ and information systems. The attack can be due to insider activity or external\
        \ perpetrators."
      typical_evidence: "\u2022 Cross references between the incident handling policy\
        \ and the business continuity and disaster recovery plan, if available. \n\
        \u2022 Records of testing and drills that involve both incident handling and\
        \ business continuity / disaster recovery. \n\u2022 Interviews with key personnel\
        \ involved in incident response, business continuity and disaster recovery.\
        \ \n\u2022 An incident categorisation system. \n\u2022 Evidence that the incident\
        \ handling policy is in place and communicated to employees. \n\u2022 Evidence\
        \ that a communication plan for incident handling is in place. \n\u2022 Procedures\
        \ for how to communicate the incident to relevant authorities and the computer\
        \ security incident response team (CSIRT) are in place. \n\u2022 Procedures\
        \ for how to communicate the incident to customers or how and when to involve\
        \ a supplier (if applicable)."
      translations:
        fr:
          description: "La politique vis\xE9e au point\_3.1.1 est compatible avec\
            \ le plan de continuit\xE9 de l'activit\xE9 et de r\xE9tablissement vis\xE9\
            \ au point\_4.1. Cette politique comprend:"
          annotation: "\u2022 Aligner la politique de traitement des incidents sur\
            \ le plan de continuit\xE9 des activit\xE9s et de reprise apr\xE8s sinistre\
            \ (annexe du r\xE8glement, point 4.1) en (liste indicative et non exhaustive)\
            \ :\n    o s'assurant qu'ils visent \xE0 minimiser les perturbations,\
            \ \xE0 prot\xE9ger les actifs et \xE0 garantir un retour rapide aux op\xE9\
            rations normales ;\n    o identifiant les interfaces entre la politique\
            \ de traitement des incidents et la gestion de la continuit\xE9 des activit\xE9\
            s ;\n    o d\xE9crivant les flux de travail qui d\xE9clenchent la continuit\xE9\
            \ des activit\xE9s (annexe du r\xE8glement, points 4. 1, 4.2 ou 4.3) lors\
            \ d'un incident ; et\n    o d\xE9velopper des sc\xE9narios qui testent\
            \ l'interaction entre ces processus et d\xE9crivent le r\xE9sultat de\
            \ cette interaction dans la politique de gestion des incidents.\n\u2022\
            \ Mettre en place un syst\xE8me de cat\xE9gorisation des incidents, c'est-\xE0\
            -dire le sch\xE9ma utilis\xE9 par l'entit\xE9 pour identifier les cons\xE9\
            quences et la priorit\xE9 d'un incident, ainsi que les crit\xE8res de\
            \ cat\xE9gorisation des \xE9v\xE9nements en tant qu'incidents(18). Une\
            \ liste indicative et non exhaustive de crit\xE8res pourrait inclure un\
            \ ou plusieurs des \xE9l\xE9ments suivants :\n    o l'impact sur les op\xE9\
            rations commerciales, o la sensibilit\xE9 des donn\xE9es conform\xE9ment\
            \ \xE0 la gestion des risques, o l'impact juridique et r\xE9glementaire,\
            \ y compris les d\xE9lais de d\xE9claration d\xE9coulant du cadre r\xE9\
            glementaire, par ex. GDPR, r\xE9glementations nationales, o la port\xE9\
            e et l'ampleur, c'est-\xE0-dire l'\xE9valuation de l'\xE9tendue de l'\xE9\
            v\xE9nement, o le type d'attaque (19), o les logiciels malveillants/l'exploitation\
            \ des vuln\xE9rabilit\xE9s, o la criticit\xE9 des syst\xE8mes touch\xE9\
            s, o l'urgence de la ma\xEEtrise de l'incident, o le potentiel d'exfiltration\
            \ ou de corruption des donn\xE9es, comme dans le cas d'un ransomware,\
            \ o la probabilit\xE9 de r\xE9cup\xE9ration, o l'impact sur les vies humaines\
            \ et la s\xE9curit\xE9, et o d'autres crit\xE8res sur ce qui constitue\
            \ un incident significatif conform\xE9ment au pr\xE9sent r\xE8glement.\
            \ \n\u2022 Veiller \xE0 ce que la politique de traitement des incidents\
            \ fasse r\xE9f\xE9rence aux diff\xE9rents types d'incidents tels que (liste\
            \ indicative et non exhaustive) :\n    o les pannes de syst\xE8me et la\
            \ perte de disponibilit\xE9 des services ;\n    o les codes malveillants\
            \ ;\n    o les d\xE9nis de service ;\n    o les erreurs ;\n    o les atteintes\
            \ \xE0 la confidentialit\xE9 et \xE0 l'int\xE9grit\xE9 ; et\n    o l'utilisation\
            \ abusive du r\xE9seau et des syst\xE8mes d'information.\n\u2022 Communiquer\
            \ l'incident aux parties prenantes et au personnel concern\xE9s conform\xE9\
            ment \xE0 un plan de communication. Le plan de communication doit tenir\
            \ compte du m\xE9canisme de signalement des \xE9v\xE9nements (annexe du\
            \ r\xE8glement, point 3.3) et peut comprendre (liste indicative et non\
            \ exhaustive) les \xE9l\xE9ments suivants :\n    o objectif et port\xE9\
            e du plan,\n    o r\xF4les et responsabilit\xE9s pour les t\xE2ches de\
            \ communication,\n    o liste des parties prenantes internes et externes\
            \ \xE0 informer,\n    o d\xE9lais de d\xE9claration d\xE9coulant du cadre\
            \ r\xE9glementaire, par exemple GDPR, r\xE9glementations nationales,\n\
            \    o conditions et proc\xE9dures de remont\xE9e des incidents,\n   \
            \ o canaux \xE0 utiliser pour la communication (par exemple, courriel,\
            \ intranet, appels t\xE9l\xE9phoniques, m\xE9dias sociaux, communiqu\xE9\
            s de presse, etc. courriel, intranet, appels t\xE9l\xE9phoniques, m\xE9\
            dias sociaux, communiqu\xE9s de presse),\n    o les canaux de communication\
            \ doivent \xEAtre adapt\xE9s en fonction du public cible (c'est-\xE0-dire\
            \ interne, client ou grand public, etc.),\n    o les m\xE9thodes permettant\
            \ aux parties prenantes de fournir un retour d'information ou de poser\
            \ des questions et \n    o les lignes directrices concernant le moment\
            \ de la communication et la fr\xE9quence des mises \xE0 jour, ainsi que\
            \ les mod\xE8les de messages pr\xE9\xE9tablis pour divers sc\xE9narios\
            \ et les messages essentiels \xE0 communiquer.\n\u2022 Identifier les\
            \ r\xF4les et les responsabilit\xE9s n\xE9cessaires \xE0 la gestion de\
            \ l'incident. Les entit\xE9s peuvent utiliser des cadres de comp\xE9tences\
            \ d\xE9j\xE0 \xE9tablis, par exemple le CECS, pour les aider \xE0 identifier\
            \ les comp\xE9tences et les connaissances n\xE9cessaires.\n\n(18) La s\xE9\
            rie ISO/IEC 27035 fournit des orientations suppl\xE9mentaires sur la gestion\
            \ des incidents : ISO/IEC 27035-1:2023(en) Technologies de l'information\
            \ - Gestion des incidents de s\xE9curit\xE9 de l'information - Partie\
            \ 1 : Principes et processus. Pour la cat\xE9gorisation des incidents,\
            \ veuillez \xE9galement consulter les lignes directrices de l'ENISA relatives\
            \ \xE0 l'article 23, paragraphe 9, du rapport de synth\xE8se de la directive\
            \ NIS2 ou les informations fournies par les \xE9quipes nationales de r\xE9\
            ponse aux incidents de s\xE9curit\xE9 informatique (CSIRT).\n(19) Une\
            \ cyberattaque implique des tentatives d\xE9lib\xE9r\xE9es et malveillantes\
            \ de compromettre la disponibilit\xE9, l'authenticit\xE9, l'int\xE9grit\xE9\
            \ ou la confidentialit\xE9 des donn\xE9es stock\xE9es, transmises ou trait\xE9\
            es, ou des services offerts par les r\xE9seaux et les syst\xE8mes d'information\
            \ ou accessibles par leur interm\xE9diaire. L'attaque peut \xEAtre due\
            \ \xE0 une activit\xE9 interne ou \xE0 des auteurs externes."
          typical_evidence: "\u2022 R\xE9f\xE9rences crois\xE9es entre la politique\
            \ de gestion des incidents et le plan de continuit\xE9 des activit\xE9\
            s et de reprise apr\xE8s sinistre, le cas \xE9ch\xE9ant. \n\u2022 Registres\
            \ des tests et des exercices qui impliquent \xE0 la fois la gestion des\
            \ incidents et la continuit\xE9 des activit\xE9s / reprise apr\xE8s sinistre.\
            \ \n\u2022 Entrevues avec le personnel cl\xE9 impliqu\xE9 dans la r\xE9\
            ponse aux incidents, la continuit\xE9 des activit\xE9s et la reprise apr\xE8\
            s sinistre. \n\u2022 Un syst\xE8me de cat\xE9gorisation des incidents.\
            \ \n\u2022 Preuve que la politique de gestion des incidents est en place\
            \ et communiqu\xE9e aux employ\xE9s. \n\u2022 Preuve qu\u2019un plan de\
            \ communication pour la gestion des incidents est en place. \n\u2022 Des\
            \ proc\xE9dures sur la fa\xE7on de communiquer l\u2019incident aux autorit\xE9\
            s comp\xE9tentes et \xE0 l\u2019\xE9quipe d\u2019intervention en cas d\u2019\
            incident de s\xE9curit\xE9 informatique (CSIRT) sont en place. \n\u2022\
            \ Les proc\xE9dures de communication de l\u2019incident aux clients ou\
            \ de participation d\u2019un fournisseur (le cas \xE9ch\xE9ant)."
        es:
          description: "La pol\xEDtica prevista en el punto 3.1.1 ser\xE1 coherente\
            \ con el plan de continuidad de las actividades y de recuperaci\xF3n en\
            \ caso de cat\xE1strofe a que hace referencia el punto 4.1. La pol\xED\
            tica incluir\xE1:"
          annotation: "\u2022 Alinear la pol\xEDtica de gesti\xF3n de incidentes con\
            \ el plan de continuidad de la actividad y de recuperaci\xF3n en caso\
            \ de cat\xE1strofe (anexo del Reglamento, punto 4.1) mediante (lista indicativa,\
            \ no exhaustiva):\n    o garantizar que tienen por objeto minimizar las\
            \ interrupciones, proteger los activos y garantizar una r\xE1pida vuelta\
            \ a la normalidad;\n    o identificar las interfaces entre la pol\xED\
            tica de gesti\xF3n de incidentes y la gesti\xF3n de la continuidad de\
            \ la actividad;\n    o describir los flujos de trabajo que activan la\
            \ continuidad de la actividad (anexo del Reglamento, puntos 4.1, 4.2 o\
            \ 4.3) durante un incidente; y o desarrollar escenarios que prueben la\
            \ interacci\xF3n entre estos procesos y describan el resultado de esta\
            \ interacci\xF3n en la pol\xEDtica de gesti\xF3n de incidentes. 1, 4.2\
            \ o 4.3) durante un incidente; y\n    o desarrollar escenarios que prueben\
            \ la interacci\xF3n entre estos procesos y describan el resultado de esta\
            \ interacci\xF3n en la pol\xEDtica de gesti\xF3n de incidentes.\n\u2022\
            \ Establecer un sistema de categorizaci\xF3n de incidentes, que se refiere\
            \ al esquema que utiliza la entidad para identificar las consecuencias\
            \ y la prioridad de un incidente, junto con los criterios para categorizar\
            \ los sucesos como incidentes(18). Una lista indicativa y no exhaustiva\
            \ de criterios podr\xEDa incluir uno o m\xE1s de los siguientes:\n   \
            \ o impacto en las operaciones empresariales, o sensibilidad de los datos\
            \ de acuerdo con la gesti\xF3n de riesgos, o impacto legal y normativo,\
            \ incluidos los plazos de notificaci\xF3n derivados del marco normativo,\
            \ por ejemplo, el RGPD, las normativas nacionales, o alcance de los incidentes.\
            \ o alcance y escala, es decir, evaluaci\xF3n de la extensi\xF3n del suceso,\
            \ o tipo de ataque (19), o explotaci\xF3n de software malicioso/vulnerabilidad,\
            \ o criticidad de los sistemas afectados, o urgencia de la contenci\xF3\
            n del incidente, o potencial de exfiltraci\xF3n o corrupci\xF3n de datos,\
            \ como en el caso del ransomware, o probabilidad de recuperaci\xF3n, o\
            \ impacto en las vidas humanas y la seguridad, y o otros criterios sobre\
            \ lo que constituye un incidente significativo con arreglo al presente\
            \ Reglamento. \n\u2022 Garantizar que la pol\xEDtica de gesti\xF3n de\
            \ incidentes hace referencia a diferentes tipos de incidentes, como (lista\
            \ indicativa, no exhaustiva):\n    o fallos del sistema y p\xE9rdida de\
            \ disponibilidad del servicio;\n    o c\xF3digo malicioso;\n    o denegaci\xF3\
            n de servicio;\n    o errores;\n    o violaciones de la confidencialidad\
            \ y la integridad; y\n    o uso indebido de la red y los sistemas de informaci\xF3\
            n.\n\u2022 Comunicar el incidente a las partes interesadas y al personal\
            \ pertinentes de acuerdo con un plan de comunicaci\xF3n. El plan de comunicaci\xF3\
            n debe tener en cuenta el mecanismo de notificaci\xF3n del incidente (anexo\
            \ del Reglamento, punto 3.3) y puede incluir (lista indicativa, no exhaustiva)\
            \ lo siguiente:\n    o finalidad y alcance del plan,\n    o funciones\
            \ y responsabilidades de las tareas de comunicaci\xF3n,\n    o lista de\
            \ las partes interesadas internas y externas a las que se debe informar,\n\
            \    o plazos de notificaci\xF3n derivados del marco normativo, por ejemplo,\
            \ el RGPD, la normativa nacional,\n    o condiciones y procedimientos\
            \ para la escalada de incidentes,\n    o canales que se utilizar\xE1n\
            \ para la comunicaci\xF3n (por ejemplo, correo electr\xF3nico, intranet,\
            \ llamadas telef\xF3nicas, medios sociales, comunicados de prensa, etc.),\
            \ o los canales de comunicaci\xF3n deben adaptarse en funci\xF3n del p\xFA\
            blico destinatario (es decir, correo electr\xF3nico, intranet, llamadas\
            \ telef\xF3nicas, medios sociales, comunicados de prensa, etc.). por ejemplo,\
            \ correo electr\xF3nico, intranet, llamadas telef\xF3nicas, redes sociales,\
            \ comunicados de prensa),\n    o los canales de comunicaci\xF3n deben\
            \ adaptarse en funci\xF3n del p\xFAblico destinatario (interno, cliente\
            \ o p\xFAblico en general, etc.),\n    o los m\xE9todos para que las partes\
            \ interesadas env\xEDen comentarios o formulen preguntas y \n    o las\
            \ directrices sobre cu\xE1ndo comunicar y la frecuencia de las actualizaciones,\
            \ junto con plantillas de mensajes previamente elaboradas para diversos\
            \ escenarios y los mensajes principales que deben comunicarse.\n\u2022\
            \ Identificar las funciones y responsabilidades necesarias que deben asignarse\
            \ para la gesti\xF3n de incidentes. Las entidades pueden utilizar marcos\
            \ de competencias ya establecidos, por ejemplo el ECSF, para ayudarles\
            \ a identificar las competencias y conocimientos necesarios.\n\n(18) La\
            \ serie ISO/IEC 27035 proporciona m\xE1s orientaci\xF3n sobre la gesti\xF3\
            n de incidentes: ISO/IEC 27035-1:2023(en) Tecnolog\xEDa de la informaci\xF3\
            n - Gesti\xF3n de incidentes de seguridad de la informaci\xF3n - Parte\
            \ 1. Principios y proceso: Principios y proceso. Para la categorizaci\xF3\
            n de los incidentes, cons\xFAltense tambi\xE9n las directrices de ENISA\
            \ relativas a la notificaci\xF3n resumida del apartado 9 del art\xEDculo\
            \ 23 para la Directiva NIS2 o la informaci\xF3n facilitada por los equipos\
            \ nacionales de respuesta a incidentes de seguridad inform\xE1tica (CSIRT).\n\
            (19) Un ciberataque implica intentos deliberados y malintencionados de\
            \ comprometer la disponibilidad, autenticidad, integridad o confidencialidad\
            \ de los datos almacenados, transmitidos o procesados o de los servicios\
            \ ofrecidos o accesibles a trav\xE9s de redes y sistemas de informaci\xF3\
            n. El ataque puede deberse a una actividad interna o a autores externos."
          typical_evidence: "\u2022 Referencias cruzadas entre la pol\xEDtica de gesti\xF3\
            n de incidentes y el plan de continuidad del negocio y recuperaci\xF3\
            n ante desastres, si est\xE1 disponible. \n\u2022 Registros de pruebas\
            \ y simulacros que involucran tanto el manejo de incidentes como la continuidad\
            \ del negocio / recuperaci\xF3n de desastres. \n\u2022 Entrevistas con\
            \ personal clave involucrado en la respuesta a incidentes, continuidad\
            \ del negocio y recuperaci\xF3n de desastres. \n\u2022 Un sistema de categorizaci\xF3\
            n de incidencias. \n\u2022 Evidencia de que la pol\xEDtica de manejo de\
            \ incidentes est\xE1 implementada y comunicada a los empleados. \n\u2022\
            \ Evidencia de que existe un plan de comunicaci\xF3n para el manejo de\
            \ incidentes. \n\u2022 Existen procedimientos sobre c\xF3mo comunicar\
            \ el incidente a las autoridades pertinentes y al equipo de respuesta\
            \ a incidentes de seguridad inform\xE1tica (CSIRT). \n\u2022 Procedimientos\
            \ sobre c\xF3mo comunicar el incidente a los clientes o c\xF3mo y cu\xE1\
            ndo involucrar a un proveedor (si corresponde)."
        cs:
          description: "Politika uveden\xE1 v bod\u011B 3.1.1 mus\xED b\xFDt v souladu\
            \ s pl\xE1nem kontinuity provozu a pl\xE1nem pro obnovu po hav\xE1rii\
            \ uveden\xFDm v bod\u011B 4.1. Politika obsahuje:"
          annotation: "\u2022 Sladit politiku \u0159e\u0161en\xED incident\u016F s\
            \ pl\xE1nem kontinuity \u010Dinnost\xED a pl\xE1nem obnovy po hav\xE1\
            rii (p\u0159\xEDloha na\u0159\xEDzen\xED, bod 4.1) t\xEDm, \u017Ee (orienta\u010D\
            n\xED, ne\xFApln\xFD seznam):\n    o zajist\xED, aby jejich c\xEDlem bylo\
            \ minimalizovat naru\u0161en\xED, chr\xE1nit aktiva a zajistit rychl\xFD\
            \ n\xE1vrat k b\u011B\u017En\xE9mu provozu;\n    o ur\u010D\xED rozhran\xED\
            \ mezi politikou \u0159e\u0161en\xED incident\u016F a \u0159\xEDzen\xED\
            m kontinuity \u010Dinnost\xED;\n    o pop\xED\u0161e pracovn\xED postupy,\
            \ kter\xE9 spou\u0161t\u011Bj\xED kontinuitu \u010Dinnost\xED (p\u0159\
            \xEDloha na\u0159\xEDzen\xED, body 4.1 a 4.2 nebo 4.3) b\u011Bhem incidentu;\
            \ a\n    o vypracov\xE1n\xED sc\xE9n\xE1\u0159\u016F, kter\xE9 testuj\xED\
            \ interakci mezi t\u011Bmito procesy a popisuj\xED v\xFDsledek t\xE9to\
            \ interakce v politice \u0159e\u0161en\xED incident\u016F.\n\u2022 Zaveden\xED\
            \ syst\xE9mu kategorizace incident\u016F, kter\xFD se t\xFDk\xE1 sch\xE9\
            matu, kter\xFD subjekt pou\u017E\xEDv\xE1 k ur\u010Den\xED d\u016Fsledk\u016F\
            \ a priority incidentu, spolu s krit\xE9rii pro kategorizaci ud\xE1lost\xED\
            \ jako incident\u016F(18). Orienta\u010Dn\xED, ne\xFApln\xFD seznam krit\xE9\
            ri\xED m\u016F\u017Ee zahrnovat jedno nebo v\xEDce z n\xE1sleduj\xEDc\xED\
            ch:\n    o dopad na obchodn\xED operace, o citlivost \xFAdaj\u016F v souladu\
            \ s \u0159\xEDzen\xEDm rizik, o pr\xE1vn\xED a regula\u010Dn\xED dopad,\
            \ v\u010Detn\u011B lh\u016Ft pro pod\xE1v\xE1n\xED zpr\xE1v vypl\xFDvaj\xED\
            c\xEDch z regula\u010Dn\xEDho r\xE1mce, nap\u0159. GDPR, n\xE1rodn\xED\
            \ p\u0159edpisy, o rozsah a m\u011B\u0159\xEDtko znamenaj\xEDc\xED vyhodnocen\xED\
            \ toho, jak je ud\xE1lost roz\u0161\xED\u0159en\xE1, o typ \xFAtoku (19),\
            \ o \u0161kodliv\xFD software/zneu\u017Eit\xED zranitelnosti, o kriti\u010D\
            nost zasa\u017Een\xFDch syst\xE9m\u016F, o nal\xE9havost zvl\xE1dnut\xED\
            \ incidentu, o potenci\xE1l exfiltrace nebo po\u0161kozen\xED dat, nap\u0159\
            . v p\u0159\xEDpad\u011B ransomwaru, o pravd\u011Bpodobnost obnovy, o\
            \ dopad na lidsk\xE9 \u017Eivoty a bezpe\u010Dnost a o dal\u0161\xED krit\xE9\
            ria toho, co p\u0159edstavuje v\xFDznamn\xFD incident podle tohoto na\u0159\
            \xEDzen\xED. \n\u2022 Zajist\u011Bte, aby se z\xE1sady \u0159e\u0161en\xED\
            \ incident\u016F vztahovaly na r\u016Fzn\xE9 typy incident\u016F, jako\
            \ jsou (orienta\u010Dn\xED, ne\xFApln\xFD seznam):\n    o selh\xE1n\xED\
            \ syst\xE9mu a ztr\xE1ta dostupnosti slu\u017Eeb;\n    o \u0161kodliv\xFD\
            \ k\xF3d;\n    o odep\u0159en\xED slu\u017Eby;\n    o chyby;\n    o poru\u0161\
            en\xED d\u016Fv\u011Brnosti a integrity a\n    o zneu\u017Eit\xED s\xED\
            t\u011B a informa\u010Dn\xEDch syst\xE9m\u016F.\n\u2022 Informujte o incidentu\
            \ p\u0159\xEDslu\u0161n\xE9 z\xFA\u010Dastn\u011Bn\xE9 strany a zam\u011B\
            stnance podle komunika\u010Dn\xEDho pl\xE1nu. Komunika\u010Dn\xED pl\xE1\
            n by m\u011Bl zohled\u0148ovat mechanismus hl\xE1\u0161en\xED ud\xE1lost\xED\
            \ (p\u0159\xEDloha na\u0159\xEDzen\xED, bod 3.3) a m\u016F\u017Ee obsahovat\
            \ (orienta\u010Dn\xED, ne\xFApln\xFD seznam) n\xE1sleduj\xEDc\xED informace:\n\
            \    o \xFA\u010Del a rozsah pl\xE1nu,\n    o role a odpov\u011Bdnosti\
            \ za komunika\u010Dn\xED \xFAkoly,\n    o seznam intern\xEDch a extern\xED\
            ch z\xFA\u010Dastn\u011Bn\xFDch stran, kter\xE9 maj\xED b\xFDt informov\xE1\
            ny,\n    o lh\u016Fty pro hl\xE1\u0161en\xED vypl\xFDvaj\xEDc\xED z regula\u010D\
            n\xEDho r\xE1mce, nap\u0159. z GDPR, vnitrost\xE1tn\xEDch p\u0159edpis\u016F\
            ,\n    o podm\xEDnky a postupy pro eskalaci incident\u016F,\n    o kan\xE1\
            ly, kter\xE9 maj\xED b\xFDt pou\u017Eity pro komunikaci (nap\u0159. nap\u0159\
            . e-mail, intranet, telefonn\xED hovory, soci\xE1ln\xED m\xE9dia, tiskov\xE9\
            \ zpr\xE1vy),\n    o komunika\u010Dn\xED kan\xE1ly je t\u0159eba p\u0159\
            izp\u016Fsobit na z\xE1klad\u011B c\xEDlov\xE9 skupiny (tj. intern\xED\
            , klientsk\xE9 nebo \u0161irok\xE9 ve\u0159ejnosti atd.),\n    o zp\u016F\
            soby, jak\xFDmi mohou z\xFA\u010Dastn\u011Bn\xE9 strany poskytovat zp\u011B\
            tnou vazbu nebo kl\xE1st ot\xE1zky, a \n    o pokyny, kdy komunikovat\
            \ a jak \u010Dasto aktualizovat, spolu s p\u0159edem p\u0159ipraven\xFD\
            mi \u0161ablonami zpr\xE1v pro r\u016Fzn\xE9 sc\xE9n\xE1\u0159e a z\xE1\
            kladn\xEDmi sd\u011Blen\xEDmi, kter\xE1 maj\xED b\xFDt sd\u011Blov\xE1\
            na.\n\u2022 Ur\u010Dete pot\u0159ebn\xE9 role a odpov\u011Bdnosti, kter\xE9\
            \ budou p\u0159id\u011Bleny pro \u0159e\u0161en\xED incident\u016F. Subjekty\
            \ mohou vyu\u017E\xEDt ji\u017E zaveden\xE9 r\xE1mce dovednost\xED, nap\u0159\
            \xEDklad ECSF, kter\xE9 jim pomohou p\u0159i ur\u010Dov\xE1n\xED pot\u0159\
            ebn\xFDch dovednost\xED a znalost\xED.\n\n(18) Dal\u0161\xED pokyny k\
            \ \u0159\xEDzen\xED incident\u016F poskytuje \u0159ada norem ISO/IEC 27035:\
            \ ISO/IEC 27035-1:2023(cs) Informa\u010Dn\xED technologie - \u0158\xED\
            zen\xED incident\u016F bezpe\u010Dnosti informac\xED - \u010C\xE1st 1:\
            \ Principy a proces. Pokud jde o kategorizaci incident\u016F, nahl\xE9\
            dn\u011Bte tak\xE9 do pokyn\u016F agentury ENISA t\xFDkaj\xEDc\xEDch se\
            \ souhrnn\xE9ho hl\xE1\u0161en\xED podle \u010Dl. 23 odst. 9 sm\u011B\
            rnice NIS2 nebo do informac\xED poskytnut\xFDch n\xE1rodn\xEDmi t\xFD\
            my pro \u0159e\u0161en\xED po\u010D\xEDta\u010Dov\xFDch bezpe\u010Dnostn\xED\
            ch incident\u016F (CSIRT).\n(19) Kybernetick\xFD \xFAtok zahrnuje \xFA\
            mysln\xE9 a z\xE1ke\u0159n\xE9 pokusy o naru\u0161en\xED dostupnosti,\
            \ pravosti, integrity nebo d\u016Fv\u011Brnosti ulo\u017Een\xFDch, p\u0159\
            en\xE1\u0161en\xFDch nebo zpracov\xE1van\xFDch \xFAdaj\u016F nebo slu\u017E\
            eb nab\xEDzen\xFDch s\xED\u0165ov\xFDmi a informa\u010Dn\xEDmi syst\xE9\
            my nebo p\u0159\xEDstupn\xFDch jejich prost\u0159ednictv\xEDm. \xDAtok\
            \ m\u016F\u017Ee b\xFDt zp\u016Fsoben \u010Dinnost\xED zasv\u011Bcen\xFD\
            ch osob nebo extern\xEDch pachatel\u016F."
          typical_evidence: "\u2022 K\u0159\xED\u017Eov\xE9 odkazy mezi z\xE1sadami\
            \ zpracov\xE1n\xED incident\u016F a pl\xE1nem kontinuity provozu a obnovy\
            \ po hav\xE1rii, pokud jsou k dispozici. \n\u2022 Z\xE1znamy o testov\xE1\
            n\xED a cvi\u010Den\xEDch, kter\xE9 zahrnuj\xED jak \u0159e\u0161en\xED\
            \ incident\u016F, tak kontinuitu podnik\xE1n\xED / obnovu po hav\xE1rii.\
            \ \n\u2022 Rozhovory s kl\xED\u010Dov\xFDmi pracovn\xEDky zapojen\xFD\
            mi do reakce na incidenty, kontinuity podnik\xE1n\xED a obnovy po hav\xE1\
            rii. \n\u2022 Syst\xE9m kategorizace incident\u016F. \n\u2022 D\u016F\
            kaz, \u017Ee jsou zavedeny z\xE1sady \u0159e\u0161en\xED incident\u016F\
            \ a jsou sd\u011Bleny zam\u011Bstnanc\u016Fm. \n\u2022 D\u016Fkaz, \u017E\
            e je zaveden komunika\u010Dn\xED pl\xE1n pro \u0159e\u0161en\xED incident\u016F\
            . \n\u2022 Jsou zavedeny postupy, jak ozn\xE1mit incident p\u0159\xED\
            slu\u0161n\xFDm org\xE1n\u016Fm a t\xFDmu CSIRT (Computer Security Incident\
            \ Response Team). \n\u2022 Postupy, jak informovat z\xE1kazn\xEDky o incidentu\
            \ nebo jak a kdy zapojit dodavatele (pokud je to relevantn\xED)."
        it:
          description: "La politica di cui al punto 3.1.1 deve essere coerente con\
            \ il piano di continuit\xE0 operativa e di ripristino in caso di disastro\
            \ di cui al punto 4.1. La politica comprende:"
          annotation: "\u2022 Allineare la politica di gestione degli incidenti con\
            \ il piano di continuit\xE0 operativa e di disaster recovery (Allegato\
            \ al regolamento, punto 4.1) attraverso (elenco indicativo e non esaustivo):\n\
            \    o assicurarsi che mirino a ridurre al minimo le interruzioni, a proteggere\
            \ gli asset e a garantire un rapido ritorno alle normali operazioni;\n\
            \    o identificare le interfacce tra la politica di gestione degli incidenti\
            \ e la gestione della continuit\xE0 operativa;\n    o descrivere i flussi\
            \ di lavoro che attivano la continuit\xE0 operativa (Allegato al regolamento,\
            \ punti 4.1, 4.2 o 4.3) durante un incidente; e o sviluppare scenari che\
            \ testino l'interazione tra questi processi e descrivere il risultato\
            \ di questa interazione nella politica di gestione degli incidenti. 1,\
            \ 4.2 o 4.3) durante un incidente; e\n    o sviluppare scenari che testino\
            \ l'interazione tra questi processi e descrivere il risultato di questa\
            \ interazione nella politica di gestione degli incidenti.\n\u2022 Istituire\
            \ un sistema di categorizzazione degli incidenti, che si riferisce allo\
            \ schema che l'ente utilizza per identificare le conseguenze e la priorit\xE0\
            \ di un incidente, insieme ai criteri per classificare gli eventi come\
            \ incidenti(18). Un elenco indicativo e non esaustivo di criteri potrebbe\
            \ includere uno o pi\xF9 dei seguenti:\n    o impatto sulle operazioni\
            \ aziendali,\n    o sensibilit\xE0 dei dati in conformit\xE0 alla gestione\
            \ del rischio,\n    o impatto legale e normativo, comprese le tempistiche\
            \ di segnalazione derivanti dal quadro normativo, ad es. GDPR, normative\
            \ nazionali,\n    o portata e scala, ovvero valutazione della diffusione\
            \ dell'evento,\n    o tipo di attacco (19), o software maligno/sfruttamento\
            \ della vulnerabilit\xE0,\n    o criticit\xE0 dei sistemi colpiti, o urgenza\
            \ di contenere l'incidente,\n    o potenziale di esfiltrazione o corruzione\
            \ dei dati, come nel caso del ransomware,\n    o probabilit\xE0 di recupero,\
            \ o impatto sulla vita e sulla sicurezza delle persone e o altri criteri\
            \ su ci\xF2 che costituisce un incidente significativo ai sensi della\
            \ presente normativa.\n\u2022 Assicurarsi che la politica di gestione\
            \ degli incidenti si riferisca a diversi tipi di incidenti, quali (elenco\
            \ indicativo e non esaustivo):\n    o guasti del sistema e perdita di\
            \ disponibilit\xE0 del servizio;\n    o codice maligno;\n    o negazione\
            \ del servizio;\n    o errori;\n    o violazioni della riservatezza e\
            \ dell'integrit\xE0; e\n    o uso improprio della rete e dei sistemi informativi.\n\
            \u2022 Comunicare l'incidente agli stakeholder e al personale interessato\
            \ secondo un piano di comunicazione. Il piano di comunicazione deve tenere\
            \ conto del meccanismo di segnalazione dell'evento (Allegato al regolamento,\
            \ punto 3.3) e pu\xF2 includere (elenco indicativo e non esaustivo) quanto\
            \ segue:\n    o scopo e ambito del piano,\n    o ruoli e responsabilit\xE0\
            \ per i compiti di comunicazione,\n    o elenco degli stakeholder interni\
            \ ed esterni da informare,\n    o tempistiche di segnalazione derivanti\
            \ dal quadro normativo, ad esempio GDPR, normative nazionali,\n    o condizioni\
            \ e procedure per l'escalation degli incidenti,\n    o canali da utilizzare\
            \ per la comunicazione (ad esempio, e-mail, intranet, sistemi informatici).\
            \ o canali da utilizzare per la comunicazione (ad es. e-mail, intranet,\
            \ telefonate, social media, comunicati stampa),\n    o i canali di comunicazione\
            \ devono essere adattati in base al pubblico di destinazione (interno,\
            \ clienti o pubblico in generale, ecc.),\n    o metodi per consentire\
            \ agli stakeholder di fornire feedback o porre domande e \n    o linee\
            \ guida per i tempi di comunicazione e la frequenza degli aggiornamenti,\
            \ insieme a modelli di messaggi predefiniti per vari scenari e ai messaggi\
            \ principali da comunicare.\n\u2022 Identificare i ruoli e le responsabilit\xE0\
            \ necessarie da assegnare per la gestione degli incidenti. Gli enti possono\
            \ utilizzare quadri di competenze gi\xE0 consolidati, ad esempio l'ECSF,\
            \ per aiutarli a identificare le competenze e le conoscenze necessarie.\n\
            \n(18) La serie ISO/IEC 27035 fornisce ulteriori indicazioni sulla gestione\
            \ degli incidenti: ISO/IEC 27035-1:2023(en) Information technology - Information\
            \ security incident management - Part 1: Principi e processo. Per la categorizzazione\
            \ degli incidenti, consultare anche le linee guida dell'ENISA relative\
            \ all'articolo 23, paragrafo 9, della direttiva NIS2 o le informazioni\
            \ fornite dai gruppi nazionali di risposta agli incidenti di sicurezza\
            \ informatica (CSIRT).\n(19) Un attacco informatico comporta tentativi\
            \ deliberati e dolosi di compromettere la disponibilit\xE0, l'autenticit\xE0\
            , l'integrit\xE0 o la riservatezza dei dati memorizzati, trasmessi o elaborati\
            \ o dei servizi offerti o accessibili tramite i sistemi di rete e di informazione.\
            \ L'attacco pu\xF2 essere dovuto ad attivit\xE0 interne o ad autori esterni."
          typical_evidence: "\u2022 Riferimenti incrociati tra la policy di gestione\
            \ degli incidenti e il piano di business continuity e disaster recovery,\
            \ se disponibile. \n\u2022 Registrazioni di test ed esercitazioni che\
            \ coinvolgono sia la gestione degli incidenti che la continuit\xE0 aziendale/disaster\
            \ recovery. \n\u2022 Interviste con il personale chiave coinvolto nella\
            \ risposta agli incidenti, nella continuit\xE0 operativa e nel disaster\
            \ recovery. \n\u2022 Un sistema di categorizzazione degli incidenti. \n\
            \u2022 Prova che la politica di gestione degli incidenti \xE8 in atto\
            \ e comunicata ai dipendenti. \n\u2022 Prova che \xE8 in atto un piano\
            \ di comunicazione per la gestione degli incidenti. \n\u2022 Sono in atto\
            \ procedure su come comunicare l'incidente alle autorit\xE0 competenti\
            \ e al team di risposta agli incidenti di sicurezza informatica (CSIRT).\
            \ \n\u2022 Procedure su come comunicare l'incidente ai clienti o su come\
            \ e quando coinvolgere un fornitore (se applicabile)."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.1.2.a
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.1.2
      ref_id: 3.1.2.a
      description: a categorisation system for incidents that is consistent with the
        event assessment and classification carried out pursuant to point 3.4.1.;
      translations:
        fr:
          description: "un syst\xE8me de cat\xE9gorisation des incidents compatible\
            \ avec l\u2019\xE9valuation et la classification des \xE9v\xE9nements\
            \ effectu\xE9es conform\xE9ment au point\_3.4.1;"
        es:
          description: "un sistema de clasificaci\xF3n de incidentes que sea coherente\
            \ con la evaluaci\xF3n y clasificaci\xF3n de sucesos realizada de conformidad\
            \ con el punto 3.4.1;"
        cs:
          description: "syst\xE9m klasifikace incident\u016F, kter\xFD je v souladu\
            \ s hodnocen\xEDm a klasifikac\xED ud\xE1lost\xED proveden\xFDmi podle\
            \ bodu 3.4.1;"
        it:
          description: un sistema di categorizzazione degli incidenti coerente con
            la valutazione e la classificazione degli eventi effettuate a norma del
            punto 3.4.1;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.1.2.b
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.1.2
      ref_id: 3.1.2.b
      description: effective communication plans including for escalation and reporting;
      translations:
        fr:
          description: "des plans de communication efficaces, y compris pour la remont\xE9\
            e de l\u2019information et l\u2019\xE9tablissement des rapports;"
        es:
          description: "planes de comunicaci\xF3n eficaces, especialmente en lo relativo\
            \ a la activaci\xF3n de los niveles sucesivos de intervenci\xF3n y la\
            \ presentaci\xF3n de informes;"
        cs:
          description: "\xFA\u010Dinn\xE9 komunika\u010Dn\xED pl\xE1ny, v\u010Detn\u011B\
            \ pl\xE1n\u016F pro eskalaci a pod\xE1v\xE1n\xED zpr\xE1v;"
        it:
          description: piani di comunicazione efficaci, anche per l'escalation e la
            segnalazione;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.1.2.c
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.1.2
      ref_id: 3.1.2.c
      description: assignment of roles to detect and appropriately respond to incidents
        to competent employees;
      translations:
        fr:
          description: "l\u2019attribution aux membres du personnel comp\xE9tents\
            \ de r\xF4les en vue de d\xE9tecter les incidents et d\u2019y r\xE9agir\
            \ de mani\xE8re appropri\xE9e;"
        es:
          description: "la asignaci\xF3n, a los empleados competentes, de roles para\
            \ detectar y gestionar adecuadamente los incidentes;"
        cs:
          description: "p\u0159id\u011Blen\xED \xFAkol\u016F t\xFDkaj\xEDc\xEDch se\
            \ odhalov\xE1n\xED incident\u016F a vhodn\xE9 reakce na n\u011B kompetentn\xED\
            m zam\u011Bstnanc\u016Fm;"
        it:
          description: assegnazione di ruoli per rilevare e rispondere in modo appropriato
            agli incidenti a dipendenti competenti;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.1.2.d
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.1.2
      ref_id: 3.1.2.d
      description: documents to be used in the course of incident detection and response
        such as incident response manuals, escalation charts, contact lists and templates.
      translations:
        fr:
          description: "les documents \xE0 utiliser dans le cadre de la d\xE9tection\
            \ et de la r\xE9action aux incidents, tels que des guides d\u2019intervention,\
            \ des diagrammes de remont\xE9e de l\u2019information, des listes de contacts\
            \ et des mod\xE8les."
        es:
          description: "los documentos que han de utilizarse durante el proceso para\
            \ detectar y gestionar los incidentes, como, por ejemplo, manuales de\
            \ respuesta a incidentes, cuadros de activaci\xF3n por niveles, listas\
            \ de contactos y plantillas."
        cs:
          description: "dokumenty, kter\xE9 se pou\u017E\xEDvaj\xED p\u0159i odhalov\xE1\
            n\xED incident\u016F a reakci na n\u011B, jako jsou p\u0159\xEDru\u010D\
            ky pro reakci na incidenty, eskala\u010Dn\xED matice, seznamy kontakt\u016F\
            \ a \u0161ablony."
        it:
          description: Documenti da utilizzare nel corso del rilevamento e della risposta
            agli incidenti, come manuali di risposta agli incidenti, grafici di escalation,
            elenchi di contatti e modelli.
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.1.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.1
      ref_id: 3.1.3
      description: The roles, responsibilities and procedures laid down in the policy
        shall be tested and reviewed and, where appropriate, updated at planned intervals
        and after significant incidents or significant changes to operations or risks.
      annotation: "\u2022 Consider one or more of the following to test the entity\u2019\
        s incident handling policy (indicative, non- exhaustive list):\n    o tabletop\
        \ exercise, o simulation of an incident, preferably based on a selected attack\
        \ scenario based on identified risks and the current threat landscape, o red\
        \ team/blue team exercise and o past incident walk-through. \n\u2022 Test\
        \ the roles, responsibilities and procedures laid down in the policy at least\
        \ annually. \n\u2022 Review and update roles, responsibilities and procedures\
        \ laid down in the policy at least annually, taking into account the following,\
        \ in addition to the elements referred to in point 3.1.3 of the Annex to the\
        \ regulation:\n    o results from the policy tests, o changes to the threat\
        \ landscape and cybersecurity legal and regulatory requirements and o changes\
        \ to the policy on the security of network and information systems and/or\
        \ topic-specific policies.\n\n[TIPS]\n\n\u2022 Identify and consider all internal\
        \ and external resources required in the event of an incident and ensure their\
        \ availability at any time:\n    o make sure that personnel are properly trained\
        \ to handle and manage incidents;\n    o identify and consider all external\
        \ stakeholders (e.g. operators, technology suppliers, free and open source\
        \ (20) project contacts, national competent authorities or CSIRTs) necessary\
        \ for incident handling. \n\u2022 Changes in the policy should be communicated\
        \ to the relevant personnel. \n\u2022 Ensure a clear overview of the various\
        \ incident reporting obligations that the entity must fulfil under different\
        \ reporting regimes.\n\n(20) Most software today builds on the rich foundation\
        \ of infrastructure that has been provided freely by free and open source\
        \ software (FOSS) projects and communities. In line with the approach to FOSS\
        \ in Regulation (EU) 2024/2487, this document includes guidance on the responsible\
        \ use of free and open source software in relevant sections, for example in\
        \ sections 5.1 and 6.1."
      typical_evidence: "\u2022 Periodic simulations and awareness raising activities\
        \ to assess the readiness of personnel and the adequacy of the procedures.\
        \ \n\u2022 Incident handling policy testing plans or schedules. \n\u2022 Incident\
        \ handling policy review plans or schedules. \n\u2022 Procedure updates (version\
        \ history), if available.  \n\n[TIPS]\n\n\u2022 Detailed procedures for the\
        \ incident handling policy communicated to personnel as appropriate. \n\u2022\
        \ A list of reporting obligations and deadlines, which may cover both legal\
        \ and contractual obligations."
      translations:
        fr:
          description: "Les r\xF4les, les responsabilit\xE9s et les proc\xE9dures\
            \ d\xE9finis dans la politique sont test\xE9s, r\xE9examin\xE9s et, s\u2019\
            il est besoin, mis \xE0 jour \xE0 intervalles pr\xE9d\xE9finis, ainsi\
            \ qu\u2019apr\xE8s des incidents importants ou lorsque des changements\
            \ majeurs concernant les op\xE9rations ou les risques se sont produits."
          annotation: "\u2022 Envisager un ou plusieurs des \xE9l\xE9ments suivants\
            \ pour tester la politique de traitement des incidents de l\u2019entit\xE9\
            \ (liste indicative, non exhaustive) :\n    o Simulation d\u2019un incident,\
            \ de pr\xE9f\xE9rence sur la base d\u2019un sc\xE9nario d\u2019attaque\
            \ s\xE9lectionn\xE9 en fonction des risques identifi\xE9s et du paysage\
            \ actuel des menaces, o Exercice de l\u2019\xE9quipe rouge/de l\u2019\xE9\
            quipe bleue et o Revue des incidents pass\xE9s. \n\u2022 Mettre \xE0 l\u2019\
            essai les r\xF4les, les responsabilit\xE9s et les proc\xE9dures \xE9nonc\xE9\
            s dans la politique au moins une fois par ann\xE9e. \n\u2022 Examiner\
            \ et mettre \xE0 jour les r\xF4les, responsabilit\xE9s et proc\xE9dures\
            \ d\xE9finis dans la politique au moins une fois par an, en tenant compte\
            \ des \xE9l\xE9ments suivants, en plus des \xE9l\xE9ments vis\xE9s au\
            \ point 3.1.3 de l\u2019annexe du r\xE8glement :\n    o les r\xE9sultats\
            \ des tests de politique, o les modifications apport\xE9es au paysage\
            \ des menaces et aux exigences l\xE9gales et r\xE9glementaires en mati\xE8\
            re de cybers\xE9curit\xE9, et o les modifications apport\xE9es \xE0 la\
            \ politique de s\xE9curit\xE9 des r\xE9seaux et des syst\xE8mes d\u2019\
            information et/ou aux politiques sp\xE9cifiques \xE0 un sujet.\n\n[CONSEILS]\n\
            \n\u2022 Identifier et consid\xE9rer toutes les ressources internes et\
            \ externes n\xE9cessaires en cas d\u2019incident et s\u2019assurer de\
            \ leur disponibilit\xE9 \xE0 tout moment :\n    o s\u2019assurer que le\
            \ personnel est correctement form\xE9 pour g\xE9rer les incidents\_;\n\
            \    o identifier et prendre en compte toutes les parties prenantes externes\
            \ (par exemple, op\xE9rateurs, fournisseurs de technologies, contacts\
            \ de projets libres et open source (20), autorit\xE9s nationales comp\xE9\
            tentes ou CSIRT) n\xE9cessaires au traitement des incidents. \n\u2022\
            \ Les modifications apport\xE9es \xE0 la politique doivent \xEAtre communiqu\xE9\
            es au personnel concern\xE9. \n\u2022 Assurer une vue d\u2019ensemble\
            \ claire des diff\xE9rentes obligations de d\xE9claration d\u2019incidents\
            \ que l\u2019entit\xE9 doit remplir en vertu de diff\xE9rents r\xE9gimes\
            \ de d\xE9claration.\n\n(20) La plupart des logiciels s\u2019appuient\
            \ aujourd\u2019hui sur la riche base d\u2019infrastructure qui a \xE9\
            t\xE9 fournie gratuitement par les projets et les communaut\xE9s de logiciels\
            \ libres et open source (FOSS). Conform\xE9ment \xE0 l\u2019approche des\
            \ logiciels libres et open source dans le r\xE8glement (UE) 2024/2487,\
            \ ce document comprend des orientations sur l\u2019utilisation responsable\
            \ des logiciels libres et open source dans les sections pertinentes, par\
            \ exemple dans les sections 5.1 et 6.1."
          typical_evidence: "\u2022 Simulations p\xE9riodiques et activit\xE9s de\
            \ sensibilisation pour \xE9valuer l\u2019\xE9tat de pr\xE9paration du\
            \ personnel et l\u2019ad\xE9quation des proc\xE9dures. \n\u2022 Gestion\
            \ des incidents, politique, plans de test ou calendriers. \n\u2022 Gestion\
            \ des incidents, plans ou calendriers de r\xE9vision des politiques. \n\
            \u2022 Mises \xE0 jour des proc\xE9dures (historique des versions), le\
            \ cas \xE9ch\xE9ant.  \n\n[CONSEILS]\n\n\u2022 Proc\xE9dures d\xE9taill\xE9\
            es pour la politique de gestion des incidents communiqu\xE9es au personnel\
            \ le cas \xE9ch\xE9ant. \n\u2022 Une liste des obligations et des d\xE9\
            lais de d\xE9claration, qui peuvent couvrir \xE0 la fois les obligations\
            \ l\xE9gales et contractuelles."
        es:
          description: "Los roles, responsabilidades y procedimientos establecidos\
            \ en la pol\xEDtica se probar\xE1n, revisar\xE1n y, cuando proceda, se\
            \ actualizar\xE1n a intervalos planificados, as\xED como cuando se produzcan\
            \ incidentes significativos o cambios significativos en las operaciones\
            \ o los riesgos."
          annotation: "\u2022 Considere una o m\xE1s de las siguientes opciones para\
            \ probar la pol\xEDtica de manejo de incidentes de la entidad (lista indicativa\
            \ y no exhaustiva):\n    o Ejercicio de mesa, o Simulaci\xF3n de un incidente,\
            \ preferiblemente basado en un escenario de ataque seleccionado en funci\xF3\
            n de los riesgos identificados y el panorama actual de amenazas, o Ejercicio\
            \ de equipo rojo/equipo azul y o Recorrido por incidentes anteriores.\
            \ \n\u2022 Evaluar las funciones, responsabilidades y procedimientos establecidos\
            \ en la pol\xEDtica al menos una vez al a\xF1o. \n\u2022 Revisar y actualizar\
            \ las funciones, responsabilidades y procedimientos establecidos en la\
            \ pol\xEDtica al menos una vez al a\xF1o, teniendo en cuenta, adem\xE1\
            s de los elementos mencionados en el punto 3.1.3 del anexo del Reglamento,\
            \ lo siguiente:\n    o los resultados de las pruebas de pol\xEDticas,\
            \ o cambios en el panorama de amenazas y los requisitos legales y reglamentarios\
            \ de ciberseguridad y o cambios en la pol\xEDtica de seguridad de las\
            \ redes y sistemas de informaci\xF3n y/o pol\xEDticas tem\xE1ticas.\n\n\
            [CONSEJOS]\n\n\u2022 Identificar y considerar todos los recursos internos\
            \ y externos necesarios en caso de incidencia y asegurar su disponibilidad\
            \ en todo momento:\n    o asegurarse de que el personal est\xE9 debidamente\
            \ capacitado para manejar y gestionar incidentes;\n    o identificar y\
            \ tener en cuenta a todas las partes interesadas externas (por ejemplo,\
            \ operadores, proveedores de tecnolog\xEDa, contactos de proyectos gratuitos\
            \ y de c\xF3digo abierto (20), autoridades nacionales competentes o CSIRT)\
            \ necesarios para la gesti\xF3n de incidentes. \n\u2022 Los cambios en\
            \ la pol\xEDtica deben ser comunicados al personal pertinente. \n\u2022\
            \ Garantizar una visi\xF3n clara de las diversas obligaciones de notificaci\xF3\
            n de incidentes que la entidad debe cumplir en virtud de los diferentes\
            \ reg\xEDmenes de informaci\xF3n.\n\n(20) En la actualidad, la mayor parte\
            \ del software se basa en la rica base de infraestructura que ha sido\
            \ proporcionada libremente por proyectos y comunidades de software libre\
            \ y de c\xF3digo abierto (FOSS). En consonancia con el enfoque del software\
            \ libre del Reglamento (UE) 2024/2487, el presente documento incluye orientaciones\
            \ sobre el uso responsable del software libre y de c\xF3digo abierto en\
            \ las secciones pertinentes, por ejemplo, en las secciones 5.1 y 6.1."
          typical_evidence: "\u2022 Simulacros peri\xF3dicos y actividades de sensibilizaci\xF3\
            n para evaluar la preparaci\xF3n del personal y la idoneidad de los procedimientos.\
            \ \n\u2022 Manejo de incidentes, planes o cronogramas de pruebas. \n\u2022\
            \ Manejo de incidentes, planes o cronogramas de revisi\xF3n de pol\xED\
            ticas. \n\u2022 Actualizaciones de procedimientos (historial de versiones),\
            \ si est\xE1n disponibles.  \n\n[CONSEJOS]\n\n\u2022 Procedimientos detallados\
            \ para la pol\xEDtica de manejo de incidentes comunicados al personal\
            \ seg\xFAn corresponda. \n\u2022 Una lista de obligaciones de informaci\xF3\
            n y plazos, que pueden abarcar tanto obligaciones legales como contractuales."
        cs:
          description: "\xDAkoly, odpov\u011Bdnosti a postupy stanoven\xE9 v politice\
            \ se testuj\xED, p\u0159ezkoum\xE1vaj\xED a v p\u0159\xEDpad\u011B pot\u0159\
            eby aktualizuj\xED v pl\xE1novan\xFDch intervalech a po v\xFDznamn\xFD\
            ch incidentech nebo v\xFDznamn\xFDch zm\u011Bn\xE1ch operac\xED \u010D\
            i rizik."
          annotation: "\u2022 Zva\u017Ete jednu nebo v\xEDce z n\xE1sleduj\xEDc\xED\
            ch mo\u017Enost\xED pro otestov\xE1n\xED z\xE1sad subjektu pro zpracov\xE1\
            n\xED incident\u016F (orienta\u010Dn\xED, ne\xFApln\xFD seznam):\n   \
            \ o Stoln\xED cvi\u010Den\xED, o Simulace incidentu, nejl\xE9pe na z\xE1\
            klad\u011B vybran\xE9ho sc\xE9n\xE1\u0159e \xFAtoku na z\xE1klad\u011B\
            \ identifikovan\xFDch rizik a sou\u010Dasn\xE9ho prost\u0159ed\xED hrozeb,\
            \ o Cvi\u010Den\xED \u010Derven\xE9ho t\xFDmu / Modr\xE9ho t\xFDmu a o\
            \ Prohl\xEDdka minul\xFDch incident\u016F. \n\u2022 Alespo\u0148 jednou\
            \ ro\u010Dn\u011B testovat role, odpov\u011Bdnosti a postupy stanoven\xE9\
            \ v z\xE1sad\xE1ch. \n\u2022 Alespo\u0148 jednou ro\u010Dn\u011B p\u0159\
            ezkoumat a aktualizovat \xFAlohy, povinnosti a postupy stanoven\xE9 v\
            \ z\xE1sad\xE1ch, p\u0159i\u010Dem\u017E krom\u011B prvk\u016F uveden\xFD\
            ch v bod\u011B 3.1.3 p\u0159\xEDlohy na\u0159\xEDzen\xED zohledn\xED n\xE1\
            sleduj\xEDc\xED skute\u010Dnosti:\n    o vypl\xFDv\xE1 z test\u016F z\xE1\
            sad, o zm\u011Bn v prost\u0159ed\xED hrozeb a pr\xE1vn\xEDch a regula\u010D\
            n\xEDch po\u017Eadavk\u016F v oblasti kybernetick\xE9 bezpe\u010Dnosti\
            \ a o zm\u011Bn z\xE1sad bezpe\u010Dnosti s\xEDt\xED a informa\u010Dn\xED\
            ch syst\xE9m\u016F a/nebo z\xE1sad specifick\xFDch pro dan\xE9 t\xE9ma.\n\
            \n[TIPY]\n\n\u2022 Identifikovat a zv\xE1\u017Eit v\u0161echny intern\xED\
            \ a extern\xED zdroje pot\u0159ebn\xE9 v p\u0159\xEDpad\u011B incidentu\
            \ a zajistit jejich dostupnost kdykoli:\n    o zajistit, aby person\xE1\
            l byl \u0159\xE1dn\u011B vy\u0161kolen pro zvl\xE1d\xE1n\xED a \u0159\xED\
            zen\xED incident\u016F;\n    o ur\u010Dit a zv\xE1\u017Eit v\u0161echny\
            \ extern\xED z\xFA\u010Dastn\u011Bn\xE9 strany (nap\u0159. provozovatele,\
            \ dodavatele technologi\xED, kontakty na projekty s voln\xFDm a otev\u0159\
            en\xFDm zdrojov\xFDm k\xF3dem (20), p\u0159\xEDslu\u0161n\xE9 vnitrost\xE1\
            tn\xED org\xE1ny nebo t\xFDmy CSIRT), kter\xE9 jsou nezbytn\xE9 pro \u0159\
            e\u0161en\xED incident\u016F. \n\u2022 Zm\u011Bny v z\xE1sad\xE1ch by\
            \ m\u011Bly b\xFDt ozn\xE1meny p\u0159\xEDslu\u0161n\xFDm pracovn\xED\
            k\u016Fm. \n\u2022 Zajistit jasn\xFD p\u0159ehled o r\u016Fzn\xFDch povinnostech\
            \ hl\xE1\u0161en\xED incident\u016F, kter\xE9 mus\xED subjekt splnit v\
            \ r\xE1mci r\u016Fzn\xFDch re\u017Eim\u016F hl\xE1\u0161en\xED.\n\nV\u011B\
            t\u0161ina softwaru dnes stav\xED na bohat\xFDch z\xE1kladech infrastruktury,\
            \ kter\xE1 byla voln\u011B poskytov\xE1na projekty a komunitami svobodn\xE9\
            ho a otev\u0159en\xE9ho softwaru (FOSS). V souladu s p\u0159\xEDstupem\
            \ k FOSS v na\u0159\xEDzen\xED (EU) 2024/2487 obsahuje tento dokument\
            \ pokyny k odpov\u011Bdn\xE9mu pou\u017E\xEDv\xE1n\xED svobodn\xE9ho a\
            \ otev\u0159en\xE9ho softwaru v p\u0159\xEDslu\u0161n\xFDch odd\xEDlech,\
            \ nap\u0159\xEDklad v odd\xEDlech 5.1 a 6.1."
          typical_evidence: "\u2022 Pravideln\xE9 simulace a osv\u011Btov\xE9 aktivity\
            \ s c\xEDlem posoudit p\u0159ipravenost person\xE1lu a adekv\xE1tnost\
            \ postup\u016F. \n\u2022 Pl\xE1nov\xE1n\xED nebo harmonogramy testov\xE1\
            n\xED z\xE1sad \u0159e\u0161en\xED incident\u016F. \n\u2022 Pl\xE1nov\xE1\
            n\xED nebo harmonogramy p\u0159ezkumu z\xE1sad \u0159e\u0161en\xED incident\u016F\
            . \n\u2022 Aktualizace postup\u016F (historie verz\xED), pokud jsou k\
            \ dispozici.  \n\n[TIPY]\n\n\u2022 Podrobn\xE9 postupy pro z\xE1sady \u0159\
            e\u0161en\xED incident\u016F, kter\xE9 jsou podle pot\u0159eby sd\u011B\
            leny person\xE1lu. \n\u2022 Seznam oznamovac\xEDch povinnost\xED a lh\u016F\
            t, kter\xE9 mohou zahrnovat jak z\xE1konn\xE9, tak smluvn\xED z\xE1vazky."
        it:
          description: "I ruoli, le responsabilit\xE0 e le procedure stabiliti nella\
            \ politica sono verificati e riesaminati e, se del caso, aggiornati a\
            \ intervalli pianificati e dopo incidenti significativi o modifiche significative\
            \ delle operazioni o dei rischi."
          annotation: "\u2022 Considerare uno o pi\xF9 dei seguenti fattori per testare\
            \ la politica di gestione degli incidenti dell'entit\xE0 (elenco indicativo\
            \ e non esaustivo):\n    o esercitazione da tavolo, o simulazione di un\
            \ incidente, preferibilmente basata su uno scenario di attacco selezionato\
            \ in base ai rischi identificati e all'attuale panorama delle minacce,\
            \ o esercitazione del red team/blue team e o procedura dettagliata degli\
            \ incidenti passati. \n\u2022 Testare i ruoli, le responsabilit\xE0 e\
            \ le procedure previste dalla politica almeno una volta all'anno. \n\u2022\
            \ Riesaminare e aggiornare i ruoli, le responsabilit\xE0 e le procedure\
            \ previste dalla politica con cadenza almeno annuale, tenendo conto, oltre\
            \ che degli elementi di cui al punto 3.1.3 dell'Allegato al regolamento:\n\
            \    o risultati dei test delle politiche, o modifiche al panorama delle\
            \ minacce e ai requisiti legali e normativi in materia di sicurezza informatica\
            \ e o modifiche alla politica sulla sicurezza delle reti e dei sistemi\
            \ informativi e/o alle politiche specifiche per argomento.\n\n[CONSIGLI]\n\
            \n\u2022 Identificare e considerare tutte le risorse interne ed esterne\
            \ necessarie in caso di incidente e garantirne la disponibilit\xE0 in\
            \ qualsiasi momento:\n    o assicurarsi che il personale sia adeguatamente\
            \ formato per gestire e gestire gli incidenti;\n    o individuare e prendere\
            \ in considerazione tutti i portatori di interessi esterni (ad esempio\
            \ operatori, fornitori di tecnologia, referenti di progetti gratuiti e\
            \ open source (20), autorit\xE0 nazionali competenti o CSIRT) necessari\
            \ per la gestione degli incidenti. \n\u2022 Le modifiche alla politica\
            \ devono essere comunicate al personale competente. \n\u2022 Garantire\
            \ una chiara panoramica dei vari obblighi di segnalazione degli incidenti\
            \ che l'entit\xE0 deve adempiere nell'ambito dei diversi regimi di segnalazione.\n\
            \n(20) La maggior parte del software oggi si basa sulle ricche fondamenta\
            \ dell'infrastruttura che \xE8 stata fornita gratuitamente da progetti\
            \ e comunit\xE0 di software libero e open source (FOSS). In linea con\
            \ l'approccio al FOSS di cui al regolamento (UE) 2024/2487, il presente\
            \ documento include orientamenti sull'uso responsabile del software libero\
            \ e open source nelle sezioni pertinenti, ad esempio nelle sezioni 5.1\
            \ e 6.1."
          typical_evidence: "\u2022 Simulazioni periodiche e attivit\xE0 di sensibilizzazione\
            \ per valutare la prontezza del personale e l'adeguatezza delle procedure.\
            \ \n\u2022 Gestione degli incidenti, piani o programmi di test delle policy.\
            \ \n\u2022 Gestione degli incidenti, piani o programmi di revisione delle\
            \ politiche. \n\u2022 Aggiornamenti della procedura (cronologia delle\
            \ versioni), se disponibili.  \n\n[CONSIGLI]\n\n\u2022 Procedure dettagliate\
            \ per la politica di gestione degli incidenti comunicate al personale,\
            \ se del caso. \n\u2022 Un elenco degli obblighi di comunicazione e delle\
            \ scadenze, che possono riguardare sia gli obblighi legali che quelli\
            \ contrattuali."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.2
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3
      ref_id: '3.2'
      name: Monitoring and logging
      translations:
        fr:
          name: Surveillance et journalisation
        es:
          name: "Supervisi\xF3n y registro"
        cs:
          name: "Monitorov\xE1n\xED a veden\xED protokol\u016F"
        it:
          name: Monitoraggio e registrazione
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.2.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.2
      ref_id: 3.2.1
      description: The relevant entities shall lay down procedures and use tools to
        monitor and log activities on their network and information systems to detect
        events that could be considered as incidents and respond accordingly to mitigate
        the impact.
      annotation: "\u2022 Identify one or more objectives of monitoring and logging\
        \ (indicative, non-exhaustive list):\n    o threat detection, o compliance\
        \ assurance, o incident response support, o performance optimisation, o anomaly\
        \ detection, o monitor for new vulnerability reports issued for any free and\
        \ open source software components (21) used by the entity, o data loss prevention,\
        \ o forensic investigations support and o network health monitoring. \n\u2022\
        \ Procedures should describe (indicative, non-exhaustive list):\n    o objectives,\
        \ o data for collection and relevant tools, o description of data algorithms\
        \ and o mechanisms for notifying the relevant personnel.  \n\u2022 Select\
        \ tools that serve the objectives of monitoring and logging according to specific\
        \ criteria (indicative, non-exhaustive list):\n    o ease of use, o integration\
        \ with the existing network and information system, including cross-border\
        \ operations and the associated regulatory, security and performance considerations,\
        \ o minimisation of manual intervention, o capability of collecting data from\
        \ various sources, for example networks, systems and applications, o security\
        \ features offered, for example encryption and access control and o costs\
        \ and licencing.\n\n(21) Article 3(6) of the Cyber Resilience Act."
      typical_evidence: "\u2022 Procedures in place. \n\u2022 Tools in place. \n\u2022\
        \ Configuration settings of the logging function that serve the identified\
        \ objectives. \n\u2022 Configuration settings of the logging function in line\
        \ with documented standards and/or good practices. \n\u2022 Safeguards to\
        \ protect the confidentiality, integrity and availability of logs."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es \xE9tablissent des proc\xE9dures\
            \ et utilisent des outils pour surveiller et journaliser les activit\xE9\
            s sur leurs r\xE9seaux et dans leurs syst\xE8mes d\u2019information afin\
            \ de d\xE9tecter les \xE9v\xE9nements qui pourraient \xEAtre consid\xE9\
            r\xE9s comme des incidents et de r\xE9agir en cons\xE9quence pour en att\xE9\
            nuer l\u2019impact."
          annotation: "\u2022 Identifier un ou plusieurs objectifs de surveillance\
            \ et d\u2019enregistrement (liste indicative non exhaustive) :\n    o\
            \ D\xE9tection des menaces, o Assurance conformit\xE9, o Assistance \xE0\
            \ la r\xE9ponse aux incidents, o Optimisation des performances, o D\xE9\
            tection d\u2019anomalies, o Surveiller les nouveaux rapports de vuln\xE9\
            rabilit\xE9 \xE9mis pour tous les composants logiciels libres et open\
            \ source (21) utilis\xE9s par l\u2019entit\xE9, o Pr\xE9vention des pertes\
            \ de donn\xE9es, o Assistance aux enqu\xEAtes m\xE9dico-l\xE9gales et\
            \ o Surveillance de l\u2019\xE9tat du r\xE9seau. \n\u2022 Les proc\xE9\
            dures doivent d\xE9crire (liste indicative, non exhaustive) :\n    o les\
            \ objectifs, o les donn\xE9es pour la collecte et les outils pertinents,\
            \ o la description des algorithmes de donn\xE9es et o les m\xE9canismes\
            \ de notification du personnel concern\xE9.  \n\u2022 S\xE9lectionner\
            \ des outils au service des objectifs de surveillance et de journalisation\
            \ selon des crit\xE8res pr\xE9cis (liste indicative, non exhaustive) :\n\
            \    o la facilit\xE9 d\u2019utilisation, o l\u2019int\xE9gration avec\
            \ le r\xE9seau et le syst\xE8me d\u2019information existants, y compris\
            \ les op\xE9rations transfrontali\xE8res et les consid\xE9rations r\xE9\
            glementaires, de s\xE9curit\xE9 et de performance associ\xE9es, o la minimisation\
            \ des interventions manuelles, o la capacit\xE9 de collecter des donn\xE9\
            es provenant de diverses sources, par exemple les r\xE9seaux, les syst\xE8\
            mes et les applications, o les caract\xE9ristiques de s\xE9curit\xE9 offertes,\
            \ par exemple le cryptage et le contr\xF4le d\u2019acc\xE8s et o les co\xFB\
            ts et les licences.\n\n(21) Article 3, paragraphe 6, de la l\xE9gislation\
            \ sur la cyberr\xE9silience."
          typical_evidence: "\u2022 Proc\xE9dures en place. \n\u2022 Outils en place.\
            \ \n\u2022 Param\xE8tres de configuration de la fonction de journalisation\
            \ qui servent les objectifs identifi\xE9s. \n\u2022 Param\xE9trage de\
            \ la fonction de journalisation conform\xE9ment aux normes document\xE9\
            es et/ou aux bonnes pratiques. \n\u2022 Des mesures de protection pour\
            \ prot\xE9ger la confidentialit\xE9, l\u2019int\xE9grit\xE9 et la disponibilit\xE9\
            \ des journaux."
        es:
          description: "Las entidades pertinentes establecer\xE1n procedimientos y\
            \ utilizar\xE1n herramientas para supervisar y registrar las actividades\
            \ en sus sistemas de redes y de informaci\xF3n a fin de detectar sucesos\
            \ que puedan considerarse incidentes y dar una respuesta consecuente para\
            \ mitigar su impacto."
          annotation: "\u2022 Identificar uno o m\xE1s objetivos de monitoreo y registro\
            \ (lista indicativa, no exhaustiva):\n    o detecci\xF3n de amenazas,\
            \ o aseguramiento del cumplimiento, o soporte de respuesta a incidentes,\
            \ o optimizaci\xF3n del rendimiento, o detecci\xF3n de anomal\xEDas, o\
            \ seguimiento de nuevos informes de vulnerabilidad emitidos para cualquier\
            \ componente de software libre y de c\xF3digo abierto (21) utilizado por\
            \ la entidad, o prevenci\xF3n de p\xE9rdida de datos, o apoyo a investigaciones\
            \ forenses y o monitorizaci\xF3n del estado de la red. \n\u2022 Los procedimientos\
            \ deben describir (lista indicativa y no exhaustiva):\n    o objetivos,\
            \ o datos para la recopilaci\xF3n y herramientas relevantes, o descripci\xF3\
            n de algoritmos de datos y o mecanismos para notificar al personal relevante.\
            \  \n\u2022 Seleccionar herramientas que sirvan a los objetivos de monitoreo\
            \ y registro de acuerdo con criterios espec\xEDficos (lista indicativa,\
            \ no exhaustiva):\n    o facilidad de uso, o integraci\xF3n con la red\
            \ y el sistema de informaci\xF3n existentes, incluidas las operaciones\
            \ transfronterizas y las consideraciones reglamentarias, de seguridad\
            \ y de rendimiento asociadas, o minimizaci\xF3n de la intervenci\xF3n\
            \ manual, o capacidad de recopilar datos de diversas fuentes, por ejemplo,\
            \ redes, sistemas y aplicaciones, o caracter\xEDsticas de seguridad ofrecidas,\
            \ por ejemplo, cifrado y control de acceso y o costes y licencias.\n\n\
            (21) Art\xEDculo 3, apartado 6, de la Ley de Ciberresiliencia."
          typical_evidence: "\u2022 Procedimientos establecidos. \n\u2022 Herramientas\
            \ en su lugar. \n\u2022 Ajustes de configuraci\xF3n de la funci\xF3n de\
            \ registro que sirven a los objetivos identificados. \n\u2022 Ajustes\
            \ de configuraci\xF3n de la funci\xF3n de registro de acuerdo con est\xE1\
            ndares documentados y/o buenas pr\xE1cticas. \n\u2022 Salvaguardas para\
            \ proteger la confidencialidad, integridad y disponibilidad de los registros."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty stanov\xED postupy a pou\u017E\
            \xEDvaj\xED n\xE1stroje pro \u010Dinnosti v r\xE1mci monitorov\xE1n\xED\
            \ a veden\xED protokol\u016F ve sv\xFDch s\xEDt\xEDch a informa\u010D\
            n\xEDch syst\xE9mech s c\xEDlem odhalit ud\xE1losti, kter\xE9 by mohly\
            \ b\xFDt pova\u017Eov\xE1ny za incidenty, a odpov\xEDdaj\xEDc\xEDm zp\u016F\
            sobem na n\u011B reagovat, aby bylo mo\u017En\xE9 zm\xEDrnit dopad."
          annotation: "\u2022 Ur\u010Dete jeden nebo v\xEDce c\xEDl\u016F monitorov\xE1\
            n\xED a protokolov\xE1n\xED (orienta\u010Dn\xED, ne\xFApln\xFD seznam):\n\
            \    o detekce hrozeb, o zaji\u0161t\u011Bn\xED souladu, o podpora reakce\
            \ na incidenty, o optimalizace v\xFDkonu, o detekce anom\xE1li\xED, o\
            \ sledov\xE1n\xED nov\xFDch zpr\xE1v o zranitelnostech vydan\xFDch pro\
            \ jak\xE9koli bezplatn\xE9 a open source softwarov\xE9 komponenty (21)\
            \ pou\u017E\xEDvan\xE9 subjektem, o prevence ztr\xE1ty dat, o podpora\
            \ forenzn\xEDho vy\u0161et\u0159ov\xE1n\xED a o monitorov\xE1n\xED stavu\
            \ s\xEDt\u011B. \n\u2022 Postupy by m\u011Bly popisovat (orienta\u010D\
            n\xED, ne\xFApln\xFD seznam):\n    o c\xEDle, o \xFAdaje pro sb\u011B\
            r a p\u0159\xEDslu\u0161n\xE9 n\xE1stroje, o popis datov\xFDch algoritm\u016F\
            \ a o mechanismy pro oznamov\xE1n\xED p\u0159\xEDslu\u0161n\xFDm pracovn\xED\
            k\u016Fm.  \n\u2022 Vyberte n\xE1stroje, kter\xE9 slou\u017E\xED c\xED\
            l\u016Fm monitorov\xE1n\xED a protokolov\xE1n\xED podle konkr\xE9tn\xED\
            ch krit\xE9ri\xED (orienta\u010Dn\xED, ne\xFApln\xFD seznam):\n    o snadnost\
            \ pou\u017Eit\xED, o integrace se st\xE1vaj\xEDc\xED s\xEDt\xED a informa\u010D\
            n\xEDm syst\xE9mem, v\u010Detn\u011B p\u0159eshrani\u010Dn\xEDch operac\xED\
            \ a souvisej\xEDc\xEDch regula\u010Dn\xEDch, bezpe\u010Dnostn\xEDch a\
            \ v\xFDkonnostn\xEDch aspekt\u016F, o minimalizace manu\xE1ln\xEDch z\xE1\
            sah\u016F, o schopnost shroma\u017E\u010Fovat \xFAdaje z r\u016Fzn\xFD\
            ch zdroj\u016F, nap\u0159\xEDklad s\xEDt\xED, syst\xE9m\u016F a aplikac\xED\
            , o nab\xEDzen\xE9 bezpe\u010Dnostn\xED prvky, nap\u0159\xEDklad \u0161\
            ifrov\xE1n\xED a kontrola p\u0159\xEDstupu a o n\xE1klady a licence.\n\
            \n(21) \u010Cl. 3 odst. 6 z\xE1kona o kybernetick\xE9 odolnosti."
          typical_evidence: "\u2022 Zaveden\xE9 postupy. \n\u2022 N\xE1stroje na m\xED\
            st\u011B. \n\u2022 Konfigura\u010Dn\xED nastaven\xED funkce protokolov\xE1\
            n\xED, kter\xE9 slou\u017E\xED stanoven\xFDm c\xEDl\u016Fm. \n\u2022 Nastaven\xED\
            \ konfigurace funkce protokolov\xE1n\xED v souladu s dokumentovan\xFD\
            mi standardy a/nebo osv\u011Bd\u010Den\xFDmi postupy. \n\u2022 Z\xE1ruky\
            \ na ochranu d\u016Fv\u011Brnosti, integrity a dostupnosti protokol\u016F\
            ."
        it:
          description: "I soggetti pertinenti stabiliscono procedure e utilizzano\
            \ strumenti per monitorare e registrare le attivit\xE0 sulla loro rete\
            \ e sui loro sistemi informativi al fine di individuare eventi che potrebbero\
            \ essere considerati incidenti e rispondere di conseguenza per attenuarne\
            \ l'impatto."
          annotation: "\u2022 Identificare uno o pi\xF9 obiettivi di monitoraggio\
            \ e registrazione (elenco indicativo, non esaustivo):\n    o Rilevamento\
            \ delle minacce, o Garanzia di conformit\xE0, o Supporto per la risposta\
            \ agli incidenti, o Ottimizzazione delle prestazioni, o Rilevamento delle\
            \ anomalie, o Monitoraggio di nuovi rapporti di vulnerabilit\xE0 emessi\
            \ per qualsiasi componente software gratuito e open source (21) utilizzato\
            \ dall'entit\xE0, o Prevenzione della perdita di dati, o Supporto per\
            \ indagini forensi e o Monitoraggio dello stato di salute della rete.\
            \ \n\u2022 Le procedure devono descrivere (elenco indicativo, non esaustivo):\n\
            \    o obiettivi, o dati per la raccolta e strumenti pertinenti, o descrizione\
            \ degli algoritmi di dati e o meccanismi per la notifica al personale\
            \ interessato.  \n\u2022 Selezionare strumenti che servano agli obiettivi\
            \ di monitoraggio e registrazione secondo criteri specifici (elenco indicativo,\
            \ non esaustivo):\n    o facilit\xE0 d'uso, o integrazione con la rete\
            \ e il sistema informativo esistenti, comprese le operazioni transfrontaliere\
            \ e le relative considerazioni normative, di sicurezza e di prestazioni,\
            \ o riduzione al minimo dell'intervento manuale, o capacit\xE0 di raccogliere\
            \ dati da varie fonti, ad esempio reti, sistemi e applicazioni, o funzionalit\xE0\
            \ di sicurezza offerte, ad esempio crittografia e controllo degli accessi,\
            \ o costi e licenze.\n\n(21) Articolo 3, comma 6, della legge sulla ciberresilienza."
          typical_evidence: "\u2022 Procedure in atto. \n\u2022 Strumenti in posizione.\
            \ \n\u2022 Impostazioni di configurazione della funzione di registrazione\
            \ che servono agli obiettivi identificati. \n\u2022 Impostazioni di configurazione\
            \ della funzione di registrazione in linea con standard documentati e/o\
            \ buone pratiche. \n\u2022 Misure di salvaguardia per proteggere la riservatezza,\
            \ l'integrit\xE0 e la disponibilit\xE0 dei registri."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.2.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.2
      ref_id: 3.2.2
      description: To the extent feasible, monitoring shall be automated and carried
        out either continuously or in periodic intervals, subject to business capabilities.
        The relevant entities shall implement their monitoring activities in a way
        which minimises false positives and false negatives.
      annotation: "\u2022 To minimise false positives and false negatives, to the\
        \ extent feasible, consider one or more of the following (indicative, non-exhaustive\
        \ list):\n    o establish network traffic patterns;\n    o use analytics and\
        \ machine learning algorithms;\n    o continuously update the automated monitoring\
        \ tools to adapt to new threats and changes in the environment; and\n    o\
        \ fine-tune the parameters and thresholds based on the latest data and feedback.\
        \ \n\u2022 Where appropriate, ensure that all potential risks are properly\
        \ covered by relevant use cases, for example use case for access to critical\
        \ data, use case for data exfiltration or use case for ransomware infection,\
        \ so that no critical threat goes undetected."
      typical_evidence: "\u2022 Acceptable log monitoring, collection, storage and\
        \ analysis tools, in line with the state of the art. \n\u2022 Security Incident\
        \ and Event Management (SIEM) systems used to analyse data and identify deviations\
        \ from established patterns. \n\u2022 Endpoint detection and response (EDR)\
        \ and Extended Detection and Response (XDR) tools in place. \n\u2022 Mechanisms\
        \ that aim to minimise false positives and false negatives are in place. \n\
        \u2022 Where appropriate, mapping use cases to potential risks to ensure comprehensive\
        \ and effective monitoring."
      translations:
        fr:
          description: "Dans la mesure du possible, la surveillance est automatis\xE9\
            e et r\xE9alis\xE9e soit en continu soit \xE0 intervalles r\xE9guliers,\
            \ sous r\xE9serve de capacit\xE9s op\xE9rationnelles. Les entit\xE9s concern\xE9\
            es mettent en \u0153uvre leurs activit\xE9s de surveillance de mani\xE8\
            re \xE0 r\xE9duire au minimum les faux positifs et les faux n\xE9gatifs."
          annotation: "\u2022 Pour minimiser les faux positifs et les faux n\xE9gatifs,\
            \ dans la mesure du possible, envisagez un ou plusieurs des \xE9l\xE9\
            ments suivants (liste indicative, non exhaustive) :\n    o \xC9tablir\
            \ des mod\xE8les de trafic r\xE9seau\_;\n    o Utiliser des algorithmes\
            \ d\u2019analyse et d\u2019apprentissage automatique ;\n    o Mettre \xE0\
            \ jour en permanence les outils de surveillance automatis\xE9e pour s\u2019\
            adapter aux nouvelles menaces et aux changements de l\u2019environnement\
            \ ; et\n    o Affinez les param\xE8tres et les seuils en fonction des\
            \ derni\xE8res donn\xE9es et des retours d\u2019exp\xE9rience. \n\u2022\
            \ Le cas \xE9ch\xE9ant, assurez-vous que tous les risques potentiels sont\
            \ correctement couverts par les cas d\u2019utilisation pertinents, par\
            \ exemple le cas d\u2019utilisation pour l\u2019acc\xE8s aux donn\xE9\
            es critiques, le cas d\u2019utilisation pour l\u2019exfiltration de donn\xE9\
            es ou le cas d\u2019utilisation pour l\u2019infection par ransomware,\
            \ afin qu\u2019aucune menace critique ne passe inaper\xE7ue."
          typical_evidence: "\u2022 Outils de surveillance, de collecte, de stockage\
            \ et d\u2019analyse des journaux acceptables, conformes \xE0 l\u2019\xE9\
            tat de l\u2019art. \n\u2022 Syst\xE8mes de gestion des incidents et des\
            \ \xE9v\xE9nements de s\xE9curit\xE9 (SIEM) utilis\xE9s pour analyser\
            \ les donn\xE9es et identifier les \xE9carts par rapport aux mod\xE8les\
            \ \xE9tablis. \n\u2022 Mise en place d\u2019outils de d\xE9tection et\
            \ de r\xE9ponse aux points de terminaison (EDR) et de d\xE9tection et\
            \ de r\xE9ponse \xE9tendues (XDR). \n\u2022 Des m\xE9canismes visant \xE0\
            \ minimiser les faux positifs et les faux n\xE9gatifs sont en place. \n\
            \u2022 Le cas \xE9ch\xE9ant, cartographier les cas d\u2019utilisation\
            \ et les risques potentiels afin d\u2019assurer un suivi complet et efficace."
        es:
          description: "En la medida de lo posible, la supervisi\xF3n se automatizar\xE1\
            \ y se llevar\xE1 a cabo bien de forma continua bien a intervalos peri\xF3\
            dicos, en funci\xF3n de las capacidades operativas. Las entidades pertinentes\
            \ pondr\xE1n en marcha sus actividades de seguimiento de manera que se\
            \ minimicen los falsos positivos y falsos negativos."
          annotation: "\u2022 Para reducir al m\xEDnimo los falsos positivos y los\
            \ falsos negativos, en la medida de lo posible, considere una o m\xE1\
            s de las siguientes opciones (lista indicativa y no exhaustiva):\n   \
            \ o establecer patrones de tr\xE1fico de red;\n    o utilizar algoritmos\
            \ de an\xE1lisis y aprendizaje autom\xE1tico;\n    o actualizar continuamente\
            \ las herramientas de monitoreo automatizado para adaptarse a nuevas amenazas\
            \ y cambios en el entorno; y\n    o Ajuste los par\xE1metros y umbrales\
            \ en funci\xF3n de los datos y comentarios m\xE1s recientes. \n\u2022\
            \ Cuando proceda, garantizar que todos los riesgos potenciales est\xE9\
            n debidamente cubiertos por los casos de uso pertinentes, por ejemplo,\
            \ el caso de uso para el acceso a datos cr\xEDticos, el caso de uso para\
            \ la exfiltraci\xF3n de datos o el caso de uso para la infecci\xF3n por\
            \ ransomware, de modo que ninguna amenaza cr\xEDtica quede sin detectar."
          typical_evidence: "\u2022 Herramientas aceptables de monitoreo, recopilaci\xF3\
            n, almacenamiento y an\xE1lisis de registros, en l\xEDnea con el estado\
            \ de la t\xE9cnica. \n\u2022 Sistemas de Gesti\xF3n de Incidentes y Eventos\
            \ de Seguridad (SIEM) utilizados para analizar datos e identificar desviaciones\
            \ de los patrones establecidos. \n\u2022 Implementaci\xF3n de herramientas\
            \ de detecci\xF3n y respuesta de endpoints (EDR) y detecci\xF3n y respuesta\
            \ extendidas (XDR). \n\u2022 Existen mecanismos destinados a minimizar\
            \ los falsos positivos y falsos negativos. \n\u2022 Cuando proceda, mapear\
            \ los casos de uso con los riesgos potenciales para garantizar un seguimiento\
            \ exhaustivo y eficaz."
        cs:
          description: "Monitorov\xE1n\xED mus\xED b\xFDt v provediteln\xE9m rozsahu\
            \ automatizovan\xE9 a v z\xE1vislosti na kapacit\xE1ch podniku prov\xE1\
            d\u011Bn\xE9 bu\u010F nep\u0159etr\u017Eit\u011B, nebo v pravideln\xFD\
            ch intervalech. P\u0159\xEDslu\u0161n\xE9 subjekty prov\xE1d\u011Bj\xED\
            \ sv\xE9 monitorovac\xED \u010Dinnosti zp\u016Fsobem, kter\xFD minimalizuje\
            \ fale\u0161n\u011B pozitivn\xED a fale\u0161n\u011B negativn\xED v\xFD\
            sledky."
          annotation: "\u2022 Chcete-li v provediteln\xE9 m\xED\u0159e minimalizovat\
            \ fale\u0161n\u011B pozitivn\xED a fale\u0161n\u011B negativn\xED v\xFD\
            sledky, zva\u017Ete jeden nebo v\xEDce z n\xE1sleduj\xEDc\xEDch (orienta\u010D\
            n\xED, ne\xFApln\xFD seznam):\n    o vytvo\u0159it vzorce s\xED\u0165\
            ov\xE9ho provozu;\n    o pou\u017E\xEDvat analytick\xE9 algoritmy a algoritmy\
            \ strojov\xE9ho u\u010Den\xED;\n    o pr\u016Fb\u011B\u017En\u011B aktualizovat\
            \ automatizovan\xE9 monitorovac\xED n\xE1stroje, aby se p\u0159izp\u016F\
            sobily nov\xFDm hrozb\xE1m a zm\u011Bn\xE1m v prost\u0159ed\xED; a\n \
            \   o Doladit parametry a prahov\xE9 hodnoty na z\xE1klad\u011B nejnov\u011B\
            j\u0161\xEDch dat a zp\u011Btn\xE9 vazby. \n\u2022 Tam, kde je to vhodn\xE9\
            , zajist\u011Bte, aby v\u0161echna potenci\xE1ln\xED rizika byla \u0159\
            \xE1dn\u011B pokryta relevantn\xEDmi p\u0159\xEDpady pou\u017Eit\xED,\
            \ nap\u0159\xEDklad p\u0159\xEDpadem pou\u017Eit\xED pro p\u0159\xEDstup\
            \ ke kritick\xFDm dat\u016Fm, p\u0159\xEDpadem pou\u017Eit\xED pro exfiltraci\
            \ dat nebo p\u0159\xEDpadem pou\u017Eit\xED pro ransomwarovou infekci,\
            \ aby \u017E\xE1dn\xE1 kritick\xE1 hrozba nez\u016Fstala neodhalena."
          typical_evidence: "\u2022 P\u0159ijateln\xE9 n\xE1stroje pro monitorov\xE1\
            n\xED, sb\u011Br, ukl\xE1d\xE1n\xED a anal\xFDzu protokol\u016F v souladu\
            \ se sou\u010Dasn\xFDm stavem techniky. \n\u2022 Syst\xE9my SIEM (Security\
            \ Incident and Event Management) slou\u017E\xEDc\xED k anal\xFDze dat\
            \ a identifikaci odchylek od zaveden\xFDch vzorc\u016F. \n\u2022 Jsou\
            \ k dispozici n\xE1stroje pro detekci a reakci koncov\xFDch bod\u016F\
            \ (EDR) a roz\u0161\xED\u0159enou detekci a reakci (XDR). \n\u2022 Jsou\
            \ zavedeny mechanismy, jejich\u017E c\xEDlem je minimalizovat fale\u0161\
            n\u011B pozitivn\xED a fale\u0161n\u011B negativn\xED v\xFDsledky. \n\u2022\
            \ Tam, kde je to vhodn\xE9, mapov\xE1n\xED p\u0159\xEDpad\u016F pou\u017E\
            it\xED s potenci\xE1ln\xEDmi riziky, aby bylo zaji\u0161t\u011Bno komplexn\xED\
            \ a \xFA\u010Dinn\xE9 monitorov\xE1n\xED."
        it:
          description: "Per quanto possibile, il monitoraggio \xE8 automatizzato ed\
            \ effettuato in modo continuo o a intervalli periodici, compatibilmente\
            \ con le capacit\xE0 aziendali. I soggetti pertinenti svolgono le loro\
            \ attivit\xE0 di monitoraggio in modo da ridurre al minimo i falsi positivi\
            \ e i falsi negativi."
          annotation: "\u2022 Per ridurre al minimo i falsi positivi e i falsi negativi,\
            \ per quanto possibile, considerare uno o pi\xF9 dei seguenti (elenco\
            \ indicativo e non esaustivo):\n    o stabilire modelli di traffico di\
            \ rete;\n    o utilizzare algoritmi di analisi e machine learning;\n \
            \   o aggiornare continuamente gli strumenti di monitoraggio automatizzato\
            \ per adattarsi alle nuove minacce e ai cambiamenti dell'ambiente; e\n\
            \    o Perfezionare i parametri e le soglie in base ai dati e ai feedback\
            \ pi\xF9 recenti. \n\u2022 Se del caso, assicurarsi che tutti i potenziali\
            \ rischi siano adeguatamente coperti da casi d'uso pertinenti, ad esempio\
            \ casi d'uso per l'accesso a dati critici, casi d'uso per l'esfiltrazione\
            \ di dati o casi d'uso per l'infezione da ransomware, in modo che nessuna\
            \ minaccia critica passi inosservata."
          typical_evidence: "\u2022 Strumenti accettabili per il monitoraggio, la\
            \ raccolta, l'archiviazione e l'analisi dei registri, in linea con lo\
            \ stato dell'arte. \n\u2022 Sistemi di Security Incident and Event Management\
            \ (SIEM) utilizzati per analizzare i dati e identificare le deviazioni\
            \ dai modelli stabiliti. \n\u2022 Strumenti di rilevamento e risposta\
            \ degli endpoint (EDR) e XDR (Extended Detection and Response). \n\u2022\
            \ Sono in atto meccanismi che mirano a ridurre al minimo i falsi positivi\
            \ e i falsi negativi. \n\u2022 Se del caso, mappare i casi d'uso ai potenziali\
            \ rischi per garantire un monitoraggio completo ed efficace."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.2.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.2
      ref_id: 3.2.3
      description: 'Based on the procedures referred to in point 3.2.1., the relevant
        entities shall maintain, document, and review logs. The relevant entities
        shall establish a list of assets to be subject to logging based on the results
        of the risk assessment carried out pursuant to point 2.1. Where appropriate,
        logs shall include:'
      annotation: "\u2022 With regard to critical configuration, consider the settings\
        \ and parameters that are vital for the proper functioning, security and performance\
        \ of the entity\u2019s network and information system. These configurations\
        \ are vital because any changes or misconfigurations might have a significant\
        \ impact, including system outages, security vulnerabilities or reduced performance\
        \ of the entity\u2019s network and information system. \n\u2022 Consult the\
        \ risk assessment results to determine which network traffic needs to be logged.\
        \ For example, if certain assets are identified as high risk (e.g. due to\
        \ being potentially vulnerable or crucial to the business operation) their\
        \ inbound and outbound traffic should be logged for monitoring and analysis."
      typical_evidence: "\u2022 Samples of log files containing the elements referred\
        \ to in point 3.2.3 of the Annex to the regulation. \n\u2022 Samples of log\
        \ files containing current and historical domain name system (DNS) and dynamic\
        \ host configuration protocol (DHCP) logs."
      translations:
        fr:
          description: "Sur la base des proc\xE9dures vis\xE9es au point\_3.2.1, les\
            \ entit\xE9s concern\xE9es tiennent des journaux, les documentent et les\
            \ r\xE9examinent. Les entit\xE9s concern\xE9es \xE9tablissent une liste\
            \ des actifs devant faire l\u2019objet d\u2019une journalisation sur la\
            \ base des r\xE9sultats de l\u2019\xE9valuation des risques effectu\xE9\
            e conform\xE9ment au point\_2.1. Les journaux comprennent, s\u2019il est\
            \ besoin:"
          annotation: "\u2022 En ce qui concerne la configuration critique, prendre\
            \ en compte les param\xE8tres et param\xE8tres indispensables au bon fonctionnement,\
            \ \xE0 la s\xE9curit\xE9 et \xE0 la performance du r\xE9seau et du syst\xE8\
            me d\u2019information de l\u2019entit\xE9. Ces configurations sont essentielles\
            \ car toute modification ou erreur de configuration peut avoir un impact\
            \ significatif, notamment des pannes de syst\xE8me, des vuln\xE9rabilit\xE9\
            s de s\xE9curit\xE9 ou une r\xE9duction des performances du r\xE9seau\
            \ et du syst\xE8me d\u2019information de l\u2019entit\xE9. \n\u2022 Consultez\
            \ les r\xE9sultats de l\u2019\xE9valuation des risques pour d\xE9terminer\
            \ quel trafic r\xE9seau doit \xEAtre enregistr\xE9. Par exemple, si certains\
            \ actifs sont identifi\xE9s comme pr\xE9sentant un risque \xE9lev\xE9\
            \ (par exemple, en raison de leur vuln\xE9rabilit\xE9 potentielle ou de\
            \ leur caract\xE8re crucial pour le fonctionnement de l\u2019entreprise),\
            \ leur trafic entrant et sortant doit \xEAtre enregistr\xE9 \xE0 des fins\
            \ de surveillance et d\u2019analyse."
          typical_evidence: "\u2022 Des \xE9chantillons de fichiers journaux contenant\
            \ les \xE9l\xE9ments vis\xE9s au point 3.2.3 de l\u2019annexe du r\xE8\
            glement. \n\u2022 Des \xE9chantillons de fichiers journaux contenant les\
            \ journaux actuels et historiques du syst\xE8me de noms de domaine (DNS)\
            \ et du protocole DHCP (Dynamic Host Configuration Protocol)."
        es:
          description: "A partir de los procedimientos contemplados en el punto 3.2.1,\
            \ las entidades pertinentes mantendr\xE1n, completar\xE1n y revisar\xE1\
            n sus registros. Las entidades pertinentes establecer\xE1n una lista de\
            \ los activos que deban registrarse teniendo en cuenta los resultados\
            \ de la evaluaci\xF3n de riesgos efectuada conforme al punto 2.1. Cuando\
            \ proceda, los registros incluir\xE1n informaci\xF3n sobre:"
          annotation: "\u2022 Con respecto a la configuraci\xF3n cr\xEDtica, considere\
            \ los ajustes y par\xE1metros que son vitales para el correcto funcionamiento,\
            \ seguridad y rendimiento de la red y el sistema de informaci\xF3n de\
            \ la entidad. Estas configuraciones son vitales porque cualquier cambio\
            \ o configuraci\xF3n incorrecta puede tener un impacto significativo,\
            \ incluidas interrupciones del sistema, vulnerabilidades de seguridad\
            \ o reducci\xF3n del rendimiento de la red y el sistema de informaci\xF3\
            n de la entidad. \n\u2022 Consulte los resultados de la evaluaci\xF3n\
            \ de riesgos para determinar qu\xE9 tr\xE1fico de red debe registrarse.\
            \ Por ejemplo, si ciertos activos se identifican como de alto riesgo (por\
            \ ejemplo, debido a que son potencialmente vulnerables o cruciales para\
            \ la operaci\xF3n comercial), su tr\xE1fico entrante y saliente debe registrarse\
            \ para su monitoreo y an\xE1lisis."
          typical_evidence: "\u2022 Muestras de ficheros l\xF3gicos que contengan\
            \ los elementos mencionados en el punto 3.2.3 del anexo del Reglamento.\
            \ \n\u2022 Ejemplos de archivos de registro que contienen registros actuales\
            \ e hist\xF3ricos del sistema de nombres de dominio (DNS) y del protocolo\
            \ de configuraci\xF3n din\xE1mica de host (DHCP)."
        cs:
          description: "Na z\xE1klad\u011B postup\u016F uveden\xFDch v bod\u011B 3.2.1\
            \ p\u0159\xEDslu\u0161n\xE9 subjekty vedou, dokumentuj\xED a p\u0159ezkoum\xE1\
            vaj\xED protokoly. P\u0159\xEDslu\u0161n\xE9 subjekty sestav\xED seznam\
            \ aktiv, o kter\xFDch maj\xED b\xFDt vedeny protokoly, na z\xE1klad\u011B\
            \ v\xFDsledk\u016F posouzen\xED rizik proveden\xE9ho podle bodu 2.1. Protokoly\
            \ mus\xED p\u0159\xEDpadn\u011B obsahovat:"
          annotation: "\u2022 S ohledem na kritickou konfiguraci zv\xE1\u017Eit nastaven\xED\
            \ a parametry, kter\xE9 jsou nezbytn\xE9 pro spr\xE1vn\xE9 fungov\xE1\
            n\xED, bezpe\u010Dnost a v\xFDkonnost s\xEDt\u011B a informa\u010Dn\xED\
            ho syst\xE9mu subjektu. Tyto konfigurace jsou \u017Eivotn\u011B d\u016F\
            le\u017Eit\xE9, proto\u017Ee jak\xE9koli zm\u011Bny nebo chybn\xE9 konfigurace\
            \ mohou m\xEDt v\xFDznamn\xFD dopad, v\u010Detn\u011B v\xFDpadk\u016F\
            \ syst\xE9mu, bezpe\u010Dnostn\xEDch zranitelnost\xED nebo sn\xED\u017E\
            en\xE9ho v\xFDkonu s\xEDt\u011B a informa\u010Dn\xEDho syst\xE9mu subjektu.\
            \ \n\u2022 Nahl\xE9dn\u011Bte do v\xFDsledk\u016F posouzen\xED rizik a\
            \ ur\u010Dete, kter\xFD s\xED\u0165ov\xFD provoz je t\u0159eba protokolovat.\
            \ Pokud jsou nap\u0159\xEDklad ur\u010Dit\xE1 aktiva identifikov\xE1na\
            \ jako vysoce rizikov\xE1 (nap\u0159. kv\u016Fli tomu, \u017Ee jsou potenci\xE1\
            ln\u011B zraniteln\xE1 nebo kl\xED\u010Dov\xE1 pro obchodn\xED operace),\
            \ jejich p\u0159\xEDchoz\xED a odchoz\xED provoz by m\u011Bl b\xFDt zaznamen\xE1\
            n pro \xFA\u010Dely monitorov\xE1n\xED a anal\xFDzy."
          typical_evidence: "\u2022 Vzorky soubor\u016F protokolu obsahuj\xEDc\xED\
            ch prvky uveden\xE9 v bod\u011B 3.2.3 p\u0159\xEDlohy na\u0159\xEDzen\xED\
            . \n\u2022 Uk\xE1zky soubor\u016F protokolu obsahuj\xEDc\xEDch aktu\xE1\
            ln\xED a historick\xE9 protokoly syst\xE9mu dom\xE9nov\xFDch jmen (DNS)\
            \ a dynamick\xE9ho protokolu konfigurace hostitele (DHCP)."
        it:
          description: "Sulla base delle procedure di cui al punto 3.2.1, i soggetti\
            \ pertinenti conservano, documentano e rivedono i registri. I soggetti\
            \ pertinenti redigono un elenco delle attivit\xE0 da sottoporre a registrazione\
            \ sulla base dei risultati della valutazione del rischio effettuata a\
            \ norma del punto 2.1. Se del caso, i registri devono includere:"
          annotation: "\u2022 Per quanto riguarda la configurazione critica, considerare\
            \ le impostazioni e i parametri che sono vitali per il corretto funzionamento,\
            \ la sicurezza e le prestazioni della rete e del sistema informativo dell'entit\xE0\
            . Queste configurazioni sono fondamentali perch\xE9 eventuali modifiche\
            \ o configurazioni errate potrebbero avere un impatto significativo, tra\
            \ cui interruzioni del sistema, vulnerabilit\xE0 della sicurezza o prestazioni\
            \ ridotte della rete e del sistema informativo dell'entit\xE0. \n\u2022\
            \ Consultare i risultati della valutazione dei rischi per determinare\
            \ quale traffico di rete deve essere registrato. Ad esempio, se alcuni\
            \ asset vengono identificati come ad alto rischio (ad esempio perch\xE9\
            \ potenzialmente vulnerabili o cruciali per l'attivit\xE0 aziendale),\
            \ il loro traffico in entrata e in uscita deve essere registrato per il\
            \ monitoraggio e l'analisi."
          typical_evidence: "\u2022 Campioni di file di log contenenti gli elementi\
            \ di cui al punto 3.2.3 dell'Allegato alla normativa. \n\u2022 Esempi\
            \ di file di log contenenti i log DNS (Domain Name System) e DHCP (Dynamic\
            \ Host Configuration Protocol) correnti e storici."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.2.3.a
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.2.3
      ref_id: 3.2.3.a
      description: relevant outbound and inbound network traffic;
      translations:
        fr:
          description: "le trafic sortant et entrant pertinent sur les r\xE9seaux;"
        es:
          description: "el tr\xE1fico de entrada y salida de la red;"
        cs:
          description: "p\u0159\xEDslu\u0161n\xFD odchoz\xED a p\u0159\xEDchoz\xED\
            \ s\xED\u0165ov\xFD provoz;"
        it:
          description: traffico di rete in uscita e in entrata pertinente;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.2.3.b
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.2.3
      ref_id: 3.2.3.b
      description: "creation, modification or deletion of users of the relevant entities\u2019\
        \ network and information systems and extension of the permissions;"
      translations:
        fr:
          description: "la cr\xE9ation, la modification ou la suppression d\u2019\
            utilisateurs sur les r\xE9seaux et dans les syst\xE8mes d\u2019information\
            \ des entit\xE9s concern\xE9es, ainsi que l\u2019extension des autorisations;"
        es:
          description: "la creaci\xF3n, modificaci\xF3n o supresi\xF3n de usuarios\
            \ de los sistemas de redes y de informaci\xF3n de las entidades pertinentes\
            \ y la ampliaci\xF3n de los permisos;"
        cs:
          description: "vytv\xE1\u0159en\xED, zm\u011Bny nebo odstra\u0148ov\xE1n\xED\
            \ u\u017Eivatel\u016F s\xEDt\xED a informa\u010Dn\xEDch syst\xE9m\u016F\
            \ p\u0159\xEDslu\u0161n\xFDch subjekt\u016F a roz\u0161i\u0159ov\xE1n\xED\
            \ opr\xE1vn\u011Bn\xED;"
        it:
          description: "creazione, modifica o cancellazione di utenti della rete e\
            \ dei sistemi informativi delle entit\xE0 pertinenti ed estensione delle\
            \ autorizzazioni;"
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.2.3.c
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.2.3
      ref_id: 3.2.3.c
      description: access to systems and applications;
      translations:
        fr:
          description: "l\u2019acc\xE8s aux syst\xE8mes et aux applications;"
        es:
          description: el acceso a los sistemas y aplicaciones;
        cs:
          description: "p\u0159\xEDstup k syst\xE9m\u016Fm a aplikac\xEDm;"
        it:
          description: accesso a sistemi e applicazioni;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.2.3.d
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.2.3
      ref_id: 3.2.3.d
      description: authentication-related events;
      translations:
        fr:
          description: "les \xE9v\xE9nements li\xE9s \xE0 l\u2019authentification;"
        es:
          description: "los sucesos relacionados con la autenticaci\xF3n;"
        cs:
          description: "ud\xE1losti souvisej\xEDc\xED s autentizac\xED;"
        it:
          description: eventi relativi all'autenticazione;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.2.3.e
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.2.3
      ref_id: 3.2.3.e
      description: all privileged access to systems and applications, and activities
        performed by administrative accounts;
      translations:
        fr:
          description: "tous les acc\xE8s privil\xE9gi\xE9s aux syst\xE8mes et aux\
            \ applications, ainsi que les activit\xE9s exerc\xE9es par les comptes\
            \ d\u2019administration;"
        es:
          description: "todo acceso privilegiado a los sistemas y aplicaciones, as\xED\
            \ como las actividades realizadas por las cuentas de administraci\xF3\
            n;"
        cs:
          description: "ve\u0161ker\xFD administr\xE1torsk\xFD p\u0159\xEDstup k syst\xE9\
            m\u016Fm a aplikac\xEDm a \u010Dinnosti prov\xE1d\u011Bn\xE9 prost\u0159\
            ednictv\xEDm \xFA\u010Dt\u016F spr\xE1vce;"
        it:
          description: "tutti gli accessi privilegiati ai sistemi e alle applicazioni\
            \ e le attivit\xE0 svolte dagli account amministrativi;"
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.2.3.f
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.2.3
      ref_id: 3.2.3.f
      description: access or changes to critical configuration and backup files;
      translations:
        fr:
          description: "l\u2019acc\xE8s aux fichiers critiques de configuration et\
            \ de sauvegarde, ou leur modification;"
        es:
          description: "el acceso a los archivos cr\xEDticos de configuraci\xF3n y\
            \ a las copias de seguridad y todo cambio en los mismos;"
        cs:
          description: "p\u0159\xEDstup k d\u016Fle\u017Eit\xFDm konfigura\u010Dn\xED\
            m a z\xE1lo\u017En\xEDm soubor\u016Fm nebo jejich zm\u011Bny;"
        it:
          description: accesso o modifiche ai file critici di configurazione e backup;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.2.3.g
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.2.3
      ref_id: 3.2.3.g
      description: event logs and logs from security tools, such as antivirus, intrusion
        detection systems or firewalls;
      translations:
        fr:
          description: "les journaux d\u2019\xE9v\xE9nements et les journaux des outils\
            \ de s\xE9curit\xE9, tels que les antivirus, les syst\xE8mes de d\xE9\
            tection d\u2019intrusion ou les pare-feu;"
        es:
          description: "los registros de sucesos y los registros de las herramientas\
            \ de seguridad, como antivirus, sistemas de detecci\xF3n de intrusiones\
            \ o cortafuegos;"
        cs:
          description: "protokoly ud\xE1lost\xED a protokoly z bezpe\u010Dnostn\xED\
            ch n\xE1stroj\u016F, jako jsou antivirov\xE9 programy, syst\xE9my detekce\
            \ naru\u0161en\xED nebo br\xE1ny firewall;"
        it:
          description: registri degli eventi e registri di strumenti di sicurezza,
            come antivirus, sistemi di rilevamento delle intrusioni o firewall;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.2.3.h
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.2.3
      ref_id: 3.2.3.h
      description: use of system resources, as well as their performance;
      translations:
        fr:
          description: "l\u2019utilisation des ressources du syst\xE8me, ainsi que\
            \ leur performance;"
        es:
          description: "el uso de los recursos del sistema, as\xED como su rendimiento;"
        cs:
          description: "vyu\u017Eit\xED syst\xE9mov\xFDch prost\u0159edk\u016F a jejich\
            \ v\xFDkonnost;"
        it:
          description: "utilizzo delle risorse di sistema, nonch\xE9 delle loro prestazioni;"
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.2.3.i
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.2.3
      ref_id: 3.2.3.i
      description: physical access to facilities;
      translations:
        fr:
          description: "l\u2019acc\xE8s physique aux installations;"
        es:
          description: "el acceso f\xEDsico a las instalaciones;"
        cs:
          description: "fyzick\xFD p\u0159\xEDstup k za\u0159\xEDzen\xEDm;"
        it:
          description: l'accesso fisico alle strutture;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.2.3.j
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.2.3
      ref_id: 3.2.3.j
      description: access to and use of their network equipment and devices;
      translations:
        fr:
          description: "l\u2019acc\xE8s \xE0 leurs \xE9quipements et dispositifs de\
            \ r\xE9seau et leur utilisation;"
        es:
          description: "el acceso a los equipos y dispositivos de red y su utilizaci\xF3\
            n;"
        cs:
          description: "p\u0159\xEDstup k jejich s\xED\u0165ov\xE9mu vybaven\xED a\
            \ za\u0159\xEDzen\xEDm a jejich pou\u017E\xEDv\xE1n\xED;"
        it:
          description: l'accesso e l'utilizzo delle loro apparecchiature e dispositivi
            di rete;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.2.3.k
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.2.3
      ref_id: 3.2.3.k
      description: activation, stopping and pausing of the various logs;
      translations:
        fr:
          description: "l\u2019activation, l\u2019arr\xEAt et la suspension des divers\
            \ journaux;"
        es:
          description: "la activaci\xF3n, detenci\xF3n e interrupci\xF3n de los distintos\
            \ registros;"
        cs:
          description: "aktivace, zastaven\xED a pozastaven\xED r\u016Fzn\xFDch protokol\u016F\
            ;"
        it:
          description: attivazione, arresto e pausa dei vari log;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.2.3.l
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.2.3
      ref_id: 3.2.3.l
      description: environmental events.
      translations:
        fr:
          description: "les \xE9v\xE9nements li\xE9s \xE0 l\u2019environnement."
        es:
          description: los sucesos medioambientales.
        cs:
          description: "environment\xE1ln\xED ud\xE1losti."
        it:
          description: eventi ambientali.
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.2.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.2
      ref_id: 3.2.4
      description: The logs shall be regularly reviewed for any unusual or unwanted
        trends. Where appropriate, the relevant entities shall lay down appropriate
        values for alarm thresholds. If the laid down values for alarm threshold are
        exceeded, an alarm shall be triggered, where appropriate, automatically. The
        relevant entities shall ensure that, in case of an alarm, a qualified and
        appropriate response is initiated in a timely manner.
      annotation: "\u2022 Consider the use of anomaly detection or adaptive alarm\
        \ thresholds to complement traditional static rules. \n\u2022 Make sure that\
        \ procedures are designed to detect network-based attacks based on anomalous\
        \ inbound and outbound ingress or egress traffic patterns and/or denial of\
        \ service (DoS) attacks, in a timely manner.   \n\u2022 Make sure that alarm\
        \ thresholds, where appropriate, have been set in alignment with the results\
        \ of the risk assessment carried out pursuant to point 2.1, covering at least\
        \ the situations in point 3.2.3 of the Annex to the regulation. An indicative,\
        \ non-exhaustive list of examples with thresholds (22) follows:\n    o relevant\
        \ outbound and inbound network traffic: traffic volume spikes exceeding 50%\
        \ of normal traffic in a 10-minute period on a specific port;\n    o access\
        \ to systems and applications: three or more account lockouts within 15 minutes;\n\
        \    o privileged access: two or more instances of privilege escalation (e.g.\
        \ normal user to admin) within 24 hours (23);\n    o antivirus: malware is\
        \ detected on multiple endpoints within a short timeframe;\n    o use of system\
        \ resources: installations of unauthorised software within a short timeframe.\n\
        \n(22) The thresholds are subject to the operational environment. There are\
        \ several assumptions about the environment that would need to be true for\
        \ these controls/thresholds to be relevant. For certain entities, we expect\
        \ that these entities will be under constant attack by bad actors and, accordingly,\
        \ should be permitted to leverage continuous, automated and immediate responses.\n\
        (23) Privileged access alarms shall distinguish between (a) administrative\
        \ privilege assignment events (e.g. creation or promotion of accounts to privileged\
        \ status) and (b) the use of existing privileged accounts by authorized personnel.\
        \ The system shall generate an immediate alert upon detection of unauthorized\
        \ or unexpected privilege assignments and a behavioural threshold alert (e.g.\
        \ \u22652 privilege elevations within 24 hours) for monitoring legitimate\
        \ administrative access patterns."
      typical_evidence: "\u2022 Regular reports that summarize log data and highlight\
        \ any anomalies detected. \n\u2022 Alarm thresholds set. \n\u2022 Records\
        \ from past alarm triggers when thresholds were exceeded. \n\u2022 Existing\
        \ workflows that trigger event reporting (section 3.3)."
      translations:
        fr:
          description: "Les journaux sont r\xE9guli\xE8rement r\xE9examin\xE9s pour\
            \ d\xE9tecter toute tendance inhabituelle ou ind\xE9sirable. Les entit\xE9\
            s concern\xE9es fixent, s\u2019il est besoin, les valeurs appropri\xE9\
            es correspondant \xE0 des seuils d\u2019alarme. Si les valeurs prescrites\
            \ pour un seuil d\u2019alarme sont d\xE9pass\xE9es, une alarme est d\xE9\
            clench\xE9e, s\u2019il est besoin, de mani\xE8re automatique. Les entit\xE9\
            s concern\xE9es veillent \xE0 ce que, en cas d\u2019alarme, une r\xE9\
            ponse sp\xE9cifique et appropri\xE9e soit activ\xE9e en temps utile."
          annotation: "\u2022 Envisager l\u2019utilisation de seuils de d\xE9tection\
            \ d\u2019anomalies ou d\u2019alarmes adaptatives en compl\xE9ment des\
            \ r\xE8gles statiques traditionnelles. \n\u2022 Assurez-vous que les proc\xE9\
            dures sont con\xE7ues pour d\xE9tecter en temps opportun les attaques\
            \ bas\xE9es sur des attaques bas\xE9es sur des mod\xE8les de trafic entrant\
            \ ou sortant anormaux et/ou des attaques par d\xE9ni de service (DoS).\
            \   \n\u2022 S\u2019assurer que les seuils d\u2019alarme, le cas \xE9\
            ch\xE9ant, ont \xE9t\xE9 fix\xE9s en fonction des r\xE9sultats de l\u2019\
            \xE9valuation des risques effectu\xE9e conform\xE9ment au point 2.1, couvrant\
            \ au moins les situations vis\xE9es au point 3.2.3 de l\u2019annexe du\
            \ r\xE8glement. On trouvera ci-apr\xE8s une liste indicative et non exhaustive\
            \ d\u2019exemples assortis de seuils (22)\_:\n    o trafic r\xE9seau sortant\
            \ et entrant pertinent : pics de volume de trafic d\xE9passant 50\_% du\
            \ trafic normal sur une p\xE9riode de 10 minutes sur un port sp\xE9cifique\
            \ ;\n    o Acc\xE8s aux syst\xE8mes et applications : trois verrouillages\
            \ de compte ou plus en 15 minutes ;\n    o Acc\xE8s privil\xE9gi\xE9 :\
            \ deux instances ou plus d\u2019\xE9l\xE9vation de privil\xE8ges (par\
            \ exemple, d\u2019un utilisateur normal \xE0 un administrateur) dans les\
            \ 24 heures (23) ;\n    o Antivirus : les logiciels malveillants sont\
            \ d\xE9tect\xE9s sur plusieurs points de terminaison dans un court laps\
            \ de temps ;\n    o Utilisation des ressources syst\xE8me : installation\
            \ de logiciels non autoris\xE9s dans un d\xE9lai court.\n\n(22) Les seuils\
            \ sont subordonn\xE9s \xE0 l\u2019environnement op\xE9rationnel. Il y\
            \ a plusieurs hypoth\xE8ses sur l\u2019environnement qui devraient \xEA\
            tre vraies pour que ces contr\xF4les/seuils soient pertinents. Pour certaines\
            \ entit\xE9s, nous nous attendons \xE0 ce qu\u2019elles soient constamment\
            \ attaqu\xE9es par des acteurs malveillants et, par cons\xE9quent, \xE0\
            \ ce qu\u2019elles soient autoris\xE9es \xE0 tirer parti de r\xE9ponses\
            \ continues, automatis\xE9es et imm\xE9diates.\n(23) Les alarmes d\u2019\
            acc\xE8s privil\xE9gi\xE9 doivent faire la distinction entre (a) les \xE9\
            v\xE9nements d\u2019attribution de privil\xE8ges administratifs (par exemple,\
            \ la cr\xE9ation ou la promotion de comptes \xE0 privil\xE8ges) et (b)\
            \ l\u2019utilisation de comptes privil\xE9gi\xE9s existants par du personnel\
            \ autoris\xE9. Le syst\xE8me doit g\xE9n\xE9rer une alerte imm\xE9diate\
            \ en cas de d\xE9tection d\u2019attributions de privil\xE8ges non autoris\xE9\
            es ou inattendues et une alerte de seuil comportemental (p. ex., \u2265\
            2 \xE9l\xE9vations de privil\xE8ges dans les 24 heures) pour surveiller\
            \ les tendances d\u2019acc\xE8s administratif l\xE9gitimes."
          typical_evidence: "\u2022 Des rapports r\xE9guliers qui r\xE9sument les\
            \ donn\xE9es de journal et mettent en \xE9vidence les anomalies d\xE9\
            tect\xE9es. \n\u2022 Seuils d\u2019alarme d\xE9finis. \n\u2022 Enregistrements\
            \ des d\xE9clenchements d\u2019alarme pass\xE9s lorsque les seuils ont\
            \ \xE9t\xE9 d\xE9pass\xE9s. \n\u2022 Les flux de travail existants qui\
            \ d\xE9clenchent la cr\xE9ation de rapports d\u2019\xE9v\xE9nements (section\
            \ 3.3)."
        es:
          description: "Se revisar\xE1 peri\xF3dicamente la existencia de tendencias\
            \ inusuales o indeseadas en los registros. Cuando proceda, las entidades\
            \ pertinentes establecer\xE1n valores adecuados para los umbrales de alerta.\
            \ Cuando se superen los valores establecidos para los umbrales de alerta,\
            \ saltar\xE1 una alarma que ser\xE1, en su caso, autom\xE1tica. Las entidades\
            \ pertinentes se asegurar\xE1n de que, en las situaciones de alerta, se\
            \ adopte a su debido tiempo una respuesta cualificada y adecuada."
          annotation: "\u2022 Considere el uso de detecci\xF3n de anomal\xEDas o umbrales\
            \ de alarma adaptativos para complementar las reglas est\xE1ticas tradicionales.\
            \ \n\u2022 Aseg\xFArese de que los procedimientos est\xE9n dise\xF1ados\
            \ para detectar ataques basados en la red basados en patrones an\xF3malos\
            \ de tr\xE1fico de entrada y salida y/o ataques de denegaci\xF3n de servicio\
            \ (DoS), de manera oportuna.   \n\u2022 Asegurarse de que los umbrales\
            \ de alarma, en su caso, se hayan establecido en consonancia con los resultados\
            \ de la evaluaci\xF3n de riesgos realizada con arreglo al punto 2.1, que\
            \ cubran al menos las situaciones mencionadas en el punto 3.2.3 del anexo\
            \ del Reglamento. A continuaci\xF3n se presenta una lista indicativa y\
            \ no exhaustiva de ejemplos con umbrales (22):\n    o tr\xE1fico de red\
            \ entrante y saliente relevante: picos de volumen de tr\xE1fico que superan\
            \ el 50% del tr\xE1fico normal en un per\xEDodo de 10 minutos en un puerto\
            \ espec\xEDfico;\n    o acceso a sistemas y aplicaciones: tres o m\xE1\
            s bloqueos de cuentas en 15 minutos;\n    o Acceso privilegiado: dos o\
            \ m\xE1s instancias de escalada de privilegios (por ejemplo, de usuario\
            \ normal a administrador) en un plazo de 24 horas (23);\n    o antivirus:\
            \ el malware se detecta en m\xFAltiples puntos finales en un corto per\xED\
            odo de tiempo;\n    o Uso de los recursos del sistema: instalaciones de\
            \ software no autorizado en un corto per\xEDodo de tiempo.\n\n(22) Los\
            \ umbrales est\xE1n sujetos al entorno operativo. Hay varias suposiciones\
            \ sobre el entorno que tendr\xEDan que ser verdaderas para que estos controles/umbrales\
            \ sean relevantes. En el caso de ciertas entidades, esperamos que estas\
            \ entidades est\xE9n bajo un ataque constante por parte de malos actores\
            \ y, en consecuencia, se les debe permitir aprovechar respuestas continuas,\
            \ automatizadas e inmediatas.\n(23) Las alarmas de acceso privilegiado\
            \ distinguir\xE1n entre: a) eventos de asignaci\xF3n de privilegios administrativos\
            \ (por ejemplo, creaci\xF3n o promoci\xF3n de cuentas a la categor\xED\
            a de privilegios) y b) el uso de cuentas privilegiadas existentes por\
            \ parte del personal autorizado. El sistema generar\xE1 una alerta inmediata\
            \ tras la detecci\xF3n de asignaciones de privilegios no autorizadas o\
            \ inesperadas y una alerta de umbral de comportamiento (por ejemplo, \u2265\
            2 elevaciones de privilegios en 24 horas) para supervisar los patrones\
            \ de acceso administrativo leg\xEDtimos."
          typical_evidence: "\u2022 Informes peri\xF3dicos que resumen los datos de\
            \ registro y resaltan las anomal\xEDas detectadas. \n\u2022 Establecimiento\
            \ de umbrales de alarma. \n\u2022 Registros de activadores de alarmas\
            \ anteriores cuando se superaron los umbrales. \n\u2022 Flujos de trabajo\
            \ existentes que activan informes de eventos (secci\xF3n 3.3)."
        cs:
          description: "Protokoly se pravideln\u011B p\u0159ezkoum\xE1vaj\xED, zda\
            \ se v nich neobjevuj\xED neobvykl\xE9 nebo ne\u017E\xE1douc\xED trendy.\
            \ P\u0159\xEDslu\u0161n\xE9 subjekty v p\u0159\xEDpad\u011B pot\u0159\
            eby stanov\xED vhodn\xE9 hodnoty v\xFDstra\u017En\xFDch prah\u016F. Pokud\
            \ jsou p\u0159ekro\u010Deny stanoven\xE9 hodnoty v\xFDstra\u017En\xFD\
            ch prah\u016F, spust\xED se v p\u0159\xEDpad\u011B pot\u0159eby automaticky\
            \ alarm. P\u0159\xEDslu\u0161n\xE9 subjekty zajist\xED, aby v p\u0159\xED\
            pad\u011B spu\u0161t\u011Bn\xED alarmu byla v\u010Das zah\xE1jena kvalifikovan\xE1\
            \ a vhodn\xE1 reakce."
          annotation: "\u2022 Zva\u017Ete pou\u017Eit\xED detekce anom\xE1li\xED nebo\
            \ adaptivn\xEDch prahov\xFDch hodnot alarm\u016F jako dopl\u0148ku tradi\u010D\
            n\xEDch statick\xFDch pravidel. \n\u2022 Ujist\u011Bte se, \u017Ee postupy\
            \ jsou navr\u017Eeny tak, aby v\u010Das detekovaly s\xED\u0165ov\xE9 \xFA\
            toky na z\xE1klad\u011B anom\xE1ln\xEDch vzorc\u016F p\u0159\xEDchoz\xED\
            ho a odchoz\xEDho p\u0159\xEDchoz\xEDho nebo v\xFDstupn\xEDho provozu\
            \ a/nebo \xFAtok\u016F odm\xEDtnut\xED slu\u017Eby (DoS).   \n\u2022 Zajistit,\
            \ aby v\xFDstra\u017En\xE9 prahov\xE9 hodnoty byly v p\u0159\xEDpad\u011B\
            \ pot\u0159eby stanoveny v souladu s v\xFDsledky posouzen\xED rizik proveden\xE9\
            ho podle bodu 2.1 a aby zahrnovaly alespo\u0148 situace uveden\xE9 v bod\u011B\
            \ 3.2.3 p\u0159\xEDlohy na\u0159\xEDzen\xED. N\xE1sleduje orienta\u010D\
            n\xED, demonstrativn\xED seznam p\u0159\xEDklad\u016F s prahov\xFDmi hodnotami\
            \ (22):\n    o relevantn\xED odchoz\xED a p\u0159\xEDchoz\xED s\xED\u0165\
            ov\xFD provoz: n\xE1r\u016Fst objemu provozu p\u0159esahuj\xEDc\xED 50\
            \ % norm\xE1ln\xEDho provozu za 10minutov\xE9 obdob\xED na konkr\xE9tn\xED\
            m portu;\n    o p\u0159\xEDstup k syst\xE9m\u016Fm a aplikac\xEDm: t\u0159\
            i nebo v\xEDce uzam\u010Den\xED \xFA\u010Dtu b\u011Bhem 15 minut;\n  \
            \  o privilegovan\xFD p\u0159\xEDstup: dv\u011B nebo v\xEDce instanc\xED\
            \ eskalace opr\xE1vn\u011Bn\xED (nap\u0159. z norm\xE1ln\xEDho u\u017E\
            ivatele na spr\xE1vce) do 24 hodin (23);\n    o Antivirus: malware je\
            \ detekov\xE1n na v\xEDce koncov\xFDch bodech v kr\xE1tk\xE9m \u010Dasov\xE9\
            m r\xE1mci;\n    o Pou\u017Eit\xED syst\xE9mov\xFDch prost\u0159edk\u016F\
            : Instalace neautorizovan\xE9ho softwaru v kr\xE1tk\xE9m \u010Dasov\xE9\
            m r\xE1mci.\n\n(22) Prahov\xE9 hodnoty z\xE1vis\xED na provozn\xEDm prost\u0159\
            ed\xED. Existuje n\u011Bkolik p\u0159edpoklad\u016F o prost\u0159ed\xED\
            , kter\xE9 by musely b\xFDt pravdiv\xE9, aby byly tyto ovl\xE1dac\xED\
            \ prvky/prahov\xE9 hodnoty relevantn\xED. U n\u011Bkter\xFDch subjekt\u016F\
            \ o\u010Dek\xE1v\xE1me, \u017Ee tyto subjekty budou pod neust\xE1l\xFD\
            m \xFAtokem \u0161patn\xFDch akt\xE9r\u016F, a proto by jim m\u011Blo\
            \ b\xFDt umo\u017En\u011Bno vyu\u017E\xEDvat nep\u0159etr\u017Eit\xE9\
            , automatizovan\xE9 a okam\u017Eit\xE9 reakce.\n(23) Alarmy privilegovan\xE9\
            ho p\u0159\xEDstupu mus\xED rozli\u0161ovat mezi (a) ud\xE1lostmi p\u0159\
            i\u0159azen\xED opr\xE1vn\u011Bn\xED spr\xE1vce (nap\u0159. vytvo\u0159\
            en\xED nebo pov\xFD\u0161en\xED \xFA\u010Dt\u016F do privilegovan\xE9\
            ho stavu) a (b) pou\u017Eit\xEDm st\xE1vaj\xEDc\xEDch privilegovan\xFD\
            ch \xFA\u010Dt\u016F opr\xE1vn\u011Bn\xFDmi pracovn\xEDky. Syst\xE9m vygeneruje\
            \ okam\u017Eitou v\xFDstrahu p\u0159i zji\u0161t\u011Bn\xED neopr\xE1\
            vn\u011Bn\xE9ho nebo neo\u010Dek\xE1van\xE9ho p\u0159i\u0159azen\xED opr\xE1\
            vn\u011Bn\xED a v\xFDstrahu prahov\xE9 hodnoty chov\xE1n\xED (nap\u0159\
            . zv\xFD\u0161en\xED opr\xE1vn\u011Bn\xED \u22652 do 24 hodin) za \xFA\
            \u010Delem sledov\xE1n\xED legitimn\xEDch vzorc\u016F p\u0159\xEDstupu\
            \ spr\xE1vce."
          typical_evidence: "\u2022 Pravideln\xE9 reporty, kter\xE9 shrnuj\xED data\
            \ log\u016F a upozor\u0148uj\xED na p\u0159\xEDpadn\xE9 zji\u0161t\u011B\
            n\xE9 anom\xE1lie. \n\u2022 Nastaveny prahov\xE9 hodnoty alarmu. \n\u2022\
            \ Z\xE1znamy z minul\xFDch spu\u0161t\u011Bn\xED alarm\u016F p\u0159i\
            \ p\u0159ekro\u010Den\xED prahov\xFDch hodnot. \n\u2022 St\xE1vaj\xED\
            c\xED pracovn\xED postupy, kter\xE9 spou\u0161t\u011Bj\xED hl\xE1\u0161\
            en\xED ud\xE1lost\xED (\u010D\xE1st 3.3)."
        it:
          description: "I registri devono essere regolarmente esaminati per individuare\
            \ eventuali tendenze insolite o indesiderate. Se del caso, i soggetti\
            \ pertinenti stabiliscono valori appropriati per le soglie di allarme.\
            \ Se i valori stabiliti per la soglia di allarme sono superati, deve essere\
            \ attivato automaticamente un allarme, se del caso. I soggetti pertinenti\
            \ provvedono affinch\xE9, in caso di allarme, sia avviata tempestivamente\
            \ una risposta qualificata e adeguata."
          annotation: "\u2022 Prendere in considerazione l'uso del rilevamento delle\
            \ anomalie o delle soglie di allarme adattive per integrare le regole\
            \ statiche tradizionali. \n\u2022 Assicurarsi che le procedure siano progettate\
            \ per rilevare tempestivamente gli attacchi basati sulla rete basati su\
            \ modelli anomali di traffico in entrata e in uscita e/o attacchi DoS\
            \ (Denial of Service).   \n\u2022 Assicurarsi che le soglie di allarme,\
            \ ove opportuno, siano state fissate in linea con i risultati della valutazione\
            \ dei rischi effettuata ai sensi del punto 2.1, coprendo almeno le situazioni\
            \ di cui al punto 3.2.3 dell'Allegato al regolamento. Di seguito \xE8\
            \ riportato un elenco indicativo e non esaustivo di esempi con soglie\
            \ (22):\n    o traffico di rete in uscita e in entrata rilevante: picchi\
            \ di volume di traffico superiori al 50% del traffico normale in un periodo\
            \ di 10 minuti su una porta specifica;\n    o accesso a sistemi e applicazioni:\
            \ tre o pi\xF9 blocchi dell'account entro 15 minuti;\n    o accesso privilegiato:\
            \ due o pi\xF9 istanze di escalation dei privilegi (ad es. da utente normale\
            \ ad amministratore) entro 24 ore (23);\n    o antivirus: il malware viene\
            \ rilevato su pi\xF9 endpoint in un breve lasso di tempo;\n    o Utilizzo\
            \ delle risorse di sistema: installazioni di software non autorizzato\
            \ in un breve lasso di tempo.\n\n(22) Le soglie sono subordinate al contesto\
            \ operativo. Ci sono diverse ipotesi sull'ambiente che dovrebbero essere\
            \ vere affinch\xE9 questi controlli/soglie siano rilevanti. Per alcune\
            \ entit\xE0, ci aspettiamo che queste entit\xE0 saranno sotto costante\
            \ attacco da parte di malintenzionati e, di conseguenza, dovrebbero essere\
            \ autorizzate a sfruttare risposte continue, automatizzate e immediate.\n\
            (23) Gli allarmi relativi all'accesso privilegiato devono distinguere\
            \ tra (a) eventi di assegnazione di privilegi amministrativi (ad esempio,\
            \ creazione o promozione di account a privilegio) e (b) l'uso di account\
            \ privilegiati esistenti da parte di personale autorizzato. Il sistema\
            \ genera un avviso immediato in caso di rilevamento di assegnazioni di\
            \ privilegi non autorizzate o impreviste e un avviso di soglia comportamentale\
            \ (ad esempio \u22652 elevazioni dei privilegi entro 24 ore) per monitorare\
            \ i modelli di accesso amministrativo legittimi."
          typical_evidence: "\u2022 Report periodici che riepilogano i dati di log\
            \ ed evidenziano le eventuali anomalie rilevate. \n\u2022 Soglie di allarme\
            \ impostate. \n\u2022 Registra i trigger di allarme passati quando le\
            \ soglie sono state superate. \n\u2022 Flussi di lavoro esistenti che\
            \ attivano la segnalazione di eventi (sezione 3.3)."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.2.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.2
      ref_id: 3.2.5
      description: The relevant entities shall maintain and back up logs for a predefined
        period and shall protect them from unauthorised access or changes.
      annotation: "\u2022 Make sure that the log retention period is defined in accordance\
        \ with business needs, the risk assessment results and legal requirements/obligations.\
        \ \n\u2022 The backup logs\u2019 maintenance period shouldn\u2019t be shorter\
        \ than the logs\u2019 review period, referred to in point 3.2.4 of the Annex\
        \ to the regulation. \n\u2022 The retention period should be in line with\
        \ what is referred to in point 4.2.2 (f) of the Annex to the regulation. \n\
        \u2022 Delete data when the retention period ends. \n\u2022 Consider mechanisms\
        \ to protect logs from unauthorised access or changes (indicative, non-exhaustive\
        \ list):\n    o encryption, o access control, o hashing (section 9.2) and\
        \ o logging of all access and changes to log files. \n\u2022 The access control\
        \ should be in line with what is referred to in point 4.2.2 (d) of the Annex\
        \ to the regulation."
      typical_evidence: "\u2022 A retention period is set.  \n\u2022 The retention\
        \ period is in line with what is referred to in point 4.2.2 (f) of the Annex\
        \ to the regulation and is shorter than the logs\u2019 review period, referred\
        \ to in point 3.2.4 of the Annex to the regulation. \n\u2022 Log management\
        \ is in place. \n\u2022 Logs do not contain data about which retention periods\
        \ have expired. \n\u2022 Access control mechanisms are in place. \n\u2022\
        \ Access control is in line with what is referred to in point 4.2.2 (d) of\
        \ the Annex to the regulation."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es tiennent les journaux et en font\
            \ des sauvegardes pendant une p\xE9riode pr\xE9d\xE9finie; elles les prot\xE8\
            gent contre tout acc\xE8s non autoris\xE9 ou toute modification non autoris\xE9\
            e."
          annotation: "\u2022 S\u2019assurer que la p\xE9riode de conservation des\
            \ journaux est d\xE9finie en fonction des besoins de l\u2019entreprise,\
            \ des r\xE9sultats de l\u2019\xE9valuation des risques et des exigences/obligations\
            \ l\xE9gales. \n\u2022 La p\xE9riode de maintenance des journaux de sauvegarde\
            \ ne doit pas \xEAtre plus courte que la p\xE9riode d\u2019examen des\
            \ journaux, vis\xE9e au point 3.2.4 de l\u2019annexe du r\xE8glement.\
            \ \n\u2022 La dur\xE9e de conservation devrait \xEAtre conforme \xE0 ce\
            \ qui est vis\xE9 au point 4.2.2 (f) de l\u2019annexe du r\xE8glement.\
            \ \n\u2022 Supprimer les donn\xE9es \xE0 la fin de la p\xE9riode de conservation.\
            \ \n\u2022 Envisager des m\xE9canismes pour prot\xE9ger les journaux contre\
            \ les acc\xE8s non autoris\xE9s ou les modifications (liste indicative\
            \ et non exhaustive) :\n    o le cryptage, o le contr\xF4le d\u2019acc\xE8\
            s, o le hachage (section 9.2) et o l\u2019enregistrement de tous les acc\xE8\
            s et modifications apport\xE9es aux fichiers journaux. \n\u2022 Le contr\xF4\
            le d\u2019acc\xE8s doit \xEAtre conforme \xE0 ce qui est vis\xE9 au point\
            \ 4.2.2 (d) de l\u2019annexe du r\xE8glement."
          typical_evidence: "\u2022 Une dur\xE9e de conservation est fix\xE9e.  \n\
            \u2022 La p\xE9riode de conservation est conforme \xE0 ce qui est vis\xE9\
            \ au point 4.2.2 (f) de l\u2019annexe du r\xE8glement et est plus courte\
            \ que la p\xE9riode d\u2019examen des journaux, vis\xE9e au point 3.2.4\
            \ de l\u2019annexe du r\xE8glement. \n\u2022 La gestion des journaux est\
            \ en place. \n\u2022 Les journaux ne contiennent pas de donn\xE9es sur\
            \ les p\xE9riodes de conservation qui ont expir\xE9. \n\u2022 Des m\xE9\
            canismes de contr\xF4le d\u2019acc\xE8s sont en place. \n\u2022 Le contr\xF4\
            le d\u2019acc\xE8s est conforme \xE0 ce qui est vis\xE9 au point 4.2.2\
            \ (d) de l\u2019annexe du r\xE8glement."
        es:
          description: "Las entidades pertinentes mantendr\xE1n registros, de los\
            \ que har\xE1n copias de seguridad, durante un per\xEDodo predefinido,\
            \ y los proteger\xE1n contra el acceso o los cambios no autorizados."
          annotation: "\u2022 Aseg\xFArese de que el per\xEDodo de retenci\xF3n del\
            \ registro se defina de acuerdo con las necesidades del negocio, los resultados\
            \ de la evaluaci\xF3n de riesgos y los requisitos/obligaciones legales.\
            \ \n\u2022 El per\xEDodo de mantenimiento de los registros de copia de\
            \ seguridad no debe ser inferior al per\xEDodo de revisi\xF3n de los registros,\
            \ mencionado en el punto 3.2.4 del anexo del Reglamento. \n\u2022 El per\xED\
            odo de conservaci\xF3n debe estar en consonancia con lo mencionado en\
            \ el punto 4.2.2, letra f), del anexo del Reglamento. \n\u2022 Eliminar\
            \ los datos cuando finalice el per\xEDodo de retenci\xF3n. \n\u2022 Considerar\
            \ mecanismos para proteger los registros contra el acceso o los cambios\
            \ no autorizados (lista indicativa y no exhaustiva):\n    o Cifrado, o\
            \ Control de acceso, o hashing (Secci\xF3n 9.2) y o Registro de todos\
            \ los accesos y cambios en los archivos de registro. \n\u2022 El control\
            \ de acceso debe ajustarse a lo mencionado en el punto 4.2.2 d) del anexo\
            \ del Reglamento."
          typical_evidence: "\u2022 Se establece un per\xEDodo de retenci\xF3n.  \n\
            \u2022 El per\xEDodo de conservaci\xF3n se ajusta a lo dispuesto en el\
            \ punto 4.2.2, letra f), del anexo del Reglamento y es m\xE1s corto que\
            \ el per\xEDodo de revisi\xF3n de los troncos, a que se refiere el punto\
            \ 3.2.4 del anexo del Reglamento. \n\u2022 La gesti\xF3n de registros\
            \ est\xE1 en su lugar. \n\u2022 Los registros no contienen datos sobre\
            \ los que han expirado los per\xEDodos de retenci\xF3n. \n\u2022 Existen\
            \ mecanismos de control de acceso. \n\u2022 El control de acceso se ajusta\
            \ a lo mencionado en el punto 4.2.2 d) del anexo del Reglamento."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty uchov\xE1vaj\xED a z\xE1\
            lohuj\xED protokoly po p\u0159edem stanovenou dobu a chr\xE1n\xED je p\u0159\
            ed neopr\xE1vn\u011Bn\xFDm p\u0159\xEDstupem nebo zm\u011Bnami."
          annotation: "\u2022 Ujist\u011Bte se, \u017Ee doba uchov\xE1v\xE1n\xED protokol\u016F\
            \ je definov\xE1na v souladu s obchodn\xEDmi pot\u0159ebami, v\xFDsledky\
            \ hodnocen\xED rizik a pr\xE1vn\xEDmi po\u017Eadavky/povinnostmi. \n\u2022\
            \ Doba \xFAdr\u017Eby z\xE1lo\u017En\xEDch protokol\u016F by nem\u011B\
            la b\xFDt krat\u0161\xED ne\u017E doba kontroly protokol\u016F, kter\xE1\
            \ je uvedena v bod\u011B 3.2.4 p\u0159\xEDlohy na\u0159\xEDzen\xED. \n\
            \u2022 Doba uchov\xE1v\xE1n\xED by m\u011Bla b\xFDt v souladu s t\xED\
            m, co je uvedeno v bod\u011B 4.2.2 p\xEDsm. f) p\u0159\xEDlohy na\u0159\
            \xEDzen\xED. \n\u2022 Smazat data po skon\u010Den\xED doby uchov\xE1v\xE1\
            n\xED. \n\u2022 Zva\u017Ete mechanismy na ochranu protokol\u016F p\u0159\
            ed neopr\xE1vn\u011Bn\xFDm p\u0159\xEDstupem nebo zm\u011Bnami (orienta\u010D\
            n\xED, ne\xFApln\xFD seznam):\n    o \u0161ifrov\xE1n\xED, o \u0159\xED\
            zen\xED p\u0159\xEDstupu, o hashov\xE1n\xED (odd\xEDl 9.2) a o protokolov\xE1\
            n\xED v\u0161ech p\u0159\xEDstup\u016F a zm\u011Bn soubor\u016F protokolu.\
            \ \n\u2022 Kontrola p\u0159\xEDstupu by m\u011Bla b\xFDt v souladu s t\xED\
            m, co je uvedeno v bod\u011B 4.2.2 p\xEDsm. d) p\u0159\xEDlohy na\u0159\
            \xEDzen\xED."
          typical_evidence: "\u2022 Je nastavena doba uchov\xE1v\xE1n\xED.  \n\u2022\
            \ Doba uchov\xE1v\xE1n\xED je v souladu s t\xEDm, co je uvedeno v bod\u011B\
            \ 4.2.2 p\xEDsm. f) p\u0159\xEDlohy na\u0159\xEDzen\xED a je krat\u0161\
            \xED ne\u017E doba p\u0159ezkumu protokol\u016F uveden\xE1 v bod\u011B\
            \ 3.2.4 p\u0159\xEDlohy na\u0159\xEDzen\xED. \n\u2022 Je zavedena spr\xE1\
            va log\u016F. \n\u2022 Protokoly neobsahuj\xED \xFAdaje o tom, jejich\u017E\
            \ doba uchov\xE1v\xE1n\xED vypr\u0161ela. \n\u2022 Mechanismy kontroly\
            \ p\u0159\xEDstupu jsou zavedeny. \n\u2022 Kontrola p\u0159\xEDstupu je\
            \ v souladu s t\xEDm, co je uvedeno v bod\u011B 4.2.2 p\xEDsm. d) p\u0159\
            \xEDlohy na\u0159\xEDzen\xED."
        it:
          description: I soggetti interessati conservano ed eseguono il backup delle
            registrazioni per un periodo predefinito e le proteggono da accessi o
            modifiche non autorizzate.
          annotation: "\u2022 Assicurarsi che il periodo di conservazione dei log\
            \ sia definito in base alle esigenze aziendali, ai risultati della valutazione\
            \ del rischio e ai requisiti/obblighi legali. \n\u2022 Il periodo di manutenzione\
            \ dei log di backup non deve essere inferiore al periodo di revisione\
            \ dei log, di cui al punto 3.2.4 dell'Allegato al regolamento. \n\u2022\
            \ Il periodo di conservazione deve essere in linea con quanto indicato\
            \ al punto 4.2.2 (f) dell'Allegato al regolamento. \n\u2022 Eliminare\
            \ i dati al termine del periodo di conservazione. \n\u2022 Prendere in\
            \ considerazione meccanismi per proteggere i log da accessi non autorizzati\
            \ o modifiche (elenco indicativo e non esaustivo):\n    o crittografia,\
            \ o controllo degli accessi, o hashing (sezione 9.2) e o registrazione\
            \ di tutti gli accessi e le modifiche ai file di registro. \n\u2022 Il\
            \ controllo degli accessi deve essere in linea con quanto indicato al\
            \ punto 4.2.2 (d) dell'Allegato al regolamento."
          typical_evidence: "\u2022 Viene impostato un periodo di conservazione. \
            \ \n\u2022 Il periodo di conservazione \xE8 in linea con quanto indicato\
            \ al punto 4.2.2 (f) dell'Allegato al regolamento ed \xE8 pi\xF9 breve\
            \ del periodo di revisione dei log, di cui al punto 3.2.4 dell'Allegato\
            \ al regolamento. \n\u2022 La gestione dei registri \xE8 in atto. \n\u2022\
            \ I registri non contengono dati per i quali sono scaduti i periodi di\
            \ conservazione. \n\u2022 Sono in atto meccanismi di controllo degli accessi.\
            \ \n\u2022 Il controllo degli accessi \xE8 in linea con quanto indicato\
            \ al punto 4.2.2 (d) dell'Allegato al regolamento."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.2.6
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.2
      ref_id: 3.2.6
      description: To the extent feasible, the relevant entities shall ensure that
        all systems have synchronised time sources to be able to correlate logs between
        systems for event assessment. The relevant entities shall establish and keep
        a list of all assets that are being logged and ensure that monitoring and
        logging systems are redundant. The availability of the monitoring and logging
        systems shall be monitored independent of the systems they are monitoring.
      annotation: "\u2022 Consider the following for time synchronisation:\n    o\
        \ Utilize Network Time Protocol (NTP) servers or Precision Time Protocol (PTP)\
        \ for accurate and reliable time synchronization (24).\n    o Use authenticated\
        \ NTP to prevent malicious entities from tampering with your time synchronization.\n\
        \    o Configure a central time server within the entity (25). This server\
        \ should synchronize with a reliable external time source and then distribute\
        \ the time to all other systems within the network.\n    o Use multiple time\
        \ sources to avoid a single point of failure.\n    o Plan how time synchronization\
        \ is handled across on-premises systems (for example servers in a company's\
        \ own data centre), cloud services, and software-as-a-service (SaaS) platforms\
        \ - especially if the organization uses a hybrid environment (a mix of on-premises\
        \ and cloud-based systems). \n\u2022 Assets being logged should be marked\
        \ as such in the asset inventory, in line with what is referred to in point\
        \ 12.4 of the Annex to the regulation. \n\u2022 Implement measures to protect\
        \ log data against loss, including but not limited to redundant storage across\
        \ multiple locations (e.g. cloud, secondary servers), retention of processed\
        \ log events in structured systems and preservation of derived security insights\
        \ (e.g. alerts, metrics) in line with what is referred to in point 4.2 of\
        \ the Annex to the regulation. These complementary approaches ensure both\
        \ data integrity and operational continuity in security monitoring and incident\
        \ response. \n\u2022 Deploy separate tools to monitor the capacity and availability\
        \ of the entity\u2019s primary monitoring and logging systems.\n\n(24) For\
        \ public NTP servers, see https://ntp.org/.\n(25) Entity risk analysis should\
        \ include definition on the stratum level required for the chosen sources\
        \ of time synchronisation."
      typical_evidence: "\u2022 Mechanisms for logs\u2019 time synchronisation. \n\
        \u2022 Mechanisms for logs\u2019 redundant storage. \n\u2022 Logs from the\
        \ activity of the tools that monitor the capacity and availability of the\
        \ entity\u2019s primary monitoring and logging systems."
      translations:
        fr:
          description: "Dans la mesure du possible, les entit\xE9s concern\xE9es veillent\
            \ \xE0 ce que tous les syst\xE8mes disposent d\u2019horloges synchronis\xE9\
            es pour \xEAtre en mesure de corr\xE9ler les journaux entre les diff\xE9\
            rents syst\xE8mes aux fins de l\u2019\xE9valuation des \xE9v\xE9nements.\
            \ Les entit\xE9s concern\xE9es \xE9tablissent et tiennent \xE0 jour une\
            \ liste de tous les actifs qui font l\u2019objet d\u2019une journalisation\
            \ et veillent \xE0 ce que les syst\xE8mes de surveillance et de journalisation\
            \ soient redondants. La disponibilit\xE9 des syst\xE8mes de surveillance\
            \ et de journalisation est contr\xF4l\xE9e ind\xE9pendamment des syst\xE8\
            mes soumis \xE0 leur surveillance."
          annotation: "\u2022 Tenez compte des \xE9l\xE9ments suivants pour la synchronisation\
            \ du temps :\n    o Utilisez des serveurs NTP (Network Time Protocol)\
            \ ou PTP (Precision Time Protocol) pour une synchronisation temporelle\
            \ pr\xE9cise et fiable (24).\n    o Utilisez un NTP authentifi\xE9 pour\
            \ emp\xEAcher les entit\xE9s malveillantes d\u2019alt\xE9rer votre synchronisation\
            \ horaire.\n    o Configurer un serveur de temps central au sein de l\u2019\
            entit\xE9 (25). Ce serveur doit se synchroniser avec une source de temps\
            \ externe fiable, puis distribuer l\u2019heure \xE0 tous les autres syst\xE8\
            mes du r\xE9seau.\n    o Utilisez plusieurs sources de temps pour \xE9\
            viter un seul point de d\xE9faillance.\n    o Planifier la fa\xE7on dont\
            \ la synchronisation du temps est g\xE9r\xE9e entre les syst\xE8mes sur\
            \ site (par exemple, les serveurs dans le centre de donn\xE9es de l\u2019\
            entreprise), les services cloud et les plateformes SaaS (Software-as-a-Service),\
            \ en particulier si l\u2019organisation utilise un environnement hybride\
            \ (un m\xE9lange de syst\xE8mes sur site et bas\xE9s sur le cloud). \n\
            \u2022 Les actifs enregistr\xE9s doivent \xEAtre marqu\xE9s comme tels\
            \ dans l\u2019inventaire des actifs, conform\xE9ment \xE0 ce qui est vis\xE9\
            \ au point 12.4 de l\u2019annexe du r\xE8glement. \n\u2022 Mettre en \u0153\
            uvre des mesures pour prot\xE9ger les donn\xE9es de journal contre la\
            \ perte, y compris, mais sans s\u2019y limiter, le stockage redondant\
            \ sur plusieurs sites (par exemple, le cloud, les serveurs secondaires),\
            \ la conservation des \xE9v\xE9nements de journal trait\xE9s dans des\
            \ syst\xE8mes structur\xE9s et la pr\xE9servation des informations de\
            \ s\xE9curit\xE9 d\xE9riv\xE9es (par exemple, les alertes, les m\xE9triques)\
            \ conform\xE9ment \xE0 ce qui est vis\xE9 au point 4.2 de l\u2019annexe\
            \ du r\xE8glement. Ces approches compl\xE9mentaires garantissent \xE0\
            \ la fois l\u2019int\xE9grit\xE9 des donn\xE9es et la continuit\xE9 op\xE9\
            rationnelle dans la surveillance de la s\xE9curit\xE9 et la r\xE9ponse\
            \ aux incidents. \n\u2022 D\xE9ployer des outils distincts pour surveiller\
            \ la capacit\xE9 et la disponibilit\xE9 des principaux syst\xE8mes de\
            \ surveillance et de journalisation de l\u2019entit\xE9.\n\n(24) Pour\
            \ les serveurs NTP publics, voir https://ntp.org/.\n(25) L\u2019analyse\
            \ du risque d\u2019entit\xE9 devrait inclure une d\xE9finition du niveau\
            \ de strate requis pour les sources choisies de synchronisation temporelle."
          typical_evidence: "\u2022 M\xE9canismes de synchronisation temporelle des\
            \ journaux. \n\u2022 M\xE9canismes de stockage redondant des logs. \n\u2022\
            \ Journaux de l\u2019activit\xE9 des outils qui surveillent la capacit\xE9\
            \ et la disponibilit\xE9 des principaux syst\xE8mes de surveillance et\
            \ de journalisation de l\u2019entit\xE9."
        es:
          description: "En la medida de lo posible, las entidades pertinentes velar\xE1\
            n por que todos los sistemas dispongan de fuentes de informaci\xF3n temporal\
            \ sincronizadas para permitir la vinculaci\xF3n de registros entre sistemas\
            \ de cara a la evaluaci\xF3n de sucesos. Las entidades pertinentes establecer\xE1\
            n y mantendr\xE1n una lista de todos los activos que se registren y velar\xE1\
            n por que los sistemas de seguimiento y registro sean redundantes. La\
            \ disponibilidad de los sistemas de supervisi\xF3n y registro se controlar\xE1\
            \ con independencia de los sistemas que est\xE9n supervisando."
          annotation: "\u2022 Tenga en cuenta lo siguiente para la sincronizaci\xF3\
            n horaria:\n    o Utilice servidores de protocolo de tiempo de red (NTP)\
            \ o protocolo de tiempo de precisi\xF3n (PTP) para una sincronizaci\xF3\
            n de tiempo precisa y confiable (24).\n    o Utilice NTP autenticado para\
            \ evitar que entidades maliciosas manipulen su sincronizaci\xF3n de tiempo.\n\
            \    o Configurar un servidor de tiempo central dentro de la entidad (25).\
            \ Este servidor debe sincronizarse con una fuente de tiempo externa confiable\
            \ y luego distribuir la hora a todos los dem\xE1s sistemas dentro de la\
            \ red.\n    o Utilice m\xFAltiples fuentes de tiempo para evitar un solo\
            \ punto de fallo.\n    o Planificar c\xF3mo se maneja la sincronizaci\xF3\
            n de tiempo en los sistemas locales (por ejemplo, servidores en el propio\
            \ centro de datos de una empresa), servicios en la nube y plataformas\
            \ de software como servicio (SaaS), especialmente si la organizaci\xF3\
            n utiliza un entorno h\xEDbrido (una combinaci\xF3n de sistemas locales\
            \ y basados en la nube). \n\u2022 Los activos que se registran deben marcarse\
            \ como tales en el inventario de activos, de conformidad con lo mencionado\
            \ en el punto 12.4 del anexo del Reglamento. \n\u2022 Implementar medidas\
            \ para proteger los datos de registro contra p\xE9rdidas, incluidos, entre\
            \ otros, el almacenamiento redundante en m\xFAltiples ubicaciones (por\
            \ ejemplo, nube, servidores secundarios), la retenci\xF3n de eventos de\
            \ registro procesados en sistemas estructurados y la preservaci\xF3n de\
            \ la informaci\xF3n de seguridad derivada (por ejemplo, alertas, m\xE9\
            tricas) en l\xEDnea con lo mencionado en el punto 4.2 del anexo del reglamento.\
            \ Estos enfoques complementarios garantizan tanto la integridad de los\
            \ datos como la continuidad operativa en la supervisi\xF3n de la seguridad\
            \ y la respuesta a incidentes. \n\u2022 Implemente herramientas separadas\
            \ para monitorear la capacidad y disponibilidad de los sistemas principales\
            \ de monitoreo y registro de la entidad.\n\n(24) Para los servidores NTP\
            \ p\xFAblicos, v\xE9ase https://ntp.org/.\n(25) El an\xE1lisis de riesgos\
            \ de la entidad debe incluir una definici\xF3n sobre el nivel de estrato\
            \ requerido para las fuentes elegidas de sincronizaci\xF3n horaria."
          typical_evidence: "\u2022 Mecanismos de sincronizaci\xF3n horaria de los\
            \ registros. \n\u2022 Mecanismos para el almacenamiento redundante de\
            \ registros. \n\u2022 Registros de la actividad de las herramientas que\
            \ monitorean la capacidad y disponibilidad de los sistemas primarios de\
            \ monitoreo y registro de la entidad."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty v provediteln\xE9m rozsahu\
            \ zajist\xED, aby v\u0161echny syst\xE9my m\u011Bly synchronizovan\xE9\
            \ zdroje \u010Dasu, a aby tak bylo mo\u017En\xE9 propojovat protokoly\
            \ mezi syst\xE9my za \xFA\u010Delem vyhodnocen\xED ud\xE1losti. P\u0159\
            \xEDslu\u0161n\xE9 subjekty vytv\xE1\u0159ej\xED a vedou seznam v\u0161\
            ech aktiv, o kter\xFDch maj\xED b\xFDt vedeny protokoly, a zajist\xED\
            , aby syst\xE9my monitorov\xE1n\xED a veden\xED protokol\u016F byly redundantn\xED\
            . Dostupnost syst\xE9m\u016F monitorov\xE1n\xED a veden\xED protokol\u016F\
            \ se sleduje nez\xE1visle na syst\xE9mech, kter\xE9 monitoruj\xED."
          annotation: "\u2022 Pro \u010Dasovou synchronizaci zva\u017Ete n\xE1sleduj\xED\
            c\xED:\n    o Vyu\u017Eijte servery Network Time Protocol (NTP) nebo Precision\
            \ Time Protocol (PTP) pro p\u0159esnou a spolehlivou synchronizaci \u010D\
            asu (24).\n    o Pou\u017Eijte ov\u011B\u0159en\xFD NTP, abyste zabr\xE1\
            nili \u0161kodliv\xFDm entit\xE1m v manipulaci s va\u0161\xED synchronizac\xED\
            \ \u010Dasu.\n    o Nakonfigurujte centr\xE1ln\xED \u010Dasov\xFD server\
            \ v r\xE1mci entity (25). Tento server by se m\u011Bl synchronizovat se\
            \ spolehliv\xFDm extern\xEDm zdrojem \u010Dasu a pot\xE9 distribuovat\
            \ \u010Das do v\u0161ech ostatn\xEDch syst\xE9m\u016F v s\xEDti.\n   \
            \ o Pou\u017Eijte v\xEDce zdroj\u016F \u010Dasu, abyste se vyhnuli jedin\xE9\
            mu bodu selh\xE1n\xED.\n    o Napl\xE1nujte si, jak bude \u0159e\u0161\
            ena synchronizace \u010Dasu nap\u0159\xED\u010D m\xEDstn\xEDmi syst\xE9\
            my (nap\u0159\xEDklad servery ve vlastn\xEDm datov\xE9m centru spole\u010D\
            nosti), cloudov\xFDmi slu\u017Ebami a platformami SaaS (software jako\
            \ slu\u017Eba) \u2013 zejm\xE9na pokud organizace pou\u017E\xEDv\xE1 hybridn\xED\
            \ prost\u0159ed\xED (kombinace m\xEDstn\xEDch a cloudov\xFDch syst\xE9\
            m\u016F). \n\u2022 Vyk\xE1z\xE1na aktiva by m\u011Bla b\xFDt jako takov\xE1\
            \ ozna\u010Dena v soupisu aktiv v souladu s t\xEDm, co je uvedeno v bod\u011B\
            \ 12.4 p\u0159\xEDlohy na\u0159\xEDzen\xED. \n\u2022 Zav\xE9st opat\u0159\
            en\xED na ochranu dat protokolu p\u0159ed ztr\xE1tou, mimo jin\xE9 v\u010D\
            etn\u011B redundantn\xEDho \xFAlo\u017Ei\u0161t\u011B na v\xEDce m\xED\
            stech (nap\u0159. cloud, sekund\xE1rn\xED servery), uchov\xE1v\xE1n\xED\
            \ zpracovan\xFDch ud\xE1lost\xED protokolu ve strukturovan\xFDch syst\xE9\
            mech a uchov\xE1v\xE1n\xED odvozen\xFDch poznatk\u016F o bezpe\u010Dnosti\
            \ (nap\u0159. v\xFDstrah, metrik) v souladu s t\xEDm, co je uvedeno v\
            \ bod\u011B 4.2 p\u0159\xEDlohy na\u0159\xEDzen\xED. Tyto vz\xE1jemn\u011B\
            \ se dopl\u0148uj\xEDc\xED p\u0159\xEDstupy zaji\u0161\u0165uj\xED jak\
            \ integritu dat, tak provozn\xED kontinuitu p\u0159i monitorov\xE1n\xED\
            \ zabezpe\u010Den\xED a reakci na incidenty. \n\u2022 Nasa\u010Fte samostatn\xE9\
            \ n\xE1stroje pro sledov\xE1n\xED kapacity a dostupnosti prim\xE1rn\xED\
            ch monitorovac\xEDch a logovac\xEDch syst\xE9m\u016F subjektu.\n\n(24)\
            \ Pokud jde o ve\u0159ejn\xE9 servery NTP, viz https://ntp.org/.\n(25)\
            \ Anal\xFDza rizik \xFA\u010Detn\xED jednotky by m\u011Bla zahrnovat definici\
            \ na \xFArovni vrstev po\u017Eadovan\xE9 pro zvolen\xE9 zdroje \u010D\
            asov\xE9 synchronizace."
          typical_evidence: "\u2022 Mechanismy \u010Dasov\xE9 synchronizace log\u016F\
            . \n\u2022 Mechanismy pro redundantn\xED ukl\xE1d\xE1n\xED log\u016F.\
            \ \n\u2022 Logy z \u010Dinnosti n\xE1stroj\u016F, kter\xE9 monitoruj\xED\
            \ kapacitu a dostupnost prim\xE1rn\xEDch monitorovac\xEDch a logovac\xED\
            ch syst\xE9m\u016F subjektu."
        it:
          description: "Per quanto possibile, i soggetti pertinenti garantiscono che\
            \ tutti i sistemi dispongano di fonti temporali sincronizzate per essere\
            \ in grado di correlare i log tra i sistemi per la valutazione degli eventi.\
            \ I soggetti pertinenti redigono e tengono un elenco di tutti i beni che\
            \ vengono registrati e garantiscono che i sistemi di monitoraggio e registrazione\
            \ siano ridondanti. La disponibilit\xE0 dei sistemi di monitoraggio e\
            \ di registrazione \xE8 monitorata indipendentemente dai sistemi che controllano."
          annotation: "\u2022 Per la sincronizzazione dell'ora, considerare quanto\
            \ segue:\n    o Utilizzare server NTP (Network Time Protocol) o PTP (Precision\
            \ Time Protocol) per una sincronizzazione dell'ora accurata e affidabile\
            \ (24).\n    o Utilizzare NTP autenticato per impedire a entit\xE0 malintenzionate\
            \ di manomettere la sincronizzazione dell'ora.\n    o Configurare un time\
            \ server centrale all'interno dell'entit\xE0 (25). Questo server deve\
            \ eseguire la sincronizzazione con un'origine ora esterna affidabile e\
            \ quindi distribuire l'ora a tutti gli altri sistemi all'interno della\
            \ rete.\n    o Utilizzare pi\xF9 fonti di tempo per evitare un singolo\
            \ punto di errore.\n    Pianificare il modo in cui la sincronizzazione\
            \ dell'ora viene gestita tra i sistemi on-premise (ad esempio i server\
            \ nel data center di un'azienda), i servizi cloud e le piattaforme software-as-a-service\
            \ (SaaS), soprattutto se l'organizzazione utilizza un ambiente ibrido\
            \ (una combinazione di sistemi on-premise e basati su cloud). \n\u2022\
            \ I beni oggetto di registrazione devono essere contrassegnati come tali\
            \ nell'inventario dei beni, in linea con quanto indicato al punto 12.4\
            \ dell'allegato al regolamento. \n\u2022 Implementare misure per proteggere\
            \ i dati di registro dalla perdita, tra cui, a titolo esemplificativo\
            \ ma non esaustivo, l'archiviazione ridondante in pi\xF9 sedi (ad es.\
            \ cloud, server secondari), la conservazione degli eventi di registro\
            \ elaborati in sistemi strutturati e la conservazione delle informazioni\
            \ di sicurezza derivate (ad es. avvisi, metriche) in linea con quanto\
            \ indicato al punto 4.2 dell'Allegato al regolamento. Questi approcci\
            \ complementari garantiscono sia l'integrit\xE0 dei dati che la continuit\xE0\
            \ operativa nel monitoraggio della sicurezza e nella risposta agli incidenti.\
            \ \n\u2022 Implementare strumenti separati per monitorare la capacit\xE0\
            \ e la disponibilit\xE0 dei principali sistemi di monitoraggio e registrazione\
            \ dell'entit\xE0.\n\n(24) Per i server NTP pubblici, vedere https://ntp.org/.\n\
            (25) L'analisi del rischio dell'entit\xE0 dovrebbe includere la definizione\
            \ del livello di strato richiesto per le fonti di sincronizzazione temporale\
            \ prescelte."
          typical_evidence: "\u2022 Meccanismi per la sincronizzazione dell'ora dei\
            \ log. \n\u2022 Meccanismi per la memorizzazione ridondante dei log. \n\
            \u2022 Registra l'attivit\xE0 degli strumenti che monitorano la capacit\xE0\
            \ e la disponibilit\xE0 dei principali sistemi di monitoraggio e registrazione\
            \ dell'entit\xE0."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.2.7
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.2
      ref_id: 3.2.7
      description: The procedures as well as the list of assets that are being logged
        shall be reviewed and, where appropriate, updated at regular intervals and
        after significant incidents.
      annotation: "\u2022 Determine the frequency of reviews based on the risk assessment\
        \ results related to the criticality of the assets, ensuring that reviews\
        \ are conducted at least annually. \n\u2022 Include the testing of monitoring\
        \ and logging procedures in security testing (section 6.5). \n\u2022 Review\
        \ a random sample of logs to verify that all the assets that should be subject\
        \ to the log are actually considered.\n\n[TIPS]\n\n\u2022 In addition to the\
        \ elements mentioned in point 3.2.3 of the Annex to the regulation, last login\
        \ for every account should be logged. \n\u2022 Document monitoring and logging\
        \ procedures. \n\u2022 Assess the frequency of monitoring activities to ensure\
        \ they are sufficient to support risk-based security decisions for adequately\
        \ protecting the entity\u2019s network and information systems. \n\u2022 Make\
        \ sure that personal data that are included in the logs is not processed unnecessarily.\
        \  When required, an additional level of protection is deployed after performing\
        \ a data protection impact assessment. \n\u2022 Determine the log baselines\
        \ in line with the needs and the capabilities of the business (indicative,\
        \ non- exhaustive list):\n    o structured or semi-structured, if possible,\
        \ instead of unstructured format;\n    o consistent data format in line with\
        \ the selected tools and well-known standards, for example JavaScript Object\
        \ Notation and extensible markup language (XML);\n    o log level in line\
        \ with the classification level of the asset being logged \u2013 the entity\
        \ should assign a higher log level, for example \u2018error\u2019/\u2018fatal\u2019\
        , to highly classified assets while the lower log levels, for example \u2018\
        info\u2019/\u2018debug\u2019, should be used for assets with a lower classification;\
        \ and\n    o the standard for the timestamps, for example ISO-8601 (26), RFC\
        \ 3339 (27) or RFC 9557 (28). \n\u2022 Each log entry should contain necessary\
        \ metadata such as (indicative, non-exhaustive list):\n    o log level;\n\
        \    o timestamp;\n    o source identifier, for example the application or\
        \ the device relevant to the entry; and\n    o a unique identifier for the\
        \ entry. \n\u2022 Correlate data from different sources, if applicable. \n\
        \u2022 Select tools that monitor and protect end point devices. \n\u2022 Select\
        \ tools that can collect and analyse network traffic in real time to detect\
        \ anomalies, data exfiltration and even the most advanced threats, while offering\
        \ the option of automatic remediation.\n\n(26) ISO 8601-1:2019/Amd 1:2022\
        \ Date and time \u2013 Representations for information interchange, 2022 edition.\n\
        (27) RFC3339, Date and time on the internet: Timestamps, July 2002, https://doi.org/10.17487/RFC3339.\n\
        (28) RFC9557, Date and time on the internet: Timestamps with additional information,\
        \ April 2024, https://doi.org/10.17487/RFC9557."
      typical_evidence: "\u2022 Review plans or schedules.\n\n[TIPS]\n\n\u2022 Documented\
        \ procedures. \n\u2022 Log baselines in place. \n\u2022 Logs (samples) containing\
        \ necessary metadata. \n\u2022 EDR tools. \n\u2022 Network detection and response\
        \ (NDR) tools."
      translations:
        fr:
          description: "Les proc\xE9dures ainsi que la liste des actifs qui font l\u2019\
            objet d\u2019une journalisation sont r\xE9examin\xE9es et, s\u2019il est\
            \ besoin, mises \xE0 jour \xE0 intervalles r\xE9guliers et \xE0 la suite\
            \ d\u2019incidents importants."
          annotation: "\u2022 D\xE9terminer la fr\xE9quence des examens en fonction\
            \ des r\xE9sultats de l\u2019\xE9valuation des risques li\xE9s \xE0 la\
            \ criticit\xE9 des actifs, en veillant \xE0 ce que les examens soient\
            \ effectu\xE9s au moins une fois par an. \n\u2022 Inclure la mise \xE0\
            \ l\u2019essai des proc\xE9dures de surveillance et de consignation dans\
            \ les tests de s\xE9curit\xE9 (section 6.5). \n\u2022 Examinez un \xE9\
            chantillon al\xE9atoire de journaux pour v\xE9rifier que tous les actifs\
            \ qui devraient \xEAtre soumis au journal sont r\xE9ellement pris en compte.\n\
            \n[CONSEILS]\n\n\u2022 En plus des \xE9l\xE9ments mentionn\xE9s au point\
            \ 3.2.3 de l\u2019annexe du r\xE8glement, la derni\xE8re connexion de\
            \ chaque compte doit \xEAtre enregistr\xE9e. \n\u2022 Proc\xE9dures de\
            \ suivi et d\u2019enregistrement des documents. \n\u2022 \xC9valuer la\
            \ fr\xE9quence des activit\xE9s de surveillance pour s\u2019assurer qu\u2019\
            elle est suffisante pour appuyer les d\xE9cisions de s\xE9curit\xE9 fond\xE9\
            es sur les risques visant \xE0 prot\xE9ger ad\xE9quatement le r\xE9seau\
            \ et les syst\xE8mes d\u2019information de l\u2019entit\xE9. \n\u2022\
            \ Assurez-vous que les donn\xE9es personnelles incluses dans les journaux\
            \ ne sont pas trait\xE9es inutilement.  Si n\xE9cessaire, un niveau de\
            \ protection suppl\xE9mentaire est d\xE9ploy\xE9 apr\xE8s la r\xE9alisation\
            \ d\u2019une analyse d\u2019impact relative \xE0 la protection des donn\xE9\
            es. \n\u2022 D\xE9terminer les r\xE9f\xE9rentiels de logs en ad\xE9quation\
            \ avec les besoins et les capacit\xE9s de l\u2019entreprise (liste indicative,\
            \ non exhaustive) :\n    o structur\xE9 ou semi-structur\xE9, si possible,\
            \ au lieu d\u2019un format non structur\xE9 ;\n    o un format de donn\xE9\
            es coh\xE9rent en ligne avec les outils s\xE9lectionn\xE9s et les normes\
            \ bien connues, par exemple JavaScript Object Notation et le langage de\
            \ balisage extensible (XML) ;\n    o Niveau de journalisation conforme\
            \ au niveau de classification de l\u2019actif consign\xE9 : l\u2019entit\xE9\
            \ doit attribuer un niveau de journalisation plus \xE9lev\xE9, par exemple\
            \ \xAB erreur \xBB/\xAB fatal \xBB, aux actifs hautement classifi\xE9\
            s, tandis que les niveaux de journalisation inf\xE9rieurs, par exemple\
            \ \xAB info \xBB/\xAB d\xE9bogage \xBB, doivent \xEAtre utilis\xE9s pour\
            \ les actifs ayant une classification inf\xE9rieure ; et\n    o la norme\
            \ pour les horodatages, par exemple ISO-8601 (26), RFC 3339 (27) ou RFC\
            \ 9557 (28). \n\u2022 Chaque entr\xE9e de journal doit contenir les m\xE9\
            tadonn\xE9es n\xE9cessaires telles que (liste indicative, non exhaustive)\
            \ :\n    o niveau de journalisation ;\n    o horodatage ;\n    o l\u2019\
            identifiant de la source, par exemple l\u2019application ou l\u2019appareil\
            \ concern\xE9 par l\u2019entr\xE9e ; et\n    o un identifiant unique pour\
            \ l\u2019entr\xE9e. \n\u2022 Corr\xE9lez les donn\xE9es provenant de diff\xE9\
            rentes sources, le cas \xE9ch\xE9ant. \n\u2022 Choisissez des outils qui\
            \ surveillent et prot\xE8gent les terminaux. \n\u2022 S\xE9lectionner\
            \ des outils capables de collecter et d\u2019analyser le trafic r\xE9\
            seau en temps r\xE9el pour d\xE9tecter les anomalies, l\u2019exfiltration\
            \ de donn\xE9es et m\xEAme les menaces les plus avanc\xE9es, tout en offrant\
            \ la possibilit\xE9 d\u2019une rem\xE9diation automatique.\n\n(26) ISO\
            \ 8601-1:2019/Amd 1:2022 Date et heure \u2013 Repr\xE9sentations pour\
            \ l\u2019\xE9change d\u2019informations, \xE9dition 2022.\n(27) RFC3339,\
            \ Date et heure sur l\u2019internet\_: horodatages, juillet 2002, https://doi.org/10.17487/RFC3339.\n\
            (28) RFC9557, Date et heure sur Internet : horodatages avec informations\
            \ compl\xE9mentaires, avril 2024, https://doi.org/10.17487/RFC9557."
          typical_evidence: "\u2022 Examiner les plans ou les \xE9ch\xE9anciers.\n\
            \n[CONSEILS]\n\n\u2022 Proc\xE9dures document\xE9es. \n\u2022 Enregistrez\
            \ les lignes de base en place. \n\u2022 Journaux (\xE9chantillons) contenant\
            \ les m\xE9tadonn\xE9es n\xE9cessaires. \n\u2022 Outils EDR. \n\u2022\
            \ Outils de d\xE9tection et de r\xE9ponse au r\xE9seau (NDR)."
        es:
          description: "Tanto los procedimientos como la lista de activos que se registren\
            \ se revisar\xE1n y, cuando proceda, se actualizar\xE1n a intervalos regulares\
            \ y despu\xE9s de incidentes significativos."
          annotation: "\u2022 Determinar la frecuencia de las revisiones en funci\xF3\
            n de los resultados de la evaluaci\xF3n de riesgos relacionados con la\
            \ criticidad de los activos, asegurando que las revisiones se realicen\
            \ al menos una vez al a\xF1o. \n\u2022 Incluir las pruebas de los procedimientos\
            \ de supervisi\xF3n y registro en las pruebas de seguridad (secci\xF3\
            n 6.5). \n\u2022 Revise una muestra aleatoria de registros para verificar\
            \ que todos los activos que deben estar sujetos al registro se tengan\
            \ realmente en cuenta.\n\n[CONSEJOS]\n\n\u2022 Adem\xE1s de los elementos\
            \ mencionados en el punto 3.2.3 del anexo del reglamento, se debe registrar\
            \ el \xFAltimo inicio de sesi\xF3n de cada cuenta. \n\u2022 Documentar\
            \ los procedimientos de seguimiento y registro. \n\u2022 Evaluar la frecuencia\
            \ de las actividades de monitoreo para asegurar que sean suficientes para\
            \ respaldar las decisiones de seguridad basadas en riesgos para proteger\
            \ adecuadamente la red y los sistemas de informaci\xF3n de la entidad.\
            \ \n\u2022 Aseg\xFArese de que los datos personales que se incluyen en\
            \ los registros no se procesen innecesariamente.  Cuando es necesario,\
            \ se implementa un nivel adicional de protecci\xF3n despu\xE9s de realizar\
            \ una evaluaci\xF3n de impacto de la protecci\xF3n de datos. \n\u2022\
            \ Determinar las l\xEDneas de base del registro de acuerdo con las necesidades\
            \ y las capacidades de la empresa (lista indicativa, no exhaustiva):\n\
            \    o estructurado o semiestructurado, si es posible, en lugar de formato\
            \ no estructurado;\n    o formato de datos coherente en l\xEDnea con las\
            \ herramientas seleccionadas y los est\xE1ndares conocidos, por ejemplo,\
            \ la notaci\xF3n de objetos JavaScript y el lenguaje de marcado extensible\
            \ (XML);\n    o nivel de registro en l\xEDnea con el nivel de clasificaci\xF3\
            n del activo que se est\xE1 registrando: la entidad debe asignar un nivel\
            \ de registro m\xE1s alto, por ejemplo, 'error'/'fatal', a los activos\
            \ altamente clasificados, mientras que los niveles de registro m\xE1s\
            \ bajos, por ejemplo, 'info'/'debug', deben usarse para activos con una\
            \ clasificaci\xF3n m\xE1s baja; y\n    o el est\xE1ndar para las marcas\
            \ de tiempo, por ejemplo ISO-8601 (26), RFC 3339 (27) o RFC 9557 (28).\
            \ \n\u2022 Cada entrada de registro debe contener los metadatos necesarios,\
            \ tales como (lista indicativa y no exhaustiva):\n    o nivel de registro;\n\
            \    o marca de tiempo;\n    o identificador de la fuente, por ejemplo,\
            \ la aplicaci\xF3n o el dispositivo pertinente para la entrada; y\n  \
            \  o un identificador \xFAnico para la entrada. \n\u2022 Correlacionar\
            \ datos de diferentes fuentes, si corresponde. \n\u2022 Seleccione herramientas\
            \ que supervisen y protejan los dispositivos de punto final. \n\u2022\
            \ Seleccione herramientas que puedan recopilar y analizar el tr\xE1fico\
            \ de red en tiempo real para detectar anomal\xEDas, exfiltraci\xF3n de\
            \ datos e incluso las amenazas m\xE1s avanzadas, al tiempo que ofrece\
            \ la opci\xF3n de correcci\xF3n autom\xE1tica.\n\n(26) ISO 8601-1:2019/Amd\
            \ 1:2022 Fecha y hora \u2013 Representaciones para el intercambio de informaci\xF3\
            n, edici\xF3n de 2022.\n(27) RFC3339, Fecha y hora en Internet: Timestamps,\
            \ julio de 2002, https://doi.org/10.17487/RFC3339.\n(28) RFC9557, Fecha\
            \ y hora en internet: Marcas de tiempo con informaci\xF3n adicional, abril\
            \ de 2024, https://doi.org/10.17487/RFC9557."
          typical_evidence: "\u2022 Revisar planes o horarios.\n\n[CONSEJOS]\n\n\u2022\
            \ Procedimientos documentados. \n\u2022 Registre las l\xEDneas de base\
            \ en su lugar. \n\u2022 Registros (muestras) que contienen los metadatos\
            \ necesarios. \n\u2022 Herramientas EDR. \n\u2022 Herramientas de detecci\xF3\
            n y respuesta de red (NDR)."
        cs:
          description: "Postupy i seznam aktiv, o kter\xFDch maj\xED b\xFDt vedeny\
            \ protokoly, se p\u0159ezkoum\xE1vaj\xED a v p\u0159\xEDpad\u011B pot\u0159\
            eby aktualizuj\xED pravideln\u011B a po v\xFDznamn\xFDch incidentech."
          annotation: "\u2022 Ur\u010Dete \u010Detnost p\u0159ezkum\u016F na z\xE1\
            klad\u011B v\xFDsledk\u016F hodnocen\xED rizik souvisej\xEDc\xEDch s kriti\u010D\
            nost\xED aktiv a zajist\u011Bte, aby byly p\u0159ezkumy prov\xE1d\u011B\
            ny alespo\u0148 jednou ro\u010Dn\u011B. \n\u2022 Zahrnout testov\xE1n\xED\
            \ postup\u016F monitorov\xE1n\xED a protokolov\xE1n\xED do testov\xE1\
            n\xED bezpe\u010Dnosti (odd\xEDl 6.5). \n\u2022 Zkontrolujte n\xE1hodn\xFD\
            \ vzorek protokol\u016F a ov\u011B\u0159te, zda jsou skute\u010Dn\u011B\
            \ br\xE1ny v \xFAvahu v\u0161echny datov\xE9 zdroje, kter\xE9 by m\u011B\
            ly b\xFDt p\u0159edm\u011Btem protokolu.\n\n[TIPY]\n\n\u2022 Krom\u011B\
            \ prvk\u016F uveden\xFDch v bod\u011B 3.2.3 p\u0159\xEDlohy na\u0159\xED\
            zen\xED by m\u011Blo b\xFDt zaznamen\xE1no posledn\xED p\u0159ihl\xE1\u0161\
            en\xED pro ka\u017Ed\xFD \xFA\u010Det. \n\u2022 Postupy monitorov\xE1\
            n\xED a protokolov\xE1n\xED dokument\u016F. \n\u2022 Posoudit \u010Detnost\
            \ monitorovac\xEDch \u010Dinnost\xED, aby se zajistilo, \u017Ee jsou dostate\u010D\
            n\xE9 pro podporu bezpe\u010Dnostn\xEDch rozhodnut\xED zalo\u017Een\xFD\
            ch na rizic\xEDch pro adekv\xE1tn\xED ochranu s\xEDt\u011B a informa\u010D\
            n\xEDch syst\xE9m\u016F subjektu. \n\u2022 Db\xE1t na to, aby osobn\xED\
            \ \xFAdaje, kter\xE9 jsou v logech obsa\u017Eeny, nebyly zbyte\u010Dn\u011B\
            \ zpracov\xE1v\xE1ny.  V p\u0159\xEDpad\u011B pot\u0159eby je po proveden\xED\
            \ posouzen\xED vlivu na ochranu osobn\xEDch \xFAdaj\u016F nasazena dal\u0161\
            \xED \xFArove\u0148 ochrany. \n\u2022 Ur\u010Dete z\xE1kladn\xED hodnoty\
            \ protokolu v souladu s pot\u0159ebami a mo\u017Enostmi podniku (orienta\u010D\
            n\xED, ne\xFApln\xFD seznam):\n    o strukturovan\xFD nebo polostrukturovan\xFD\
            , pokud je to mo\u017En\xE9, nam\xEDsto nestrukturovan\xE9ho form\xE1\
            tu;\n    o konzistentn\xED form\xE1t dat v souladu s vybran\xFDmi n\xE1\
            stroji a zn\xE1m\xFDmi standardy, nap\u0159\xEDklad JavaScript Object\
            \ Notation a extensible markup language (XML);\n    o \xFArove\u0148 protokolu\
            \ v souladu s \xFArovn\xED klasifikace zaznamen\xE1van\xE9ho aktiva \u2013\
            \ subjekt by m\u011Bl vysoce klasifikovan\xFDm aktiv\u016Fm p\u0159i\u0159\
            adit vy\u0161\u0161\xED \xFArove\u0148 protokolu, nap\u0159\xEDklad \"\
            error\"/\"fatal\", zat\xEDmco ni\u017E\u0161\xED \xFArovn\u011B protokolu,\
            \ nap\u0159\xEDklad \"info\"/\"debug\", by m\u011Bly b\xFDt pou\u017E\
            ity pro aktiva s ni\u017E\u0161\xED klasifikac\xED; a\n    o standard\
            \ pro \u010Dasov\xE1 raz\xEDtka, nap\u0159\xEDklad ISO-8601 (26), RFC\
            \ 3339 (27) nebo RFC 9557 (28). \n\u2022 Ka\u017Ed\xFD z\xE1znam v protokolu\
            \ by m\u011Bl obsahovat nezbytn\xE1 metadata, jako jsou (orienta\u010D\
            n\xED, ne\xFApln\xFD seznam):\n    o \xFArove\u0148 protokolu;\n    o\
            \ \u010Dasov\xE9 raz\xEDtko;\n    o identifik\xE1tor zdroje, nap\u0159\
            \xEDklad aplikace nebo za\u0159\xEDzen\xED relevantn\xED pro z\xE1znam;\
            \ a\n    o jedine\u010Dn\xFD identifik\xE1tor z\xE1znamu. \n\u2022 Pokud\
            \ je to mo\u017En\xE9, korelujte data z r\u016Fzn\xFDch zdroj\u016F. \n\
            \u2022 Vyberte n\xE1stroje, kter\xE9 monitoruj\xED a chr\xE1n\xED koncov\xE1\
            \ za\u0159\xEDzen\xED. \n\u2022 Vyberte n\xE1stroje, kter\xE9 dok\xE1\u017E\
            ou shroma\u017E\u010Fovat a analyzovat s\xED\u0165ov\xFD provoz v re\xE1\
            ln\xE9m \u010Dase a detekovat anom\xE1lie, exfiltraci dat a dokonce i\
            \ ty nejpokro\u010Dilej\u0161\xED hrozby, p\u0159i\u010Dem\u017E nab\xED\
            zej\xED mo\u017Enost automatick\xE9 n\xE1pravy.\n\n(26) ISO 8601-1:2019\
            \ / Amd 1:2022 Datum a \u010Das \u2013 Zn\xE1zorn\u011Bn\xED pro v\xFD\
            m\u011Bnu informac\xED, vyd\xE1n\xED z roku 2022.\n(27) RFC3339, Datum\
            \ a \u010Das na internetu: \u010Casov\xE1 raz\xEDtka, \u010Dervenec 2002,\
            \ https://doi.org/10.17487/RFC3339.\n(28) RFC9557, Datum a \u010Das na\
            \ internetu: \u010Casov\xE1 raz\xEDtka s dal\u0161\xEDmi informacemi,\
            \ duben 2024, https://doi.org/10.17487/RFC9557."
          typical_evidence: "\u2022 Zkontrolujte pl\xE1ny nebo pl\xE1ny.\n\n[TIPY]\n\
            \n\u2022 Zdokumentovan\xE9 postupy. \n\u2022 Zaznamen\xE1vejte z\xE1kladn\xED\
            \ linie na m\xEDst\u011B. \n\u2022 Logy (vzorky) obsahuj\xEDc\xED pot\u0159\
            ebn\xE1 metadata. \n\u2022 EDR n\xE1stroje. \n\u2022 N\xE1stroje pro detekci\
            \ a odezvu s\xEDt\u011B (NDR)."
        it:
          description: "Le procedure e l'elenco delle attivit\xE0 registrate sono\
            \ riesaminate e, se del caso, aggiornate a intervalli regolari e dopo\
            \ incidenti significativi."
          annotation: "\u2022 Determinare la frequenza delle revisioni in base ai\
            \ risultati della valutazione del rischio relativi alla criticit\xE0 degli\
            \ asset, assicurandosi che le revisioni siano condotte almeno una volta\
            \ all'anno. \n\u2022 Includere la verifica delle procedure di monitoraggio\
            \ e registrazione nei test di sicurezza (sezione 6.5). \n\u2022 Esaminare\
            \ un campione casuale di log per verificare che tutte le risorse che devono\
            \ essere soggette al log siano effettivamente considerate.\n\n[CONSIGLI]\n\
            \n\u2022 Oltre agli elementi di cui al punto 3.2.3 dell'Allegato al regolamento,\
            \ \xE8 necessario registrare l'ultimo accesso per ogni account. \n\u2022\
            \ Procedure di monitoraggio e registrazione dei documenti. \n\u2022 Valutare\
            \ la frequenza delle attivit\xE0 di monitoraggio per assicurarsi che siano\
            \ sufficienti a supportare decisioni di sicurezza basate sul rischio per\
            \ proteggere adeguatamente la rete e i sistemi informativi dell'entit\xE0\
            . \n\u2022 Assicurarsi che i dati personali inclusi nei registri non vengano\
            \ elaborati inutilmente.  Se necessario, viene implementato un ulteriore\
            \ livello di protezione dopo l'esecuzione di una valutazione dell'impatto\
            \ sulla protezione dei dati. \n\u2022 Determinare le linee di base dei\
            \ log in linea con le esigenze e le capacit\xE0 dell'azienda (elenco indicativo,\
            \ non esaustivo):\n    o strutturato o semi-strutturato, se possibile,\
            \ anzich\xE9 in formato non strutturato;\n    o un formato dei dati coerente\
            \ in linea con gli strumenti selezionati e gli standard noti, ad esempio\
            \ JavaScript Object Notation e Extensible Markup Language (XML);\n   \
            \ o livello di log in linea con il livello di classificazione dell'asset\
            \ da registrare: l'entit\xE0 dovrebbe assegnare un livello di log pi\xF9\
            \ alto, ad esempio \"error\"/\"fatal\", agli asset altamente classificati,\
            \ mentre i livelli di log pi\xF9 bassi, ad esempio \"info\"/\"debug\"\
            , dovrebbero essere utilizzati per gli asset con una classificazione inferiore;\
            \ e\n    o lo standard per i timestamp, ad esempio ISO-8601 (26), RFC\
            \ 3339 (27) o RFC 9557 (28). \n\u2022 Ogni voce di log deve contenere\
            \ i metadati necessari come (elenco indicativo, non esaustivo):\n    o\
            \ livello di log;\n    o marca temporale;\n    o identificatore della\
            \ fonte, ad esempio l'applicazione o il dispositivo pertinente alla voce;\
            \ e\n    o un identificatore univoco per la voce. \n\u2022 Correlare i\
            \ dati provenienti da diverse fonti, se applicabile. \n\u2022 Selezionare\
            \ strumenti che monitorino e proteggano i dispositivi endpoint. \n\u2022\
            \ Selezionare strumenti in grado di raccogliere e analizzare il traffico\
            \ di rete in tempo reale per rilevare anomalie, esfiltrazione di dati\
            \ e anche le minacce pi\xF9 avanzate, offrendo al contempo la possibilit\xE0\
            \ di correzione automatica.\n\n(26) ISO 8601-1:2019/Amd 1:2022 Data e\
            \ ora \u2013 Rappresentazioni per lo scambio di informazioni, edizione\
            \ 2022.\n(27) RFC3339, Data e ora su Internet: Timestamps, luglio 2002,\
            \ https://doi.org/10.17487/RFC3339.\n(28) RFC9557, Data e ora su Internet:\
            \ Timestamp con informazioni supplementari, aprile 2024, https://doi.org/10.17487/RFC9557."
          typical_evidence: "\u2022 Rivedi piani o programmi.\n\n[CONSIGLI]\n\n\u2022\
            \ Procedure documentate. \n\u2022 Registrare le linee di base in posizione.\
            \ \n\u2022 Registri (campioni) contenenti i metadati necessari. \n\u2022\
            \ Strumenti EDR. \n\u2022 Strumenti di rilevamento e risposta della rete\
            \ (NDR)."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.3
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3
      ref_id: '3.3'
      name: Event reporting
      translations:
        fr:
          name: "Signalement des \xE9v\xE9nements"
        es:
          name: "Notificaci\xF3n de sucesos"
        cs:
          name: "Oznamov\xE1n\xED ud\xE1lost\xED"
        it:
          name: Segnalazione di eventi
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.3.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.3
      ref_id: 3.3.1
      description: The relevant entities shall put in place a simple mechanism allowing
        their employees, suppliers, and customers to report suspicious events.
      annotation: "\u2022 Define what constitutes a suspicious event based on criteria\
        \ (indicative, non-exhaustive list):\n    o if the confidentiality or the\
        \ integrity or the availability of the network or the information system has\
        \ been affected;\n    o persistence, meaning whether the event is ongoing\
        \ or not;\n    o impact, for example. the number of assets (potentially) affected;\
        \ and\n    o compliance violation of a regulation or the entity\u2019s policies.\
        \ \n\u2022 Develop clear and concise guidelines for what information should\
        \ be included in a report. Align this information with the information that\
        \ might be submitted to the CSIRT or, where applicable to the competent authority,\
        \ if the event is notified in accordance with the NIS2 Directive Articles\
        \ 23 or 30. As good practice, the following should be reported as a minimum\
        \ (indicative, non-exhaustive list):\n    o date and time of the event, o\
        \ description of the event, o any relevant screenshots, logs or other evidence,\
        \ o contact information for follow-up if necessary. \n\u2022 Provide multiple\
        \ channels for reporting, such as email, a web form, a dedicated phone line\
        \ or a mobile app. Ensure that these channels are easily accessible and intuitive\
        \ to use."
      typical_evidence: "\u2022 Documented mechanism that outlines the process for\
        \ reporting security events. \n\u2022 Examples of templates for reporting\
        \ (29). \n\u2022 Personnel aware of the mechanism and who to contact if they\
        \ notice something suspicious. \n\u2022 Existence of multiple reporting channels\
        \ such as email addresses, web forms, phone numbers or dedicated reporting\
        \ portals.\n\n(29) Seek consistency with the reporting templates required\
        \ by the national CSIRT or, where applicable, the competent authority."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es mettent en place un m\xE9canisme\
            \ simple permettant \xE0 leurs membres du personnel, fournisseurs et clients\
            \ de signaler les \xE9v\xE9nements suspects."
          annotation: "\u2022 D\xE9finir ce qui constitue un \xE9v\xE9nement suspect\
            \ sur la base de crit\xE8res (liste indicative non exhaustive) :\n   \
            \ o si la confidentialit\xE9 ou l\u2019int\xE9grit\xE9 ou la disponibilit\xE9\
            \ du r\xE9seau ou du syst\xE8me d\u2019information ont \xE9t\xE9 affect\xE9\
            es ;\n    o la persistance, c\u2019est-\xE0-dire le fait que l\u2019\xE9\
            v\xE9nement soit en cours ou non\_;\n    o impact, par exemple. le nombre\
            \ d\u2019actifs (potentiellement) touch\xE9s ; et\n    o la violation\
            \ de la conformit\xE9 d\u2019un r\xE8glement ou des politiques de l\u2019\
            entit\xE9. \n\u2022 \xC9laborez des lignes directrices claires et concises\
            \ sur les informations \xE0 inclure dans un rapport. Aligner ces informations\
            \ sur celles qui pourraient \xEAtre soumises au CSIRT ou, le cas \xE9\
            ch\xE9ant, \xE0 l\u2019autorit\xE9 comp\xE9tente, si l\u2019\xE9v\xE9\
            nement est notifi\xE9 conform\xE9ment aux articles 23 ou 30 de la directive\
            \ NIS2. \xC0 titre de bonne pratique, les \xE9l\xE9ments suivants doivent\
            \ \xEAtre signal\xE9s au minimum (liste indicative et non exhaustive)\
            \ :\n    o la date et l\u2019heure de l\u2019\xE9v\xE9nement, o la description\
            \ de l\u2019\xE9v\xE9nement, o toute capture d\u2019\xE9cran, journal\
            \ ou autre preuve pertinente, o les coordonn\xE9es pour le suivi si n\xE9\
            cessaire. \n\u2022 Fournissez plusieurs canaux de reporting, tels que\
            \ l\u2019e-mail, un formulaire Web, une ligne t\xE9l\xE9phonique d\xE9\
            di\xE9e ou une application mobile. Assurez-vous que ces canaux sont facilement\
            \ accessibles et intuitifs \xE0 utiliser."
          typical_evidence: "\u2022 M\xE9canisme document\xE9 qui d\xE9crit le processus\
            \ de signalement des \xE9v\xE9nements de s\xE9curit\xE9. \n\u2022 Exemples\
            \ de mod\xE8les de rapports (29). \n\u2022 Le personnel est au courant\
            \ du m\xE9canisme et qui contacter s\u2019il remarque quelque chose de\
            \ suspect. \n\u2022 Existence de plusieurs canaux de signalement tels\
            \ que les adresses e-mail, les formulaires Web, les num\xE9ros de t\xE9\
            l\xE9phone ou les portails de signalement d\xE9di\xE9s.\n\n(29) S\u2019\
            efforcer d\u2019assurer la coh\xE9rence avec les mod\xE8les de rapport\
            \ exig\xE9s par le CSIRT national ou, le cas \xE9ch\xE9ant, par l\u2019\
            autorit\xE9 comp\xE9tente."
        es:
          description: "Las entidades pertinentes pondr\xE1n en marcha un mecanismo\
            \ sencillo que permita a sus empleados, proveedores y clientes notificar\
            \ los sucesos sospechosos."
          annotation: "\u2022 Definir lo que constituye un evento sospechoso sobre\
            \ la base de criterios (lista indicativa y no exhaustiva):\n    o si la\
            \ confidencialidad, la integridad o la disponibilidad de la red o del\
            \ sistema de informaci\xF3n se han visto afectadas;\n    o persistencia,\
            \ es decir, si el evento est\xE1 en curso o no;\n    o impacto, por ejemplo.\
            \ el n\xFAmero de activos (potencialmente) afectados; y\n    o Violaci\xF3\
            n del cumplimiento de un reglamento o de las pol\xEDticas de la entidad.\
            \ \n\u2022 Desarrollar pautas claras y concisas sobre qu\xE9 informaci\xF3\
            n debe incluirse en un informe. Alinear esta informaci\xF3n con la informaci\xF3\
            n que pueda presentarse al CSIRT o, en su caso, a la autoridad competente,\
            \ si el suceso se notifica de conformidad con los art\xEDculos 23 o 30\
            \ de la Directiva SRI2. Como buena pr\xE1ctica, debe indicarse como m\xED\
            nimo (lista indicativa y no exhaustiva) lo siguiente:\n    o Fecha y hora\
            \ del evento, o Descripci\xF3n del evento, o Cualquier captura de pantalla,\
            \ registros u otra evidencia relevante, o Informaci\xF3n de contacto para\
            \ el seguimiento si es necesario. \n\u2022 Proporcionar m\xFAltiples canales\
            \ para la presentaci\xF3n de informes, como correo electr\xF3nico, un\
            \ formulario web, una l\xEDnea telef\xF3nica dedicada o una aplicaci\xF3\
            n m\xF3vil. Aseg\xFArese de que estos canales sean f\xE1cilmente accesibles\
            \ e intuitivos de usar."
          typical_evidence: "\u2022 Mecanismo documentado que describe el proceso\
            \ para reportar eventos de seguridad. \n\u2022 Ejemplos de modelos para\
            \ la presentaci\xF3n de informes (29). \n\u2022 Personal consciente del\
            \ mecanismo y a qui\xE9n contactar si notan algo sospechoso. \n\u2022\
            \ Existencia de m\xFAltiples canales de denuncia, como direcciones de\
            \ correo electr\xF3nico, formularios web, n\xFAmeros de tel\xE9fono o\
            \ portales de denuncia dedicados.\n\n(29) Procurar la coherencia con los\
            \ modelos de informaci\xF3n exigidos por el CSIRT nacional o, en su caso,\
            \ por la autoridad competente."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty zavedou jednoduch\xFD mechanismus,\
            \ kter\xFD umo\u017En\xED jejich zam\u011Bstnanc\u016Fm, dodavatel\u016F\
            m a z\xE1kazn\xEDk\u016Fm oznamovat podez\u0159el\xE9 ud\xE1losti."
          annotation: "\u2022 Definujte, co p\u0159edstavuje podez\u0159elou ud\xE1\
            lost na z\xE1klad\u011B krit\xE9ri\xED (orienta\u010Dn\xED, ne\xFApln\xFD\
            \ seznam):\n    o pokud byla naru\u0161ena d\u016Fv\u011Brnost nebo integrita\
            \ nebo dostupnost s\xEDt\u011B nebo informa\u010Dn\xEDho syst\xE9mu;\n\
            \    o perzistenci, co\u017E znamen\xE1, zda ud\xE1lost prob\xEDh\xE1\
            \ nebo ne;\n    o dopad, nap\u0159\xEDklad. po\u010Det (potenci\xE1ln\u011B\
            ) dot\u010Den\xFDch aktiv; a\n    o poru\u0161en\xED p\u0159edpis\u016F\
            \ nebo z\xE1sad subjektu. \n\u2022 Vypracujte jasn\xE9 a stru\u010Dn\xE9\
            \ pokyny pro to, jak\xE9 informace by m\u011Bly b\xFDt ve zpr\xE1v\u011B\
            \ uvedeny. Sladit tyto informace s informacemi, kter\xE9 mohou b\xFDt\
            \ p\u0159edlo\u017Eeny t\xFDmu CSIRT nebo p\u0159\xEDpadn\u011B p\u0159\
            \xEDslu\u0161n\xE9mu org\xE1nu, pokud je ud\xE1lost ozn\xE1mena v souladu\
            \ s \u010Dl\xE1nky 23 nebo 30 sm\u011Brnice NIS2. Osv\u011Bd\u010Den\xFD\
            m postupem by m\u011Blo b\xFDt jako minimum (orienta\u010Dn\xED, demonstrativn\xED\
            \ seznam) uvedeno:\n    o datum a \u010Das ud\xE1losti, o popis ud\xE1\
            losti, o ve\u0161ker\xE9 relevantn\xED sn\xEDmky obrazovky, protokoly\
            \ nebo jin\xE9 d\u016Fkazy, o kontaktn\xED informace pro p\u0159\xEDpadn\xE9\
            \ n\xE1sledn\xE9 kroky. \n\u2022 Poskytn\u011Bte v\xEDce kan\xE1l\u016F\
            \ pro vytv\xE1\u0159en\xED p\u0159ehled\u016F, jako je e-mail, webov\xFD\
            \ formul\xE1\u0159, vyhrazen\xE1 telefonn\xED linka nebo mobiln\xED aplikace.\
            \ Zajist\u011Bte, aby tyto kan\xE1ly byly snadno p\u0159\xEDstupn\xE9\
            \ a intuitivn\u011B se pou\u017E\xEDvaly."
          typical_evidence: "\u2022 Zdokumentovan\xFD mechanismus, kter\xFD popisuje\
            \ proces hl\xE1\u0161en\xED bezpe\u010Dnostn\xEDch ud\xE1lost\xED. \n\u2022\
            \ P\u0159\xEDklady \u0161ablon pro pod\xE1v\xE1n\xED zpr\xE1v (29). \n\
            \u2022 Person\xE1l, kter\xFD zn\xE1 mechanismus a koho kontaktovat, pokud\
            \ si v\u0161imne n\u011B\u010Deho podez\u0159el\xE9ho. \n\u2022 Existence\
            \ v\xEDce kan\xE1l\u016F pro oznamov\xE1n\xED, jako jsou e-mailov\xE9\
            \ adresy, webov\xE9 formul\xE1\u0159e, telefonn\xED \u010D\xEDsla nebo\
            \ specializovan\xE9 port\xE1ly pro oznamov\xE1n\xED.\n\n(29) Usilovat\
            \ o soulad se vzory pro pod\xE1v\xE1n\xED zpr\xE1v po\u017Eadovan\xFD\
            mi vnitrost\xE1tn\xEDm t\xFDmem CSIRT nebo p\u0159\xEDpadn\u011B p\u0159\
            \xEDslu\u0161n\xFDm org\xE1nem."
        it:
          description: I soggetti pertinenti devono mettere in atto un meccanismo
            semplice che consenta ai propri dipendenti, fornitori e clienti di segnalare
            eventi sospetti.
          annotation: "\u2022 Definire cosa costituisce un evento sospetto in base\
            \ a criteri (elenco indicativo, non esaustivo):\n    o se la riservatezza\
            \ o l'integrit\xE0 o la disponibilit\xE0 della rete o del sistema informativo\
            \ sono state compromesse;\n    o persistenza, ovvero se l'evento \xE8\
            \ in corso o meno;\n    o impatto, ad esempio. il numero di attivit\xE0\
            \ (potenzialmente) interessate; e\n    o Conformit\xE0 Violazione di un\
            \ regolamento o delle politiche dell'Ente. \n\u2022 Sviluppare linee guida\
            \ chiare e concise su quali informazioni dovrebbero essere incluse in\
            \ un rapporto. Allineare tali informazioni con quelle che potrebbero essere\
            \ trasmesse al CSIRT o, se del caso, all'autorit\xE0 competente, se l'evento\
            \ \xE8 notificato conformemente agli articoli 23 o 30 della direttiva\
            \ NIS2. Come buona prassi, \xE8 opportuno indicare come minimo (elenco\
            \ indicativo e non esaustivo):\n    o Data e ora dell'evento, o Descrizione\
            \ dell'evento, o Screenshot, registri o altre prove pertinenti, o Informazioni\
            \ di contatto per il follow-up, se necessario. \n\u2022 Fornisci pi\xF9\
            \ canali per la segnalazione, come e-mail, un modulo web, una linea telefonica\
            \ dedicata o un'app mobile. Assicurati che questi canali siano facilmente\
            \ accessibili e intuitivi da usare."
          typical_evidence: "\u2022 Meccanismo documentato che delinea il processo\
            \ di segnalazione degli eventi di sicurezza. \n\u2022 Esempi di modelli\
            \ per la comunicazione (29). \n\u2022 Personale a conoscenza del meccanismo\
            \ e chi contattare se nota qualcosa di sospetto. \n\u2022 Esistenza di\
            \ pi\xF9 canali di segnalazione come indirizzi e-mail, moduli web, numeri\
            \ di telefono o portali di segnalazione dedicati.\n\n(29) Perseguire la\
            \ coerenza con i modelli di comunicazione richiesti dal CSIRT nazionale\
            \ o, se del caso, dall'autorit\xE0 competente."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.3.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.3
      ref_id: 3.3.2
      description: The relevant entities shall, where appropriate, communicate the
        event reporting mechanism to their suppliers and customers, and shall regularly
        train their employees how to use the mechanism.
      annotation: "\u2022 Make appropriate means for reporting available to personnel\
        \ and the entity\u2019s suppliers and customers. \n\u2022 Consider anonymous\
        \ reporting to encourage individuals to report security events without fear\
        \ of reprisal. \n\u2022 Take into account legal obligations to report an incident\
        \ to the competent authorities (and CSIRTs) in line with the NIS2 Directive\
        \ Articles 23 and 30, including any obligations about when the incident should\
        \ be reported. \n\u2022 Regularly remind stakeholders of the reporting mechanism\
        \ through email newsletters, posters and other communication channels. \n\u2022\
        \ Conduct regular exercises or simulations to test the effectiveness of the\
        \ reporting mechanism.\n\n[TIPS]\n\n\u2022 Maintain a record of all reported\
        \ events. \n\u2022 Ensure compliance with other relevant regulations and laws\
        \ regarding data privacy, confidentiality and incident reporting. \n\u2022\
        \ Ask for legal advice, if necessary, to understand any legal implications\
        \ of the reporting mechanism. \n\u2022 Evaluate past communications and reporting\
        \ about events. \n\u2022 Review and update the reporting mechanism and the\
        \ communication plans (Annex to the regulation, point 3.3), based on changes\
        \ or past events."
      typical_evidence: "\u2022 Evidence of past communications and event reporting.\
        \ \n\u2022 Documented procedures for communicating about events, describing\
        \ (indicative, non-exhaustive list:\n    o reasons/motivations for communicating\
        \ or reporting (business reasons and legal reasons, etc.), o the type of events\
        \ in scope, o the required content of communications, o notifications or reports,\
        \ o the channels to be used and o the roles responsible for communicating,\
        \ notifying and reporting. \n\u2022 Training materials provided to employees,\
        \ suppliers and customers regarding the reporting mechanism. \n\u2022 Periodic\
        \ simulations and awareness raising activities to assess the readiness of\
        \ personnel and the adequacy of the mechanism for reporting an event.\n\n\
        [TIPS]\n\n\u2022 Record of events and, for each event, the impact, cause,\
        \ actions taken and lessons learnt. \n\u2022 Summaries of previous reviews,\
        \ if any."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es informent, s\u2019il est besoin,\
            \ leurs fournisseurs et leurs clients du m\xE9canisme de signalement des\
            \ \xE9v\xE9nements et dispensent r\xE9guli\xE8rement \xE0 leur personnel\
            \ une formation \xE0 l\u2019utilisation de ce m\xE9canisme."
          annotation: "\u2022 Mettre \xE0 la disposition du personnel et des fournisseurs\
            \ et clients de l\u2019entit\xE9 des moyens appropri\xE9s de reporting.\
            \ \n\u2022 Envisager le signalement anonyme pour encourager les individus\
            \ \xE0 signaler les \xE9v\xE9nements de s\xE9curit\xE9 sans crainte de\
            \ repr\xE9sailles. \n\u2022 Prendre en compte les obligations l\xE9gales\
            \ de signaler un incident aux autorit\xE9s comp\xE9tentes (et aux CSIRT)\
            \ conform\xE9ment aux articles 23 et 30 de la directive NIS2, y compris\
            \ toute obligation concernant le moment o\xF9 l\u2019incident doit \xEA\
            tre signal\xE9. \n\u2022 Rappeler r\xE9guli\xE8rement aux parties prenantes\
            \ le m\xE9canisme de signalement par le biais de bulletins d\u2019information\
            \ par courrier \xE9lectronique, d\u2019affiches et d\u2019autres canaux\
            \ de communication. \n\u2022 Effectuer r\xE9guli\xE8rement des exercices\
            \ ou des simulations pour tester l\u2019efficacit\xE9 du m\xE9canisme\
            \ de rapport.\n\n[CONSEILS]\n\n\u2022 Tenir un registre de tous les \xE9\
            v\xE9nements signal\xE9s. \n\u2022 Assurer la conformit\xE9 avec d\u2019\
            autres r\xE9glementations et lois pertinentes concernant la confidentialit\xE9\
            \ des donn\xE9es, la confidentialit\xE9 et le signalement des incidents.\
            \ \n\u2022 Demandez un avis juridique, si n\xE9cessaire, pour comprendre\
            \ les implications juridiques du m\xE9canisme de signalement. \n\u2022\
            \ \xC9valuer les communications et les rapports ant\xE9rieurs sur les\
            \ \xE9v\xE9nements. \n\u2022 Examiner et mettre \xE0 jour le m\xE9canisme\
            \ de signalement et les plans de communication (annexe du r\xE8glement,\
            \ point 3.3), sur la base de modifications ou d\u2019\xE9v\xE9nements\
            \ pass\xE9s."
          typical_evidence: "\u2022 Preuve de communications ant\xE9rieures et de\
            \ reportages sur les \xE9v\xE9nements. \n\u2022 Proc\xE9dures document\xE9\
            es de communication sur les \xE9v\xE9nements, de description (liste indicative,\
            \ non exhaustive :\n    o les raisons/motivations de la communication\
            \ ou du signalement (raisons commerciales et juridiques, etc.), o le type\
            \ d\u2019\xE9v\xE9nements concern\xE9s, o le contenu requis des communications,\
            \ o les notifications ou les rapports, o les canaux \xE0 utiliser et o\
            \ les r\xF4les responsables de la communication, de la notification et\
            \ du rapport. \n\u2022 Mat\xE9riel de formation fourni aux employ\xE9\
            s, aux fournisseurs et aux clients concernant le m\xE9canisme de signalement.\
            \ \n\u2022 Simulations p\xE9riodiques et activit\xE9s de sensibilisation\
            \ pour \xE9valuer l\u2019\xE9tat de pr\xE9paration du personnel et l\u2019\
            ad\xE9quation du m\xE9canisme de signalement d\u2019un \xE9v\xE9nement.\n\
            \n[CONSEILS]\n\n\u2022 Enregistrement des \xE9v\xE9nements et, pour chaque\
            \ \xE9v\xE9nement, de l\u2019impact, de la cause, des actions entreprises\
            \ et des le\xE7ons apprises. \n\u2022 R\xE9sum\xE9s des examens pr\xE9\
            c\xE9dents, le cas \xE9ch\xE9ant."
        es:
          description: "Las entidades pertinentes informar\xE1n, cuando proceda, del\
            \ mecanismo de notificaci\xF3n de sucesos a sus proveedores y clientes,\
            \ y formar\xE1n peri\xF3dicamente a sus empleados en el uso del mismo."
          annotation: "\u2022 Poner a disposici\xF3n del personal y de los proveedores\
            \ y clientes de la entidad los medios adecuados para la presentaci\xF3\
            n de informes. \n\u2022 Considere la posibilidad de denunciar de forma\
            \ an\xF3nima para animar a las personas a denunciar los acontecimientos\
            \ de seguridad sin temor a represalias. \n\u2022 Tener en cuenta las obligaciones\
            \ legales de notificar un incidente a las autoridades competentes (y a\
            \ los CSIRT) de conformidad con los art\xEDculos 23 y 30 de la Directiva\
            \ NIS2, incluidas las obligaciones sobre cu\xE1ndo debe notificarse el\
            \ incidente. \n\u2022 Recuerde peri\xF3dicamente a las partes interesadas\
            \ el mecanismo de presentaci\xF3n de informes a trav\xE9s de boletines\
            \ informativos por correo electr\xF3nico, carteles y otros canales de\
            \ comunicaci\xF3n. \n\u2022 Realizar ejercicios o simulacros peri\xF3\
            dicos para comprobar la eficacia del mecanismo de presentaci\xF3n de informes.\n\
            \n[CONSEJOS]\n\n\u2022 Mantener un registro de todos los eventos reportados.\
            \ \n\u2022 Garantizar el cumplimiento de otras regulaciones y leyes relevantes\
            \ con respecto a la privacidad de datos, la confidencialidad y la notificaci\xF3\
            n de incidentes. \n\u2022 Solicite asesoramiento legal, si es necesario,\
            \ para comprender las implicaciones legales del mecanismo de presentaci\xF3\
            n de informes. \n\u2022 Evaluar las comunicaciones pasadas y los informes\
            \ sobre eventos. \n\u2022 Revisar y actualizar el mecanismo de informaci\xF3\
            n y los planes de comunicaci\xF3n (anexo del reglamento, punto 3.3), en\
            \ funci\xF3n de los cambios o acontecimientos pasados."
          typical_evidence: "\u2022 Evidencia de comunicaciones pasadas e informes\
            \ de eventos. \n\u2022 Procedimientos documentados para la comunicaci\xF3\
            n sobre eventos, describiendo (lista indicativa, no exhaustiva):\n   \
            \ o razones/motivaciones para comunicarse o informar (razones comerciales\
            \ y razones legales, etc.), o el tipo de eventos en el alcance, o el contenido\
            \ requerido de las comunicaciones, o notificaciones o informes, o los\
            \ canales a utilizar y o las funciones responsables de comunicar, notificar\
            \ e informar. \n\u2022 Materiales de capacitaci\xF3n proporcionados a\
            \ empleados, proveedores y clientes con respecto al mecanismo de informes.\
            \ \n\u2022 Simulacros peri\xF3dicos y actividades de sensibilizaci\xF3\
            n para evaluar la preparaci\xF3n del personal y la idoneidad del mecanismo\
            \ para informar de un suceso.\n\n[CONSEJOS]\n\n\u2022 Registro de eventos\
            \ y, para cada evento, el impacto, la causa, las acciones tomadas y las\
            \ lecciones aprendidas. \n\u2022 Res\xFAmenes de revisiones anteriores,\
            \ si las hubiera."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty v p\u0159\xEDpad\u011B\
            \ pot\u0159eby informuj\xED sv\xE9 dodavatele a z\xE1kazn\xEDky o mechanismu\
            \ pro oznamov\xE1n\xED ud\xE1lost\xED a pravideln\u011B \u0161kol\xED\
            \ sv\xE9 zam\u011Bstnance, jak tento mechanismus pou\u017E\xEDvat."
          annotation: "\u2022 Poskytnout vhodn\xE9 prost\u0159edky pro pod\xE1v\xE1\
            n\xED zpr\xE1v pracovn\xEDk\u016Fm a dodavatel\u016Fm a z\xE1kazn\xED\
            k\u016Fm subjektu. \n\u2022 Zva\u017Ete anonymn\xED hl\xE1\u0161en\xED\
            , abyste povzbudili jednotlivce k hl\xE1\u0161en\xED bezpe\u010Dnostn\xED\
            ch ud\xE1lost\xED bez obav z odvety. \n\u2022 Vz\xEDt v \xFAvahu z\xE1\
            konnou povinnost nahl\xE1sit incident p\u0159\xEDslu\u0161n\xFDm org\xE1\
            n\u016Fm (a t\xFDm\u016Fm CSIRT) v souladu s \u010Dl\xE1nky 23 a 30 sm\u011B\
            rnice NIS2, v\u010Detn\u011B p\u0159\xEDpadn\xFDch povinnost\xED ohledn\u011B\
            \ toho, kdy by m\u011Bl b\xFDt incident nahl\xE1\u0161en. \n\u2022 Pravideln\u011B\
            \ p\u0159ipom\xEDnat z\xFA\u010Dastn\u011Bn\xFDm stran\xE1m mechanismus\
            \ hl\xE1\u0161en\xED prost\u0159ednictv\xEDm e-mailov\xFDch zpravodaj\u016F\
            , plak\xE1t\u016F a dal\u0161\xEDch komunika\u010Dn\xEDch kan\xE1l\u016F\
            . \n\u2022 Prov\xE1d\u011Bjte pravideln\xE1 cvi\u010Den\xED nebo simulace\
            \ k testov\xE1n\xED \xFA\u010Dinnosti mechanismu pod\xE1v\xE1n\xED zpr\xE1\
            v.\n\n[TIPY]\n\n\u2022 V\xE9st z\xE1znamy o v\u0161ech nahl\xE1\u0161\
            en\xFDch ud\xE1lostech. \n\u2022 Zajistit soulad s dal\u0161\xEDmi p\u0159\
            \xEDslu\u0161n\xFDmi p\u0159edpisy a z\xE1kony t\xFDkaj\xEDc\xEDmi se\
            \ ochrany osobn\xEDch \xFAdaj\u016F, d\u016Fv\u011Brnosti a hl\xE1\u0161\
            en\xED incident\u016F. \n\u2022 V p\u0159\xEDpad\u011B pot\u0159eby po\u017E\
            \xE1dat o pr\xE1vn\xED radu, abyste porozum\u011Bli p\u0159\xEDpadn\xFD\
            m pr\xE1vn\xEDm d\u016Fsledk\u016Fm mechanismu oznamov\xE1n\xED. \n\u2022\
            \ Vyhodnocovat minulou komunikaci a pod\xE1v\xE1n\xED zpr\xE1v o ud\xE1\
            lostech. \n\u2022 P\u0159ezkoumat a aktualizovat mechanismus pod\xE1v\xE1\
            n\xED zpr\xE1v a komunika\u010Dn\xED pl\xE1ny (p\u0159\xEDloha na\u0159\
            \xEDzen\xED, bod 3.3) na z\xE1klad\u011B zm\u011Bn nebo minul\xFDch ud\xE1\
            lost\xED."
          typical_evidence: "\u2022 D\u016Fkazy o minul\xE9 komunikaci a hl\xE1\u0161\
            en\xED ud\xE1lost\xED. \n\u2022 Zdokumentovan\xE9 postupy pro komunikaci\
            \ o ud\xE1lostech, popis (orienta\u010Dn\xED, ne\xFApln\xFD seznam:\n\
            \    o d\u016Fvody/motivace pro komunikaci nebo hl\xE1\u0161en\xED (obchodn\xED\
            \ d\u016Fvody a pr\xE1vn\xED d\u016Fvody atd.), o typ ud\xE1lost\xED v\
            \ rozsahu, o po\u017Eadovan\xFD obsah komunikace, o ozn\xE1men\xED nebo\
            \ zpr\xE1vy, o kan\xE1ly, kter\xE9 maj\xED b\xFDt pou\u017Eity, a o role\
            \ odpov\u011Bdn\xE9 za komunikaci, oznamov\xE1n\xED a hl\xE1\u0161en\xED\
            . \n\u2022 \u0160kolic\xED materi\xE1ly poskytovan\xE9 zam\u011Bstnanc\u016F\
            m, dodavatel\u016Fm a z\xE1kazn\xEDk\u016Fm t\xFDkaj\xEDc\xED se mechanismu\
            \ pod\xE1v\xE1n\xED zpr\xE1v. \n\u2022 Pravideln\xE9 simulace a osv\u011B\
            tov\xE9 aktivity s c\xEDlem posoudit p\u0159ipravenost person\xE1lu a\
            \ p\u0159im\u011B\u0159enost mechanismu pro hl\xE1\u0161en\xED ud\xE1\
            losti.\n\n[TIPY]\n\n\u2022 Z\xE1znam ud\xE1lost\xED a u ka\u017Ed\xE9\
            \ ud\xE1losti dopad, p\u0159\xED\u010Dinu, p\u0159ijat\xE1 opat\u0159\
            en\xED a z\xEDskan\xE9 poznatky. \n\u2022 Shrnut\xED p\u0159edchoz\xED\
            ch recenz\xED, pokud existuj\xED."
        it:
          description: I soggetti pertinenti comunicano, se del caso, il meccanismo
            di segnalazione degli eventi ai loro fornitori e clienti e formano regolarmente
            i loro dipendenti su come utilizzare il meccanismo.
          annotation: "\u2022 Mettere a disposizione del personale e dei fornitori\
            \ e dei clienti dell'ente mezzi adeguati per la segnalazione. \n\u2022\
            \ Prendere in considerazione la segnalazione anonima per incoraggiare\
            \ le persone a segnalare eventi di sicurezza senza timore di rappresaglie.\
            \ \n\u2022 Tenere conto degli obblighi giuridici di segnalazione di un\
            \ incidente alle autorit\xE0 competenti (e ai CSIRT) in linea con gli\
            \ articoli 23 e 30 della direttiva NIS2, compresi gli obblighi relativi\
            \ ai tempi in cui l'incidente deve essere segnalato. \n\u2022 Ricordare\
            \ regolarmente agli stakeholder il meccanismo di segnalazione tramite\
            \ newsletter via e-mail, poster e altri canali di comunicazione. \n\u2022\
            \ Condurre esercitazioni o simulazioni periodiche per testare l'efficacia\
            \ del meccanismo di segnalazione.\n\n[CONSIGLI]\n\n\u2022 Mantenere un\
            \ registro di tutti gli eventi segnalati. \n\u2022 Garantire la conformit\xE0\
            \ ad altre normative e leggi pertinenti in materia di privacy dei dati,\
            \ riservatezza e segnalazione degli incidenti. \n\u2022 Chiedere una consulenza\
            \ legale, se necessario, per comprendere eventuali implicazioni legali\
            \ del meccanismo di segnalazione. \n\u2022 Valutare le comunicazioni passate\
            \ e i rapporti sugli eventi. \n\u2022 Rivedere e aggiornare il meccanismo\
            \ di rendicontazione e i piani di comunicazione (Allegato al regolamento,\
            \ punto 3.3), sulla base di modifiche o eventi passati."
          typical_evidence: "\u2022 Prove di comunicazioni passate e segnalazione\
            \ di eventi. \n\u2022 Procedure documentate per la comunicazione degli\
            \ eventi, descrivendo (a titolo indicativo, elenco non esaustivo:\n  \
            \  o motivi/motivazioni della comunicazione o della segnalazione (motivi\
            \ commerciali e legali, ecc.), o il tipo di eventi nell'ambito, o il contenuto\
            \ richiesto delle comunicazioni, o le notifiche o le segnalazioni, o i\
            \ canali da utilizzare e o i ruoli responsabili della comunicazione, della\
            \ notifica e della segnalazione. \n\u2022 Materiali di formazione forniti\
            \ a dipendenti, fornitori e clienti in merito al meccanismo di rendicontazione.\
            \ \n\u2022 Simulazioni periodiche e attivit\xE0 di sensibilizzazione per\
            \ valutare la prontezza del personale e l'adeguatezza del meccanismo di\
            \ segnalazione di un evento.\n\n[CONSIGLI]\n\n\u2022 Registrazione degli\
            \ eventi e, per ogni evento, l'impatto, la causa, le azioni intraprese\
            \ e le lezioni apprese. \n\u2022 Riassunti delle recensioni precedenti,\
            \ se presenti."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.4
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3
      ref_id: '3.4'
      name: Event assessment and classification
      translations:
        fr:
          name: "\xC9valuation et classification des \xE9v\xE9nements"
        es:
          name: "Evaluaci\xF3n y clasificaci\xF3n de sucesos"
        cs:
          name: "Hodnocen\xED a klasifikace ud\xE1lost\xED"
        it:
          name: Valutazione e classificazione degli eventi
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.4.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.4
      ref_id: 3.4.1
      description: The relevant entities shall assess suspicious events to determine
        whether they constitute incidents and, if so, determine their nature and severity.
      annotation: "\u2022 Use criteria to assess whether a suspicious event is an\
        \ incident or not. The guidance in section 3.1.2 provides an indicative, non-exhaustive\
        \ list of such criteria. \n\u2022 Determine the nature and severity of the\
        \ event based on a categorisation system referred to in point 3.1.2 (a) of\
        \ the Annex to the regulation."
      typical_evidence: "\u2022 Defined criteria in place. \n\u2022 A categorisation\
        \ system referred to in point 3.1.2 (a) of the Annex to the regulation."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es \xE9valuent les \xE9v\xE9nements\
            \ suspects afin de d\xE9terminer s\u2019ils constituent des incidents\
            \ et, dans l\u2019affirmative, en d\xE9terminent la nature et la gravit\xE9\
            ."
          annotation: "\u2022 Utilisez des crit\xE8res pour \xE9valuer si un \xE9\
            v\xE9nement suspect est un incident ou non. Les orientations de la section\
            \ 3.1.2 fournissent une liste indicative et non exhaustive de ces crit\xE8\
            res. \n\u2022 D\xE9terminer la nature et la gravit\xE9 de l\u2019\xE9\
            v\xE9nement sur la base d\u2019un syst\xE8me de cat\xE9gorisation vis\xE9\
            \ au point 3.1.2 (a) de l\u2019annexe du r\xE8glement."
          typical_evidence: "\u2022 D\xE9finition des crit\xE8res en place. \n\u2022\
            \ Un syst\xE8me de cat\xE9gorisation vis\xE9 au point 3.1.2 a) de l\u2019\
            annexe du r\xE8glement."
        es:
          description: "Las entidades pertinentes evaluar\xE1n los sucesos sospechosos\
            \ para determinar si constituyen incidentes y, en su caso, esclarecer\
            \ su naturaleza y gravedad."
          annotation: "\u2022 Utilizar criterios para evaluar si un evento sospechoso\
            \ es un incidente o no. Las orientaciones de la secci\xF3n 3.1.2 proporcionan\
            \ una lista indicativa y no exhaustiva de dichos criterios. \n\u2022 Determinar\
            \ la naturaleza y gravedad del suceso sobre la base de un sistema de categorizaci\xF3\
            n contemplado en el punto 3.1.2 a) del anexo del Reglamento."
          typical_evidence: "\u2022 Criterios definidos. \n\u2022 Un sistema de categorizaci\xF3\
            n contemplado en el punto 3.1.2 letra a) del anexo del Reglamento."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty posoud\xED podez\u0159\
            el\xE9 ud\xE1losti, aby ur\u010Dily, zda se jedn\xE1 o incidenty, a pokud\
            \ ano, ur\u010D\xED jejich povahu a z\xE1va\u017Enost."
          annotation: "\u2022 Pou\u017Eijte krit\xE9ria k posouzen\xED, zda je podez\u0159\
            el\xE1 ud\xE1lost incidentem nebo ne. Pokyny v odd\xEDle 3.1.2 poskytuj\xED\
            \ orienta\u010Dn\xED, nikoli vy\u010Derp\xE1vaj\xEDc\xED seznam t\u011B\
            chto krit\xE9ri\xED. \n\u2022 Ur\u010Dete povahu a z\xE1va\u017Enost ud\xE1\
            losti na z\xE1klad\u011B syst\xE9mu kategorizace uveden\xE9ho v bod\u011B\
            \ 3.1.2 p\xEDsm. a) p\u0159\xEDlohy na\u0159\xEDzen\xED."
          typical_evidence: "\u2022 Jsou definov\xE1na krit\xE9ria. \n\u2022 Syst\xE9\
            m kategorizace uveden\xFD v bod\u011B 3.1.2 p\xEDsm. a) p\u0159\xEDlohy\
            \ na\u0159\xEDzen\xED."
        it:
          description: "I soggetti pertinenti valutano gli eventi sospetti per determinare\
            \ se costituiscano incidenti e, in caso affermativo, ne determinano la\
            \ natura e la gravit\xE0."
          annotation: "\u2022 Utilizzare criteri per valutare se un evento sospetto\
            \ \xE8 un incidente o meno. Gli orientamenti di cui alla sezione 3.1.2\
            \ forniscono un elenco indicativo e non esaustivo di tali criteri. \n\u2022\
            \ Determinare la natura e la gravit\xE0 dell'evento sulla base di un sistema\
            \ di categorizzazione di cui al punto 3.1.2 (a) dell'Allegato al regolamento."
          typical_evidence: "\u2022 Criteri definiti in atto. \n\u2022 Un sistema\
            \ di categorizzazione di cui al punto 3.1.2 (a) dell'Allegato al regolamento."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.4.2
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.4
      ref_id: 3.4.2
      description: 'For the purpose of point 3.4.1, the relevant entities shall act
        in the following manner:'
      annotation: "\u2022 In the procedures defined in points 3.1.1 and 3.1.2 of the\
        \ Annex to the regulation, include activities for assessing suspicious events\
        \ to determine their nature and severity. These activities should include\
        \ steps such as:\n    o gathering relevant information and evidence related\
        \ to the event.\n    o analysing the potential impact on the entity\u2019\
        s systems, data and operations.\n    o determining the severity of the incident\
        \ based on predefined criteria. \n\u2022 Implement playbooks (30) or runbooks\
        \ to guide initial assessment actions for common types of incidents, for example\
        \ ransomware, phishing, data or device loss, or fire. \n\u2022 Classify events\
        \ based on their nature, severity and potential impact. Common classifications\
        \ may include:\n    o low, medium, high or critical severity;\n    o incident\
        \ types (e.g. malicious software infection or unauthorized access);\n    o\
        \ regulatory or compliance implications. \n\u2022 Prioritise the event according\
        \ to specific criteria, as defined in the categorisation system included in\
        \ the incident handling policy referred to in point 3.1.2 of the Annex to\
        \ the regulation. \n\u2022 By performing root cause analysis (31), determine\
        \ recurring instances (32) of an incident.\n    o Consider that the root cause\
        \ of an incident may be challenging to determine during the early stages of\
        \ incident handling, so the assessment of the existence of recurring incidents\
        \ may be delayed. \n\u2022 Review and correlate the logs in line with what\
        \ is referred to in point 3.2 of the Annex to the regulation. \n\u2022 Assess\
        \ past events and their classification to improve processes, procedures and\
        \ thresholds.\n\n[TIPS]\n\n\u2022 Consider deploying SIEM, EDR, XDR or similar\
        \ system that will allow and facilitate the correlation and analysis of data.\
        \ \n\u2022 Where possible, utilise automation to triage incoming alerts and\
        \ prioritise them based on severity and potential impact. \n\u2022 Integrate\
        \ security events into the central SIEM or EDR/XDR solution, where available.\
        \ \n\u2022 Take into account the confidentiality of the data stored, especially\
        \ when correlating and analysing log files, by (indicative, non-exhaustive\
        \ list):\n    o minimising data collected, meaning only collecting and analysing\
        \ logs that fit the purpose \u2013 avoid retaining unnecessary personal or\
        \ sensitive data;\n    o anonymising or pseudonymising the collected data,\
        \ when possible;\n    o applying good security practices where appropriate\
        \ and relevant, such as access control, encryption, regular audits and monitoring;\n\
        \    o applying the data retention policy in alignment with GDPR requirements\
        \ and regularly purging data that is no longer needed; and\n    o considering\
        \ data protection and relevant legal and compliance obligations other than\
        \ the NIS2 Directive.\n\n(30) An example of good practice for such playbooks\
        \ is the OASIS Collaborative Automated Course of Action Operations (CACAO)\
        \ Security Playbooks Version Specification, v2.0, https://docs.oasis-open.org/cacao/security-playbooks/v2.0/security-playbooks-v2.0.html.\n\
        (31) More information on information security incident root cause analysis\
        \ can be found in Forum of Incident Response and Security Teams, \u2018FIRST\
        \ CSIRT services framework\u2019, Version 2.1, \u20186.2.4 Function: Information\
        \ security incident root cause analysis\u2019, https://www.first.org/standards/frameworks/csirts/csirt_services_framework_v2.1#6-Service-Area-Information-Security-Incident-Management.\n\
        (32) For the criteria on recurring incidents, see Article 4 of Commission\
        \ Implementing Regulation (EU) 2024/2690 of 17 October 2024."
      typical_evidence: "\u2022 Documented procedures or guidelines related to event\
        \ assessment, including steps for gathering information, analysing impact\
        \ and determining severity. \n\u2022 Existence of documented criteria or guidelines\
        \ for prioritizing events based on severity and potential impact. \n\u2022\
        \ Existence of a process for triaging incoming alerts or reports of suspicious\
        \ events. \n\u2022 Playbooks for common types of incidents. \n\u2022 Periodic\
        \ reviews of assessment and classification of past events to improve processes,\
        \ procedures and thresholds.\n\n[TIPS]\n\n\u2022 SIEM, EDR/XDR or similar\
        \ system. \n\u2022 Tools supporting incident triage. \n\u2022 Measures to\
        \ protect the security of information during log analysis and correlation."
      translations:
        fr:
          description: "Aux fins du point\_3.4.1, les entit\xE9s concern\xE9es proc\xE8\
            dent de la fa\xE7on suivante:"
          annotation: "Dans les proc\xE9dures d\xE9finies aux points 3.1.1 et 3.1.2\
            \ de l'annexe du r\xE8glement, inclure des activit\xE9s d'\xE9valuation\
            \ des \xE9v\xE9nements suspects afin de d\xE9terminer leur nature et leur\
            \ gravit\xE9. Ces activit\xE9s doivent comprendre des \xE9tapes telles\
            \ que :\n    o  la collecte d'informations et de preuves pertinentes relatives\
            \ \xE0 l'\xE9v\xE9nement.\n    o  l'analyse de l'impact potentiel sur\
            \ les syst\xE8mes, les donn\xE9es et les op\xE9rations de l'entit\xE9\
            .\n    o  la d\xE9termination de la gravit\xE9 de l'incident sur la base\
            \ de crit\xE8res pr\xE9d\xE9finis.\n\u2022 Mettre en \u0153uvre des playbooks\
            \ (30) ou des runbooks pour guider les actions d'\xE9valuation initiale\
            \ pour les types d'incidents courants, par exemple les ransomwares, le\
            \ phishing, la perte de donn\xE9es ou d'appareils, ou les incendies. \n\
            \u2022 Classer les \xE9v\xE9nements en fonction de leur nature, de leur\
            \ gravit\xE9 et de leur impact potentiel. Les classifications courantes\
            \ peuvent \xEAtre les suivantes :\n    o  gravit\xE9 faible, moyenne,\
            \ \xE9lev\xE9e ou critique ;\n    o  types d'incidents (par exemple, infection\
            \ par un logiciel malveillant ou acc\xE8s non autoris\xE9) ;\n    o  implications\
            \ en mati\xE8re de r\xE9glementation ou de conformit\xE9.\n\u2022 Classer\
            \ l'\xE9v\xE9nement par ordre de priorit\xE9 en fonction de crit\xE8res\
            \ sp\xE9cifiques, tels que d\xE9finis dans le syst\xE8me de cat\xE9gorisation\
            \ inclus dans la politique de traitement des incidents vis\xE9e au point\
            \ 3.1.2 de l'annexe du r\xE8glement. \n\u2022 En effectuant une analyse\
            \ des causes profondes (31), d\xE9terminer les cas r\xE9currents (32)\
            \ d'un incident.\n    o  Tenir compte du fait que la cause profonde d'un\
            \ incident peut \xEAtre difficile \xE0 d\xE9terminer au cours des premi\xE8\
            res \xE9tapes du traitement de l'incident, de sorte que l'\xE9valuation\
            \ de l'existence d'incidents r\xE9currents peut \xEAtre retard\xE9e.\n\
            \u2022 Examiner et corr\xE9ler les journaux conform\xE9ment \xE0 ce qui\
            \ est mentionn\xE9 au point 3.2 de l'annexe du r\xE8glement. \n\u2022\
            \ \xC9valuer les \xE9v\xE9nements pass\xE9s et leur classification afin\
            \ d'am\xE9liorer les processus, les proc\xE9dures et les seuils.\n\n[CONSEILS]\n\
            \n\u2022 Envisager le d\xE9ploiement d'un syst\xE8me SIEM, EDR, XDR ou\
            \ autre syst\xE8me similaire qui permettra et facilitera la corr\xE9lation\
            \ et l'analyse des donn\xE9es. \n\u2022 Dans la mesure du possible, utiliser\
            \ l'automatisation pour trier les alertes entrantes et les classer par\
            \ ordre de priorit\xE9 en fonction de leur gravit\xE9 et de leur impact\
            \ potentiel. \n\u2022 Int\xE9grer les \xE9v\xE9nements de s\xE9curit\xE9\
            \ dans la solution centrale SIEM ou EDR/XDR, le cas \xE9ch\xE9ant. \n\u2022\
            \ Tenir compte de la confidentialit\xE9 des donn\xE9es stock\xE9es, en\
            \ particulier lors de la corr\xE9lation et de l'analyse des fichiers journaux,\
            \ en (liste indicative et non exhaustive) :\n    o en minimisant les donn\xE9\
            es collect\xE9es, c'est-\xE0-dire en ne collectant et en n'analysant que\
            \ les journaux qui correspondent \xE0 l'objectif - en \xE9vitant de conserver\
            \ des donn\xE9es personnelles ou sensibles inutiles ;\n    o  en anonymisant\
            \ ou en pseudonymisant les donn\xE9es collect\xE9es, lorsque cela est\
            \ possible ;\n    o  en appliquant de bonnes pratiques de s\xE9curit\xE9\
            \ lorsque cela est appropri\xE9 et pertinent, telles que le contr\xF4\
            le d'acc\xE8s, le cryptage, des audits et une surveillance r\xE9guliers\
            \ ;\n    o  en appliquant la politique de conservation des donn\xE9es\
            \ conform\xE9ment aux exigences du GDPR et en purgeant r\xE9guli\xE8rement\
            \ les donn\xE9es qui ne sont plus n\xE9cessaires ; et\n    o  en tenant\
            \ compte de la protection des donn\xE9es et des obligations l\xE9gales\
            \ et de conformit\xE9 pertinentes autres que celles de la directive NIS2.\n\
            \n(30) Le document OASIS Collaborative Automated Course of Action Operations\
            \ (CACAO) Security Playbooks Version Specification, v2.0, https://docs.oasis-open.org/cacao/security-playbooks/v2.0/security-playbooks-v2.0.html,\
            \ est un exemple de bonne pratique pour ces playbooks.\n(31) Pour plus\
            \ d'informations sur l'analyse des causes profondes des incidents de s\xE9\
            curit\xE9 de l'information, voir Forum of Incident Response and Security\
            \ Teams, \xAB FIRST CSIRT services framework \xBB, Version 2.1, \"6.2.4\
            \ Function : Information security incident root cause analysis\", https://www.first.org/standards/frameworks/csirts/csirt_services_framework_v2.1#6-Service-Area-Information-Security-Incident-Management.\n\
            (32) Pour les crit\xE8res relatifs aux incidents r\xE9currents, voir l'article\
            \ 4 du r\xE8glement d'ex\xE9cution (UE) 2024/2690 de la Commission du\
            \ 17 octobre 2024."
          typical_evidence: "\u2022 Proc\xE9dures ou directives document\xE9es relatives\
            \ \xE0 l\u2019\xE9valuation des \xE9v\xE9nements, y compris les \xE9tapes\
            \ de collecte d\u2019informations, d\u2019analyse de l\u2019impact et\
            \ de d\xE9termination de la gravit\xE9. \n\u2022 Existence de crit\xE8\
            res ou de lignes directrices document\xE9s pour hi\xE9rarchiser les \xE9\
            v\xE9nements en fonction de leur gravit\xE9 et de leur impact potentiel.\
            \ \n\u2022 Existence d\u2019un processus de tri des alertes entrantes\
            \ ou des rapports d\u2019\xE9v\xE9nements suspects. \n\u2022 Guides pour\
            \ les types d\u2019incidents courants. \n\u2022 Revues p\xE9riodiques\
            \ de l\u2019\xE9valuation et de la classification des \xE9v\xE9nements\
            \ pass\xE9s afin d\u2019am\xE9liorer les processus, les proc\xE9dures\
            \ et les seuils.\n\n[CONSEILS]\n\n\u2022 Syst\xE8me SIEM, EDR/XDR ou similaire.\
            \ \n\u2022 Outils d\u2019aide au triage des incidents. \n\u2022 Mesures\
            \ de protection de la s\xE9curit\xE9 des informations lors de l\u2019\
            analyse et de la corr\xE9lation des logs."
        es:
          description: "A los efectos del punto 3.4.1, las entidades pertinentes realizar\xE1\
            n las acciones siguientes:"
          annotation: "\u2022 En los procedimientos definidos en los puntos 3.1.1\
            \ y 3.1.2 del anexo del reglamento, incluir actividades de evaluaci\xF3\
            n de sucesos sospechosos para determinar su naturaleza y gravedad. Estas\
            \ actividades deben incluir pasos como:\n    o recopilar informaci\xF3\
            n relevante y pruebas relacionadas con el evento.\n    o analizar el impacto\
            \ potencial en los sistemas, datos y operaciones de la entidad.\n    o\
            \ determinar la gravedad del incidente bas\xE1ndose en criterios predefinidos.\n\
            \u2022 Implementar playbooks (30) o runbooks para guiar las acciones de\
            \ evaluaci\xF3n inicial para tipos comunes de incidentes, por ejemplo\
            \ ransomware, phishing, p\xE9rdida de datos o dispositivos, o incendio.\
            \ \n\u2022 Clasificar los incidentes en funci\xF3n de su naturaleza, gravedad\
            \ e impacto potencial. Las clasificaciones comunes pueden incluir:\n \
            \   o gravedad baja, media, alta o cr\xEDtica;\n    o tipos de incidentes\
            \ (por ejemplo, infecci\xF3n por software malicioso o acceso no autorizado);\n\
            \    o implicaciones normativas o de cumplimiento.\n\u2022 Priorizar el\
            \ incidente de acuerdo con criterios espec\xEDficos, tal y como se definen\
            \ en el sistema de categorizaci\xF3n incluido en la pol\xEDtica de gesti\xF3\
            n de incidentes mencionada en el punto 3.1.2 del anexo del Reglamento.\
            \ \n\u2022 Mediante la realizaci\xF3n de un an\xE1lisis de la causa ra\xED\
            z (31), determinar los casos recurrentes (32) de un incidente.\n    o\
            \ Considerar que la causa ra\xEDz de un incidente puede ser dif\xEDcil\
            \ de determinar durante las primeras fases de la gesti\xF3n de incidentes,\
            \ por lo que la evaluaci\xF3n de la existencia de incidentes recurrentes\
            \ puede retrasarse. \n\u2022 Revisar y correlacionar los registros de\
            \ acuerdo con lo indicado en el punto 3.2 del anexo del Reglamento. \n\
            \u2022 Evaluar los incidentes pasados y su clasificaci\xF3n para mejorar\
            \ los procesos, procedimientos y umbrales.\n\n[CONSEJOS]\n\n\u2022 Considere\
            \ la posibilidad de implantar un sistema SIEM, EDR, XDR o similar que\
            \ permita y facilite la correlaci\xF3n y el an\xE1lisis de los datos.\
            \ \n\u2022 Siempre que sea posible, utilice la automatizaci\xF3n para\
            \ clasificar las alertas entrantes y darles prioridad en funci\xF3n de\
            \ su gravedad e impacto potencial. \n\u2022 Integrar los eventos de seguridad\
            \ en la soluci\xF3n SIEM o EDR/XDR central, cuando est\xE9 disponible.\
            \ \n\u2022 Tener en cuenta la confidencialidad de los datos almacenados,\
            \ especialmente al correlacionar y analizar los archivos de registro,\
            \ mediante (lista indicativa, no exhaustiva)\n    o minimizando los datos\
            \ recopilados, es decir, recopilando y analizando \xFAnicamente los registros\
            \ que se ajusten a la finalidad; evitando conservar datos personales o\
            \ sensibles innecesarios;\n    o anonimizando o seudonimizando los datos\
            \ recopilados, cuando sea posible;\n    o aplicando buenas pr\xE1cticas\
            \ de seguridad cuando sea apropiado y pertinente, como el control de acceso,\
            \ el cifrado, las auditor\xEDas peri\xF3dicas y la supervisi\xF3n;\n \
            \   o aplicando la pol\xEDtica de conservaci\xF3n de datos en consonancia\
            \ con los requisitos del GDPR y depurando peri\xF3dicamente los datos\
            \ que ya no sean necesarios; y\n    o teniendo en cuenta la protecci\xF3\
            n de datos y las obligaciones legales y de cumplimiento pertinentes distintas\
            \ de la Directiva NIS2.\n\n(30) Un ejemplo de buenas pr\xE1cticas para\
            \ este tipo de playbooks es el OASIS Collaborative Automated Course of\
            \ Action Operations (CACAO) Security Playbooks Version Specification,\
            \ v2.0, https://docs.oasis-open.org/cacao/security-playbooks/v2.0/security-playbooks-v2.0.html.\n\
            (31) Puede encontrarse m\xE1s informaci\xF3n sobre el an\xE1lisis de la\
            \ causa ra\xEDz de incidentes de seguridad de la informaci\xF3n en Forum\
            \ of Incident Response and Security Teams, \u201CFIRST CSIRT services\
            \ framework\u201D, Version 2.1, '6.2.4 Function: An\xE1lisis de la causa\
            \ ra\xEDz de incidentes de seguridad de la informaci\xF3n\", https://www.first.org/standards/frameworks/csirts/csirt_services_framework_v2.1#6-Service-Area-Information-Security-Incident-Management.\n\
            (32) Para los criterios sobre incidentes recurrentes, v\xE9ase el art\xED\
            culo 4 del Reglamento de Ejecuci\xF3n (UE) 2024/2690 de la Comisi\xF3\
            n, de 17 de octubre de 2024."
          typical_evidence: "\u2022 Procedimientos o directrices documentados relacionados\
            \ con la evaluaci\xF3n de eventos, incluidos los pasos para recopilar\
            \ informaci\xF3n, analizar el impacto y determinar la gravedad. \n\u2022\
            \ Existencia de criterios o directrices documentadas para priorizar los\
            \ eventos en funci\xF3n de la gravedad y el impacto potencial. \n\u2022\
            \ Existencia de un proceso para clasificar las alertas entrantes o los\
            \ informes de eventos sospechosos. \n\u2022 Manuales de estrategias para\
            \ tipos comunes de incidentes. \n\u2022 Revisiones peri\xF3dicas de evaluaci\xF3\
            n y clasificaci\xF3n de eventos pasados para mejorar procesos, procedimientos\
            \ y umbrales.\n\n[CONSEJOS]\n\n\u2022 Sistema SIEM, EDR/XDR o similar.\
            \ \n\u2022 Herramientas de apoyo al triaje de incidentes. \n\u2022 Medidas\
            \ para proteger la seguridad de la informaci\xF3n durante el an\xE1lisis\
            \ y la correlaci\xF3n de registros."
        cs:
          description: "Pro \xFA\u010Dely bodu 3.4.1 postupuj\xED p\u0159\xEDslu\u0161\
            n\xE9 subjekty takto:"
          annotation: "\u2022 Do postup\u016F definovan\xFDch v bodech 3.1.1 a 3.1.2\
            \ p\u0159\xEDlohy na\u0159\xEDzen\xED zahr\u0148te \u010Dinnosti pro posouzen\xED\
            \ podez\u0159el\xFDch ud\xE1lost\xED s c\xEDlem ur\u010Dit jejich povahu\
            \ a z\xE1va\u017Enost. Tyto \u010Dinnosti by m\u011Bly zahrnovat kroky,\
            \ jako jsou:\n    o shrom\xE1\u017Ed\u011Bn\xED relevantn\xEDch informac\xED\
            \ a d\u016Fkaz\u016F souvisej\xEDc\xEDch s ud\xE1lost\xED.\n    o anal\xFD\
            za potenci\xE1ln\xEDho dopadu na syst\xE9my, data a provoz subjektu.\n\
            \    o ur\u010Den\xED z\xE1va\u017Enosti ud\xE1losti na z\xE1klad\u011B\
            \ p\u0159edem stanoven\xFDch krit\xE9ri\xED.\n\u2022 Implementujte p\u0159\
            \xEDru\u010Dky (30) nebo runbooky, kter\xFDmi se \u0159\xEDd\xED po\u010D\
            \xE1te\u010Dn\xED kroky p\u0159i posuzov\xE1n\xED b\u011B\u017En\xFDch\
            \ typ\u016F incident\u016F, nap\u0159\xEDklad ransomwaru, phishingu, ztr\xE1\
            ty dat nebo za\u0159\xEDzen\xED nebo po\u017E\xE1ru. \n\u2022 Klasifikujte\
            \ ud\xE1losti na z\xE1klad\u011B jejich povahy, z\xE1va\u017Enosti a potenci\xE1\
            ln\xEDho dopadu. Mezi b\u011B\u017En\xE9 klasifikace mohou pat\u0159it:\n\
            \    o n\xEDzk\xE1, st\u0159edn\xED, vysok\xE1 nebo kritick\xE1 z\xE1\
            va\u017Enost;\n    o typy incident\u016F (nap\u0159. infekce \u0161kodliv\xFD\
            m softwarem nebo neopr\xE1vn\u011Bn\xFD p\u0159\xEDstup);\n    o d\u016F\
            sledky pro regulaci nebo dodr\u017Eov\xE1n\xED p\u0159edpis\u016F.\n\u2022\
            \ Ud\xE1lost up\u0159ednostn\u011Bte podle specifick\xFDch krit\xE9ri\xED\
            \ definovan\xFDch v syst\xE9mu kategorizace obsa\u017Een\xE9m v z\xE1\
            sad\xE1ch \u0159e\u0161en\xED incident\u016F uveden\xFDch v bod\u011B\
            \ 3.1.2 p\u0159\xEDlohy na\u0159\xEDzen\xED. \n\u2022 Proveden\xEDm anal\xFD\
            zy ko\u0159enov\xFDch p\u0159\xED\u010Din (31) ur\u010Dete opakuj\xED\
            c\xED se p\u0159\xEDpady (32) incidentu.\n    o Zva\u017Ete, \u017Ee ur\u010D\
            en\xED ko\u0159enov\xE9 p\u0159\xED\u010Diny incidentu m\u016F\u017Ee\
            \ b\xFDt v po\u010D\xE1te\u010Dn\xEDch f\xE1z\xEDch \u0159e\u0161en\xED\
            \ incident\u016F n\xE1ro\u010Dn\xE9, tak\u017Ee posouzen\xED existence\
            \ opakuj\xEDc\xEDch se incident\u016F m\u016F\u017Ee b\xFDt opo\u017E\
            d\u011Bn\xE9.\n\u2022 P\u0159ezkoumejte a porovnejte protokoly v souladu\
            \ s t\xEDm, co je uvedeno v bod\u011B 3.2 p\u0159\xEDlohy na\u0159\xED\
            zen\xED. \n\u2022 Vyhodno\u0165te minul\xE9 ud\xE1losti a jejich klasifikaci\
            \ s c\xEDlem zlep\u0161it procesy, postupy a prahov\xE9 hodnoty.\n\n[TIPY]\n\
            \n\u2022 Zva\u017Ete nasazen\xED SIEM, EDR, XDR nebo podobn\xE9ho syst\xE9\
            mu, kter\xFD umo\u017En\xED a usnadn\xED korelaci a anal\xFDzu dat. \n\
            \u2022 Pokud je to mo\u017En\xE9, vyu\u017Eijte automatizaci pro t\u0159\
            \xEDd\u011Bn\xED p\u0159\xEDchoz\xEDch v\xFDstrah a jejich prioritizaci\
            \ na z\xE1klad\u011B z\xE1va\u017Enosti a potenci\xE1ln\xEDho dopadu.\
            \ \n\u2022 Integrujte bezpe\u010Dnostn\xED ud\xE1losti do centr\xE1ln\xED\
            ho \u0159e\u0161en\xED SIEM nebo EDR/XDR, je-li k dispozici. \n\u2022\
            \ Zohledn\u011Bte d\u016Fv\u011Brnost ulo\u017Een\xFDch dat, zejm\xE9\
            na p\u0159i korelaci a anal\xFDze soubor\u016F protokol\u016F, a to (orienta\u010D\
            n\xED, ne\xFApln\xFD seznam):\n    o minimalizovat shroma\u017E\u010F\
            ovan\xE9 \xFAdaje, co\u017E znamen\xE1 shroma\u017E\u010Fovat a analyzovat\
            \ pouze protokoly, kter\xE9 odpov\xEDdaj\xED \xFA\u010Delu - vyhnout se\
            \ uchov\xE1v\xE1n\xED zbyte\u010Dn\xFDch osobn\xEDch nebo citliv\xFDch\
            \ \xFAdaj\u016F;\n    o anonymizovat nebo pseudonymizovat shrom\xE1\u017E\
            d\u011Bn\xE9 \xFAdaje, pokud je to mo\u017En\xE9;\n    o uplat\u0148ovat\
            \ spr\xE1vn\xE9 bezpe\u010Dnostn\xED postupy, pokud je to vhodn\xE9 a\
            \ relevantn\xED, jako je \u0159\xEDzen\xED p\u0159\xEDstupu, \u0161ifrov\xE1\
            n\xED, pravideln\xE9 audity a monitorov\xE1n\xED;\n    o uplat\u0148ovat\
            \ z\xE1sady uchov\xE1v\xE1n\xED \xFAdaj\u016F v souladu s po\u017Eadavky\
            \ GDPR a pravideln\u011B \u010Distit \xFAdaje, kter\xE9 ji\u017E nejsou\
            \ pot\u0159ebn\xE9; a\n    o zohlednit ochranu \xFAdaj\u016F a p\u0159\
            \xEDslu\u0161n\xE9 pr\xE1vn\xED povinnosti a povinnosti t\xFDkaj\xEDc\xED\
            \ se dodr\u017Eov\xE1n\xED p\u0159edpis\u016F, jin\xE9 ne\u017E sm\u011B\
            rnice NIS2.\n\n(30) P\u0159\xEDkladem osv\u011Bd\u010Den\xFDch postup\u016F\
            \ pro takov\xE9 p\u0159\xEDru\u010Dky je p\u0159\xEDru\u010Dka OASIS Collaborative\
            \ Automated Course of Action Operations (CACAO) Security Playbooks Version\
            \ Specification, v2.0, https://docs.oasis-open.org/cacao/security-playbooks/v2.0/security-playbooks-v2.0.html.\n\
            (31) V\xEDce informac\xED o anal\xFDze ko\u0159enov\xFDch p\u0159\xED\u010D\
            in informa\u010Dn\xEDch bezpe\u010Dnostn\xEDch incident\u016F lze nal\xE9\
            zt v dokumentu Forum of Incident Response and Security Teams, \u201EFIRST\
            \ CSIRT services framework\u201C, verze 2.1, \"6.2.4 Function: Information\
            \ security incident root cause analysis\", https://www.first.org/standards/frameworks/csirts/csirt_services_framework_v2.1#6-Service-Area-Information-Security-Incident-Management.\n\
            (32) Krit\xE9ria t\xFDkaj\xEDc\xED se opakuj\xEDc\xEDch se incident\u016F\
            \ viz \u010Dl\xE1nek 4 prov\xE1d\u011Bc\xEDho na\u0159\xEDzen\xED Komise\
            \ (EU) 2024/2690 ze dne 17. \u0159\xEDjna 2024."
          typical_evidence: "\u2022 Zdokumentovan\xE9 postupy nebo pokyny t\xFDkaj\xED\
            c\xED se hodnocen\xED ud\xE1losti, v\u010Detn\u011B krok\u016F pro shroma\u017E\
            \u010Fov\xE1n\xED informac\xED, anal\xFDzu dopadu a ur\u010Den\xED z\xE1\
            va\u017Enosti. \n\u2022 Existence zdokumentovan\xFDch krit\xE9ri\xED nebo\
            \ pokyn\u016F pro stanoven\xED priorit ud\xE1lost\xED na z\xE1klad\u011B\
            \ z\xE1va\u017Enosti a potenci\xE1ln\xEDho dopadu. \n\u2022 Existence\
            \ procesu pro t\u0159\xEDd\u011Bn\xED p\u0159\xEDchoz\xEDch v\xFDstrah\
            \ nebo hl\xE1\u0161en\xED o podez\u0159el\xFDch ud\xE1lostech. \n\u2022\
            \ P\u0159\xEDru\u010Dky pro b\u011B\u017En\xE9 typy incident\u016F. \n\
            \u2022 Pravideln\xE9 p\u0159ezkumy hodnocen\xED a klasifikace minul\xFD\
            ch ud\xE1lost\xED s c\xEDlem zlep\u0161it procesy, postupy a prahov\xE9\
            \ hodnoty.\n\n[TIPY]\n\n\u2022 SIEM, EDR/XDR nebo podobn\xFD syst\xE9\
            m. \n\u2022 N\xE1stroje podporuj\xEDc\xED t\u0159\xEDd\u011Bn\xED incident\u016F\
            . \n\u2022 Opat\u0159en\xED na ochranu bezpe\u010Dnosti informac\xED b\u011B\
            hem anal\xFDzy a korelace log\u016F."
        it:
          description: 'Ai fini del punto 3.4.1, i soggetti pertinenti agiscono nel
            modo seguente:'
          annotation: "\u2022 Nelle procedure definite ai punti 3.1.1 e 3.1.2 dell'allegato\
            \ al regolamento, includere attivit\xE0 di valutazione degli eventi sospetti\
            \ per determinarne la natura e la gravit\xE0. Queste attivit\xE0 dovrebbero\
            \ includere fasi quali:\n    o la raccolta di informazioni e prove rilevanti\
            \ relative all'evento.\n    o l'analisi del potenziale impatto sui sistemi,\
            \ sui dati e sulle operazioni dell'entit\xE0.\n    o la determinazione\
            \ della gravit\xE0 dell'incidente in base a criteri predefiniti.\n\u2022\
            \ Implementare playbook (30) o runbook per guidare le azioni di valutazione\
            \ iniziale per i tipi comuni di incidenti, ad esempio ransomware, phishing,\
            \ perdita di dati o dispositivi o incendio. \n\u2022 Classificare gli\
            \ eventi in base alla loro natura, gravit\xE0 e impatto potenziale. Le\
            \ classificazioni comuni possono includere:\n    o gravit\xE0 bassa, media,\
            \ alta o critica;\n    o tipi di incidenti (ad esempio, infezione da software\
            \ maligno o accesso non autorizzato);\n    o implicazioni normative o\
            \ di conformit\xE0.\n\u2022 Dare priorit\xE0 all'evento in base a criteri\
            \ specifici, come definito nel sistema di categorizzazione incluso nella\
            \ politica di gestione degli incidenti di cui al punto 3.1.2 dell'allegato\
            \ al regolamento. \n\u2022 Eseguendo l'analisi delle cause profonde (31),\
            \ determinare i casi ricorrenti (32) di un incidente.\n    o Considerare\
            \ che la causa principale di un incidente pu\xF2 essere difficile da determinare\
            \ durante le prime fasi della gestione degli incidenti, quindi la valutazione\
            \ dell'esistenza di incidenti ricorrenti pu\xF2 essere ritardata.\n\u2022\
            \ Rivedere e correlare i log in linea con quanto indicato al punto 3.2\
            \ dell'allegato al regolamento. \n\u2022 Valutare gli eventi passati e\
            \ la loro classificazione per migliorare i processi, le procedure e le\
            \ soglie.\n\n[SUGGERIMENTI]\n\n\u2022 Considerare l'implementazione di\
            \ sistemi SIEM, EDR, XDR o simili che consentano e facilitino la correlazione\
            \ e l'analisi dei dati. \n\u2022 Ove possibile, utilizzare l'automazione\
            \ per gestire gli avvisi in arrivo e classificarli in base alla gravit\xE0\
            \ e all'impatto potenziale. \n\u2022 Integrare gli eventi di sicurezza\
            \ nella soluzione SIEM o EDR/XDR centrale, se disponibile. \n\u2022 Tenere\
            \ conto della riservatezza dei dati archiviati, in particolare durante\
            \ la correlazione e l'analisi dei file di log, attraverso (elenco indicativo\
            \ e non esaustivo):\n    o anonimizzando o pseudonimizzando i dati raccolti,\
            \ quando possibile;\n    o applicando buone pratiche di sicurezza, ove\
            \ opportuno e pertinente, come il controllo degli accessi, la crittografia,\
            \ le verifiche e il monitoraggio regolari;\n    o applicando la politica\
            \ di conservazione dei dati in linea con i requisiti del GDPR ed eliminando\
            \ regolarmente i dati non pi\xF9 necessari; e\n    o tenendo conto della\
            \ protezione dei dati e degli obblighi legali e di conformit\xE0 pertinenti\
            \ diversi dalla direttiva NIS2.\n\n(30) Un esempio di buona pratica per\
            \ tali playbook \xE8 l'OASIS Collaborative Automated Course of Action\
            \ Operations (CACAO) Security Playbooks Version Specification, v2.0, https://docs.oasis-open.org/cacao/security-playbooks/v2.0/security-playbooks-v2.0.html.\n\
            (31) Ulteriori informazioni sull'analisi delle cause degli incidenti di\
            \ sicurezza delle informazioni sono disponibili in Forum of Incident Response\
            \ and Security Teams, \u201CFIRST CSIRT services framework\u201D, versione\
            \ 2.1, \"6.2.4 Function: Analisi delle cause degli incidenti di sicurezza\
            \ delle informazioni\", https://www.first.org/standards/frameworks/csirts/csirt_services_framework_v2.1#6-Service-Area-Information-Security-Incident-Management.\n\
            (32) Per i criteri sugli incidenti ricorrenti, si veda l'articolo 4 del\
            \ Regolamento di esecuzione (UE) 2024/2690 della Commissione del 17 ottobre\
            \ 2024."
          typical_evidence: "\u2022 Procedure o linee guida documentate relative alla\
            \ valutazione degli eventi, comprese le fasi per la raccolta di informazioni,\
            \ l'analisi dell'impatto e la determinazione della gravit\xE0. \n\u2022\
            \ Esistenza di criteri o linee guida documentati per la prioritizzazione\
            \ degli eventi in base alla gravit\xE0 e all'impatto potenziale. \n\u2022\
            \ Esistenza di un processo per il triage degli avvisi in arrivo o delle\
            \ segnalazioni di eventi sospetti. \n\u2022 Playbook per i tipi comuni\
            \ di incidenti. \n\u2022 Revisioni periodiche della valutazione e classificazione\
            \ degli eventi passati per migliorare processi, procedure e soglie.\n\n\
            [CONSIGLI]\n\n\u2022 Sistema SIEM, EDR/XDR o similare. \n\u2022 Strumenti\
            \ a supporto del triage degli incidenti. \n\u2022 Misure per proteggere\
            \ la sicurezza delle informazioni durante l'analisi e la correlazione\
            \ dei registri."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.4.2.a
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.4.2
      ref_id: 3.4.2.a
      description: carry out the assessment based on predefined criteria laid down
        in advance, and on a triage to determine prioritisation of incident containment
        and eradication;
      translations:
        fr:
          description: "elles effectuent l\u2019\xE9valuation sur la base de crit\xE8\
            res pr\xE9d\xE9finis \xE9tablis \xE0 l\u2019avance et d\u2019un triage\
            \ afin d\u2019\xE9tablir une hi\xE9rarchisation des mesures d\u2019endiguement\
            \ et d\u2019\xE9radication des incidents;"
        es:
          description: "una evaluaci\xF3n basada en criterios predefinidos fijados\
            \ de antemano y en una clasificaci\xF3n que establezca las prioridades\
            \ de contenci\xF3n y erradicaci\xF3n de incidentes;"
        cs:
          description: "proveden\xED hodnocen\xED na z\xE1klad\u011B p\u0159edem stanoven\xFD\
            ch krit\xE9ri\xED a na z\xE1klad\u011B rozt\u0159\xEDd\u011Bn\xED s c\xED\
            lem ur\u010Dit priority, pokud jde o zamezen\xED \u0161\xED\u0159en\xED\
            \ incidentu a jeho odstran\u011Bn\xED;"
        it:
          description: "effettuare la valutazione sulla base di criteri predefiniti\
            \ stabiliti in anticipo e su un triage per determinare le priorit\xE0\
            \ di contenimento ed eliminazione degli incidenti;"
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.4.2.b
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.4.2
      ref_id: 3.4.2.b
      description: assess the existence of recurring incidents as referred to in Article
        4 of this Regulation on a quarterly basis;
      translations:
        fr:
          description: "elles examinent chaque trimestre si des incidents r\xE9currents\
            \ tels que d\xE9crits \xE0 l\u2019article\_4 du pr\xE9sent r\xE8glement\
            \ sont survenus;"
        es:
          description: "la evaluaci\xF3n trimestral de la existencia de incidentes\
            \ recurrentes tal como contempla el art\xEDculo 4 del presente Reglamento;"
        cs:
          description: "zhodnocen\xED existence opakuj\xEDc\xEDch se incident\u016F\
            \ podle \u010Dl\xE1nku 4 tohoto na\u0159\xEDzen\xED jednou za \u010Dtvrtlet\xED\
            ;"
        it:
          description: valuta l'esistenza di incidenti ricorrenti di cui all'articolo
            4 del presente regolamento su base trimestrale;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.4.2.c
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.4.2
      ref_id: 3.4.2.c
      description: review the appropriate logs for the purposes of event assessment
        and classification;
      translations:
        fr:
          description: "elles passent en revue les journaux appropri\xE9s aux fins\
            \ de l\u2019\xE9valuation et de la classification des \xE9v\xE9nements;"
        es:
          description: "la revisi\xF3n de los registros adecuados a efectos de la\
            \ evaluaci\xF3n y clasificaci\xF3n de los sucesos;"
        cs:
          description: "p\u0159ezkoum\xE1n\xED p\u0159\xEDslu\u0161n\xFDch protokol\u016F\
            \ pro \xFA\u010Dely hodnocen\xED a klasifikace ud\xE1lost\xED;"
        it:
          description: esaminare i registri appropriati ai fini della valutazione
            e della classificazione degli eventi;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.4.2.d
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.4.2
      ref_id: 3.4.2.d
      description: put in place a process for log correlation and analysis, and
      translations:
        fr:
          description: "elles mettent en place une proc\xE9dure de corr\xE9lation\
            \ et d\u2019analyse des journaux; et"
        es:
          description: "la puesta en marcha de un procedimiento para vincular los\
            \ registros y el an\xE1lisis;"
        cs:
          description: "zaveden\xED postupu pro propojen\xED a anal\xFDzu protokol\u016F\
            \ a"
        it:
          description: mettere in atto un processo per la correlazione e l'analisi
            dei log, e
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.4.2.e
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.4.2
      ref_id: 3.4.2.e
      description: reassess and reclassify events in case of new information becoming
        available or after analysis of previously available information.
      translations:
        fr:
          description: "elles r\xE9\xE9valuent et reclassent les \xE9v\xE9nements\
            \ si de nouvelles informations deviennent disponibles ou apr\xE8s analyse\
            \ d\u2019informations qu\u2019elles poss\xE9daient d\xE9j\xE0."
        es:
          description: "y la reevaluaci\xF3n y reclasificaci\xF3n de los sucesos cuando\
            \ se disponga de nueva informaci\xF3n o tras analizar la informaci\xF3\
            n disponible previamente."
        cs:
          description: "p\u0159ehodnocen\xED a p\u0159eklasifikov\xE1n\xED ud\xE1\
            lost\xED v p\u0159\xEDpad\u011B, \u017Ee se objev\xED nov\xE9 informace,\
            \ nebo po anal\xFDze d\u0159\xEDve dostupn\xFDch informac\xED."
        it:
          description: rivalutare e riclassificare gli eventi nel caso in cui si rendano
            disponibili nuove informazioni o dopo l'analisi di informazioni precedentemente
            disponibili.
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.5
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3
      ref_id: '3.5'
      name: Incident response
      translations:
        fr:
          name: "R\xE9ponse aux incidents"
        es:
          name: Respuesta ante incidentes
        cs:
          name: Reakce na incident
        it:
          name: Risposta agli incidenti
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.5.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.5
      ref_id: 3.5.1
      description: The relevant entities shall respond to incidents in accordance
        with documented procedures and in a timely manner.
      annotation: "\u2022 Establish a dedicated incident response team comprising\
        \ employees with the necessary technical expertise and authority to respond\
        \ effectively to incidents, where appropriate. \n\u2022 Define roles and responsibilities\
        \ within the incident response team, such as incident coordinators, analysts\
        \ and communication liaisons, where appropriate. \n\u2022 Take into account\
        \ industry-recognised standards when developing the incident response procedures\
        \ (33). \n\u2022 Implement playbooks or runbooks to guide incident response\
        \ actions for common types of incidents.\n\n(33) In addition to those mentioned\
        \ in the mapping table at the end of this section, consider the following:\
        \ \n\u2022 ISO/IEC 27035-1:2023, Information technology \u2013 Information\
        \ security incident management, Part 1: Principles and process; \n\u2022 ISO/IEC\
        \ 27035-2:2023, Information technology \u2013 Information security incident\
        \ management, Part 2: Guidelines to plan and prepare for incident response;\
        \ \n\u2022 NIST SP 800-61 Rev. 2, \u2018Computer security incident handling\
        \ guide\u2019, https://csrc.nist.gov/pubs/sp/800/61/r2/final."
      typical_evidence: "\u2022 Assignment of roles within the incident response team.\
        \ \n\u2022 Documented standards and/or good practices that are taken into\
        \ account. \n\u2022 Playbooks or incident response plans for common types\
        \ of incidents."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es apportent une r\xE9ponse aux\
            \ incidents dans le respect de proc\xE9dures document\xE9es et en temps\
            \ utile."
          annotation: "\u2022 Mettre en place une \xE9quipe d\u2019intervention en\
            \ cas d\u2019incident compos\xE9e d\u2019employ\xE9s ayant l\u2019expertise\
            \ technique et l\u2019autorit\xE9 n\xE9cessaires pour r\xE9agir efficacement\
            \ aux incidents, le cas \xE9ch\xE9ant. \n\u2022 D\xE9finir les r\xF4les\
            \ et les responsabilit\xE9s au sein de l\u2019\xE9quipe d\u2019intervention\
            \ en cas d\u2019incident, tels que les coordonnateurs d\u2019incidents,\
            \ les analystes et les agents de liaison, le cas \xE9ch\xE9ant. \n\u2022\
            \ Tenir compte des normes reconnues par l\u2019industrie lors de l\u2019\
            \xE9laboration des proc\xE9dures de r\xE9ponse aux incidents (33). \n\u2022\
            \ Mettez en \u0153uvre des playbooks ou des runbooks pour guider les actions\
            \ de r\xE9ponse aux incidents courants.\n\n(33) En plus de ceux mentionn\xE9\
            s dans le tableau de correspondance \xE0 la fin de la pr\xE9sente section,\
            \ il faut tenir compte des \xE9l\xE9ments suivants : \n\u2022 ISO/IEC\
            \ 27035-1:2023, Technologies de l\u2019information \u2013 Gestion des\
            \ incidents de s\xE9curit\xE9 de l\u2019information, Partie 1 : Principes\
            \ et processus ; \n\u2022 ISO/IEC 27035-2:2023, Technologies de l\u2019\
            information \u2013 Gestion des incidents de s\xE9curit\xE9 de l\u2019\
            information, Partie 2 : Lignes directrices pour planifier et pr\xE9parer\
            \ la r\xE9ponse aux incidents ; \n\u2022 NIST SP 800-61 Rev. 2, \xAB Guide\
            \ de gestion des incidents de s\xE9curit\xE9 informatique \xBB, https://csrc.nist.gov/pubs/sp/800/61/r2/final."
          typical_evidence: "\u2022 Attribution des r\xF4les au sein de l\u2019\xE9\
            quipe d\u2019intervention en cas d\u2019incident. \n\u2022 Des normes\
            \ et/ou bonnes pratiques document\xE9es qui sont prises en compte. \n\u2022\
            \ Des playbooks ou des plans d\u2019intervention en cas d\u2019incident\
            \ pour les types d\u2019incidents courants."
        es:
          description: "Las entidades pertinentes responder\xE1n a los incidentes\
            \ a su debido tiempo y de conformidad con procedimientos documentados."
          annotation: "\u2022 Establecer un equipo dedicado a la respuesta a incidentes\
            \ compuesto por empleados con la experiencia t\xE9cnica y la autoridad\
            \ necesarias para responder eficazmente a los incidentes, cuando corresponda.\
            \ \n\u2022 Definir roles y responsabilidades dentro del equipo de respuesta\
            \ a incidentes, como coordinadores de incidentes, analistas y enlaces\
            \ de comunicaci\xF3n, cuando corresponda. \n\u2022 Tener en cuenta las\
            \ normas reconocidas por el sector a la hora de elaborar los procedimientos\
            \ de respuesta a incidentes (33). \n\u2022 Implementar playbooks o runbooks\
            \ para guiar las acciones de respuesta a incidentes para tipos comunes\
            \ de incidentes.\n\n(33) Adem\xE1s de los mencionados en el cuadro de\
            \ correspondencia que figura al final de esta secci\xF3n, consid\xE9rese\
            \ lo siguiente: \n\u2022 ISO/IEC 27035-1:2023, Tecnolog\xEDa de la informaci\xF3\
            n \u2013 Gesti\xF3n de incidentes de seguridad de la informaci\xF3n, Parte\
            \ 1: Principios y proceso; \n\u2022 ISO/IEC 27035-2:2023, Tecnolog\xED\
            a de la informaci\xF3n \u2013 Gesti\xF3n de incidentes de seguridad de\
            \ la informaci\xF3n, Parte 2: Directrices para planificar y prepararse\
            \ para la respuesta a incidentes; \n\u2022 NIST SP 800-61 Rev. 2, 'Gu\xED\
            a de manejo de incidentes de seguridad inform\xE1tica', https://csrc.nist.gov/pubs/sp/800/61/r2/final."
          typical_evidence: "\u2022 Asignaci\xF3n de roles dentro del equipo de respuesta\
            \ a incidentes. \n\u2022 Normas documentadas y/o buenas pr\xE1cticas que\
            \ se tengan en cuenta. \n\u2022 Manuales de estrategias o planes de respuesta\
            \ a incidentes para tipos comunes de incidentes."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty reaguj\xED na incidenty\
            \ v\u010Das a v souladu se zdokumentovan\xFDmi postupy."
          annotation: "\u2022 Z\u0159\xEDdit specializovan\xFD t\xFDm pro reakci na\
            \ incidenty slo\u017Een\xFD ze zam\u011Bstnanc\u016F s nezbytn\xFDmi technick\xFD\
            mi znalostmi a pravomocemi, aby mohli v p\u0159\xEDpad\u011B pot\u0159\
            eby \xFA\u010Dinn\u011B reagovat na incidenty. \n\u2022 Definujte role\
            \ a odpov\u011Bdnosti v r\xE1mci t\xFDmu pro reakci na incidenty, jako\
            \ jsou koordin\xE1to\u0159i incident\u016F, analytici a komunika\u010D\
            n\xED sty\u010Dn\xE9 pracovn\xEDky, pokud je to vhodn\xE9. \n\u2022 P\u0159\
            i vypracov\xE1v\xE1n\xED postup\u016F reakce na incidenty zohlednit pr\u016F\
            myslem uzn\xE1van\xE9 normy (33). \n\u2022 Implementujte playbooky nebo\
            \ runbooky pro veden\xED akc\xED reakce na incidenty pro b\u011B\u017E\
            n\xE9 typy incident\u016F.\n\n(33) Krom\u011B t\u011Bch, kter\xE9 jsou\
            \ uvedeny v tabulce mapov\xE1n\xED na konci tohoto odd\xEDlu, zva\u017E\
            te n\xE1sleduj\xEDc\xED: \n\u2022 ISO/IEC 27035-1:2023, Informa\u010D\
            n\xED technologie \u2013 \u0158\xEDzen\xED incident\u016F v oblasti bezpe\u010D\
            nosti informac\xED, \u010C\xE1st 1: Z\xE1sady a proces; \n\u2022 ISO/IEC\
            \ 27035-2:2023, Informa\u010Dn\xED technologie \u2013 \u0158\xEDzen\xED\
            \ incident\u016F v oblasti bezpe\u010Dnosti informac\xED, \u010C\xE1st\
            \ 2: Pokyny pro pl\xE1nov\xE1n\xED a p\u0159\xEDpravu reakce na incidenty;\
            \ \n\u2022 NIST SP 800-61 Rev. 2, \"Pr\u016Fvodce \u0159e\u0161en\xED\
            m incident\u016F po\u010D\xEDta\u010Dov\xE9 bezpe\u010Dnosti\", https://csrc.nist.gov/pubs/sp/800/61/r2/final."
          typical_evidence: "\u2022 P\u0159id\u011Blen\xED rol\xED v r\xE1mci t\xFD\
            mu pro reakci na incidenty. \n\u2022 Zdokumentovan\xE9 standardy a/nebo\
            \ osv\u011Bd\u010Den\xE9 postupy, kter\xE9 jsou br\xE1ny v \xFAvahu. \n\
            \u2022 P\u0159\xEDru\u010Dky nebo pl\xE1ny reakce na incidenty pro b\u011B\
            \u017En\xE9 typy incident\u016F."
        it:
          description: I soggetti pertinenti rispondono agli incidenti secondo procedure
            documentate e in modo tempestivo.
          annotation: "\u2022 Istituire un team dedicato alla risposta agli incidenti\
            \ composto da dipendenti con le competenze tecniche e l'autorit\xE0 necessarie\
            \ per rispondere efficacemente agli incidenti, ove appropriato. \n\u2022\
            \ Definire ruoli e responsabilit\xE0 all'interno del team di risposta\
            \ agli incidenti, come i coordinatori degli incidenti, gli analisti e\
            \ i collegamenti di comunicazione, se del caso. \n\u2022 Tenere conto\
            \ delle norme riconosciute dal settore nell'elaborazione delle procedure\
            \ di risposta agli incidenti (33). \n\u2022 Implementare playbook o runbook\
            \ per guidare le azioni di risposta agli incidenti per i tipi comuni di\
            \ incidenti.\n\n(33) Oltre a quelli menzionati nella tabella di mappatura\
            \ alla fine della presente sezione, si consideri quanto segue: \n\u2022\
            \ ISO/IEC 27035-1:2023, Tecnologia dell'informazione \u2013 Gestione degli\
            \ incidenti di sicurezza delle informazioni, Parte 1: Principi e processo;\
            \ \n\u2022 ISO/IEC 27035-2:2023, Tecnologia dell'informazione \u2013 Gestione\
            \ degli incidenti di sicurezza delle informazioni, Parte 2: Linee guida\
            \ per pianificare e prepararsi alla risposta agli incidenti; \n\u2022\
            \ NIST SP 800-61 Rev. 2, \"Guida alla gestione degli incidenti di sicurezza\
            \ informatica\", https://csrc.nist.gov/pubs/sp/800/61/r2/final."
          typical_evidence: "\u2022 Assegnazione di ruoli all'interno del team di\
            \ risposta agli incidenti. \n\u2022 Standard documentati e/o buone pratiche\
            \ che vengono prese in considerazione. \n\u2022 Playbook o piani di risposta\
            \ agli incidenti per i tipi comuni di incidenti."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.5.2
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.5
      ref_id: 3.5.2
      description: 'The incident response procedures shall include the following stages:'
      annotation: "\u2022 Create incident response procedures outlining the steps\
        \ referred to in point 3.5.2 of the Annex to the regulation. \n\u2022 Ensure\
        \ that the handling of cybersecurity incidents takes into account the entity\u2019\
        s priorities and the impact of the incident.\n    o Recognize and address\
        \ potential conflicts between the following objectives during incident handling:\n\
        \        * forensic activities \u2013 preserving and securing evidence for\
        \ legal, compliance or investigative purposes, \uF0A7 incident response activities\
        \ \u2013 mitigating and removing current threats to prevent further damage\
        \ and \uF0A7 operational continuity \u2013 minimizing disruption to IT services\
        \ and maintaining critical operations.\n    o Where these objectives conflict,\
        \ establish a clear decision-making process that:\n        * prioritises based\
        \ on the accepted risk tolerance levels, business impact and legal obligations,\
        \  \uF0A7 involves coordination between cybersecurity, legal/compliance and\
        \ operational teams and \uF0A7 documents the rationale for prioritisation\
        \ decisions to ensure transparency and accountability.\n    o Develop incident\
        \ response playbooks that incorporate decision making and escalation paths\
        \ for managing trade-offs between evidence preservation, threat containment\
        \ and operational continuity. \n\u2022 Keep the management bodies informed."
      typical_evidence: "\u2022 Procedures for incident response, including types\
        \ of incidents that could occur, objectives, roles and responsibilities. Detailed\
        \ description, for each incident type, of how to manage the incident and when\
        \ to escalate to management bodies (e.g. chief information security officer),\
        \ etc. \n\u2022 Records from resolution of conflicting objectives during response\
        \ to past incidents."
      translations:
        fr:
          description: "Les proc\xE9dures de r\xE9ponse aux incidents comprennent\
            \ les \xE9tapes suivantes:"
          annotation: "\u2022 Cr\xE9er des proc\xE9dures d\u2019intervention en cas\
            \ d\u2019incident d\xE9crivant les \xE9tapes vis\xE9es au point 3.5.2\
            \ de l\u2019annexe du r\xE8glement. \n\u2022 S\u2019assurer que le traitement\
            \ des incidents de cybers\xE9curit\xE9 prend en compte les priorit\xE9\
            s de l\u2019entit\xE9 et l\u2019impact de l\u2019incident.\n    o Reconna\xEE\
            tre et traiter les conflits potentiels entre les objectifs suivants lors\
            \ de la gestion des incidents :\n        * activit\xE9s d\u2019investigation\
            \ \u2013 pr\xE9servation et s\xE9curisation des preuves \xE0 des fins\
            \ juridiques, de conformit\xE9 ou d\u2019enqu\xEAte, \uF0A7 activit\xE9\
            s de r\xE9ponse aux incidents \u2013 att\xE9nuation et \xE9limination\
            \ des menaces actuelles pour pr\xE9venir d\u2019autres dommages et \uF0A7\
            \ continuit\xE9 op\xE9rationnelle \u2013 minimiser l\u2019interruption\
            \ des services informatiques et maintenir les op\xE9rations critiques.\n\
            \    o Lorsque ces objectifs sont contradictoires, \xE9tablissez un processus\
            \ d\xE9cisionnel clair qui :\n        * \xE9tablit les priorit\xE9s en\
            \ fonction des niveaux de tol\xE9rance au risque accept\xE9s, de l\u2019\
            impact sur l\u2019entreprise et des obligations l\xE9gales, \uF0A7 implique\
            \ la coordination entre les \xE9quipes de cybers\xE9curit\xE9, juridiques/de\
            \ conformit\xE9 et op\xE9rationnelles et \uF0A7 documente la justification\
            \ des d\xE9cisions de hi\xE9rarchisation afin d\u2019assurer la transparence\
            \ et la responsabilit\xE9.\n    o \xC9laborer des playbooks de r\xE9ponse\
            \ aux incidents qui int\xE8grent la prise de d\xE9cision et les voies\
            \ d\u2019escalade pour g\xE9rer les compromis entre la pr\xE9servation\
            \ des preuves, le confinement des menaces et la continuit\xE9 op\xE9rationnelle.\
            \ \n\u2022 Tenir les organes de direction inform\xE9s."
          typical_evidence: "\u2022 Les proc\xE9dures d\u2019intervention en cas d\u2019\
            incident, y compris les types d\u2019incidents qui pourraient survenir,\
            \ les objectifs, les r\xF4les et les responsabilit\xE9s. Une description\
            \ d\xE9taill\xE9e, pour chaque type d\u2019incident, de la mani\xE8re\
            \ de g\xE9rer l\u2019incident et du moment o\xF9 il doit \xEAtre transmis\
            \ aux organes de direction (par exemple, le responsable de la s\xE9curit\xE9\
            \ de l\u2019information), etc. \n\u2022 Dossiers de r\xE9solution d\u2019\
            objectifs conflictuels lors d\u2019interventions lors d\u2019incidents\
            \ pass\xE9s."
        es:
          description: "Los procedimientos de respuesta ante los incidentes incluir\xE1\
            n las siguientes fases:"
          annotation: "\u2022 Crear procedimientos de respuesta a incidentes que describan\
            \ los pasos a que se refiere el punto 3.5.2 del anexo del reglamento.\
            \ \n\u2022 Asegurar que la gesti\xF3n de incidentes de ciberseguridad\
            \ tenga en cuenta las prioridades de la entidad y el impacto del incidente.\n\
            \    o Reconocer y abordar los posibles conflictos entre los siguientes\
            \ objetivos durante la gesti\xF3n de incidentes:\n        \u2022 actividades\
            \ forenses: preservar y proteger las pruebas con fines legales, de cumplimiento\
            \ o de investigaci\xF3n, \u2000\uFFFD actividades de respuesta a incidentes:\
            \ mitigar y eliminar las amenazas actuales para evitar da\xF1os mayores,\
            \ \u2000\uFFFD\uFFFD \u2000\uFFFD continuidad operativa: minimizar la\
            \ interrupci\xF3n de los servicios de TI y mantener las operaciones cr\xED\
            ticas.\n    Cuando estos objetivos entren en conflicto, establecer un\
            \ proceso claro de toma de decisiones que:\n        * prioriza en funci\xF3\
            n de los niveles de tolerancia al riesgo aceptados, el impacto empresarial\
            \ y las obligaciones legales, \uF0A7 implica la coordinaci\xF3n entre\
            \ los equipos de ciberseguridad, legal/cumplimiento y operativo y \uF0A7\
            \ documenta la justificaci\xF3n de las decisiones de priorizaci\xF3n para\
            \ garantizar la transparencia y la rendici\xF3n de cuentas.\n    o Desarrollar\
            \ manuales de estrategias de respuesta a incidentes que incorporen la\
            \ toma de decisiones y las rutas de escalamiento para gestionar las compensaciones\
            \ entre la preservaci\xF3n de pruebas, la contenci\xF3n de amenazas y\
            \ la continuidad operativa. \n\u2022 Mantener informados a los \xF3rganos\
            \ de gesti\xF3n."
          typical_evidence: "\u2022 Procedimientos para la respuesta a incidentes,\
            \ incluidos los tipos de incidentes que podr\xEDan ocurrir, objetivos,\
            \ roles y responsabilidades. Descripci\xF3n detallada, para cada tipo\
            \ de incidente, de c\xF3mo gestionar el incidente y cu\xE1ndo escalarlo\
            \ a los \xF3rganos de gesti\xF3n (por ejemplo, director de seguridad de\
            \ la informaci\xF3n), etc. \n\u2022 Registros de la resoluci\xF3n de objetivos\
            \ conflictivos durante la respuesta a incidentes pasados."
        cs:
          description: "Postupy reakce na incident zahrnuj\xED tyto f\xE1ze:"
          annotation: "\u2022 Vytvo\u0159it postupy reakce na incidenty, kter\xE9\
            \ popisuj\xED kroky uveden\xE9 v bod\u011B 3.5.2 p\u0159\xEDlohy na\u0159\
            \xEDzen\xED. \n\u2022 Zajistit, aby \u0159e\u0161en\xED kybernetick\xFD\
            ch bezpe\u010Dnostn\xEDch incident\u016F zohled\u0148ovalo priority subjektu\
            \ a dopad incidentu.\n    o Rozpoznejte a \u0159e\u0161te potenci\xE1\
            ln\xED konflikty mezi n\xE1sleduj\xEDc\xEDmi c\xEDli b\u011Bhem \u0159\
            e\u0161en\xED incident\u016F:\n        * forenzn\xED \u010Dinnosti \u2013\
            \ uchov\xE1v\xE1n\xED a zaji\u0161\u0165ov\xE1n\xED d\u016Fkaz\u016F pro\
            \ pr\xE1vn\xED, compliance nebo vy\u0161et\u0159ovac\xED \xFA\u010Dely,\
            \ \uF0A7 \u010Dinnosti reakce na incidenty \u2013 zm\xEDr\u0148ov\xE1\
            n\xED a odstra\u0148ov\xE1n\xED aktu\xE1ln\xEDch hrozeb s c\xEDlem zabr\xE1\
            nit dal\u0161\xEDm \u0161kod\xE1m a \uF0A7 kontinuita provozu \u2013 minimalizace\
            \ naru\u0161en\xED IT slu\u017Eeb a udr\u017Eov\xE1n\xED kritick\xFDch\
            \ operac\xED.\n    o Pokud jsou tyto c\xEDle v rozporu, zavedou jasn\xFD\
            \ rozhodovac\xED proces, kter\xFD:\n        * stanovuje priority na z\xE1\
            klad\u011B p\u0159ijat\xFDch \xFArovn\xED tolerance rizika, dopadu na\
            \ podnik\xE1n\xED a pr\xE1vn\xEDch povinnost\xED, \uF0A7 zahrnuje koordinaci\
            \ mezi kybernetickou bezpe\u010Dnost\xED, pr\xE1vn\xEDmi/compliance a\
            \ provozn\xEDmi t\xFDmy a \uF0A7 dokumentuje d\u016Fvody pro rozhodnut\xED\
            \ o priorit\xE1ch, aby byla zaji\u0161t\u011Bna transparentnost a odpov\u011B\
            dnost.\n    o Vyv\xEDjet p\u0159\xEDru\u010Dky pro reakce na incidenty,\
            \ kter\xE9 zahrnuj\xED rozhodov\xE1n\xED a eskalaci pro \u0159\xEDzen\xED\
            \ kompromis\u016F mezi zachov\xE1n\xEDm d\u016Fkaz\u016F, omezen\xEDm\
            \ hrozeb a provozn\xED kontinuitou. \n\u2022 Informujte \u0159\xEDd\xED\
            c\xED org\xE1ny."
          typical_evidence: "\u2022 Postupy pro reakci na incidenty, v\u010Detn\u011B\
            \ typ\u016F incident\u016F, kter\xE9 by mohly nastat, c\xEDl\u016F, rol\xED\
            \ a odpov\u011Bdnost\xED. Podrobn\xFD popis u ka\u017Ed\xE9ho typu incidentu,\
            \ jak incident \u0159\xEDdit a kdy jej eskalovat na \u0159\xEDd\xEDc\xED\
            \ org\xE1ny (nap\u0159. vedouc\xED pracovn\xEDk informa\u010Dn\xED bezpe\u010D\
            nosti) atd. \n\u2022 Z\xE1znamy z \u0159e\u0161en\xED konfliktn\xEDch\
            \ c\xEDl\u016F p\u0159i reakci na minul\xE9 incidenty."
        it:
          description: 'Le procedure di risposta agli incidenti comprendono le seguenti
            fasi:'
          annotation: "\u2022 Creare procedure di risposta agli incidenti che delineino\
            \ le fasi di cui al punto 3.5.2 dell'Allegato al regolamento. \n\u2022\
            \ Garantire che la gestione degli incidenti di sicurezza informatica tenga\
            \ conto delle priorit\xE0 dell'entit\xE0 e dell'impatto dell'incidente.\n\
            \    o Riconoscere e risolvere potenziali conflitti tra i seguenti obiettivi\
            \ durante la gestione degli incidenti:\n        * attivit\xE0 forensi\
            \ \u2013 conservazione e messa in sicurezza delle prove per scopi legali,\
            \ di conformit\xE0 o investigativi, \uF0A7 attivit\xE0 di risposta agli\
            \ incidenti \u2013 mitigazione e rimozione delle minacce attuali per prevenire\
            \ ulteriori danni e \uF0A7 continuit\xE0 operativa \u2013 riduzione al\
            \ minimo delle interruzioni dei servizi IT e mantenimento delle operazioni\
            \ critiche.\n    o In caso di conflitto tra questi obiettivi, stabilire\
            \ un processo decisionale chiaro che:\n        * stabilisce le priorit\xE0\
            \ in base ai livelli di tolleranza al rischio accettati, all'impatto aziendale\
            \ e agli obblighi giuridici, \uF0A7 implica il coordinamento tra i team\
            \ di sicurezza informatica, legale/conformit\xE0 e operativi e \uF0A7\
            \ documenta la logica delle decisioni di definizione delle priorit\xE0\
            \ per garantire trasparenza e responsabilit\xE0.\n    Sviluppare playbook\
            \ di risposta agli incidenti che incorporino il processo decisionale e\
            \ i percorsi di escalation per la gestione dei compromessi tra conservazione\
            \ delle prove, contenimento delle minacce e continuit\xE0 operativa. \n\
            \u2022 Tenere informati gli organi di gestione."
          typical_evidence: "\u2022 Procedure per la risposta agli incidenti, compresi\
            \ i tipi di incidenti che potrebbero verificarsi, gli obiettivi, i ruoli\
            \ e le responsabilit\xE0. Descrizione dettagliata, per ogni tipo di incidente,\
            \ di come gestire l'incidente e quando inoltrarlo agli organi di gestione\
            \ (ad es. Chief Information Security Officer), ecc. \n\u2022 Registra\
            \ la risoluzione di obiettivi contrastanti durante la risposta a incidenti\
            \ passati."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.5.2.a
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.5.2
      ref_id: 3.5.2.a
      description: incident containment, to prevent the consequences of the incident
        from spreading;
      translations:
        fr:
          description: "endiguement, afin d\u2019\xE9viter que les cons\xE9quences\
            \ de l\u2019incident ne se propagent;"
        es:
          description: "contenci\xF3n del incidente, para evitar las consecuencias\
            \ de que se propague;"
        cs:
          description: "zamezen\xED \u0161\xED\u0159en\xED incidentu s c\xEDlem p\u0159\
            edej\xEDt d\u016Fsledk\u016Fm incidentu zp\u016Fsoben\xFDm jeho roz\u0161\
            \xED\u0159en\xEDm;"
        it:
          description: contenimento dell'incidente, per prevenire la propagazione
            delle conseguenze dell'incidente;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.5.2.b
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.5.2
      ref_id: 3.5.2.b
      description: eradication, to prevent the incident from continuing or reappearing,
      translations:
        fr:
          description: "\xE9radication, afin d\u2019\xE9viter que l\u2019incident\
            \ ne se poursuive ou se reproduise,"
        es:
          description: "erradicaci\xF3n, para evitar que el incidente contin\xFAe\
            \ o reaparezca;"
        cs:
          description: "odstran\u011Bn\xED incidentu, aby se zabr\xE1nilo jeho pokra\u010D\
            ov\xE1n\xED nebo op\u011Btovn\xE9mu v\xFDskytu;"
        it:
          description: eradicazione, per evitare che l'incidente prosegua o si ripresenti,
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.5.2.c
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.5.2
      ref_id: 3.5.2.c
      description: recovery from the incident, where necessary.
      translations:
        fr:
          description: "r\xE9tablissement apr\xE8s l\u2019incident, si n\xE9cessaire."
        es:
          description: "recuperaci\xF3n tras el incidente, cuando se requiera."
        cs:
          description: "p\u0159\xEDpadn\u011B obnova po incidentu."
        it:
          description: recupero dall'incidente, se necessario.
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.5.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.5
      ref_id: 3.5.3
      description: 'The relevant entities shall establish communication plans and
        procedures:'
      annotation: "\u2022 Ensure that the communication plan (Annex to the regulation,\
        \ point 3.1.2) includes procedures for how to communicate the incident to\
        \ the relevant authorities, the national CSIRT and internal and external stakeholders,\
        \ including, where applicable, customers, direct suppliers, service providers\
        \ and, if open source is used, contacts for free and open source software\
        \ projects. \n\u2022 Include contact information for key personnel, external\
        \ stakeholders and relevant authorities."
      typical_evidence: "\u2022 Procedures for how to communicate the incident to\
        \ the relevant authorities and the CSIRT. \n\u2022 Procedures for how to communicate\
        \ the incident to customers or how and when to involve a supplier (if applicable)."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es \xE9tablissent des plans et des\
            \ proc\xE9dures de communication:"
          annotation: "\u2022 Veiller \xE0 ce que le plan de communication (annexe\
            \ du r\xE8glement, point 3.1.2) comprenne des proc\xE9dures sur la mani\xE8\
            re de communiquer l\u2019incident aux autorit\xE9s comp\xE9tentes, au\
            \ CSIRT national et aux parties prenantes internes et externes, y compris,\
            \ le cas \xE9ch\xE9ant, les clients, les fournisseurs directs, les prestataires\
            \ de services et, en cas d\u2019utilisation de l\u2019open source, les\
            \ contacts pour les projets de logiciels libres et open source. \n\u2022\
            \ Inclure les coordonn\xE9es du personnel cl\xE9, des parties prenantes\
            \ externes et des autorit\xE9s comp\xE9tentes."
          typical_evidence: "\u2022 Proc\xE9dures de communication de l\u2019incident\
            \ aux autorit\xE9s comp\xE9tentes et au CSIRT. \n\u2022 Les proc\xE9dures\
            \ de communication de l\u2019incident aux clients ou de participation\
            \ d\u2019un fournisseur (le cas \xE9ch\xE9ant)."
        es:
          description: "Las entidades pertinentes establecer\xE1n procedimientos y\
            \ planes de comunicaci\xF3n:"
          annotation: "\u2022 Asegurarse de que el plan de comunicaci\xF3n (anexo\
            \ del reglamento, punto 3.1.2) incluya procedimientos sobre c\xF3mo comunicar\
            \ el incidente a las autoridades pertinentes, al CSIRT nacional y a las\
            \ partes interesadas internas y externas, incluidos, en su caso, clientes,\
            \ proveedores directos, proveedores de servicios y, si se utiliza c\xF3\
            digo abierto, contactos para proyectos de software libre y de c\xF3digo\
            \ abierto. \n\u2022 Incluya informaci\xF3n de contacto del personal clave,\
            \ las partes interesadas externas y las autoridades pertinentes."
          typical_evidence: "\u2022 Procedimientos para comunicar el incidente a las\
            \ autoridades pertinentes y al CSIRT. \n\u2022 Procedimientos sobre c\xF3\
            mo comunicar el incidente a los clientes o c\xF3mo y cu\xE1ndo involucrar\
            \ a un proveedor (si corresponde)."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty stanov\xED komunika\u010D\
            n\xED pl\xE1ny a postupy:"
          annotation: "\u2022 Zajistit, aby komunika\u010Dn\xED pl\xE1n (p\u0159\xED\
            loha na\u0159\xEDzen\xED, bod 3.1.2) obsahoval postupy, jak ozn\xE1mit\
            \ incident p\u0159\xEDslu\u0161n\xFDm org\xE1n\u016Fm, n\xE1rodn\xEDmu\
            \ t\xFDmu CSIRT a intern\xEDm a extern\xEDm z\xFA\u010Dastn\u011Bn\xFD\
            m stran\xE1m, p\u0159\xEDpadn\u011B v\u010Detn\u011B z\xE1kazn\xEDk\u016F\
            , p\u0159\xEDm\xFDch dodavatel\u016F, poskytovatel\u016F slu\u017Eeb a,\
            \ pokud se pou\u017E\xEDv\xE1 open source, kontakt\u016F na projekty bezplatn\xE9\
            ho a otev\u0159en\xE9ho softwaru. \n\u2022 Uve\u010Fte kontaktn\xED \xFA\
            daje na kl\xED\u010Dov\xE9 pracovn\xEDky, extern\xED z\xFA\u010Dastn\u011B\
            n\xE9 strany a p\u0159\xEDslu\u0161n\xE9 org\xE1ny."
          typical_evidence: "\u2022 Postupy, jak ozn\xE1mit incident p\u0159\xEDslu\u0161\
            n\xFDm org\xE1n\u016Fm a t\xFDmu CSIRT. \n\u2022 Postupy, jak informovat\
            \ z\xE1kazn\xEDky o incidentu nebo jak a kdy zapojit dodavatele (pokud\
            \ je to relevantn\xED)."
        it:
          description: 'I soggetti pertinenti stabiliscono piani e procedure di comunicazione:'
          annotation: "\u2022 Garantire che il piano di comunicazione (Allegato al\
            \ regolamento, punto 3.1.2) includa le procedure per le modalit\xE0 di\
            \ comunicazione dell'incidente alle autorit\xE0 competenti, al CSIRT nazionale\
            \ e agli stakeholder interni ed esterni, inclusi, ove applicabile, clienti,\
            \ fornitori diretti, fornitori di servizi e, se si utilizza l'open source,\
            \ i contatti per progetti software gratuiti e open source. \n\u2022 Includere\
            \ le informazioni di contatto del personale chiave, delle parti interessate\
            \ esterne e delle autorit\xE0 competenti."
          typical_evidence: "\u2022 Procedure per la comunicazione dell'incidente\
            \ alle autorit\xE0 competenti e al CSIRT. \n\u2022 Procedure su come comunicare\
            \ l'incidente ai clienti o su come e quando coinvolgere un fornitore (se\
            \ applicabile)."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.5.3.a
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.5.3
      ref_id: 3.5.3.a
      description: with the Computer Security Incident Response Teams (CSIRTs) or,
        where applicable, the competent authorities, related to incident notification;
      translations:
        fr:
          description: "avec les centres de r\xE9ponse aux incidents de s\xE9curit\xE9\
            \ informatique (CSIRT) ou, s\u2019il y a lieu, avec les autorit\xE9s comp\xE9\
            tentes, en rapport avec la notification des incidents;"
        es:
          description: "con los equipos de respuesta ante incidentes de seguridad\
            \ inform\xE1tica (CSIRT) o, cuando proceda, las autoridades competentes,\
            \ en materia de notificaci\xF3n de incidentes;"
        cs:
          description: "s t\xFDmy pro reakce na po\u010D\xEDta\u010Dov\xE9 bezpe\u010D\
            nostn\xED incidenty (CSIRT) nebo v p\u0159\xEDslu\u0161n\xFDch p\u0159\
            \xEDpadech s p\u0159\xEDslu\u0161n\xFDmi org\xE1ny v souvislosti s oznamov\xE1\
            n\xEDm incident\u016F;"
        it:
          description: "con i gruppi di intervento per la sicurezza informatica in\
            \ caso di incidente (CSIRT) o, se del caso, con le autorit\xE0 competenti,\
            \ in relazione alla notifica degli incidenti;"
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.5.3.b
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.5.3
      ref_id: 3.5.3.b
      description: for communication among staff members of the relevant entity, and
        for communication with relevant stakeholders external to the relevant entity.
      translations:
        fr:
          description: "pour la communication entre les membres du personnel de l\u2019\
            entit\xE9 concern\xE9e et pour la communication avec les parties prenantes\
            \ ext\xE9rieures \xE0 l\u2019entit\xE9 concern\xE9e."
        es:
          description: "para la comunicaci\xF3n entre los miembros del personal de\
            \ la entidad pertinente, y para la comunicaci\xF3n con las partes interesadas\
            \ ajenas a la entidad."
        cs:
          description: "pro komunikaci mezi zam\u011Bstnanci p\u0159\xEDslu\u0161\
            n\xE9ho subjektu a pro komunikaci s p\u0159\xEDslu\u0161n\xFDmi z\xFA\u010D\
            astn\u011Bn\xFDmi stranami mimo subjekt."
        it:
          description: "per la comunicazione tra i membri del personale dell'entit\xE0\
            \ pertinente e per la comunicazione con le parti interessate esterne all'entit\xE0\
            \ pertinente."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.5.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.5
      ref_id: 3.5.4
      description: The relevant entities shall log incident response activities in
        accordance with the procedures referred to in point 3.2.1., and record evidence.
      annotation: "\u2022 Log incident response information which contains (indicative,\
        \ non-exhaustive list):\n    o time of detection, containment and eradication;\n\
        \    o when the systems recovered;\n    o indicators of compromise;\n    o\
        \ root cause;\n    o actions taken during each phase namely, detection, containment\
        \ and eradication;\n    o assessment of the scope and the level of impact\
        \ of the incident;\n    o communications when responding to the incident;\n\
        \    o post incident lessons learnt and recommendations; and\n    o whether\
        \ the CSIRT or the competent authority was notified of the incident according\
        \ to the NIS2 Directive Articles 23 and 30."
      typical_evidence: "\u2022 Logs from incident response. \n\u2022 Use of a system\
        \ (e.g. SIEM, EDR/XDR or ticket system)."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es tiennent un journal des activit\xE9\
            s de r\xE9ponse aux incidents conform\xE9ment aux proc\xE9dures vis\xE9\
            es au point\_3.2.1 et en conservent des preuves."
          annotation: "\u2022 Enregistrer les informations de r\xE9ponse aux incidents\
            \ qui contiennent (liste indicative et non exhaustive) :\n    o le temps\
            \ de d\xE9tection, de confinement et d\u2019\xE9radication ;\n    o lorsque\
            \ les syst\xE8mes se sont r\xE9tablis ;\n    o indicateurs de compromission\
            \ ;\n    o cause profonde\_;\n    o les actions entreprises au cours de\
            \ chaque phase, \xE0 savoir la d\xE9tection, le confinement et l\u2019\
            \xE9radication ;\n    o l\u2019\xE9valuation de la port\xE9e et du niveau\
            \ d\u2019impact de l\u2019incident ;\n    o les communications lors de\
            \ l\u2019intervention lors de l\u2019incident\_;\n    o Publier les le\xE7\
            ons apprises et les recommandations de l\u2019incident\_; et\n    o si\
            \ le CSIRT ou l\u2019autorit\xE9 comp\xE9tente a \xE9t\xE9 inform\xE9\
            \ de l\u2019incident conform\xE9ment aux articles 23 et 30 de la directive\
            \ NIS2."
          typical_evidence: "\u2022 Journaux de r\xE9ponse aux incidents. \n\u2022\
            \ Utilisation d\u2019un syst\xE8me (par exemple SIEM, EDR/XDR ou syst\xE8\
            me de tickets)."
        es:
          description: "Las entidades pertinentes registrar\xE1n tanto las actividades\
            \ de respuesta ante incidentes de conformidad con los procedimientos contemplados\
            \ en el punto 3.2.1 como las pruebas correspondientes."
          annotation: "\u2022 Registre la informaci\xF3n de respuesta a incidentes\
            \ que contenga (lista indicativa y no exhaustiva):\n    o tiempo de detecci\xF3\
            n, contenci\xF3n y erradicaci\xF3n;\n    o cuando se recuperaron los sistemas;\n\
            \    o indicadores de compromiso;\n    o causa ra\xEDz;\n    o las medidas\
            \ adoptadas durante cada fase, a saber, detecci\xF3n, contenci\xF3n y\
            \ erradicaci\xF3n;\n    o evaluaci\xF3n del alcance y el nivel de impacto\
            \ del incidente;\n    o comunicaciones al responder al incidente;\n  \
            \  o Lecciones aprendidas y recomendaciones posteriores al incidente;\
            \ y\n    o si el CSIRT o la autoridad competente fue notificado del incidente\
            \ de conformidad con los art\xEDculos 23 y 30 de la Directiva SRI2."
          typical_evidence: "\u2022 Registros de respuesta a incidentes. \n\u2022\
            \ Uso de un sistema (por ejemplo, SIEM, EDR/XDR o sistema de tickets)."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty vedou protokoly o \u010D\
            innostech v r\xE1mce reakce na incident v souladu s postupy uveden\xFD\
            mi v bod\u011B 3.2.1 a zaznamen\xE1vaj\xED d\u016Fkazy."
          annotation: "\u2022 Zaznamen\xE1vat informace o reakci na incident, kter\xE9\
            \ obsahuj\xED (orienta\u010Dn\xED, ne\xFApln\xFD seznam):\n    o dobu\
            \ zji\u0161t\u011Bn\xED, omezen\xED \u0161\xED\u0159en\xED a eradikace,\n\
            \    o a\u017E se syst\xE9my zotav\xED;\n    o indik\xE1tory kompromitace;\n\
            \    o hlavn\xED p\u0159\xED\u010Dina;\n    o opat\u0159en\xED p\u0159\
            ijat\xE1 b\u011Bhem ka\u017Ed\xE9 f\xE1ze, jmenovit\u011B detekce, omezen\xED\
            \ \u0161\xED\u0159en\xED a eradikace,\n    o posouzen\xED rozsahu a \xFA\
            rovn\u011B dopadu incidentu;\n    o komunikaci p\u0159i reakci na incident;\n\
            \    o zve\u0159ej\u0148ov\xE1n\xED z\xEDskan\xFDch zku\u0161enost\xED\
            \ a doporu\u010Den\xED t\xFDkaj\xEDc\xEDch se incident\u016F; a\n    o\
            \ tom, zda byl incident ozn\xE1men t\xFDmu CSIRT nebo p\u0159\xEDslu\u0161\
            n\xE9mu org\xE1nu podle \u010Dl\xE1nk\u016F 23 a 30 sm\u011Brnice NIS2."
          typical_evidence: "\u2022 Protokoly z reakce na incidenty. \n\u2022 Pou\u017E\
            it\xED syst\xE9mu (nap\u0159. SIEM, EDR/XDR nebo tiketov\xE9ho syst\xE9\
            mu)."
        it:
          description: "I soggetti pertinenti registrano le attivit\xE0 di risposta\
            \ agli incidenti conformemente alle procedure di cui al punto 3.2.1 e\
            \ registrano le prove."
          annotation: "\u2022 Registra le informazioni di risposta agli incidenti\
            \ che contengono (elenco indicativo e non esaustivo):\n    o il tempo\
            \ di individuazione, contenimento ed eradicazione;\n    o quando i sistemi\
            \ si sono ripristinati;\n    o indicatori di compromesso;\n    o causa\
            \ principale;\n    o azioni intraprese durante ciascuna fase, vale a dire\
            \ individuazione, contenimento ed eradicazione;\n    o valutazione della\
            \ portata e del livello di impatto dell'incidente;\n    o comunicazioni\
            \ in risposta all'incidente;\n    o dopo l'incidente, le lezioni apprese\
            \ e le raccomandazioni; e\n    o se il CSIRT o l'autorit\xE0 competente\
            \ sono stati informati dell'incidente ai sensi degli articoli 23 e 30\
            \ della direttiva NIS2."
          typical_evidence: "\u2022 Registri della risposta agli incidenti. \n\u2022\
            \ Utilizzo di un sistema (ad es. SIEM, EDR/XDR o sistema di ticket)."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.5.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.5
      ref_id: 3.5.5
      description: The relevant entities shall test at planned intervals their incident
        response procedures.
      annotation: "\u2022 Test the entity\u2019s incident response procedures at least\
        \ annually. \n\u2022 Test different types of incidents, for example ransomware,\
        \ phishing, data breach and DoS. \n\u2022 Ensure that test scenarios involve\
        \ employees from different departments as well as external stakeholders, for\
        \ example suppliers and service providers.\n    o Where necessary, include\
        \ management bodies in the tests so that they understand their role during\
        \ an incident. \n\u2022 Conduct post-test reviews for possible lessons learnt.\
        \ \n\u2022 Update the incident response procedures based on the lessons learnt\
        \ from the test, if applicable.\n\n[TIPS]\n\n\u2022 Issue instructions on\
        \ how to respond to the most common types of incidents (ransomware, phishing,\
        \ data breach, DoS, etc.) including containment, eradication and recovery\
        \ steps. \n\u2022 Include guidelines for preserving evidence and maintaining\
        \ chain of custody to support forensic analysis and legal proceedings if necessary.\
        \ \n\u2022 Consider the use of automated solutions for incident response,\
        \ for example security orchestration, automation and response technologies\
        \ or similar systems."
      typical_evidence: "\u2022 Documented plans or schedules for future incident\
        \ response tests. \n\u2022 Records from tests of different types of incidents.\n\
        \n[TIPS]\n\n\u2022 Up-to-date incident response procedures based on tests\
        \ conducted and/or change logs."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es testent leurs proc\xE9dures de\
            \ r\xE9ponse aux incidents \xE0 intervalles pr\xE9d\xE9finis."
          annotation: "\u2022 Tester les proc\xE9dures d\u2019intervention en cas\
            \ d\u2019incident de l\u2019entit\xE9 au moins une fois par an. \n\u2022\
            \ Testez diff\xE9rents types d\u2019incidents, par exemple les ransomwares,\
            \ le phishing, les violations de donn\xE9es et les DoS. \n\u2022 Veiller\
            \ \xE0 ce que les sc\xE9narios de test impliquent des employ\xE9s de diff\xE9\
            rents d\xE9partements ainsi que des parties prenantes externes, par exemple\
            \ des fournisseurs et des prestataires de services.\n    o Le cas \xE9\
            ch\xE9ant, inclure les organes de gestion dans les tests afin qu\u2019\
            ils comprennent leur r\xF4le lors d\u2019un incident. \n\u2022 Effectuer\
            \ des examens post-test pour d\xE9terminer les le\xE7ons apprises. \n\u2022\
            \ Mettre \xE0 jour les proc\xE9dures d\u2019intervention en cas d\u2019\
            incident en fonction des le\xE7ons tir\xE9es du test, le cas \xE9ch\xE9\
            ant.\n\n[CONSEILS]\n\n\u2022 \xC9mettez des instructions sur la fa\xE7\
            on de r\xE9pondre aux types d\u2019incidents les plus courants (ransomware,\
            \ hame\xE7onnage, violation de donn\xE9es, DoS, etc.), y compris les \xE9\
            tapes de confinement, d\u2019\xE9radication et de r\xE9cup\xE9ration.\
            \ \n\u2022 Inclure des lignes directrices pour la pr\xE9servation des\
            \ preuves et le maintien de la cha\xEEne de possession pour soutenir l\u2019\
            analyse m\xE9dico-l\xE9gale et les proc\xE9dures judiciaires si n\xE9\
            cessaire. \n\u2022 Envisager l\u2019utilisation de solutions automatis\xE9\
            es pour la r\xE9ponse aux incidents, par exemple l\u2019orchestration\
            \ de la s\xE9curit\xE9, les technologies d\u2019automatisation et de r\xE9\
            ponse ou des syst\xE8mes similaires."
          typical_evidence: "\u2022 Documentation des plans ou des calendriers pour\
            \ les futurs tests de r\xE9ponse aux incidents. \n\u2022 Enregistrements\
            \ de tests de diff\xE9rents types d\u2019incidents.\n\n[CONSEILS]\n\n\u2022\
            \ Proc\xE9dures d\u2019intervention en cas d\u2019incident \xE0 jour bas\xE9\
            es sur les tests effectu\xE9s et/ou les journaux de modifications."
        es:
          description: "Las entidades pertinentes probar\xE1n a intervalos planificados\
            \ sus procedimientos de respuesta ante los incidentes."
          annotation: "\u2022 Probar los procedimientos de respuesta a incidentes\
            \ de la entidad al menos una vez al a\xF1o. \n\u2022 Pruebe diferentes\
            \ tipos de incidentes, por ejemplo, ransomware, phishing, violaci\xF3\
            n de datos y DoS. \n\u2022 Aseg\xFArese de que los escenarios de prueba\
            \ involucren a empleados de diferentes departamentos, as\xED como a partes\
            \ interesadas externas, por ejemplo, proveedores y proveedores de servicios.\n\
            \    o Cuando sea necesario, incluir a los \xF3rganos de gesti\xF3n en\
            \ las pruebas para que entiendan su papel durante un incidente. \n\u2022\
            \ Realizar revisiones posteriores a la prueba para detectar posibles lecciones\
            \ aprendidas. \n\u2022 Actualizar los procedimientos de respuesta a incidentes\
            \ en funci\xF3n de las lecciones aprendidas de la prueba, si corresponde.\n\
            \n[CONSEJOS]\n\n\u2022 Emitir instrucciones sobre c\xF3mo responder a\
            \ los tipos de incidentes m\xE1s comunes (ransomware, phishing, violaci\xF3\
            n de datos, DoS, etc.), incluidas las medidas de contenci\xF3n, erradicaci\xF3\
            n y recuperaci\xF3n. \n\u2022 Incluir directrices para preservar las pruebas\
            \ y mantener la cadena de custodia para apoyar el an\xE1lisis forense\
            \ y los procedimientos legales si es necesario. \n\u2022 Considerar el\
            \ uso de soluciones automatizadas para la respuesta a incidentes, por\
            \ ejemplo, orquestaci\xF3n de seguridad, tecnolog\xEDas de automatizaci\xF3\
            n y respuesta o sistemas similares."
          typical_evidence: "\u2022 Planes o cronogramas documentados para futuras\
            \ pruebas de respuesta a incidentes. \n\u2022 Registros de pruebas de\
            \ diferentes tipos de incidencias.\n\n[CONSEJOS]\n\n\u2022 Procedimientos\
            \ actualizados de respuesta a incidentes basados en pruebas realizadas\
            \ y/o registros de cambios."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty v pl\xE1novan\xFDch intervalech\
            \ testuj\xED sv\xE9 postupy reakce na incidenty."
          annotation: "\u2022 Alespo\u0148 jednou ro\u010Dn\u011B testovat postupy\
            \ subjektu pro reakci na incidenty. \n\u2022 Testujte r\u016Fzn\xE9 typy\
            \ incident\u016F, nap\u0159\xEDklad ransomware, phishing, \xFAnik dat\
            \ a DoS. \n\u2022 Zajist\u011Bte, aby testovac\xED sc\xE9n\xE1\u0159e\
            \ zahrnovaly zam\u011Bstnance z r\u016Fzn\xFDch odd\u011Blen\xED i extern\xED\
            \ zainteresovan\xE9 strany, nap\u0159\xEDklad dodavatele a poskytovatele\
            \ slu\u017Eeb.\n    o V p\u0159\xEDpad\u011B pot\u0159eby zahrnout do\
            \ test\u016F \u0159\xEDd\xEDc\xED org\xE1ny, aby pochopily svou \xFAlohu\
            \ b\u011Bhem incidentu. \n\u2022 Prov\xE1d\u011Bt kontroly po testu pro\
            \ mo\u017En\xE9 z\xEDskan\xE9 poznatky. \n\u2022 Aktualizovat postupy\
            \ reakce na incidenty na z\xE1klad\u011B poznatk\u016F z\xEDskan\xFDch\
            \ z testu, pokud je to mo\u017En\xE9.\n\n[TIPY]\n\n\u2022 Vyd\xE1vat pokyny,\
            \ jak reagovat na nejb\u011B\u017En\u011Bj\u0161\xED typy incident\u016F\
            \ (ransomware, phishing, naru\u0161en\xED dat, DoS atd.), v\u010Detn\u011B\
            \ krok\u016F pro zadr\u017Een\xED, vym\xFDcen\xED a obnovu. \n\u2022 Zahrnout\
            \ pokyny pro uchov\xE1v\xE1n\xED d\u016Fkaz\u016F a udr\u017Eov\xE1n\xED\
            \ \u0159et\u011Bzce p\xE9\u010De na podporu forenzn\xED anal\xFDzy a v\
            \ p\u0159\xEDpad\u011B pot\u0159eby soudn\xEDch \u0159\xEDzen\xED. \n\u2022\
            \ Zva\u017Ete pou\u017Eit\xED automatizovan\xFDch \u0159e\u0161en\xED\
            \ pro reakci na incidenty, nap\u0159\xEDklad technologie orchestrace zabezpe\u010D\
            en\xED, automatizace a reakce nebo podobn\xE9 syst\xE9my."
          typical_evidence: "\u2022 Zdokumentovan\xE9 pl\xE1ny nebo harmonogramy pro\
            \ budouc\xED testy reakce na incidenty. \n\u2022 Z\xE1znamy z test\u016F\
            \ r\u016Fzn\xFDch typ\u016F incident\u016F.\n\n[TIPY]\n\n\u2022 Aktu\xE1\
            ln\xED postupy reakce na incidenty zalo\u017Een\xE9 na proveden\xFDch\
            \ testech a/nebo protokolech zm\u011Bn."
        it:
          description: I soggetti pertinenti testano a intervalli programmati le loro
            procedure di risposta agli incidenti.
          annotation: "\u2022 Testare le procedure di risposta agli incidenti dell'entit\xE0\
            \ almeno una volta all'anno. \n\u2022 Testare diversi tipi di incidenti,\
            \ ad esempio ransomware, phishing, violazione dei dati e DoS. \n\u2022\
            \ Assicurarsi che gli scenari di test coinvolgano dipendenti di diversi\
            \ reparti e parti interessate esterne, ad esempio fornitori e fornitori\
            \ di servizi.\n    o Se necessario, includere gli organi di gestione nei\
            \ test in modo che comprendano il loro ruolo durante un incidente. \n\u2022\
            \ Condurre revisioni post-test per individuare eventuali lezioni apprese.\
            \ \n\u2022 Aggiornare le procedure di risposta agli incidenti sulla base\
            \ delle lezioni apprese dal test, se applicabile.\n\n[CONSIGLI]\n\n\u2022\
            \ Fornire istruzioni su come rispondere ai tipi pi\xF9 comuni di incidenti\
            \ (ransomware, phishing, violazione dei dati, DoS, ecc.), comprese le\
            \ fasi di contenimento, eliminazione e ripristino. \n\u2022 Includere\
            \ linee guida per la conservazione delle prove e il mantenimento della\
            \ catena di custodia per supportare l'analisi forense e i procedimenti\
            \ legali, se necessario. \n\u2022 Prendere in considerazione l'uso di\
            \ soluzioni automatizzate per la risposta agli incidenti, ad esempio l'orchestrazione\
            \ della sicurezza, le tecnologie di automazione e risposta o sistemi simili."
          typical_evidence: "\u2022 Piani o programmi documentati per futuri test\
            \ di risposta agli incidenti. \n\u2022 Registrazioni di test di diversi\
            \ tipi di incidenti.\n\n[CONSIGLI]\n\n\u2022 Procedure di risposta agli\
            \ incidenti aggiornate basate sui test condotti e/o sui registri delle\
            \ modifiche."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.6
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3
      ref_id: '3.6'
      name: Post-incident reviews
      translations:
        fr:
          name: Examens postincident
        es:
          name: Revisiones posteriores al incidente
        cs:
          name: "P\u0159ezkumy po incidentu"
        it:
          name: Revisioni post-incidente
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.6.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.6
      ref_id: 3.6.1
      description: Where appropriate, the relevant entities shall carry out post-incident
        reviews after recovery from incidents. The post-incident reviews shall identify,
        where possible, the root cause of the incident and result in documented lessons
        learned to reduce the occurrence and consequences of future incidents.
      annotation: "\u2022 Conduct root cause analysis (34) and identify the root cause\
        \ of the incident, where possible. \n\u2022 Identify contributing factors\
        \ and areas for improvement in incident detection, response and recovery processes.\
        \ \n\u2022 Investigate significant incidents and write final incident reports,\
        \ including actions taken and recommendations to mitigate future occurrence\
        \ of this type of incident. \n\u2022 Document lessons learnt, accompanied\
        \ by recommendations and their owners, based on logs from incident response\
        \ referred to in point 3.5.4 of the Annex to the regulation. \n\u2022 Share\
        \ any relevant findings in the post-incident review with affected stakeholders,\
        \ for example suppliers, service providers, free and open source component\
        \ maintainers.\n\n(34) More information on information security incident root\
        \ cause analysis can be found in Forum of Incident Response and Security Teams,\
        \ \u2018FIRST CSIRT services framework\u2019, Version 2.1, \u20186.2.4 Function:\
        \ Information security incident root cause analysis\u2019, https://www.first.org/standards/frameworks/csirts/csirt_services_framework_v2.1#6-Service-Area-Information-Security-Incident-Management."
      typical_evidence: "\u2022 Results of root cause analysis. \n\u2022 Individual\
        \ reports of the handling of significant incidents. \n\u2022 Documented lessons\
        \ learnt from incidents."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es proc\xE8dent, s\u2019il est besoin,\
            \ \xE0 des examens postincident apr\xE8s le r\xE9tablissement. Les examens\
            \ postincident servent \xE0 identifier, dans la mesure du possible, la\
            \ cause profonde de l\u2019incident et \xE0 en tirer des enseignements,\
            \ documents \xE0 l\u2019appui, afin de limiter la survenance et les cons\xE9\
            quences d\u2019incidents futurs."
          annotation: "\u2022 Effectuer une analyse des causes profondes (34) et identifier\
            \ la cause profonde de l\u2019incident, dans la mesure du possible. \n\
            \u2022 Identifier les facteurs contributifs et les domaines \xE0 am\xE9\
            liorer dans les processus de d\xE9tection, d\u2019intervention et de r\xE9\
            cup\xE9ration des incidents. \n\u2022 Enqu\xEAter sur les incidents importants\
            \ et r\xE9diger les rapports finaux d\u2019incident, y compris les mesures\
            \ prises et les recommandations pour att\xE9nuer la survenance future\
            \ de ce type d\u2019incident. \n\u2022 Documenter les le\xE7ons apprises,\
            \ accompagn\xE9es de recommandations et de leurs propri\xE9taires, sur\
            \ la base des registres des r\xE9ponses aux incidents vis\xE9s au point\
            \ 3.5.4 de l\u2019annexe du r\xE8glement. \n\u2022 Partager toute constatation\
            \ pertinente dans l\u2019examen post-incident avec les parties prenantes\
            \ concern\xE9es, par exemple les fournisseurs, les prestataires de services,\
            \ les mainteneurs de composants gratuits et open source.\n\n(34) De plus\
            \ amples informations sur l\u2019analyse des causes profondes des incidents\
            \ de s\xE9curit\xE9 de l\u2019information sont disponibles dans le document\
            \ \xAB\_Forum of Incident Response and Security Teams\_\xBB, \xAB\_FIRST\
            \ CSIRT services framework\_\xBB, version 2.1, \xAB\_6.2.4 Function\_\
            : Information security incident root cause analysis\_\xBB, https://www.first.org/standards/frameworks/csirts/csirt_services_framework_v2.1#6-Service-Area-Information-Security-Incident-Management."
          typical_evidence: "\u2022 R\xE9sultats de l\u2019analyse des causes profondes.\
            \ \n\u2022 Rapports individuels sur la prise en charge des incidents significatifs.\
            \ \n\u2022 Documentation des le\xE7ons tir\xE9es des incidents."
        es:
          description: "Cuando proceda, y una vez se hayan recuperado del incidente,\
            \ las entidades pertinentes llevar\xE1n a cabo revisiones posteriores\
            \ al mismo. Las revisiones posteriores al incidente identificar\xE1n,\
            \ cuando se pueda, la causa subyacente y se traducir\xE1n en conclusiones\
            \ documentadas para reducir la ocurrencia y las consecuencias de futuros\
            \ incidentes."
          annotation: "\u2022 Realizar un an\xE1lisis de la causa ra\xEDz (34) e identificar\
            \ la causa ra\xEDz del incidente, cuando sea posible. \n\u2022 Identificar\
            \ los factores contribuyentes y las \xE1reas de mejora en los procesos\
            \ de detecci\xF3n, respuesta y recuperaci\xF3n de incidentes. \n\u2022\
            \ Investigar incidentes significativos y redactar informes finales de\
            \ incidentes, incluidas las acciones tomadas y las recomendaciones para\
            \ mitigar la ocurrencia futura de este tipo de incidentes. \n\u2022 Documentar\
            \ las lecciones aprendidas, acompa\xF1adas de recomendaciones y sus propietarios,\
            \ sobre la base de los registros de respuesta a incidentes a que se refiere\
            \ el punto 3.5.4 del anexo del Reglamento. \n\u2022 Comparta cualquier\
            \ hallazgo relevante en la revisi\xF3n posterior al incidente con las\
            \ partes interesadas afectadas, por ejemplo, proveedores, proveedores\
            \ de servicios, mantenedores de componentes gratuitos y de c\xF3digo abierto.\n\
            \n(34) Puede encontrarse m\xE1s informaci\xF3n sobre el an\xE1lisis de\
            \ la causa ra\xEDz de los incidentes de seguridad de la informaci\xF3\
            n en el Foro de Equipos de Seguridad y Respuesta a Incidentes, \xABFIRST\
            \ CSIRT services framework\xBB, versi\xF3n 2.1, \xAB6.2.4 Function: Information\
            \ security incident root cause analysis\xBB, https://www.first.org/standards/frameworks/csirts/csirt_services_framework_v2.1#6-Service-Area-Information-Security-Incident-Management."
          typical_evidence: "\u2022 Resultados del an\xE1lisis de causa ra\xEDz. \n\
            \u2022 Reportes individuales de la gesti\xF3n de incidencias significativas.\
            \ \n\u2022 Documentar las lecciones aprendidas de los incidentes."
        cs:
          description: "V p\u0159\xEDpad\u011B pot\u0159eby p\u0159\xEDslu\u0161n\xE9\
            \ subjekty prov\xE1d\u011Bj\xED po obnov\u011B p\u0159ezkumy po incidentu.\
            \ P\u0159ezkumy po incidentu mus\xED pokud mo\u017Eno identifikovat hlavn\xED\
            \ p\u0159\xED\u010Dinu incidentu a v\xE9st ke zdokumentov\xE1n\xED z\xED\
            skan\xFDch zku\u0161enost\xED s c\xEDlem omezit v\xFDskyt a n\xE1sledky\
            \ incident\u016F v budoucnu."
          annotation: "\u2022 Prove\u010Fte anal\xFDzu hlavn\xED p\u0159\xED\u010D\
            iny (34) a identifikujte hlavn\xED p\u0159\xED\u010Dinu incidentu, pokud\
            \ je to mo\u017En\xE9. \n\u2022 Identifikujte p\u0159isp\xEDvaj\xEDc\xED\
            \ faktory a oblasti pro zlep\u0161en\xED v procesech detekce incident\u016F\
            , reakce a obnovy. \n\u2022 Vy\u0161et\u0159ovat v\xFDznamn\xE9 incidenty\
            \ a ps\xE1t z\xE1v\u011Bre\u010Dn\xE9 zpr\xE1vy o incidentech, v\u010D\
            etn\u011B p\u0159ijat\xFDch opat\u0159en\xED a doporu\u010Den\xED ke zm\xED\
            rn\u011Bn\xED budouc\xEDho v\xFDskytu tohoto typu incidentu. \n\u2022\
            \ Zdokumentovat z\xEDskan\xE9 poznatky spolu s doporu\u010Den\xEDmi a\
            \ jejich vlastn\xEDky na z\xE1klad\u011B protokol\u016F z reakce na incidenty\
            \ uveden\xFDch v bod\u011B 3.5.4 p\u0159\xEDlohy na\u0159\xEDzen\xED.\
            \ \n\u2022 Sd\xEDlet ve\u0161ker\xE1 relevantn\xED zji\u0161t\u011Bn\xED\
            \ p\u0159i p\u0159ezkumu po incidentu s dot\u010Den\xFDmi z\xFA\u010D\
            astn\u011Bn\xFDmi stranami, nap\u0159\xEDklad dodavateli, poskytovateli\
            \ slu\u017Eeb, spr\xE1vci bezplatn\xFDch a open source komponent.\n\n\
            (34) V\xEDce informac\xED o anal\xFDze hlavn\xEDch p\u0159\xED\u010Din\
            \ incident\u016F v oblasti bezpe\u010Dnosti informac\xED lze nal\xE9zt\
            \ ve f\xF3ru t\xFDm\u016F pro reakci na incidenty a bezpe\u010Dnostn\xED\
            ch t\xFDmech, \"FIRST CSIRT services framework\", verze 2.1, \"6.2.4 Function:\
            \ Information Security incident root cause\" (Funkce: anal\xFDza hlavn\xED\
            ch p\u0159\xED\u010Din incident\u016F v oblasti bezpe\u010Dnosti informac\xED\
            ), https://www.first.org/standards/frameworks/csirts/csirt_services_framework_v2.1#6-Service-Area-Information-Security-Incident-Management."
          typical_evidence: "\u2022 V\xFDsledky anal\xFDzy ko\u0159enov\xFDch p\u0159\
            \xED\u010Din. \n\u2022 Individu\xE1ln\xED zpr\xE1vy o \u0159e\u0161en\xED\
            \ v\xFDznamn\xFDch incident\u016F. \n\u2022 Zdokumentovan\xE9 poznatky\
            \ z incident\u016F."
        it:
          description: Se del caso, i soggetti pertinenti effettuano revisioni successive
            all'incidente dopo il ripristino dagli incidenti. Le revisioni successive
            all'incidente devono individuare, ove possibile, la causa principale dell'incidente
            e tradursi in insegnamenti documentati tratti per ridurre il verificarsi
            e le conseguenze di incidenti futuri.
          annotation: "\u2022 Condurre un'analisi della causa principale (34) e identificare\
            \ la causa principale dell'incidente, ove possibile. \n\u2022 Identificare\
            \ i fattori che contribuiscono e le aree di miglioramento nei processi\
            \ di rilevamento, risposta e ripristino degli incidenti. \n\u2022 Indagare\
            \ sugli incidenti significativi e redigere rapporti finali sugli incidenti,\
            \ comprese le azioni intraprese e le raccomandazioni per mitigare il verificarsi\
            \ futuro di questo tipo di incidente. \n\u2022 Documentare le lezioni\
            \ apprese, accompagnate da raccomandazioni e dai relativi proprietari,\
            \ sulla base dei registri della risposta agli incidenti di cui al punto\
            \ 3.5.4 dell'allegato del regolamento. \n\u2022 Condividere tutti i risultati\
            \ rilevanti nella revisione post-incidente con le parti interessate, ad\
            \ esempio fornitori, fornitori di servizi, manutentori di componenti gratuiti\
            \ e open source.\n\n(34) Maggiori informazioni sull'analisi delle cause\
            \ profonde degli incidenti di sicurezza delle informazioni sono disponibili\
            \ nel Forum of Incident Response and Security Teams, \xABFIRST CSIRT services\
            \ framework\xBB, versione 2.1, \xAB6.2.4 Function: Information security\
            \ incident root cause analysis\xBB https://www.first.org/standards/frameworks/csirts/csirt_services_framework_v2.1#6-Service-Area-Information-Security-Incident-Management."
          typical_evidence: "\u2022 Risultati dell'analisi delle cause principali.\
            \ \n\u2022 Rapporti individuali sulla gestione di incidenti significativi.\
            \ \n\u2022 Lezioni documentate apprese dagli incidenti."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.6.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.6
      ref_id: 3.6.2
      description: The relevant entities shall ensure that post-incident reviews contribute
        to improving their approach to network and information security, to risk treatment
        measures, and to incident handling, detection and response procedures.
      annotation: "\u2022 Analyse the post-incident review findings to identify gaps\
        \ and weaknesses in the entity\u2019s network and information security status.\
        \ \n\u2022 Make sure that the identified gaps and weaknesses feed back to\
        \ the risk assessment and risk treatment plan (Annex to the regulation, point\
        \ 2.1). \n\u2022 Assess whether existing risk treatment measures were effective\
        \ in preventing or mitigating the incident. \n\u2022 Document the findings\
        \ and lessons learnt from each post-incident review comprehensively. \n\u2022\
        \ Consider whether information security requirements have been met throughout\
        \ the handling of a cybersecurity incident or whether measures may need to\
        \ be taken to restore them (e.g. resetting passwords for emergency administrative\
        \ access)."
      typical_evidence: "\u2022 Post-incident review reports that detail findings,\
        \ lessons learnt and recommendations for improvement following security incidents.\
        \ \n\u2022 Analysis, resolution and mitigation measures taken, communicated\
        \ to all relevant personnel. \n\u2022 Updated risk assessment and risk treatment\
        \ plan, which includes findings of the post-incident reviews."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es veillent \xE0 ce que les examens\
            \ postincident contribuent \xE0 am\xE9liorer leur approche de la s\xE9\
            curit\xE9 des r\xE9seaux et de l\u2019information, du traitement des risques\
            \ ainsi que des proc\xE9dures de gestion et de d\xE9tection des incidents\
            \ et de r\xE9ponse aux incidents."
          annotation: "\u2022 Analyser les r\xE9sultats de l\u2019examen post-incident\
            \ pour identifier les lacunes et les faiblesses dans l\u2019\xE9tat du\
            \ r\xE9seau et de la s\xE9curit\xE9 de l\u2019information de l\u2019entit\xE9\
            . \n\u2022 Veiller \xE0 ce que les lacunes et les faiblesses identifi\xE9\
            es soient r\xE9percut\xE9es sur l\u2019\xE9valuation des risques et le\
            \ plan de traitement des risques (annexe du r\xE8glement, point 2.1).\
            \ \n\u2022 \xC9valuer si les mesures de traitement des risques existantes\
            \ ont \xE9t\xE9 efficaces pour pr\xE9venir ou att\xE9nuer l\u2019incident.\
            \ \n\u2022 Documenter de mani\xE8re exhaustive les constatations et les\
            \ le\xE7ons tir\xE9es de chaque examen post-incident. \n\u2022 D\xE9terminer\
            \ si les exigences en mati\xE8re de s\xE9curit\xE9 de l\u2019information\
            \ ont \xE9t\xE9 respect\xE9es tout au long du traitement d\u2019un incident\
            \ de cybers\xE9curit\xE9 ou si des mesures doivent \xEAtre prises pour\
            \ les r\xE9tablir (p. ex., r\xE9initialisation des mots de passe pour\
            \ un acc\xE8s administratif d\u2019urgence)."
          typical_evidence: "\u2022 Rapports d\u2019examen post-incident qui d\xE9\
            taillent les constatations, les le\xE7ons apprises et les recommandations\
            \ d\u2019am\xE9lioration \xE0 la suite d\u2019incidents de s\xE9curit\xE9\
            . \n\u2022 Analyse, r\xE9solution et mesures d\u2019att\xE9nuation prises,\
            \ communiqu\xE9es \xE0 tout le personnel concern\xE9. \n\u2022 Mise \xE0\
            \ jour de l\u2019\xE9valuation des risques et du plan de traitement des\
            \ risques, qui comprend les conclusions des examens post-incidents."
        es:
          description: "Las entidades pertinentes velar\xE1n por que las revisiones\
            \ posteriores a los incidentes contribuyan a mejorar su enfoque en materia\
            \ de seguridad de las redes y de la informaci\xF3n, de medidas de tratamiento\
            \ de riesgos y de procedimientos de gesti\xF3n, detecci\xF3n y respuesta\
            \ ante incidentes."
          annotation: "\u2022 Analizar los hallazgos de la revisi\xF3n posterior al\
            \ incidente para identificar brechas y debilidades en el estado de la\
            \ red y la seguridad de la informaci\xF3n de la entidad. \n\u2022 Asegurarse\
            \ de que las lagunas y deficiencias detectadas retroalimenten la evaluaci\xF3\
            n de riesgos y el plan de tratamiento de riesgos (anexo del Reglamento,\
            \ punto 2.1). \n\u2022 Evaluar si las medidas de tratamiento de riesgos\
            \ existentes fueron efectivas para prevenir o mitigar el incidente. \n\
            \u2022 Documentar de manera exhaustiva los hallazgos y las lecciones aprendidas\
            \ de cada revisi\xF3n posterior al incidente. \n\u2022 Considerar si se\
            \ han cumplido los requisitos de seguridad de la informaci\xF3n durante\
            \ la gesti\xF3n de un incidente de ciberseguridad o si puede ser necesario\
            \ tomar medidas para restaurarlos (por ejemplo, restablecer las contrase\xF1\
            as para el acceso administrativo de emergencia)."
          typical_evidence: "\u2022 Informes de revisi\xF3n posteriores a incidentes\
            \ que detallan los hallazgos, las lecciones aprendidas y las recomendaciones\
            \ para mejorar despu\xE9s de los incidentes de seguridad. \n\u2022 An\xE1\
            lisis, resoluci\xF3n y medidas de mitigaci\xF3n adoptadas, comunicadas\
            \ a todo el personal pertinente. \n\u2022 Evaluaci\xF3n de riesgos actualizada\
            \ y plan de tratamiento de riesgos, que incluye los hallazgos de las revisiones\
            \ posteriores al incidente."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty zajist\xED, aby p\u0159\
            ezkumy po incidentu p\u0159isp\u011Bly ke zlep\u0161en\xED jejich p\u0159\
            \xEDstupu k bezpe\u010Dnosti s\xEDt\xED a informac\xED, k opat\u0159en\xED\
            m pro o\u0161et\u0159en\xED rizik a k postup\u016Fm pro \u0159e\u0161\
            en\xED a odhalov\xE1n\xED incident\u016F a reakci na n\u011B."
          annotation: "\u2022 Analyzovat zji\u0161t\u011Bn\xED p\u0159ezkumu po incidentu\
            \ s c\xEDlem identifikovat mezery a slabiny ve stavu zabezpe\u010Den\xED\
            \ s\xEDt\u011B a informac\xED subjektu. \n\u2022 Zajistit, aby se zji\u0161\
            t\u011Bn\xE9 nedostatky a nedostatky zp\u011Btn\u011B prom\xEDtly do pl\xE1\
            nu hodnocen\xED rizik a \u0159e\u0161en\xED rizik (p\u0159\xEDloha na\u0159\
            \xEDzen\xED, bod 2.1). \n\u2022 Posu\u010Fte, zda st\xE1vaj\xEDc\xED opat\u0159\
            en\xED k \u0159e\u0161en\xED rizik byla \xFA\u010Dinn\xE1 p\u0159i prevenci\
            \ nebo zm\xEDrn\u011Bn\xED incidentu. \n\u2022 Komplexn\u011B zdokumentovat\
            \ zji\u0161t\u011Bn\xED a poznatky z\xEDskan\xE9 z ka\u017Ed\xE9ho p\u0159\
            ezkumu po incidentu. \n\u2022 Zva\u017Ete, zda byly b\u011Bhem \u0159\
            e\u0161en\xED kybernetick\xE9ho bezpe\u010Dnostn\xEDho incidentu spln\u011B\
            ny po\u017Eadavky na bezpe\u010Dnost informac\xED, nebo zda m\u016F\u017E\
            e b\xFDt nutn\xE9 p\u0159ijmout opat\u0159en\xED k jejich obnoven\xED\
            \ (nap\u0159. resetov\xE1n\xED hesel pro nouzov\xFD administrativn\xED\
            \ p\u0159\xEDstup)."
          typical_evidence: "\u2022 Zpr\xE1vy o p\u0159ezkumu po incidentu, kter\xE9\
            \ podrobn\u011B popisuj\xED zji\u0161t\u011Bn\xED, z\xEDskan\xE9 poznatky\
            \ a doporu\u010Den\xED ke zlep\u0161en\xED po bezpe\u010Dnostn\xEDch incidentech.\
            \ \n\u2022 P\u0159ijat\xE1 opat\u0159en\xED, anal\xFDza, \u0159e\u0161\
            en\xED a zm\xEDrn\u011Bn\xED, sd\u011Blen\xE1 v\u0161em p\u0159\xEDslu\u0161\
            n\xFDm pracovn\xEDk\u016Fm. \n\u2022 Aktualizovan\xE9 hodnocen\xED rizik\
            \ a pl\xE1n \u0159e\u0161en\xED rizik, kter\xFD zahrnuje zji\u0161t\u011B\
            n\xED z p\u0159ezkum\u016F po incidentu."
        it:
          description: I soggetti pertinenti garantiscono che le revisioni successive
            all'incidente contribuiscano a migliorare il loro approccio alla sicurezza
            delle reti e dell'informazione, alle misure di trattamento dei rischi
            e alle procedure di gestione, individuazione e risposta agli incidenti.
          annotation: "\u2022 Analizzare i risultati della revisione post-incidente\
            \ per identificare le lacune e i punti deboli nello stato di sicurezza\
            \ della rete e delle informazioni dell'entit\xE0. \n\u2022 Assicurarsi\
            \ che le lacune e le debolezze individuate confluiscano nella valutazione\
            \ del rischio e nel piano di trattamento del rischio (allegato al regolamento,\
            \ punto 2.1). \n\u2022 Valutare se le misure esistenti per il trattamento\
            \ del rischio sono state efficaci nel prevenire o mitigare l'incidente.\
            \ \n\u2022 Documentare in modo completo i risultati e le lezioni apprese\
            \ da ogni revisione post-incidente. \n\u2022 Valutare se i requisiti di\
            \ sicurezza delle informazioni sono stati soddisfatti durante la gestione\
            \ di un incidente di cibersicurezza o se potrebbe essere necessario adottare\
            \ misure per ripristinarli (ad esempio, reimpostando le password per l'accesso\
            \ amministrativo di emergenza)."
          typical_evidence: "\u2022 Rapporti di revisione post-incidente che descrivono\
            \ in dettaglio i risultati, le lezioni apprese e le raccomandazioni per\
            \ il miglioramento a seguito di incidenti di sicurezza. \n\u2022 Analisi,\
            \ risoluzione e misure di mitigazione adottate, comunicate a tutto il\
            \ personale interessato. \n\u2022 Valutazione del rischio e piano di trattamento\
            \ del rischio aggiornati, che include i risultati delle revisioni post-incidente."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.6.3
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:3.6
      ref_id: 3.6.3
      description: The relevant entities shall review at planned intervals if incidents
        led to post-incident reviews.
      annotation: "\u2022 Conduct an annual review or a review after significant incidents,\
        \ to determine if an incident has led to a post-incident review.\n\n[TIPS]\n\
        \n\u2022 Determine the composition of the review team, including members from\
        \ relevant departments such as IT, security, legal and management bodies.\
        \ \n\u2022 Review existing network and information security policies, topic-specific\
        \ policies relevant to the incident, incident handling procedures and policy\
        \ and incident response procedures in light of the lessons learnt from post-incident\
        \ reviews."
      typical_evidence: "\u2022 Documented plans or schedules for future reviews.\n\
        \n[TIPS]\n\n\u2022 Minutes of the post-incident review team. \n\u2022 Evidence\
        \ of updates to network and information security or topic-specific policies\
        \ and procedures based on the lessons learnt from post-incident reviews."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es examinent \xE0 intervalles pr\xE9\
            d\xE9finis si des incidents ont donn\xE9 lieu \xE0 des examens postincident."
          annotation: "\u2022 Effectuer un examen annuel ou un examen apr\xE8s des\
            \ incidents importants, afin de d\xE9terminer si un incident a donn\xE9\
            \ lieu \xE0 un examen apr\xE8s l\u2019incident.\n\n[CONSEILS]\n\n\u2022\
            \ D\xE9terminer la composition de l\u2019\xE9quipe d\u2019examen, y compris\
            \ les membres des d\xE9partements concern\xE9s tels que l\u2019informatique,\
            \ la s\xE9curit\xE9, les services juridiques et les organes de gestion.\
            \ \n\u2022 Examiner les politiques existantes en mati\xE8re de s\xE9curit\xE9\
            \ des r\xE9seaux et de l\u2019information, les politiques sp\xE9cifiques\
            \ \xE0 l\u2019incident, les proc\xE9dures de traitement des incidents\
            \ et les politiques et proc\xE9dures d\u2019intervention en cas d\u2019\
            incident \xE0 la lumi\xE8re des enseignements tir\xE9s des examens post-incidents."
          typical_evidence: "\u2022 Documenter les plans ou les calendriers pour les\
            \ examens futurs.\n\n[CONSEILS]\n\n\u2022 Proc\xE8s-verbal de l\u2019\xE9\
            quipe d\u2019examen apr\xE8s l\u2019incident. \n\u2022 Des preuves de\
            \ mises \xE0 jour de la s\xE9curit\xE9 des r\xE9seaux et de l\u2019information\
            \ ou des politiques et proc\xE9dures sp\xE9cifiques \xE0 un sujet bas\xE9\
            es sur les le\xE7ons tir\xE9es des examens post-incident."
        es:
          description: "Las entidades pertinentes comprobar\xE1n a intervalos planificados\
            \ si los incidentes condujeron a revisiones posteriores al incidente."
          annotation: "\u2022 Llevar a cabo una revisi\xF3n anual o una revisi\xF3\
            n despu\xE9s de incidentes significativos, para determinar si un incidente\
            \ ha dado lugar a una revisi\xF3n posterior al incidente.\n\n[CONSEJOS]\n\
            \n\u2022 Determinar la composici\xF3n del equipo de revisi\xF3n, incluidos\
            \ los miembros de los departamentos pertinentes, como los \xF3rganos de\
            \ TI, seguridad, jur\xEDdicos y de gesti\xF3n. \n\u2022 Revisar las pol\xED\
            ticas existentes de seguridad de la red y de la informaci\xF3n, las pol\xED\
            ticas espec\xEDficas de cada tema relacionadas con el incidente, los procedimientos\
            \ de gesti\xF3n de incidentes y los procedimientos de pol\xEDtica y respuesta\
            \ a incidentes a la luz de las lecciones aprendidas de las revisiones\
            \ posteriores al incidente."
          typical_evidence: "\u2022 Planes o horarios documentados para futuras revisiones.\n\
            \n[CONSEJOS]\n\n\u2022 Actas del equipo de revisi\xF3n post-incidente.\
            \ \n\u2022 Evidencia de actualizaciones de la seguridad de la red y de\
            \ la informaci\xF3n o pol\xEDticas y procedimientos espec\xEDficos de\
            \ un tema basado en las lecciones aprendidas de las revisiones posteriores\
            \ a los incidentes."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty v pl\xE1novan\xFDch intervalech\
            \ p\u0159ezkoum\xE1vaj\xED, zda incidenty vedly k p\u0159ezkumu po incidentu."
          annotation: "\u2022 Prov\xE1d\u011Bt ka\u017Edoro\u010Dn\xED p\u0159ezkum\
            \ nebo p\u0159ezkum po v\xFDznamn\xFDch incidentech, aby se zjistilo,\
            \ zda incident vedl k p\u0159ezkoum\xE1n\xED po incidentu.\n\n[TIPY]\n\
            \n\u2022 Ur\u010Dit slo\u017Een\xED revizn\xEDho t\xFDmu, kter\xFD zahrnuje\
            \ \u010Dleny z p\u0159\xEDslu\u0161n\xFDch odd\u011Blen\xED, jako jsou\
            \ IT, bezpe\u010Dnost, pr\xE1vn\xED a \u0159\xEDd\xEDc\xED org\xE1ny.\
            \ \n\u2022 P\u0159ezkoumat st\xE1vaj\xEDc\xED z\xE1sady zabezpe\u010D\
            en\xED s\xEDt\u011B a informac\xED, z\xE1sady specifick\xE9 pro dan\xE9\
            \ t\xE9ma t\xFDkaj\xEDc\xED se incidentu, postupy pro \u0159e\u0161en\xED\
            \ incident\u016F a postupy reakce na incidenty s ohledem na poznatky z\xED\
            skan\xE9 z p\u0159ezkum\u016F po incidentu."
          typical_evidence: "\u2022 Zdokumentovan\xE9 pl\xE1ny nebo harmonogramy pro\
            \ budouc\xED kontroly.\n\n[TIPY]\n\n\u2022 Z\xE1pisy z jedn\xE1n\xED t\xFD\
            mu pro kontrolu incidentu. \n\u2022 D\u016Fkazy o aktualizac\xEDch zabezpe\u010D\
            en\xED s\xEDt\xED a informac\xED nebo z\xE1sad a postup\u016F specifick\xFD\
            ch pro dan\xE9 t\xE9ma na z\xE1klad\u011B poznatk\u016F z\xEDskan\xFD\
            ch z p\u0159ezkum\u016F po incidentu."
        it:
          description: Gli enti pertinenti esaminano, a intervalli pianificati, se
            gli incidenti hanno portato a revisioni successive all'incidente.
          annotation: "\u2022 Condurre una revisione annuale o una revisione dopo\
            \ incidenti significativi, per determinare se un incidente ha portato\
            \ a una revisione post-incidente.\n\n[CONSIGLI]\n\n\u2022 Determinare\
            \ la composizione del team di revisione, compresi i membri dei dipartimenti\
            \ pertinenti come IT, sicurezza, organi legali e di gestione. \n\u2022\
            \ Rivedere le politiche esistenti in materia di sicurezza delle reti e\
            \ delle informazioni, le politiche specifiche per argomento relative all'incidente,\
            \ le procedure di gestione degli incidenti e le procedure di risposta\
            \ alle politiche e agli incidenti alla luce delle lezioni apprese dalle\
            \ revisioni post-incidente."
          typical_evidence: "\u2022 Piani o programmi documentati per revisioni future.\n\
            \n[CONSIGLI]\n\n\u2022 Verbale del team di revisione post-incidente. \n\
            \u2022 Prove di aggiornamenti alla sicurezza della rete e delle informazioni\
            \ o di politiche e procedure specifiche per argomento sulla base delle\
            \ lezioni apprese dalle revisioni post-incidente."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4
      assessable: false
      depth: 1
      ref_id: '4'
      name: BUSINESS CONTINUITY AND CRISIS MANAGEMENT (ARTICLE 21(2), POINT (C), OF
        DIRECTIVE (EU) 2022/2555)
      translations:
        fr:
          name: "Continuit\xE9 des activit\xE9s et gestion des crises [article\_21,\
            \ paragraphe\_2, point\_c), de la directive (UE)\_2022/2555]"
        es:
          name: "CONTINUIDAD DE LAS ACTIVIDADES Y GESTI\xD3N DE LAS CRISIS [Art\xED\
            culo 21, Apartado 2, Letra C), de la directiva (UE) 2022/2555]"
        cs:
          name: "Kontinuita podnik\xE1n\xED a krizov\xE9 \u0159\xEDzen\xED (\u010D\
            l. 21 odst. 2 p\xEDsm. c) sm\u011Brnice (EU) 2022/2555)"
        it:
          name: "CONTINUIT\xC0 OPERATIVA E GESTIONE DELLE CRISI [ARTICOLO 21, PARAGRAFO\
            \ 2, LETTERA C), DELLA DIRETTIVA (UE) 2022/2555]"
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.1
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4
      ref_id: '4.1'
      name: Business continuity and disaster recovery plan
      translations:
        fr:
          name: "Plan de continuit\xE9 de l'activit\xE9 et de r\xE9tablissement"
        es:
          name: "Plan de continuidad de las actividades y de recuperaci\xF3n en caso\
            \ de cat\xE1strofe"
        cs:
          name: "Pl\xE1n kontinuity provozu a obnovy provozu po hav\xE1rii"
        it:
          name: "Piano di continuit\xE0 operativa e disaster recovery"
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.1.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.1
      ref_id: 4.1.1
      description: For the purpose of Article 21(2), point (c) of Directive (EU) 2022/2555,
        the relevant entities shall lay down and maintain a business continuity and
        disaster recovery plan to apply in the case of incidents.
      annotation: "\u2022 Take into account industry-recognised standards when developing\
        \ the business continuity (35) and disaster recovery plan. \n\u2022 Create\
        \ a list of natural disasters (e.g. hurricane, fire, flooding) and other occurrences\
        \ (e.g. human error) that could affect the services together with a list of\
        \ disaster recovery capabilities (e.g. backups, tests, recovery objectives,\
        \ etc.).\n\n(35) For example, \n\u2022 ISO 22301:2019 - Security and resilience\
        \ \u2014 Business continuity management systems \u2014 Requirements, \n\u2022\
        \ ISO 22313:2020 - Security and resilience \u2014 Business continuity management\
        \ systems \u2014 Guidance on the use of ISO 2230 and \n\u2022 NIST SP 800-34\
        \ Rev. 1 \u2013 Contingency Planning Guide for Federal Information Systems."
      typical_evidence: "\u2022 Business continuity plan. \n\u2022 Disaster recovery\
        \ plan. \n\u2022 Business continuity and disaster recovery plans are in line\
        \ with documented standards and/or good practices. \n\u2022 List of natural\
        \ and/or major disasters that could affect the services and a list of disaster\
        \ recovery capabilities (either those available internally or provided by\
        \ third parties)."
      translations:
        fr:
          description: "Aux fins de l\u2019article\_21, paragraphe\_2, point\_c),\
            \ de la directive (UE)\_2022/2555, les entit\xE9s concern\xE9es \xE9tablissent\
            \ et maintiennent un plan de continuit\xE9 de l'activit\xE9 et de r\xE9\
            tablissement qui devra \xEAtre appliqu\xE9 en cas d\u2019incidents."
          annotation: "\u2022 Prendre en compte les normes reconnues par l\u2019industrie\
            \ lors de l\u2019\xE9laboration du plan de continuit\xE9 d\u2019activit\xE9\
            \ (35) et de reprise apr\xE8s sinistre. \n\u2022 Cr\xE9ez une liste des\
            \ catastrophes naturelles (par exemple, ouragan, incendie, inondation)\
            \ et d\u2019autres \xE9v\xE9nements (par exemple, erreur humaine) qui\
            \ pourraient affecter les services, ainsi qu\u2019une liste de capacit\xE9\
            s de r\xE9cup\xE9ration apr\xE8s sinistre (par exemple, sauvegardes, tests,\
            \ objectifs de r\xE9cup\xE9ration, etc.).\n\n(35) Par exemple, \n\u2022\
            \ ISO 22301:2019 - S\xE9curit\xE9 et r\xE9silience \u2014 Syst\xE8mes\
            \ de management de la continuit\xE9 d\u2019activit\xE9 \u2014 Exigences,\
            \ \n\u2022 ISO 22313:2020 - S\xE9curit\xE9 et r\xE9silience \u2014 Syst\xE8\
            mes de management de la continuit\xE9 d\u2019activit\xE9 \u2014 Lignes\
            \ directrices sur l\u2019utilisation de l\u2019ISO 2230 et \n\u2022 NIST\
            \ SP 800-34 Rev. 1 \u2013 Guide de planification d\u2019urgence pour les\
            \ syst\xE8mes d\u2019information f\xE9d\xE9raux."
          typical_evidence: "\u2022 Plan de continuit\xE9 d\u2019activit\xE9. \n\u2022\
            \ Plan de reprise apr\xE8s sinistre. \n\u2022 Les plans de continuit\xE9\
            \ des activit\xE9s et de reprise apr\xE8s sinistre sont conformes aux\
            \ normes document\xE9es et/ou aux bonnes pratiques. \n\u2022 Liste des\
            \ catastrophes naturelles et/ou majeures susceptibles d\u2019affecter\
            \ les services et une liste des capacit\xE9s de r\xE9cup\xE9ration d\u2019\
            urgence (disponibles en interne ou fournies par des tiers)."
        es:
          description: "A efectos del art\xEDculo 21, apartado 2, letra c), de la\
            \ Directiva (UE) 2022/2555, las entidades pertinentes establecer\xE1n\
            \ y mantendr\xE1n un plan de continuidad de las actividades y de recuperaci\xF3\
            n en caso de cat\xE1strofe que pondr\xE1n en marcha si se producen incidentes."
          annotation: "\u2022 Tener en cuenta los est\xE1ndares reconocidos por la\
            \ industria al desarrollar el plan de continuidad del negocio (35) y recuperaci\xF3\
            n ante desastres. \n\u2022 Cree una lista de desastres naturales (por\
            \ ejemplo, huracanes, incendios, inundaciones) y otros sucesos (por ejemplo,\
            \ errores humanos) que podr\xEDan afectar a los servicios, junto con una\
            \ lista de capacidades de recuperaci\xF3n ante desastres (por ejemplo,\
            \ copias de seguridad, pruebas, objetivos de recuperaci\xF3n, etc.).\n\
            \n(35) Por ejemplo, \n\u2022 ISO 22301:2019 - Seguridad y resiliencia\
            \ - Sistemas de gesti\xF3n de la continuidad del negocio - Requisitos,\
            \ \n\u2022 ISO 22313:2020 - Seguridad y resiliencia \u2014 Sistemas de\
            \ gesti\xF3n de la continuidad del negocio \u2014 Orientaci\xF3n sobre\
            \ el uso de ISO 2230 y \n\u2022 NIST SP 800-34 Rev. 1 \u2013 Gu\xEDa de\
            \ planificaci\xF3n de contingencias para sistemas de informaci\xF3n federales."
          typical_evidence: "\u2022 Plan de continuidad de negocio. \n\u2022 Plan\
            \ de recuperaci\xF3n ante desastres. \n\u2022 Los planes de continuidad\
            \ del negocio y recuperaci\xF3n ante desastres est\xE1n en l\xEDnea con\
            \ los est\xE1ndares documentados y/o las buenas pr\xE1cticas. \n\u2022\
            \ Lista de desastres naturales y/o mayores que podr\xEDan afectar los\
            \ servicios y una lista de capacidades de recuperaci\xF3n ante desastres\
            \ (ya sean las disponibles internamente o proporcionadas por terceros)."
        cs:
          description: "Pro \xFA\u010Dely \u010Dl. 21 odst. 2 p\xEDsm. c) sm\u011B\
            rnice (EU) 2022/2555 p\u0159\xEDslu\u0161n\xE9 subjekty stanov\xED a udr\u017E\
            uj\xED pl\xE1n kontinuity provozu a obnovy provozu po hav\xE1rii, kter\xFD\
            \ se pou\u017Eije v p\u0159\xEDpad\u011B incident\u016F."
          annotation: "\u2022 P\u0159i vypracov\xE1v\xE1n\xED pl\xE1nu kontinuity\
            \ provozu (35) a pl\xE1nu obnovy po hav\xE1rii zohled\u0148ovat pr\u016F\
            myslov\u011B uzn\xE1van\xE9 normy. \n\u2022 Vytvo\u0159te seznam p\u0159\
            \xEDrodn\xEDch katastrof (nap\u0159. hurik\xE1n, po\u017E\xE1r, z\xE1\
            plavy) a dal\u0161\xEDch ud\xE1lost\xED (nap\u0159. lidsk\xE1 chyba),\
            \ kter\xE9 by mohly ovlivnit slu\u017Eby, spolu se seznamem mo\u017Enost\xED\
            \ obnovy po hav\xE1rii (nap\u0159. z\xE1lohov\xE1n\xED, testy, c\xEDle\
            \ obnovy atd.).\n\n(35) Nap\u0159\xEDklad: \n\u2022 ISO 22301:2019 - Bezpe\u010D\
            nost a odolnost \u2014 Syst\xE9my \u0159\xEDzen\xED kontinuity \u010D\
            innost\xED \u2014 Po\u017Eadavky, \n\u2022 ISO 22313:2020 - Bezpe\u010D\
            nost a odolnost - Syst\xE9my \u0159\xEDzen\xED kontinuity \u010Dinnost\xED\
            \ - Pokyny k pou\u017E\xEDv\xE1n\xED ISO 2230 a \n\u2022 NIST SP 800-34\
            \ Rev. 1 \u2013 Pr\u016Fvodce pl\xE1nov\xE1n\xEDm nep\u0159edv\xEDdan\xFD\
            ch ud\xE1lost\xED pro feder\xE1ln\xED informa\u010Dn\xED syst\xE9my."
          typical_evidence: "\u2022 Pl\xE1n kontinuity podnik\xE1n\xED. \n\u2022 Pl\xE1\
            n obnovy po hav\xE1rii. \n\u2022 Pl\xE1ny kontinuity podnik\xE1n\xED a\
            \ obnovy po hav\xE1rii jsou v souladu s dokumentovan\xFDmi standardy a/nebo\
            \ osv\u011Bd\u010Den\xFDmi postupy. \n\u2022 Seznam p\u0159\xEDrodn\xED\
            ch a/nebo z\xE1va\u017En\xFDch katastrof, kter\xE9 by mohly ovlivnit slu\u017E\
            by, a seznam kapacit pro obnovu po katastrof\u011B (bu\u010F t\u011Bch,\
            \ kter\xE9 jsou k dispozici intern\u011B, nebo jsou poskytov\xE1ny t\u0159\
            et\xEDmi stranami)."
        it:
          description: "Ai fini dell'articolo 21, paragrafo 2, lettera c), della direttiva\
            \ (UE) 2022/2555, i soggetti pertinenti stabiliscono e mantengono un piano\
            \ di continuit\xE0 operativa e di ripristino in caso di disastro da applicare\
            \ in caso di incidenti."
          annotation: "\u2022 Tenere conto degli standard riconosciuti dal settore\
            \ nello sviluppo del piano di continuit\xE0 aziendale (35) e di disaster\
            \ recovery. \n\u2022 Creare un elenco di disastri naturali (ad es. uragani,\
            \ incendi, inondazioni) e altri eventi (ad es. errore umano) che potrebbero\
            \ influire sui servizi insieme a un elenco di funzionalit\xE0 di ripristino\
            \ di emergenza (ad es. backup, test, obiettivi di ripristino, ecc.).\n\
            \n(35) Ad esempio, \n\u2022 ISO 22301:2019 - Sicurezza e resilienza \u2014\
            \ Sistemi di gestione della continuit\xE0 operativa \u2014 Requisiti,\
            \ \n\u2022 ISO 22313:2020 - Sicurezza e resilienza \u2014 Sistemi di gestione\
            \ della continuit\xE0 operativa \u2014 Linee guida sull'uso della norma\
            \ ISO 2230 e \n\u2022 NIST SP 800-34 Rev. 1 \u2013 Guida alla pianificazione\
            \ di emergenza per i sistemi informativi federali."
          typical_evidence: "\u2022 Piano di continuit\xE0 aziendale. \n\u2022 Piano\
            \ di disaster recovery. \n\u2022 I piani di continuit\xE0 aziendale e\
            \ di disaster recovery siano in linea con standard documentati e/o buone\
            \ pratiche. \n\u2022 Elenco dei disastri naturali e/o gravi che potrebbero\
            \ interessare i servizi e un elenco delle capacit\xE0 di disaster recovery\
            \ (disponibili internamente o fornite da terze parti)."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.1.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.1
      ref_id: 4.1.2
      description: "The relevant entities\u2019 operations shall be restored according\
        \ to the business continuity and disaster recovery plan. The plan shall be\
        \ based on the results of the risk assessment carried out pursuant to point\
        \ 2.1 and shall include, where appropriate, the following:"
      annotation: "\u2022 Keep logs of activation and execution of the business continuity\
        \ plan, including:\n    o decisions taken;\n    o steps followed; and\n  \
        \  o final recovery time. \n\u2022 Determine the order of recovery based on\
        \ criteria, including (indicative, non-exhaustive list):\n    o the asset\
        \ classification level;\n    o the importance of the service for the entity;\n\
        \    o dependencies (services or assets that are essential for others are\
        \ restored first);\n    o recovery objectives (Annex to the regulation, point\
        \ 4.1.3);\n    o resource availability; and\n    o regulatory requirements.\
        \ \n\u2022 Conduct capacity planning so that necessary capacity for information\
        \ processing, telecommunications and environmental support exists after business\
        \ continuity plan activation. \n\u2022 Consider primary and alternate telecommunications\
        \ service providers, section 13.1, to properly maintain disaster recovery\
        \ plans (for the services provided).\n    o For remote work, employees handling\
        \ critical operations should:\n        * have access to backup internet solutions\
        \ (e.g. mobile broadband, tethering capabilities) and \uF0A7 participate in\
        \ regular testing of failover options, including VPN access and voice communications\
        \ (e.g. VoIP or cloud telephony) over backup networks. \n\u2022 Prepare for\
        \ recovery and restoration of services after a disaster by identifying measures\
        \ such as:\n    o failover sites in other regions;\n    o backups of data\
        \ with high criticality to remote locations; and\n    o tested restore procedures\
        \ with regular validation cycles. \n\u2022 Make sure that third party services\
        \ (e.g. hot site) will be available in case of disaster, where appropriate.\
        \ \n\u2022 Implement advanced measures for disaster recovery capabilities,\
        \ where appropriate, for example:\n    o full redundancy;\n    o failover\
        \ mechanisms; and\n    o alternative site."
      typical_evidence: "\u2022 Measures in place for dealing with disasters, such\
        \ as failover sites in other regions and backups of data to remote locations.\
        \ \n\u2022 Up-to-date organisational structures widely communicated. \n\u2022\
        \ Inventory of sectors and services essential for and/or dependent on the\
        \ continuity of the network and service operation, and contingency plans for\
        \ mitigating the impact related to dependent and interdependent sectors and\
        \ services."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es r\xE9tablissent leurs op\xE9\
            rations conform\xE9ment au plan de continuit\xE9 de l'activit\xE9 et de\
            \ r\xE9tablissement. Le plan est fond\xE9 sur les r\xE9sultats de l\u2019\
            \xE9valuation des risques effectu\xE9e conform\xE9ment au point\_2.1 et\
            \ comprend, s\u2019il est besoin, les informations suivantes:"
          annotation: "\u2022 Tenir des registres d\u2019activation et d\u2019ex\xE9\
            cution du plan de continuit\xE9 des activit\xE9s, y compris :\n    o les\
            \ d\xE9cisions prises\_;\n    o Pas suivis\_; et\n    o Temps de r\xE9\
            cup\xE9ration final. \n\u2022 D\xE9terminer l\u2019ordre de recouvrement\
            \ sur la base de crit\xE8res, notamment (liste indicative, non exhaustive)\
            \ :\n    o le niveau de classification des actifs ;\n    o l\u2019importance\
            \ du service pour l\u2019entit\xE9 ;\n    o d\xE9pendances (les services\
            \ ou actifs essentiels pour autrui sont restaur\xE9s en premier) ;\n \
            \   o objectifs de r\xE9tablissement (annexe du r\xE8glement, point 4.1.3)\_\
            ;\n    o la disponibilit\xE9 des ressources ; et\n    o les exigences\
            \ r\xE9glementaires. \n\u2022 Effectuer une planification des capacit\xE9\
            s de mani\xE8re \xE0 ce que les capacit\xE9s n\xE9cessaires pour le traitement\
            \ de l\u2019information, les t\xE9l\xE9communications et le soutien \xE0\
            \ l\u2019environnement existent apr\xE8s l\u2019activation du plan de\
            \ continuit\xE9 des activit\xE9s. \n\u2022 Tenir compte des fournisseurs\
            \ de services de t\xE9l\xE9communication principaux et alternatifs, section\
            \ 13.1, pour tenir \xE0 jour correctement les plans de reprise apr\xE8\
            s sinistre (pour les services fournis).\n    o Pour le travail \xE0 distance,\
            \ les employ\xE9s qui g\xE8rent des op\xE9rations critiques doivent :\n\
            \        * avoir acc\xE8s \xE0 des solutions Internet de secours (par\
            \ exemple, haut d\xE9bit mobile, capacit\xE9s de partage de connexion)\
            \ et \uF0A7 participer \xE0 des tests r\xE9guliers des options de basculement,\
            \ y compris l\u2019acc\xE8s VPN et les communications vocales (par exemple,\
            \ VoIP ou t\xE9l\xE9phonie cloud) sur des r\xE9seaux de sauvegarde. \n\
            \u2022 Pr\xE9parer le r\xE9tablissement et le r\xE9tablissement des services\
            \ apr\xE8s une catastrophe en identifiant des mesures telles que :\n \
            \   o sites de basculement dans d\u2019autres r\xE9gions ;\n    o sauvegardes\
            \ de donn\xE9es \xE0 haute criticit\xE9 vers des sites distants ; et\n\
            \    o Tester les proc\xE9dures de restauration avec des cycles de validation\
            \ r\xE9guliers. \n\u2022 Assurez-vous que les services de tiers (par exemple,\
            \ site chaud) seront disponibles en cas de sinistre, le cas \xE9ch\xE9\
            ant. \n\u2022 Mettre en \u0153uvre des mesures avanc\xE9es pour les capacit\xE9\
            s de reprise apr\xE8s sinistre, le cas \xE9ch\xE9ant, par exemple :\n\
            \    o redondance compl\xE8te ;\n    o les m\xE9canismes de basculement\
            \ ; et\n    o site alternatif."
          typical_evidence: "\u2022 Mesures en place pour faire face aux catastrophes,\
            \ telles que les sites de basculement dans d\u2019autres r\xE9gions et\
            \ les sauvegardes de donn\xE9es vers des sites distants. \n\u2022 Des\
            \ structures organisationnelles modernes et largement diffus\xE9es. \n\
            \u2022 Inventaire des secteurs et services essentiels et/ou d\xE9pendants\
            \ de la continuit\xE9 du fonctionnement du r\xE9seau et du service, et\
            \ plans d\u2019urgence pour att\xE9nuer l\u2019impact li\xE9 aux secteurs\
            \ et services d\xE9pendants et interd\xE9pendants."
        es:
          description: "Las operaciones de las entidades pertinentes se restablecer\xE1\
            n de acuerdo con el plan de continuidad de las actividades y de recuperaci\xF3\
            n en caso de cat\xE1strofe. El plan se basar\xE1 en los resultados de\
            \ la evaluaci\xF3n de riesgos realizada con arreglo al punto 2.1 e incluir\xE1\
            , seg\xFAn proceda, lo siguiente:"
          annotation: "\u2022 Mantener registros de activaci\xF3n y ejecuci\xF3n del\
            \ plan de continuidad del negocio, incluyendo:\n    o las decisiones adoptadas;\n\
            \    o pasos seguidos; y\n    o Tiempo de recuperaci\xF3n final. \n\u2022\
            \ Determinar el orden de recuperaci\xF3n sobre la base de criterios, entre\
            \ ellos (lista indicativa y no exhaustiva):\n    o el nivel de clasificaci\xF3\
            n de los activos;\n    o la importancia del servicio para la entidad;\n\
            \    o dependencias (primero se restauran servicios o activos que son\
            \ esenciales para otros);\n    o objetivos de recuperaci\xF3n (anexo del\
            \ Reglamento, punto 4.1.3);\n    o disponibilidad de recursos; y\n   \
            \ o Requisitos reglamentarios. \n\u2022 Llevar a cabo la planificaci\xF3\
            n de la capacidad de manera que exista la capacidad necesaria para el\
            \ procesamiento de la informaci\xF3n, las telecomunicaciones y el apoyo\
            \ ambiental despu\xE9s de la activaci\xF3n del plan de continuidad del\
            \ negocio. \n\u2022 Considerar proveedores de servicios de telecomunicaciones\
            \ primarios y alternativos, secci\xF3n 13.1, para mantener adecuadamente\
            \ los planes de recuperaci\xF3n ante desastres (para los servicios prestados).\n\
            \    o Para el trabajo remoto, los empleados que manejan operaciones cr\xED\
            ticas deben:\n        * tener acceso a soluciones de Internet de respaldo\
            \ (por ejemplo, banda ancha m\xF3vil, capacidades de anclaje a red) y\
            \ \uF0A7 participar en pruebas peri\xF3dicas de las opciones de conmutaci\xF3\
            n por error, incluido el acceso VPN y las comunicaciones de voz (por ejemplo,\
            \ VoIP o telefon\xEDa en la nube) a trav\xE9s de redes de respaldo. \n\
            \u2022 Prepararse para la recuperaci\xF3n y el restablecimiento de los\
            \ servicios despu\xE9s de un desastre identificando medidas tales como:\n\
            \    o sitios de conmutaci\xF3n por error en otras regiones;\n    o copias\
            \ de seguridad de datos con alta criticidad para ubicaciones remotas;\
            \ y\n    o Procedimientos de restauraci\xF3n probados con ciclos de validaci\xF3\
            n regulares. \n\u2022 Aseg\xFArese de que los servicios de terceros (por\
            \ ejemplo, un sitio de acceso compartido) est\xE9n disponibles en caso\
            \ de desastre, cuando corresponda. \n\u2022 Implementar medidas avanzadas\
            \ para las capacidades de recuperaci\xF3n en casos de desastre, cuando\
            \ corresponda, por ejemplo:\n    o redundancia total;\n    o mecanismos\
            \ de conmutaci\xF3n por error; y\n    o Sitio alternativo."
          typical_evidence: "\u2022 Medidas implementadas para hacer frente a desastres,\
            \ como sitios de conmutaci\xF3n por error en otras regiones y copias de\
            \ seguridad de datos en ubicaciones remotas. \n\u2022 Estructuras organizativas\
            \ actualizadas y ampliamente comunicadas. \n\u2022 Inventario de sectores\
            \ y servicios esenciales y/o dependientes de la continuidad de la operaci\xF3\
            n de la red y del servicio, y planes de contingencia para mitigar el impacto\
            \ relacionado con los sectores y servicios dependientes e interdependientes."
        cs:
          description: "Provoz p\u0159\xEDslu\u0161n\xFDch subjekt\u016F se obnov\xED\
            \ v souladu s pl\xE1nem kontinuity provozu a obnovy provozu po hav\xE1\
            rii. Pl\xE1n se zakl\xE1d\xE1 na v\xFDsledc\xEDch posouzen\xED rizik proveden\xE9\
            ho podle bodu 2.1 a obsahuje v p\u0159\xEDpad\u011B pot\u0159eby tyto\
            \ \xFAdaje:"
          annotation: "\u2022 V\xE9st protokoly o aktivaci a prov\xE1d\u011Bn\xED\
            \ pl\xE1nu kontinuity podnik\xE1n\xED, v\u010Detn\u011B:\n    o p\u0159\
            ijat\xE1 rozhodnut\xED;\n    o n\xE1sledovaly kroky; a\n    o posledn\xED\
            \ \u010Das zotaven\xED. \n\u2022 Ur\u010Dete po\u0159ad\xED vym\xE1h\xE1\
            n\xED na z\xE1klad\u011B krit\xE9ri\xED, v\u010Detn\u011B (orienta\u010D\
            n\xED, ne\xFApln\xFD seznam):\n    o \xFArovni klasifikace aktiv;\n  \
            \  o d\u016Fle\u017Eitosti slu\u017Eby pro subjekt;\n    o z\xE1vislosti\
            \ (slu\u017Eby nebo aktiva, kter\xE1 jsou nezbytn\xE1 pro ostatn\xED,\
            \ jsou obnovena jako prvn\xED);\n    o c\xEDle zp\u011Btn\xE9ho z\xED\
            sk\xE1v\xE1n\xED prost\u0159edk\u016F (p\u0159\xEDloha na\u0159\xEDzen\xED\
            , bod 4.1.3),\n    o dostupnost zdroj\u016F; a\n    o regula\u010Dn\xED\
            ch po\u017Eadavk\u016F. \n\u2022 Prov\xE1d\u011Bt pl\xE1nov\xE1n\xED kapacit\
            \ tak, aby po aktivaci pl\xE1nu kontinuity podnik\xE1n\xED existovala\
            \ pot\u0159ebn\xE1 kapacita pro zpracov\xE1n\xED informac\xED, telekomunikace\
            \ a podporu \u017Eivotn\xEDho prost\u0159ed\xED. \n\u2022 Zv\xE1\u017E\
            it prim\xE1rn\xED a alternativn\xED poskytovatele telekomunika\u010Dn\xED\
            ch slu\u017Eeb, odd\xEDl 13.1, pro \u0159\xE1dn\xE9 udr\u017Eov\xE1n\xED\
            \ pl\xE1n\u016F obnovy po hav\xE1rii (pro poskytovan\xE9 slu\u017Eby).\n\
            \    o P\u0159i pr\xE1ci na d\xE1lku by zam\u011Bstnanci, kte\u0159\xED\
            \ vykon\xE1vaj\xED kritick\xE9 operace, m\u011Bli:\n        * maj\xED\
            \ p\u0159\xEDstup k z\xE1lo\u017En\xEDm internetov\xFDm \u0159e\u0161\
            en\xEDm (nap\u0159. mobiln\xED \u0161irokop\xE1smov\xE9 p\u0159ipojen\xED\
            , funkce tetheringu) a \uF0A7 \xFA\u010Dastn\xED se pravideln\xE9ho testov\xE1\
            n\xED mo\u017Enost\xED failoveru, v\u010Detn\u011B p\u0159\xEDstupu k\
            \ VPN a hlasov\xE9 komunikace (nap\u0159. VoIP nebo cloudov\xE9 telefonie)\
            \ p\u0159es z\xE1lo\u017En\xED s\xEDt\u011B. \n\u2022 P\u0159ipravit se\
            \ na obnovu a obnovu slu\u017Eeb po katastrof\u011B identifikac\xED opat\u0159\
            en\xED, jako jsou:\n    o M\xEDsta pro p\u0159evzet\xED slu\u017Eeb p\u0159\
            i selh\xE1n\xED v jin\xFDch regionech;\n    o z\xE1lohov\xE1n\xED dat\
            \ s vysokou kriti\u010Dnost\xED do vzd\xE1len\xFDch lokalit; a\n    o\
            \ Testovan\xE9 postupy obnovy s pravideln\xFDmi valida\u010Dn\xEDmi cykly.\
            \ \n\u2022 Ujist\u011Bte se, \u017Ee slu\u017Eby t\u0159et\xEDch stran\
            \ (nap\u0159. hork\xE1 str\xE1nka) budou v p\u0159\xEDpad\u011B hav\xE1\
            rie k dispozici, pokud je to vhodn\xE9. \n\u2022 Implementujte pokro\u010D\
            il\xE1 opat\u0159en\xED pro schopnosti obnovy po hav\xE1rii, kde je to\
            \ vhodn\xE9, nap\u0159\xEDklad:\n    o \xFApln\xE9 redundanci;\n    o\
            \ mechanismy p\u0159evzet\xED slu\u017Eeb p\u0159i selh\xE1n\xED; a\n\
            \    o alternativn\xED str\xE1nky."
          typical_evidence: "\u2022 Zaveden\xE1 opat\u0159en\xED pro \u0159e\u0161\
            en\xED katastrof, jako jsou failover sites v jin\xFDch regionech a z\xE1\
            lohov\xE1n\xED dat do vzd\xE1len\xFDch lokalit. \n\u2022 Modern\xED organiza\u010D\
            n\xED struktury, o kter\xFDch se \u0161iroce komunikuje. \n\u2022 Invent\xE1\
            \u0159 sektor\u016F a slu\u017Eeb, kter\xE9 jsou nezbytn\xE9 pro kontinuitu\
            \ provozu s\xEDt\u011B a slu\u017Eeb a/nebo na n\xED z\xE1visl\xE9, a\
            \ pohotovostn\xED pl\xE1ny pro zm\xEDrn\u011Bn\xED dopadu souvisej\xED\
            c\xEDho se z\xE1visl\xFDmi a vz\xE1jemn\u011B z\xE1visl\xFDmi sektory\
            \ a slu\u017Ebami."
        it:
          description: "Le operazioni dei soggetti interessati devono essere ripristinate\
            \ secondo il piano di continuit\xE0 operativa e di ripristino in caso\
            \ di disastro. Il piano si basa sui risultati della valutazione dei rischi\
            \ effettuata a norma del punto 2.1 e comprende, se del caso, i seguenti\
            \ elementi:"
          annotation: "\u2022 Conservare i registri di attivazione ed esecuzione del\
            \ piano di continuit\xE0 operativa, tra cui:\n    o decisioni prese;\n\
            \    o i passi seguiti; e\n    o tempo di recupero finale. \n\u2022 Determinare\
            \ l'ordine di recupero in base a criteri, tra cui (elenco indicativo,\
            \ non esaustivo):\n    o il livello di classificazione degli asset;\n\
            \    o l'importanza del servizio per l'ente;\n    o dipendenze (i servizi\
            \ o i beni essenziali per gli altri vengono ripristinati per primi);\n\
            \    o obiettivi di recupero (allegato al regolamento, punto 4.1.3);\n\
            \    o disponibilit\xE0 di risorse; e\n    o requisiti normativi. \n\u2022\
            \ Condurre la pianificazione della capacit\xE0 in modo che esista la capacit\xE0\
            \ necessaria per l'elaborazione delle informazioni, le telecomunicazioni\
            \ e il supporto ambientale dopo l'attivazione del piano di continuit\xE0\
            \ operativa. \n\u2022 Considerare i fornitori di servizi di telecomunicazione\
            \ primari e alternativi, sezione 13.1, per mantenere correttamente i piani\
            \ di ripristino di emergenza (per i servizi forniti).\n    o Per il lavoro\
            \ a distanza, i dipendenti che gestiscono operazioni critiche devono:\n\
            \        * avere accesso a soluzioni Internet di backup (ad es. banda\
            \ larga mobile, funzionalit\xE0 di tethering) e \uF0A7 partecipare a test\
            \ periodici delle opzioni di failover, tra cui l'accesso VPN e le comunicazioni\
            \ vocali (ad es. VoIP o telefonia cloud) su reti di backup. \n\u2022 Prepararsi\
            \ per il recupero e il ripristino dei servizi dopo un disastro identificando\
            \ misure quali:\n    o Siti di failover in altre regioni;\n    o backup\
            \ di dati con elevata criticit\xE0 verso postazioni remote; e\n    o Procedure\
            \ di ripristino testate con cicli di convalida regolari. \n\u2022 Assicurarsi\
            \ che i servizi di terze parti (ad es. hot site) siano disponibili in\
            \ caso di disastro, se del caso. \n\u2022 Implementare misure avanzate\
            \ per le capacit\xE0 di disaster recovery, ove opportuno, ad esempio:\n\
            \    o ridondanza totale;\n    o meccanismi di failover; e\n    o sito\
            \ alternativo."
          typical_evidence: "\u2022 Misure in atto per la gestione dei disastri, come\
            \ siti di failover in altre regioni e backup dei dati in posizioni remote.\
            \ \n\u2022 Strutture organizzative aggiornate e ampiamente comunicate.\
            \ \n\u2022 Inventario dei settori e dei servizi essenziali e/o dipendenti\
            \ dalla continuit\xE0 della gestione della rete e dei servizi, e piani\
            \ di emergenza per mitigare l'impatto relativo ai settori e ai servizi\
            \ dipendenti e interdipendenti."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.1.2.a
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.1.2
      ref_id: 4.1.2.a
      description: purpose, scope and audience;
      translations:
        fr:
          description: "objet, champ d\u2019application et public;"
        es:
          description: "objetivos, \xE1mbito de aplicaci\xF3n y p\xFAblico destinatario;"
        cs:
          description: "\xFA\u010Del, oblast p\u016Fsobnosti a c\xEDlov\xE1 skupina;"
        it:
          description: scopo, ambito e pubblico;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.1.2.b
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.1.2
      ref_id: 4.1.2.b
      description: roles and responsibilities;
      translations:
        fr:
          description: "r\xF4les et responsabilit\xE9s;"
        es:
          description: roles y responsabilidades;
        cs:
          description: "\xFAkoly a povinnosti;"
        it:
          description: "ruoli e responsabilit\xE0;"
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.1.2.c
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.1.2
      ref_id: 4.1.2.c
      description: key contacts and (internal and external) communication channels;
      translations:
        fr:
          description: principales personnes de contact et canaux de communication
            (internes et externes);
        es:
          description: "contactos clave y canales de comunicaci\xF3n (internos y externos);"
        cs:
          description: "hlavn\xED kontaktn\xED osoby a (intern\xED a extern\xED) komunika\u010D\
            n\xED kan\xE1ly;"
        it:
          description: i contatti chiave e i canali di comunicazione (interni ed esterni);
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.1.2.d
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.1.2
      ref_id: 4.1.2.d
      description: conditions for plan activation and deactivation;
      translations:
        fr:
          description: "conditions d\u2019activation et de d\xE9sactivation du plan;"
        es:
          description: "condiciones de activaci\xF3n y desactivaci\xF3n del plan;"
        cs:
          description: "podm\xEDnky pro aktivaci a deaktivaci pl\xE1nu;"
        it:
          description: condizioni per l'attivazione e la disattivazione del piano;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.1.2.e
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.1.2
      ref_id: 4.1.2.e
      description: order of recovery for operations;
      translations:
        fr:
          description: "ordre de r\xE9tablissement des op\xE9rations;"
        es:
          description: "orden de recuperaci\xF3n de las operaciones;"
        cs:
          description: postup obnovy pro operace;
        it:
          description: ordine di recupero delle operazioni;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.1.2.f
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.1.2
      ref_id: 4.1.2.f
      description: recovery plans for specific operations, including recovery objectives;
      translations:
        fr:
          description: "plans de r\xE9tablissement pour les op\xE9rations sp\xE9cifiques,\
            \ y compris les objectifs de r\xE9tablissement;"
        es:
          description: "planes de recuperaci\xF3n de operaciones espec\xEDficas, incluidos\
            \ los objetivos de recuperaci\xF3n;"
        cs:
          description: "pl\xE1ny obnovy pro konkr\xE9tn\xED operace, v\u010Detn\u011B\
            \ c\xEDl\u016F obnovy;"
        it:
          description: piani di risanamento per operazioni specifiche, compresi gli
            obiettivi di risanamento;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.1.2.g
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.1.2
      ref_id: 4.1.2.g
      description: required resources, including backups and redundancies;
      translations:
        fr:
          description: "ressources n\xE9cessaires, y compris les sauvegardes et les\
            \ ressources redondantes;"
        es:
          description: recursos necesarios, incluidas las copias de seguridad y las
            redundancias;
        cs:
          description: "po\u017Eadovan\xE9 zdroje, v\u010Detn\u011B z\xE1loh a redundanc\xED\
            ;"
        it:
          description: risorse necessarie, inclusi backup e ridondanze;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.1.2.h
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.1.2
      ref_id: 4.1.2.h
      description: restoring and resuming activities from temporary measures.
      translations:
        fr:
          description: "activit\xE9s restaur\xE9es et r\xE9tablies \xE0 partir de\
            \ mesures temporaires."
        es:
          description: "restablecimiento y reanudaci\xF3n de las actividades a partir\
            \ de medidas temporales."
        cs:
          description: "obnoven\xED \u010Dinnost\xED po do\u010Dasn\xFDch opat\u0159\
            en\xEDch a pokra\u010Dov\xE1n\xED v t\u011Bchto \u010Dinnostech."
        it:
          description: "ripristino e ripresa delle attivit\xE0 da misure temporanee."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.1.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.1
      ref_id: 4.1.3
      description: The relevant entities shall carry out a business impact analysis
        to assess the potential impact of severe disruptions to their business operations
        and shall, based on the results of the business impact analysis, establish
        continuity requirements for the network and information systems.
      annotation: "\u2022 Based on the results of the BIA (36) and risk assessment,\
        \ the entity should establish appropriate recovery objectives, referred to\
        \ in point 4.1.2 (f) of the Annex to the regulation (indicative, non-exhaustive\
        \ list):\n    o Recovery time objectives (RTOs) to determine the maximum amount\
        \ of time allowed for the recovery of business resources and functions (e.g.\
        \ information and communications technology (ICT) systems and processes, respectively)\
        \ after a disaster occurs, for example maximum downtime of the entity\u2019\
        s website, enterprise resource planning (ERP) system or email system.\n  \
        \  o Recovery point objective (RPO) to determine how much data it is acceptable\
        \ for specific ICT activities or applications to lose. Typically, they are\
        \ measured in maximum time needed to recover data without causing unacceptable,\
        \ according to the risk assessment, damage to the entity\u2019s activities,\
        \ for example maximum recovery time for an e-commerce website, an ERP system\
        \ or an email server.\n    o Service delivery objective (SDO) to determine\
        \ the minimum level of performance that needs to be reached by business functions\
        \ during the alternate processing mode. An indicative and non- exhaustive\
        \ list of examples includes:\n        * the percentage of inbound calls to\
        \ be answered by a call centre within a specific timeframe;\n        * the\
        \ level of availability of ordering and payment systems of an e-commerce website\
        \ within a specific timeframe;\n        * the restoration time for accessing\
        \ essential shared folders via a cloud file access system; and\n        *\
        \ the timeframe within which the full functionality of the remote work infrastructure\
        \ is restored.\n    o Maximum acceptable outage (MAO) or maximum tolerable\
        \ period of disruption (MTPD) to determine the time it would take for the\
        \ potential impacts of not providing a product/service or performing an activity\
        \ to become unacceptable or significant, in accordance with the risk assessment.\
        \ Typically they are longer than RTOs. MAOs focus on service availability\
        \ while RPOs focus on data loss. An indicative and non-exhaustive list of\
        \ examples:\n        * the period of time beyond which the customer service\
        \ would be severely impacted and reputation risk increases quickly;\n    \
        \    * the longest period of time that extended outage of an e-commerce website\
        \ might result to major loss of sales and customer trust;\n        * the longest\
        \ period of time that shared access to project files may halt collaboration\
        \ or decision-making in case that data is stored in cloud; and\n        *\
        \ the maximum acceptable outage for remote work infrastructure beyond which\
        \ business functions are significantly impaired and productivity losses begin\
        \ to escalate. \n\u2022 RTOs, RPOs and SDOs may be used to determine backup\
        \ and redundancy procedures.  \n\u2022 Document disaster recovery plan, taking\
        \ into account:\n    o the RTOs, RPOs and SDOs; and\n    o compliance with\
        \ applicable regulations and legislation.\n\n(36) Consider the following standards:\
        \ ISO/TS 22317:2021 and NIST special publication 800-34. For definitions of\
        \ terms, refer to ISO 22300:2021."
      typical_evidence: "\u2022 Documented BIA with specific recovery objectives.\
        \ \n\u2022 Processes, procedures and measures to ensure the required level\
        \ of continuity in disruptive situations."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es effectuent un bilan d\u2019impact\
            \ sur l\u2019activit\xE9 afin d\u2019\xE9valuer l\u2019impact potentiel\
            \ de perturbations graves de leurs op\xE9rations et d\xE9finissent, sur\
            \ la base des r\xE9sultats du bilan d\u2019impact sur l\u2019activit\xE9\
            , des exigences de continuit\xE9 pour les r\xE9seaux et les syst\xE8mes\
            \ d\u2019information."
          annotation: "\u2022 Sur la base des r\xE9sultats de la BIA (36) et de l'\xE9\
            valuation des risques, l'entit\xE9 doit \xE9tablir des objectifs de r\xE9\
            tablissement appropri\xE9s, vis\xE9s au point 4.1.2 f) de l'annexe du\
            \ r\xE8glement (liste indicative et non exhaustive) :\n    o  Objectifs\
            \ de temps de r\xE9tablissement (RTO) pour d\xE9terminer le d\xE9lai maximal\
            \ accord\xE9 pour le r\xE9tablissement des ressources et des fonctions\
            \ de l'entreprise (par exemple, les syst\xE8mes et les processus li\xE9\
            s aux technologies de l'information et de la communication (TIC)) apr\xE8\
            s la survenue d'un sinistre. les syst\xE8mes et processus des technologies\
            \ de l'information et de la communication (TIC), respectivement) apr\xE8\
            s une catastrophe, par exemple le temps d'indisponibilit\xE9 maximal du\
            \ site web de l'entit\xE9, de son syst\xE8me de planification des ressources\
            \ de l'entreprise (ERP) ou de son syst\xE8me de messagerie \xE9lectronique.\n\
            \    o  Objectif de point de r\xE9cup\xE9ration (RPO) pour d\xE9terminer\
            \ la quantit\xE9 de donn\xE9es qu'il est acceptable de perdre dans le\
            \ cadre d'activit\xE9s ou d'applications TIC sp\xE9cifiques. G\xE9n\xE9\
            ralement, ils sont mesur\xE9s en temps maximum n\xE9cessaire pour r\xE9\
            cup\xE9rer les donn\xE9es sans causer de dommages inacceptables, selon\
            \ l'\xE9valuation des risques, aux activit\xE9s de l'entit\xE9, par exemple\
            \ le temps maximum de r\xE9cup\xE9ration pour un site web de commerce\
            \ \xE9lectronique, un syst\xE8me ERP ou un serveur de courrier \xE9lectronique.\n\
            \    o  Objectif de fourniture de services (SDO) pour d\xE9terminer le\
            \ niveau minimum de performance qui doit \xEAtre atteint par les fonctions\
            \ de l'entreprise pendant le mode de traitement alternatif. Une liste\
            \ indicative et non exhaustive d'exemples comprend :\n        * le pourcentage\
            \ d'appels entrants auxquels un centre d'appel doit r\xE9pondre dans un\
            \ d\xE9lai donn\xE9 ;\n        * le niveau de disponibilit\xE9 des syst\xE8\
            mes de commande et de paiement d'un site web de commerce \xE9lectronique\
            \ dans un d\xE9lai sp\xE9cifique ;\n        * le temps de restauration\
            \ pour acc\xE9der \xE0 des dossiers partag\xE9s essentiels via un syst\xE8\
            me d'acc\xE8s aux fichiers en nuage ; et\n        * le d\xE9lai dans lequel\
            \ la fonctionnalit\xE9 compl\xE8te de l'infrastructure de travail \xE0\
            \ distance est r\xE9tablie.\n    o  Interruption maximale acceptable (MAO)\
            \ ou p\xE9riode maximale tol\xE9rable de perturbation (MTPD) pour d\xE9\
            terminer le temps qu'il faudrait pour que les impacts potentiels de l'absence\
            \ de fourniture d'un produit/service ou d'ex\xE9cution d'une activit\xE9\
            \ deviennent inacceptables ou significatifs, conform\xE9ment \xE0 l'\xE9\
            valuation des risques. Elles sont g\xE9n\xE9ralement plus longues que\
            \ les OTR. Les OMA se concentrent sur la disponibilit\xE9 des services,\
            \ tandis que les OPR se concentrent sur la perte de donn\xE9es. Liste\
            \ indicative et non exhaustive d'exemples :\n        * la p\xE9riode de\
            \ temps au-del\xE0 de laquelle le service \xE0 la client\xE8le serait\
            \ gravement affect\xE9 et le risque de r\xE9putation augmenterait rapidement\
            \ ;\n        * la p\xE9riode la plus longue pendant laquelle une panne\
            \ prolong\xE9e d'un site web de commerce \xE9lectronique pourrait entra\xEE\
            ner une perte importante de ventes et de confiance de la part des clients\
            \ ;\n        * la p\xE9riode la plus longue pendant laquelle l'acc\xE8\
            s partag\xE9 aux fichiers d'un projet peut interrompre la collaboration\
            \ ou la prise de d\xE9cision si les donn\xE9es sont stock\xE9es dans le\
            \ nuage ; et\n        * la dur\xE9e maximale d'interruption acceptable\
            \ de l'infrastructure de travail \xE0 distance, au-del\xE0 de laquelle\
            \ les fonctions de l'entreprise sont consid\xE9rablement alt\xE9r\xE9\
            es et les pertes de productivit\xE9 commencent \xE0 s'aggraver. \n\u2022\
            \ Les RTO, RPO et SDO peuvent \xEAtre utilis\xE9s pour d\xE9terminer les\
            \ proc\xE9dures de sauvegarde et de redondance.  \n\u2022 Documenter le\
            \ plan de reprise apr\xE8s sinistre en tenant compte :\n    o  des RTO,\
            \ RPO et SDO ; et\n    o  de la conformit\xE9 avec la r\xE9glementation\
            \ et la l\xE9gislation applicables.\n\n(36) Prendre en compte les normes\
            \ suivantes : ISO/TS 22317:2021 et la publication sp\xE9ciale 800-34 du\
            \ NIST. Pour la d\xE9finition des termes, voir ISO 22300:2021."
          typical_evidence: "\u2022 BIA document\xE9e avec des objectifs de r\xE9\
            cup\xE9ration sp\xE9cifiques. \n\u2022 Processus, proc\xE9dures et mesures\
            \ pour assurer le niveau requis de continuit\xE9 dans les situations perturbatrices."
        es:
          description: "Las entidades pertinentes realizar\xE1n un an\xE1lisis de\
            \ impacto operativo para evaluar el posible impacto de las perturbaciones\
            \ graves en sus operaciones y establecer\xE1n, a partir de los resultados\
            \ de dicho an\xE1lisis, requisitos de continuidad para los sistemas de\
            \ redes y de informaci\xF3n."
          annotation: "\u2022 Sobre la base de los resultados del BIA (36) y de la\
            \ evaluaci\xF3n de riesgos, la entidad debe establecer objetivos de recuperaci\xF3\
            n adecuados, a los que se hace referencia en el punto 4.1.2 (f) del anexo\
            \ del Reglamento (lista indicativa, no exhaustiva):\n    o Objetivos de\
            \ tiempo de recuperaci\xF3n (RTO) para determinar la cantidad m\xE1xima\
            \ de tiempo permitido para la recuperaci\xF3n de los recursos y funciones\
            \ de negocio (por ejemplo p. ej., sistemas y procesos de tecnolog\xED\
            as de la informaci\xF3n y la comunicaci\xF3n (TIC), respectivamente) tras\
            \ producirse una cat\xE1strofe, por ejemplo, tiempo m\xE1ximo de inactividad\
            \ del sitio web de la entidad, del sistema de planificaci\xF3n de recursos\
            \ empresariales (ERP) o del sistema de correo electr\xF3nico.\n    o Objetivo\
            \ de punto de recuperaci\xF3n (OPR) para determinar cu\xE1ntos datos es\
            \ aceptable que pierdan determinadas actividades o aplicaciones de TIC.\
            \ Normalmente, se miden en tiempo m\xE1ximo necesario para recuperar los\
            \ datos sin causar da\xF1os inaceptables, seg\xFAn la evaluaci\xF3n de\
            \ riesgos, a las actividades de la entidad, por ejemplo, tiempo m\xE1\
            ximo de recuperaci\xF3n para un sitio web de comercio electr\xF3nico,\
            \ un sistema ERP o un servidor de correo electr\xF3nico.\n    o Objetivo\
            \ de prestaci\xF3n de servicios (SDO) para determinar el nivel m\xEDnimo\
            \ de rendimiento que deben alcanzar las funciones empresariales durante\
            \ el modo de procesamiento alternativo. Una lista indicativa y no exhaustiva\
            \ de ejemplos incluye:\n        * el porcentaje de llamadas entrantes\
            \ que debe responder un centro de llamadas en un plazo determinado\n \
            \       * el nivel de disponibilidad de los sistemas de pedido y pago\
            \ de un sitio web de comercio electr\xF3nico en un plazo determinado;\n\
            \        * el tiempo de restauraci\xF3n para acceder a carpetas compartidas\
            \ esenciales a trav\xE9s de un sistema de acceso a archivos en la nube;\
            \ y\n        * el plazo en el que se restablece la plena funcionalidad\
            \ de la infraestructura de trabajo a distancia.\n    o Interrupci\xF3\
            n m\xE1xima aceptable (MAO) o periodo m\xE1ximo tolerable de interrupci\xF3\
            n (MTPD) para determinar el tiempo que tardar\xEDa en ser inaceptable\
            \ o significativo el impacto potencial de no suministrar un producto/servicio\
            \ o realizar una actividad, de acuerdo con la evaluaci\xF3n de riesgos.\
            \ Suelen ser m\xE1s largos que los RTO. Los MAO se centran en la disponibilidad\
            \ del servicio, mientras que los RPO se centran en la p\xE9rdida de datos.\
            \ Una lista indicativa y no exhaustiva de ejemplos:\n        * el periodo\
            \ de tiempo m\xE1s all\xE1 del cual el servicio al cliente se ver\xED\
            a gravemente afectado y el riesgo para la reputaci\xF3n aumenta r\xE1\
            pidamente;\n        * el periodo de tiempo m\xE1s largo en el que una\
            \ interrupci\xF3n prolongada de un sitio web de comercio electr\xF3nico\
            \ podr\xEDa provocar una p\xE9rdida importante de ventas y de la confianza\
            \ de los clientes;\n        * el periodo de tiempo m\xE1s largo en el\
            \ que el acceso compartido a los archivos de un proyecto puede detener\
            \ la colaboraci\xF3n o la toma de decisiones en caso de que los datos\
            \ est\xE9n almacenados en la nube; y\n        * la interrupci\xF3n m\xE1\
            xima aceptable para la infraestructura de trabajo remoto m\xE1s all\xE1\
            \ de la cual las funciones empresariales se ven significativamente perjudicadas\
            \ y las p\xE9rdidas de productividad empiezan a aumentar. \n\u2022 Los\
            \ RTO, RPO y SDO pueden utilizarse para determinar los procedimientos\
            \ de copia de seguridad y redundancia.  \n\u2022 Documentar el plan de\
            \ recuperaci\xF3n en caso de cat\xE1strofe, teniendo en cuenta:\n    o\
            \ los RTO, RPO y SDO; y\n    o el cumplimiento de la normativa y legislaci\xF3\
            n aplicables.\n\n(36) Tener en cuenta las siguientes normas ISO/TS 22317:2021\
            \ y la publicaci\xF3n especial 800-34 del NIST. Para las definiciones\
            \ de t\xE9rminos, consulte ISO 22300:2021."
          typical_evidence: "\u2022 BIA documentado con objetivos espec\xEDficos de\
            \ recuperaci\xF3n. \n\u2022 Procesos, procedimientos y medidas para asegurar\
            \ el nivel requerido de continuidad en situaciones disruptivas."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty provedou anal\xFDzu obchodn\xED\
            ho dopadu, aby posoudily potenci\xE1ln\xED dopady z\xE1va\u017En\xFDch\
            \ naru\u0161en\xED na jejich obchodn\xED operace, a na z\xE1klad\u011B\
            \ v\xFDsledk\u016F anal\xFDzy obchodn\xEDho dopadu stanov\xED po\u017E\
            adavky na zachov\xE1n\xED provozu pro s\xEDt\u011B a informa\u010Dn\xED\
            \ syst\xE9my."
          annotation: "\u2022 Na z\xE1klad\u011B v\xFDsledk\u016F BIA (36) a posouzen\xED\
            \ rizik by m\u011Bl subjekt stanovit vhodn\xE9 c\xEDle obnovy uveden\xE9\
            \ v bod\u011B 4.1.2 p\xEDsm. f) p\u0159\xEDlohy na\u0159\xEDzen\xED (orienta\u010D\
            n\xED, ne\xFApln\xFD seznam):\n    o C\xEDle doby obnovy (RTO) pro stanoven\xED\
            \ maxim\xE1ln\xEDho \u010Dasu ur\u010Den\xE9ho pro obnovu podnikov\xFD\
            ch zdroj\u016F a funkc\xED (nap\u0159. nap\u0159. syst\xE9m\u016F a proces\u016F\
            \ informa\u010Dn\xEDch a komunika\u010Dn\xEDch technologi\xED (ICT) po\
            \ vzniku katastrofy, nap\u0159\xEDklad maxim\xE1ln\xED doba v\xFDpadku\
            \ webov\xFDch str\xE1nek subjektu, syst\xE9mu pl\xE1nov\xE1n\xED podnikov\xFD\
            ch zdroj\u016F (ERP) nebo syst\xE9mu elektronick\xE9 po\u0161ty.\n   \
            \ o C\xEDl bodu obnovy (RPO) k ur\u010Den\xED, kolik dat je p\u0159ijateln\xE9\
            \ ztratit v p\u0159\xEDpad\u011B konkr\xE9tn\xEDch \u010Dinnost\xED nebo\
            \ aplikac\xED ICT. Obvykle se m\u011B\u0159\xED v maxim\xE1ln\xED dob\u011B\
            \ pot\u0159ebn\xE9 k obnoven\xED dat, ani\u017E by do\u0161lo k nep\u0159\
            ijateln\xE9mu, podle posouzen\xED rizik, po\u0161kozen\xED \u010Dinnost\xED\
            \ subjektu, nap\u0159\xEDklad maxim\xE1ln\xED doba obnovy webov\xFDch\
            \ str\xE1nek elektronick\xE9ho obchodu, syst\xE9mu ERP nebo e-mailov\xE9\
            ho serveru.\n    o C\xEDl poskytov\xE1n\xED slu\u017Eeb (SDO) pro ur\u010D\
            en\xED minim\xE1ln\xED \xFArovn\u011B v\xFDkonu, kter\xE9 mus\xED obchodn\xED\
            \ funkce dos\xE1hnout b\u011Bhem alternativn\xEDho re\u017Eimu zpracov\xE1\
            n\xED. Orienta\u010Dn\xED a ne\xFApln\xFD seznam p\u0159\xEDklad\u016F\
            \ zahrnuje:\n        * procento p\u0159\xEDchoz\xEDch hovor\u016F, kter\xE9\
            \ m\xE1 call centrum vy\u0159\xEDdit v ur\u010Dit\xE9m \u010Dasov\xE9\
            m r\xE1mci;\n        * \xFArove\u0148 dostupnosti objedn\xE1vkov\xFDch\
            \ a platebn\xEDch syst\xE9m\u016F webov\xFDch str\xE1nek elektronick\xE9\
            ho obchodu v ur\u010Dit\xE9m \u010Dasov\xE9m r\xE1mci;\n        * doba\
            \ obnoven\xED p\u0159\xEDstupu k z\xE1kladn\xEDm sd\xEDlen\xFDm slo\u017E\
            k\xE1m prost\u0159ednictv\xEDm syst\xE9mu pro p\u0159\xEDstup k soubor\u016F\
            m v cloudu a\n        * \u010Dasov\xFD r\xE1mec, v n\u011Bm\u017E je obnovena\
            \ pln\xE1 funk\u010Dnost infrastruktury pro pr\xE1ci na d\xE1lku.\n  \
            \  o Maxim\xE1ln\xED p\u0159ijateln\xE1 doba v\xFDpadku (MAO) nebo maxim\xE1\
            ln\xED p\u0159ijateln\xE1 doba naru\u0161en\xED (MTPD) pro ur\u010Den\xED\
            \ doby, za kterou by se potenci\xE1ln\xED dopady neposkytov\xE1n\xED produktu/slu\u017E\
            by nebo neprov\xE1d\u011Bn\xED \u010Dinnosti staly nep\u0159ijateln\xFD\
            mi nebo v\xFDznamn\xFDmi, v souladu s posouzen\xEDm rizik. Obvykle jsou\
            \ del\u0161\xED ne\u017E RTO. MAO se zam\u011B\u0159uj\xED na dostupnost\
            \ slu\u017Eeb, zat\xEDmco RPO se zam\u011B\u0159uj\xED na ztr\xE1tu dat.\
            \ Orienta\u010Dn\xED a ne\xFApln\xFD seznam p\u0159\xEDklad\u016F:\n \
            \       * doba, po jej\xEDm\u017E p\u0159ekro\u010Den\xED by byly slu\u017E\
            by z\xE1kazn\xEDk\u016Fm v\xE1\u017En\u011B ovlivn\u011Bny a riziko po\u0161\
            kozen\xED pov\u011Bsti by se rychle zvy\u0161ovalo;\n        * nejdel\u0161\
            \xED doba, po kterou by prodlou\u017Een\xFD v\xFDpadek webov\xFDch str\xE1\
            nek elektronick\xE9ho obchodu mohl v\xE9st k v\xFDznamn\xE9 ztr\xE1t\u011B\
            \ prodeje a d\u016Fv\u011Bry z\xE1kazn\xEDk\u016F;\n        * nejdel\u0161\
            \xED doba, po kterou m\u016F\u017Ee sd\xEDlen\xFD p\u0159\xEDstup k projektov\xFD\
            m soubor\u016Fm zastavit spolupr\xE1ci nebo rozhodov\xE1n\xED v p\u0159\
            \xEDpad\u011B, \u017Ee jsou tato data ulo\u017Eena v cloudu, a\n     \
            \   * maxim\xE1ln\xED p\u0159ijateln\xFD v\xFDpadek infrastruktury pro\
            \ vzd\xE1lenou pr\xE1ci, po jeho\u017E p\u0159ekro\u010Den\xED doch\xE1\
            z\xED k v\xFDznamn\xE9mu naru\u0161en\xED obchodn\xEDch funkc\xED a ztr\xE1\
            ty produktivity se za\u010D\xEDnaj\xED stup\u0148ovat. \n\u2022 RTO, RPO\
            \ a SDO mohou b\xFDt pou\u017Eity ke stanoven\xED z\xE1lohovac\xEDch a\
            \ redundan\u010Dn\xEDch postup\u016F.  \n\u2022 Zdokumentujte pl\xE1n\
            \ obnovy po hav\xE1rii s p\u0159ihl\xE9dnut\xEDm k:\n    o RTO, RPO a\
            \ SDO a\n    o souladu s platn\xFDmi p\u0159edpisy a legislativou.\n\n\
            (36) Zohledn\u011Bte n\xE1sleduj\xEDc\xED normy: ISO/TS 22317:2021 a speci\xE1\
            ln\xED publikaci NIST 800-34. Definice pojm\u016F naleznete v norm\u011B\
            \ ISO 22300:2021."
          typical_evidence: "\u2022 Zdokumentovan\xE1 BIA s konkr\xE9tn\xEDmi c\xED\
            li vyu\u017Eit\xED. \n\u2022 Procesy, postupy a opat\u0159en\xED k zaji\u0161\
            t\u011Bn\xED po\u017Eadovan\xE9 \xFArovn\u011B kontinuity v ru\u0161iv\xFD\
            ch situac\xEDch."
        it:
          description: "I soggetti pertinenti effettuano un'analisi dell'impatto sulle\
            \ attivit\xE0 per valutare l'impatto potenziale di gravi perturbazioni\
            \ delle loro operazioni commerciali e, sulla base dei risultati dell'analisi\
            \ dell'impatto sulle attivit\xE0, stabiliscono i requisiti di continuit\xE0\
            \ per la rete e i sistemi informativi."
          annotation: "\u2022 Sulla base dei risultati della BIA (36) e della valutazione\
            \ dei rischi, l'entit\xE0 deve stabilire obiettivi di ripristino appropriati,\
            \ di cui al punto 4.1.2 (f) dell'allegato al regolamento (elenco indicativo\
            \ e non esaustivo):\n    o Obiettivi di tempo di ripristino (RTO) per\
            \ determinare il tempo massimo consentito per il ripristino delle risorse\
            \ e delle funzioni aziendali (ad esempio, sistemi e processi di tecnologia\
            \ dell'informazione e della comunicazione (TIC)) dopo un disastro, ad\
            \ esempio il tempo massimo di inattivit\xE0 del sito web, del sistema\
            \ di pianificazione delle risorse aziendali (ER) o del sistema di posta\
            \ elettronica. sistemi e processi delle tecnologie dell'informazione e\
            \ della comunicazione (TIC), rispettivamente) dopo il verificarsi di un\
            \ disastro, ad esempio il tempo massimo di inattivit\xE0 del sito web,\
            \ del sistema di pianificazione delle risorse aziendali (ERP) o del sistema\
            \ di posta elettronica dell'ente.\n    o Obiettivo del punto di ripristino\
            \ (RPO) per determinare la quantit\xE0 di dati che \xE8 accettabile perdere\
            \ per specifiche attivit\xE0 o applicazioni TIC. In genere, sono misurati\
            \ nel tempo massimo necessario per recuperare i dati senza causare danni\
            \ inaccettabili, secondo la valutazione del rischio, alle attivit\xE0\
            \ dell'ente, ad esempio il tempo massimo di recupero per un sito web di\
            \ e-commerce, un sistema ERP o un server di posta elettronica.\n    o\
            \ Obiettivo di fornitura del servizio (SDO) per determinare il livello\
            \ minimo di prestazioni che deve essere raggiunto dalle funzioni aziendali\
            \ durante la modalit\xE0 di elaborazione alternativa. Un elenco indicativo\
            \ e non esaustivo di esempi comprende:\n        * la percentuale di chiamate\
            \ in entrata a cui un call center deve rispondere entro un determinato\
            \ periodo di tempo;\n        * il livello di disponibilit\xE0 dei sistemi\
            \ di ordinazione e di pagamento di un sito web di e-commerce entro un\
            \ determinato lasso di tempo;\n        * il tempo di ripristino per l'accesso\
            \ a cartelle condivise essenziali tramite un sistema di accesso ai file\
            \ nel cloud; e\n        * il tempo di ripristino della piena funzionalit\xE0\
            \ dell'infrastruttura di lavoro remoto.\n    o Massima interruzione accettabile\
            \ (MAO) o massimo periodo di interruzione tollerabile (MTPD) per determinare\
            \ il tempo necessario affinch\xE9 gli impatti potenziali della mancata\
            \ fornitura di un prodotto/servizio o dell'esecuzione di un'attivit\xE0\
            \ diventino inaccettabili o significativi, in base alla valutazione del\
            \ rischio. In genere sono pi\xF9 lunghe delle RTO. Le MAO si concentrano\
            \ sulla disponibilit\xE0 del servizio, mentre le RPO sulla perdita di\
            \ dati. Un elenco indicativo e non esaustivo di esempi:\n        * il\
            \ periodo di tempo oltre il quale il servizio clienti subirebbe un grave\
            \ impatto e il rischio di reputazione aumenterebbe rapidamente;\n    \
            \    * il periodo di tempo pi\xF9 lungo in cui un'interruzione prolungata\
            \ di un sito web di e-commerce potrebbe comportare un'importante perdita\
            \ di vendite e di fiducia da parte dei clienti;\n        * il periodo\
            \ di tempo pi\xF9 lungo in cui l'accesso condiviso ai file di un progetto\
            \ pu\xF2 bloccare la collaborazione o il processo decisionale, nel caso\
            \ in cui i dati siano archiviati nel cloud.\n        * l'interruzione\
            \ massima accettabile per l'infrastruttura di lavoro remoto, oltre la\
            \ quale le funzioni aziendali sono significativamente compromesse e le\
            \ perdite di produttivit\xE0 iniziano ad aumentare. \n\u2022 Gli RTO,\
            \ gli RPO e gli SDO possono essere utilizzati per determinare le procedure\
            \ di backup e ridondanza.  \n\u2022 Documentare il piano di ripristino\
            \ in caso di disastro, tenendo conto:\n    o degli RTO, RPO e SDO; e\n\
            \    o della conformit\xE0 ai regolamenti e alla legislazione applicabili.\n\
            \n(36) Considerare i seguenti standard: ISO/TS 22317:2021 e pubblicazione\
            \ speciale 800-34 del NIST. Per le definizioni dei termini, fare riferimento\
            \ alla norma ISO 22300:2021."
          typical_evidence: "\u2022 BIA documentato con specifici obiettivi di recupero.\
            \ \n\u2022 Processi, procedure e misure per garantire il livello di continuit\xE0\
            \ richiesto in situazioni dirompenti."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.1.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.1
      ref_id: 4.1.4
      description: The business continuity plan and disaster recovery plan shall be
        tested, reviewed and, where appropriate, updated at planned intervals and
        following significant incidents or significant changes to operations or risks.
        The relevant entities shall ensure that the plans incorporate lessons learnt
        from such tests.
      annotation: "\u2022 Test, review and, if necessary, update the business continuity\
        \ and disaster recovery plans at least annually. \n\u2022 Choose and combine\
        \ method(s) to test the business continuity and disaster recovery plans, such\
        \ as:\n    o alternative locations for personnel;\n    o disaster recovery\
        \ locations \u2013 hot sites;\n    o digital twins;\n    o simulations;\n\
        \    o table top exercises. \n\u2022 Test business continuity and disaster\
        \ recovery plans regularly, taking into account:\n    o change logs;\n   \
        \ o past incidents; and\n    o results of previous tests. \n\u2022 Where appropriate,\
        \ test the disaster recovery plan at an alternate processing site to:\n  \
        \  o familiarize related personnel with the facility and available resources;\
        \ and\n    o evaluate the capabilities of the alternate processing site to\
        \ support operations. \n\u2022 Test data centre infrastructure for:\n    o\
        \ availability;\n    o auto failover;\n    o power failover between power\
        \ providers and/or power provider to backup (for example generators or batteries);\
        \ and\n    o resilience to maintain service to customers. \n\u2022 Define\
        \ full recovery and reconstitution of the information system to a known state\
        \ as part of the disaster recovery plan testing. \n\u2022 Update business\
        \ continuity and disaster recovery plans and related measures based on:\n\
        \    o change logs;\n    o past incidents;\n    o documented results of the\
        \ continuity of operations test activities; and\n    o records of individual\
        \ training activities. \n\u2022 Review change logs and documented results\
        \ from past tests on business continuity and disaster recovery plans to ensure\
        \ that the plans incorporate lessons learnt from such tests. \n\u2022 Review\
        \ and, if necessary, update roles and responsibilities.   \n\u2022 Review\
        \ dependent third parties\u2019 disaster recovery plans to ensure that the\
        \ plans meet entity\u2019s business continuity requirements. \n\u2022 Communicate\
        \ changes to business continuity and disaster recovery plans to related key\
        \ personnel.\n\n[TIPS]\n\n\u2022 In addition to the elements referred to in\
        \ point 4.1.2 of the Annex to the regulation, the business continuity plan\
        \ might address:\n    o management commitment;\n    o coordination among organisational\
        \ units;\n    o communication plan;\n    o compliance with laws;\n    o metrics\
        \ for measuring the successful implementation of the plan. \n\u2022 Protect\
        \ the business continuity and disaster recovery plans from unauthorized disclosure\
        \ and modification. \n\u2022 Ensure that business continuity and disaster\
        \ recovery plans are easily accessible during a system outage. An indicative,\
        \ non-exhaustive list of options to achieve this:\n    o physical copies;\n\
        \    o cloud storage;\n    o external drives;\n    o mobile access. \n\u2022\
        \ Distribute copies of the business continuity plan to the related key personnel.\
        \ \n\u2022 Monitor the activation and execution of the business continuity\
        \ plan registering successful and failed recovery times. \n\u2022 Add a reference\
        \ or a description / connection with the incident handling policy, plan and\
        \ procedures into the business continuity plan. \n\u2022 Coordinate the business\
        \ continuity plan with the respective plans of external service providers\
        \ to ensure that continuity requirements are satisfied \n\u2022 Train key\
        \ personnel involved in continuity operations. \n\u2022 Set up procedures\
        \ in regard to the appropriate communication channels with the (inter)national\
        \ competent authorities, including disaster management organisations and disaster-relief\
        \ teams. \n\u2022 Regularly train the responsible personnel in disaster recovery\
        \ operations. \n\u2022 Implement contingency plans for systems based on scenarios.\
        \   \n\u2022 Monitor the activation and execution of contingency plans, registering\
        \ successful and failed RTOs, RPOs and SDOs. \n\u2022 Implement contingency\
        \ plans for high criticality dependent and inter-dependent sectors and services."
      typical_evidence: "\u2022 Documented plans or schedules for future tests. \n\
        \u2022 Records from previous tests, reviews and possible updates. \n\u2022\
        \ Logs of activation and execution of business continuity and disaster recovery\
        \ plans, including decisions taken, steps followed and final recovery time.\
        \ \n\u2022 Communications, for example emails, documents and intranet announcements,\
        \ concerning changes to the business continuity and disaster recovery plans.\
        \ \n\u2022 Evidences that lessons learnt from past tests are incorporated\
        \ into the plans, for example workflow changes and updated plans.\n\n[TIPS]\n\
        \n\u2022 Measures, for example encryption and access control, for protecting\
        \ business continuity and disaster recovery plans from unauthorized disclosure\
        \ and modification. \n\u2022 Up-to-date organisational structures widely communicated.\
        \ \n\u2022 Decision process for activating contingency plans. \n\u2022 Contingency\
        \ plans for systems, including clear steps and procedures for common threats,\
        \ triggers for activation, steps and defined RTOs, RPOs and SDOs. \n\u2022\
        \ Logs of activation and execution of contingency plans, including decisions\
        \ taken, steps followed and final recovery time."
      translations:
        fr:
          description: "Le plan de continuit\xE9 de l'activit\xE9 et le plan de r\xE9\
            tablissement sont test\xE9s, r\xE9examin\xE9s et, s\u2019il est besoin,\
            \ mis \xE0 jour \xE0 intervalles pr\xE9d\xE9finis, ainsi qu\u2019en cas\
            \ d\u2019incidents importants ou lorsque des changements majeurs concernant\
            \ les op\xE9rations ou les risques se produisent. Les entit\xE9s concern\xE9\
            es veillent \xE0 ce que les plans tiennent compte des enseignements tir\xE9\
            s de ces tests."
          annotation: "\u2022 Tester, r\xE9viser et, si n\xE9cessaire, mettre \xE0\
            \ jour les plans de continuit\xE9 des activit\xE9s et de reprise apr\xE8\
            s sinistre au moins une fois par an.\n\u2022 Choisir et combiner des m\xE9\
            thodes pour tester les plans de continuit\xE9 des activit\xE9s et de reprise\
            \ apr\xE8s sinistre, telles que :\n    o des lieux alternatifs pour le\
            \ personnel ;\n    o des lieux de reprise apr\xE8s sinistre - hot sites\
            \ ;\n    o des jumeaux num\xE9riques ;\n    o des simulations ;\n    o\
            \ des exercices sur table.\n\u2022 Tester r\xE9guli\xE8rement les plans\
            \ de continuit\xE9 des activit\xE9s et de reprise apr\xE8s sinistre, en\
            \ tenant compte :\n    o des journaux des modifications ;\n    o des incidents\
            \ pass\xE9s ; et\n    o des r\xE9sultats des tests pr\xE9c\xE9dents.\n\
            \u2022 Le cas \xE9ch\xE9ant, tester le plan de reprise apr\xE8s sinistre\
            \ sur un autre site de traitement afin :\n    o de familiariser le personnel\
            \ concern\xE9 avec les installations et les ressources disponibles ; et\n\
            \    o d'\xE9valuer la capacit\xE9 de l'autre site de traitement \xE0\
            \ soutenir les op\xE9rations.\n\u2022 Tester l'infrastructure du centre\
            \ de donn\xE9es en ce qui concerne :\n    o la disponibilit\xE9 ;\n  \
            \  o le basculement automatique ;\n    o le basculement de l'alimentation\
            \ entre les fournisseurs d'\xE9lectricit\xE9 et/ou entre le fournisseur\
            \ d'\xE9lectricit\xE9 et le syst\xE8me de secours (par exemple des g\xE9\
            n\xE9rateurs ou des batteries) ; et\n    o la r\xE9silience afin de maintenir\
            \ le service aux clients.\n\u2022 D\xE9finir la reprise compl\xE8te et\
            \ la reconstitution du syst\xE8me d'information \xE0 un \xE9tat connu\
            \ dans le cadre des tests du plan de reprise apr\xE8s sinistre. \n\u2022\
            \ Mettre \xE0 jour les plans de continuit\xE9 des activit\xE9s et de reprise\
            \ apr\xE8s sinistre, ainsi que les mesures connexes, sur la base :\n \
            \   o des registres des modifications ;\n    o des incidents pass\xE9\
            s ;\n    o des r\xE9sultats document\xE9s des activit\xE9s de test de\
            \ la continuit\xE9 des op\xE9rations ; et\n    o des enregistrements des\
            \ activit\xE9s de formation individuelle.\n\u2022 Examiner les registres\
            \ des modifications et les r\xE9sultats document\xE9s des tests ant\xE9\
            rieurs des plans de continuit\xE9 des activit\xE9s et de reprise apr\xE8\
            s sinistre pour s'assurer que les plans int\xE8grent les enseignements\
            \ tir\xE9s de ces tests. \n\u2022 Examiner et, si n\xE9cessaire, mettre\
            \ \xE0 jour les r\xF4les et les responsabilit\xE9s.   \n\u2022 Examiner\
            \ les plans de reprise apr\xE8s sinistre des tiers d\xE9pendants pour\
            \ s'assurer qu'ils r\xE9pondent aux exigences de l'entit\xE9 en mati\xE8\
            re de continuit\xE9 des activit\xE9s. \n\u2022 Communiquer les modifications\
            \ apport\xE9es aux plans de continuit\xE9 des activit\xE9s et de reprise\
            \ apr\xE8s sinistre au personnel cl\xE9 concern\xE9.\n\n[CONSEILS]\n\n\
            \u2022 Outre les \xE9l\xE9ments vis\xE9s au point 4.1.2 de l'annexe du\
            \ r\xE8glement, le plan de continuit\xE9 des activit\xE9s peut porter\
            \ sur :\n    o l'engagement de la direction ;\n    o la coordination entre\
            \ les unit\xE9s organisationnelles ;\n    o le plan de communication ;\n\
            \    o le respect des lois ;\n    o les param\xE8tres permettant de mesurer\
            \ la r\xE9ussite de la mise en \u0153uvre du plan.\n\u2022 Prot\xE9ger\
            \ les plans de continuit\xE9 des activit\xE9s et de reprise apr\xE8s sinistre\
            \ contre toute divulgation ou modification non autoris\xE9e. \n\u2022\
            \ Veiller \xE0 ce que les plans de continuit\xE9 des activit\xE9s et de\
            \ reprise apr\xE8s sinistre soient facilement accessibles en cas d'interruption\
            \ du syst\xE8me. Une liste indicative et non exhaustive d'options pour\
            \ y parvenir :\n    o copies physiques ;\n    o stockage en nuage ;\n\
            \    o disques externes ;\n    o acc\xE8s mobile.\n\u2022 Distribuer des\
            \ copies du plan de continuit\xE9 des activit\xE9s au personnel cl\xE9\
            \ concern\xE9. \n\u2022 Contr\xF4ler l'activation et l'ex\xE9cution du\
            \ plan de continuit\xE9 des activit\xE9s en enregistrant les temps de\
            \ reprise r\xE9ussis et \xE9chou\xE9s. \n\u2022 Ajouter au plan de continuit\xE9\
            \ des activit\xE9s une r\xE9f\xE9rence ou une description/liaison avec\
            \ la politique, le plan et les proc\xE9dures de traitement des incidents.\
            \ \n\u2022 Coordonner le plan de continuit\xE9 des activit\xE9s avec les\
            \ plans respectifs des prestataires de services externes afin de s'assurer\
            \ que les exigences en mati\xE8re de continuit\xE9 sont satisfaites. \n\
            \u2022 Former le personnel cl\xE9 impliqu\xE9 dans les op\xE9rations de\
            \ continuit\xE9. \n\u2022 Mettre en place des proc\xE9dures concernant\
            \ les canaux de communication appropri\xE9s avec les autorit\xE9s comp\xE9\
            tentes (inter)nationales, y compris les organisations de gestion des catastrophes\
            \ et les \xE9quipes de secours en cas de catastrophe. \n\u2022 Former\
            \ r\xE9guli\xE8rement le personnel responsable aux op\xE9rations de reprise\
            \ apr\xE8s sinistre. \n\u2022 Mettre en \u0153uvre des plans d'urgence\
            \ pour les syst\xE8mes sur la base de sc\xE9narios.   \n\u2022 Contr\xF4\
            ler l'activation et l'ex\xE9cution des plans d'urgence, en enregistrant\
            \ les RTO, RPO et SDO r\xE9ussis et \xE9chou\xE9s. \n\u2022 Mettre en\
            \ \u0153uvre des plans d'urgence pour les secteurs et services d\xE9pendants\
            \ et interd\xE9pendants de haute criticit\xE9."
          typical_evidence: "\u2022 Plans ou calendriers document\xE9s pour les tests\
            \ futurs. \n\u2022 Enregistrements des tests pr\xE9c\xE9dents, des revues\
            \ et des \xE9ventuelles mises \xE0 jour. \n\u2022 Journaux d\u2019activation\
            \ et d\u2019ex\xE9cution des plans de continuit\xE9 des activit\xE9s et\
            \ de reprise apr\xE8s sinistre, y compris les d\xE9cisions prises, les\
            \ \xE9tapes suivies et le temps de r\xE9cup\xE9ration final. \n\u2022\
            \ Communications, par exemple courriels, documents et annonces intranet,\
            \ concernant les modifications apport\xE9es aux plans de continuit\xE9\
            \ des activit\xE9s et de reprise apr\xE8s sinistre. \n\u2022 Des preuves\
            \ que les le\xE7ons tir\xE9es des tests pr\xE9c\xE9dents sont int\xE9\
            gr\xE9es dans les plans, par exemple les modifications du flux de travail\
            \ et les plans mis \xE0 jour.\n\n[CONSEILS]\n\n\u2022 Des mesures, par\
            \ exemple le cryptage et le contr\xF4le d\u2019acc\xE8s, pour prot\xE9\
            ger les plans de continuit\xE9 des activit\xE9s et de reprise apr\xE8\
            s sinistre contre la divulgation et la modification non autoris\xE9es.\
            \ \n\u2022 Des structures organisationnelles modernes et largement diffus\xE9\
            es. \n\u2022 Processus de d\xE9cision pour l\u2019activation des plans\
            \ d\u2019urgence. \n\u2022 Plans d\u2019urgence pour les syst\xE8mes,\
            \ y compris des \xE9tapes et des proc\xE9dures claires pour les menaces\
            \ courantes, des d\xE9clencheurs d\u2019activation, des \xE9tapes et des\
            \ RTO, RPO et SDO d\xE9finis. \n\u2022 Journaux d\u2019activation et d\u2019\
            ex\xE9cution des plans d\u2019urgence, y compris les d\xE9cisions prises,\
            \ les \xE9tapes suivies et le temps de r\xE9cup\xE9ration final."
        es:
          description: "El plan de continuidad de las actividades y el plan de recuperaci\xF3\
            n en caso de cat\xE1strofe se probar\xE1n, revisar\xE1n y, cuando proceda,\
            \ se actualizar\xE1n a intervalos planificados o tras incidentes significativos\
            \ o cambios significativos en las operaciones o los riesgos. Las entidades\
            \ pertinentes velar\xE1n por que dichos planes engloben las conclusiones\
            \ extra\xEDdas en las pruebas."
          annotation: "\u2022 Probar, revisar y, si es necesario, actualizar los planes\
            \ de continuidad de la actividad y de recuperaci\xF3n en caso de cat\xE1\
            strofe al menos una vez al a\xF1o.\n\u2022 Elegir y combinar m\xE9todos\
            \ para probar los planes de continuidad de la actividad y de recuperaci\xF3\
            n en caso de cat\xE1strofe, como:\n    o ubicaciones alternativas para\
            \ el personal;\n    o ubicaciones de recuperaci\xF3n en caso de cat\xE1\
            strofe - hot sites;\n    o gemelos digitales;\n    o simulaciones;\n \
            \   o ejercicios de simulaci\xF3n.\n\u2022 Probar peri\xF3dicamente los\
            \ planes de continuidad de la actividad y de recuperaci\xF3n en caso de\
            \ cat\xE1strofe, teniendo en cuenta:\n    o registros de cambios;\n  \
            \  o incidentes pasados; y\n    o resultados de pruebas anteriores.\n\u2022\
            \ Cuando proceda, probar el plan de recuperaci\xF3n en caso de cat\xE1\
            strofe en un centro de procesamiento alternativo para:\n    o familiarizar\
            \ al personal relacionado con las instalaciones y los recursos disponibles;\
            \ y\n    o evaluar las capacidades del centro de procesamiento alternativo\
            \ para apoyar las operaciones.\n\u2022 Probar la infraestructura del centro\
            \ de datos para:\n    o disponibilidad;\n    o conmutaci\xF3n autom\xE1\
            tica por error;\n    o conmutaci\xF3n por error de energ\xEDa entre proveedores\
            \ de energ\xEDa y/o de proveedor de energ\xEDa a respaldo (por ejemplo,\
            \ generadores o bater\xEDas); y\n    o resiliencia para mantener el servicio\
            \ a los clientes.\n\u2022 Definir la recuperaci\xF3n total y la reconstituci\xF3\
            n del sistema de informaci\xF3n a un estado conocido como parte de las\
            \ pruebas del plan de recuperaci\xF3n en caso de cat\xE1strofe. \n\u2022\
            \ Actualizar los planes de continuidad de las operaciones y de recuperaci\xF3\
            n en caso de cat\xE1strofe y las medidas relacionadas bas\xE1ndose en:\n\
            \    o registros de cambios;\n    o incidentes pasados;\n    o resultados\
            \ documentados de las actividades de prueba de continuidad de las operaciones;\
            \ y\n    o registros de actividades de formaci\xF3n individuales.\n\u2022\
            \ Revisar los registros de cambios y los resultados documentados de pruebas\
            \ anteriores de los planes de continuidad de la actividad y de recuperaci\xF3\
            n en caso de cat\xE1strofe para garantizar que los planes incorporan las\
            \ lecciones aprendidas de dichas pruebas. \n\u2022 Revisar y, en caso\
            \ necesario, actualizar las funciones y responsabilidades.   \n\u2022\
            \ Revisar los planes de recuperaci\xF3n en caso de cat\xE1strofe de terceros\
            \ dependientes para garantizar que los planes cumplen los requisitos de\
            \ continuidad de la actividad de la entidad. \n\u2022 Comunique los cambios\
            \ en los planes de continuidad de la actividad y de recuperaci\xF3n en\
            \ caso de cat\xE1strofe al personal clave relacionado.\n\n[CONSEJOS]\n\
            \n\u2022 Adem\xE1s de los elementos mencionados en el punto 4.1.2 del\
            \ anexo del reglamento, el plan de continuidad de la actividad podr\xED\
            a abordar:\n    o el compromiso de la direcci\xF3n;\n    o la coordinaci\xF3\
            n entre las unidades organizativas;\n    o el plan de comunicaci\xF3n;\n\
            \    o el cumplimiento de la legislaci\xF3n;\n    o las m\xE9tricas para\
            \ medir el \xE9xito de la aplicaci\xF3n del plan.\n\u2022 Proteger los\
            \ planes de continuidad de la actividad y de recuperaci\xF3n en caso de\
            \ cat\xE1strofe frente a divulgaciones y modificaciones no autorizadas.\
            \ \n\u2022 Garantizar que los planes de continuidad de la actividad y\
            \ de recuperaci\xF3n en caso de cat\xE1strofe sean f\xE1cilmente accesibles\
            \ durante una interrupci\xF3n del sistema. Una lista indicativa y no exhaustiva\
            \ de opciones para lograrlo:\n    o copias f\xEDsicas;\n    o almacenamiento\
            \ en la nube;\n    o unidades externas;\n    o acceso m\xF3vil.\n\u2022\
            \ Distribuir copias del plan de continuidad de la actividad al personal\
            \ clave relacionado.\n\u2022 Supervise la activaci\xF3n y ejecuci\xF3\
            n del plan de continuidad de la actividad registrando los tiempos de recuperaci\xF3\
            n satisfactorios y fallidos. \n\u2022 A\xF1adir una referencia o una descripci\xF3\
            n / conexi\xF3n con la pol\xEDtica, el plan y los procedimientos de gesti\xF3\
            n de incidentes en el plan de continuidad de la actividad. \n\u2022 Coordinar\
            \ el plan de continuidad de la actividad con los respectivos planes de\
            \ los proveedores de servicios externos para garantizar que se satisfacen\
            \ los requisitos de continuidad. \n\u2022 Formar al personal clave implicado\
            \ en las operaciones de continuidad. \n\u2022 Establecer procedimientos\
            \ relativos a los canales de comunicaci\xF3n adecuados con las autoridades\
            \ competentes (inter)nacionales, incluidas las organizaciones de gesti\xF3\
            n de cat\xE1strofes y los equipos de socorro en caso de cat\xE1strofe.\
            \ \n\u2022 Formar peri\xF3dicamente al personal responsable de las operaciones\
            \ de recuperaci\xF3n en caso de cat\xE1strofe. \n\u2022 Aplicar planes\
            \ de contingencia para los sistemas basados en escenarios.   \n\u2022\
            \ Supervisar la activaci\xF3n y ejecuci\xF3n de los planes de contingencia,\
            \ registrando los RTO, RPO y SDO exitosos y fallidos. \n\u2022 Aplicar\
            \ planes de contingencia para sectores y servicios dependientes e interdependientes\
            \ de alta criticidad."
          typical_evidence: "\u2022 Planes o horarios documentados para pruebas futuras.\
            \ \n\u2022 Registros de pruebas anteriores, revisiones y posibles actualizaciones.\
            \ \n\u2022 Registros de activaci\xF3n y ejecuci\xF3n de planes de continuidad\
            \ de negocio y recuperaci\xF3n ante desastres, incluyendo decisiones tomadas,\
            \ pasos seguidos y tiempo final de recuperaci\xF3n. \n\u2022 Comunicaciones,\
            \ por ejemplo, correos electr\xF3nicos, documentos y anuncios en la intranet,\
            \ relativas a cambios en los planes de continuidad del negocio y recuperaci\xF3\
            n ante desastres. \n\u2022 Evidencias de que las lecciones aprendidas\
            \ de las pruebas anteriores se incorporan a los planes, por ejemplo, cambios\
            \ en el flujo de trabajo y planes actualizados.\n\n[CONSEJOS]\n\n\u2022\
            \ Medidas, por ejemplo, cifrado y control de acceso, para proteger la\
            \ continuidad de las actividades y los planes de recuperaci\xF3n en caso\
            \ de desastre contra la divulgaci\xF3n y modificaci\xF3n no autorizadas.\
            \ \n\u2022 Estructuras organizativas actualizadas y ampliamente comunicadas.\
            \ \n\u2022 Proceso de decisi\xF3n para la activaci\xF3n de planes de contingencia.\
            \ \n\u2022 Planes de contingencia para los sistemas, que incluyan pasos\
            \ y procedimientos claros para las amenazas comunes, los desencadenantes\
            \ para la activaci\xF3n, los pasos y los RTO, RPO y SDO definidos. \n\u2022\
            \ Bit\xE1coras de activaci\xF3n y ejecuci\xF3n de planes de contingencia,\
            \ incluyendo decisiones tomadas, pasos seguidos y tiempo final de recuperaci\xF3\
            n."
        cs:
          description: "Pl\xE1n kontinuity provozu a obnovy provozu po hav\xE1rii\
            \ se testuje, p\u0159ezkoum\xE1v\xE1 a v p\u0159\xEDpad\u011B pot\u0159\
            eby aktualizuje v pl\xE1novan\xFDch intervalech a po v\xFDznamn\xFDch\
            \ incidentech nebo v\xFDznamn\xFDch zm\u011Bn\xE1ch operac\xED nebo rizik.\
            \ P\u0159\xEDslu\u0161n\xE9 subjekty zajist\xED, aby pl\xE1ny zohled\u0148\
            ovaly poznatky z\xEDskan\xE9 z t\u011Bchto test\u016F."
          annotation: "\u2022 Testujte, p\u0159ezkoum\xE1vejte a v p\u0159\xEDpad\u011B\
            \ pot\u0159eby aktualizujte pl\xE1ny kontinuity provozu a obnovy po hav\xE1\
            rii alespo\u0148 jednou ro\u010Dn\u011B.\n\u2022 Zvolte a kombinujte metody\
            \ testov\xE1n\xED pl\xE1n\u016F kontinuity provozu a obnovy po hav\xE1\
            rii, nap\u0159\xEDklad:\n    o alternativn\xED m\xEDsta pro person\xE1\
            l;\n    o m\xEDsta obnovy po hav\xE1rii - hot sites;\n    o digit\xE1\
            ln\xED dvoj\u010Data;\n    o simulace;\n    o stoln\xED cvi\u010Den\xED\
            .\n\u2022 Pravideln\u011B testujte pl\xE1ny kontinuity provozu a obnovy\
            \ po hav\xE1rii s p\u0159ihl\xE9dnut\xEDm k:\n    o z\xE1znam\u016Fm o\
            \ zm\u011Bn\xE1ch;\n    o minul\xFDm incident\u016Fm a\n    o v\xFDsledk\u016F\
            m p\u0159edchoz\xEDch test\u016F.\n\u2022 V p\u0159\xEDpad\u011B pot\u0159\
            eby otestujte pl\xE1n obnovy po hav\xE1rii na n\xE1hradn\xEDm m\xEDst\u011B\
            \ zpracov\xE1n\xED, abyste:\n    o sezn\xE1mili p\u0159\xEDslu\u0161n\xFD\
            \ person\xE1l se za\u0159\xEDzen\xEDm a dostupn\xFDmi zdroji a\n    o\
            \ vyhodnotili schopnosti n\xE1hradn\xEDho m\xEDsta zpracov\xE1n\xED podporovat\
            \ operace.\n\u2022 Otestujte infrastrukturu datov\xE9ho centra z hlediska:\n\
            \    o dostupnosti;\n    o automatick\xE9ho p\u0159epnut\xED na z\xE1\
            lo\u017En\xED zdroj;\n    o p\u0159epnut\xED nap\xE1jen\xED mezi poskytovateli\
            \ energie a/nebo mezi poskytovatelem energie a z\xE1lo\u017En\xEDm zdrojem\
            \ (nap\u0159\xEDklad gener\xE1tory nebo baterie); a\n    o odolnosti pro\
            \ zachov\xE1n\xED slu\u017Eeb z\xE1kazn\xEDk\u016Fm.\n\u2022 V r\xE1mci\
            \ testov\xE1n\xED pl\xE1nu obnovy po hav\xE1rii definujte \xFAplnou obnovu\
            \ a obnovu informa\u010Dn\xEDho syst\xE9mu do zn\xE1m\xE9ho stavu.\n\u2022\
            \ Aktualizujte pl\xE1ny kontinuity provozu a obnovy po hav\xE1rii a souvisej\xED\
            c\xED opat\u0159en\xED na z\xE1klad\u011B:\n    o z\xE1znam\u016F o zm\u011B\
            n\xE1ch;\n    o minul\xFDch incident\u016F;\n    o zdokumentovan\xFDch\
            \ v\xFDsledk\u016F testovac\xEDch \u010Dinnost\xED kontinuity provozu\
            \ a\n    o z\xE1znam\u016F o jednotliv\xFDch \u0161kolen\xEDch.\n\u2022\
            \ P\u0159ezkoumejte z\xE1znamy o zm\u011Bn\xE1ch a zdokumentovan\xE9 v\xFD\
            sledky minul\xFDch test\u016F pl\xE1n\u016F kontinuity provozu a obnovy\
            \ po hav\xE1rii, abyste zajistili, \u017Ee pl\xE1ny zahrnuj\xED poznatky\
            \ z\xEDskan\xE9 z t\u011Bchto test\u016F. \n\u2022 P\u0159ezkoumejte a\
            \ v p\u0159\xEDpad\u011B pot\u0159eby aktualizujte role a odpov\u011B\
            dnosti.   \n\u2022 P\u0159ezkoumejte pl\xE1ny obnovy po hav\xE1rii z\xE1\
            visl\xFDch t\u0159et\xEDch stran, abyste se ujistili, \u017Ee tyto pl\xE1\
            ny spl\u0148uj\xED po\u017Eadavky subjektu na kontinuitu \u010Dinnost\xED\
            . \n\u2022 Informujte o zm\u011Bn\xE1ch pl\xE1n\u016F kontinuity provozu\
            \ a obnovy po hav\xE1rii souvisej\xEDc\xED kl\xED\u010Dov\xE9 pracovn\xED\
            ky.\n\n[TIPY]\n\n\u2022 Krom\u011B prvk\u016F uveden\xFDch v bod\u011B\
            \ 4.1.2 p\u0159\xEDlohy na\u0159\xEDzen\xED by se pl\xE1n kontinuity \u010D\
            innost\xED mohl zab\xFDvat:\n    o z\xE1vazkem veden\xED;\n    o koordinac\xED\
            \ mezi organiza\u010Dn\xEDmi jednotkami;\n    o komunika\u010Dn\xEDm pl\xE1\
            nem;\n    o souladem s pr\xE1vn\xEDmi p\u0159edpisy;\n    o metrikami\
            \ pro m\u011B\u0159en\xED \xFAsp\u011B\u0161n\xE9ho prov\xE1d\u011Bn\xED\
            \ pl\xE1nu.\n\u2022 Chra\u0148te pl\xE1ny kontinuity provozu a obnovy\
            \ po hav\xE1rii p\u0159ed neopr\xE1vn\u011Bn\xFDm zve\u0159ejn\u011Bn\xED\
            m a modifikac\xED. \n\u2022 Zajist\u011Bte, aby pl\xE1ny kontinuity provozu\
            \ a obnovy po hav\xE1rii byly snadno dostupn\xE9 b\u011Bhem v\xFDpadku\
            \ syst\xE9mu. Orienta\u010Dn\xED, ne\xFApln\xFD seznam mo\u017Enost\xED\
            , jak toho dos\xE1hnout:\n    o fyzick\xE9 kopie;\n    o cloudov\xE9 \xFA\
            lo\u017Ei\u0161t\u011B;\n    o extern\xED disky;\n    o mobiln\xED p\u0159\
            \xEDstup.\n\u2022 Rozdejte kopie pl\xE1nu kontinuity provozu p\u0159\xED\
            slu\u0161n\xFDm kl\xED\u010Dov\xFDm pracovn\xEDk\u016Fm. \n\u2022 Monitorov\xE1\
            n\xED aktivace a prov\xE1d\u011Bn\xED pl\xE1nu kontinuity provozu s registrac\xED\
            \ \xFAsp\u011B\u0161n\xFDch a ne\xFAsp\u011B\u0161n\xFDch \u010Das\u016F\
            \ obnovy. \n\u2022 Dopl\u0148te do pl\xE1nu kontinuity \u010Dinnost\xED\
            \ odkaz nebo popis / souvislost s politikou, pl\xE1nem a postupy pro \u0159\
            e\u0161en\xED incident\u016F. \n\u2022 Koordinujte pl\xE1n kontinuity\
            \ provozu s p\u0159\xEDslu\u0161n\xFDmi pl\xE1ny extern\xEDch poskytovatel\u016F\
            \ slu\u017Eeb, abyste zajistili spln\u011Bn\xED po\u017Eadavk\u016F na\
            \ kontinuitu. \n\u2022 Pro\u0161kolte kl\xED\u010Dov\xE9 pracovn\xEDky\
            \ zapojen\xE9 do operac\xED kontinuity. \n\u2022 Stanovte postupy s ohledem\
            \ na vhodn\xE9 komunika\u010Dn\xED kan\xE1ly s p\u0159\xEDslu\u0161n\xFD\
            mi (mezi)n\xE1rodn\xEDmi org\xE1ny, v\u010Detn\u011B organizac\xED pro\
            \ zvl\xE1d\xE1n\xED katastrof a t\xFDm\u016F pro pomoc p\u0159i katastrof\xE1\
            ch. \n\u2022 Pravideln\u011B \u0161kolit odpov\u011Bdn\xE9 pracovn\xED\
            ky v oblasti operac\xED obnovy po hav\xE1rii. \n\u2022 Prov\xE1d\u011B\
            jte pohotovostn\xED pl\xE1ny pro syst\xE9my na z\xE1klad\u011B sc\xE9\
            n\xE1\u0159\u016F.   \n\u2022 Monitorovat aktivaci a prov\xE1d\u011Bn\xED\
            \ pohotovostn\xEDch pl\xE1n\u016F, registrovat \xFAsp\u011B\u0161n\xE9\
            \ a ne\xFAsp\u011B\u0161n\xE9 RTO, RPO a SDO. \n\u2022 Implementovat pohotovostn\xED\
            \ pl\xE1ny pro vysoce kritick\xE1 a vz\xE1jemn\u011B z\xE1visl\xE1 odv\u011B\
            tv\xED a slu\u017Eby."
          typical_evidence: "\u2022 Zdokumentovan\xE9 pl\xE1ny nebo harmonogramy budouc\xED\
            ch test\u016F. \n\u2022 Z\xE1znamy z p\u0159edchoz\xEDch test\u016F, recenz\xED\
            \ a p\u0159\xEDpadn\xFDch aktualizac\xED. \n\u2022 Protokoly o aktivaci\
            \ a prov\xE1d\u011Bn\xED pl\xE1n\u016F kontinuity podnik\xE1n\xED a obnovy\
            \ po hav\xE1rii, v\u010Detn\u011B p\u0159ijat\xFDch rozhodnut\xED, n\xE1\
            sledn\xFDch krok\u016F a kone\u010Dn\xE9 doby obnovy. \n\u2022 Komunikace,\
            \ nap\u0159\xEDklad e-maily, dokumenty a intranetov\xE1 ozn\xE1men\xED\
            , t\xFDkaj\xEDc\xED se zm\u011Bn v pl\xE1nech kontinuity podnik\xE1n\xED\
            \ a obnovy po hav\xE1rii. \n\u2022 D\u016Fkazy, \u017Ee poznatky z\xED\
            skan\xE9 z minul\xFDch test\u016F jsou za\u010Dlen\u011Bny do pl\xE1n\u016F\
            , nap\u0159\xEDklad zm\u011Bny pracovn\xEDch postup\u016F a aktualizovan\xE9\
            \ pl\xE1ny.\n\n[TIPY]\n\n\u2022 Opat\u0159en\xED, nap\u0159\xEDklad \u0161\
            ifrov\xE1n\xED a \u0159\xEDzen\xED p\u0159\xEDstupu, pro ochranu kontinuity\
            \ podnik\xE1n\xED a pl\xE1n\u016F obnovy po hav\xE1rii p\u0159ed neopr\xE1\
            vn\u011Bn\xFDm zve\u0159ejn\u011Bn\xEDm a \xFApravami. \n\u2022 Modern\xED\
            \ organiza\u010Dn\xED struktury, o kter\xFDch se \u0161iroce komunikuje.\
            \ \n\u2022 Rozhodovac\xED proces pro aktivaci pohotovostn\xEDch pl\xE1\
            n\u016F. \n\u2022 Pohotovostn\xED pl\xE1ny pro syst\xE9my, v\u010Detn\u011B\
            \ jasn\xFDch krok\u016F a postup\u016F pro b\u011B\u017En\xE9 hrozby,\
            \ spou\u0161t\u011B\u010De aktivace, kroky a definovan\xE9 RTO, RPO a\
            \ SDO. \n\u2022 Protokoly o aktivaci a prov\xE1d\u011Bn\xED pohotovostn\xED\
            ch pl\xE1n\u016F, v\u010Detn\u011B p\u0159ijat\xFDch rozhodnut\xED, n\xE1\
            sledn\xFDch krok\u016F a kone\u010Dn\xE9 doby obnovy."
        it:
          description: "Il piano di continuit\xE0 operativa e il piano di ripristino\
            \ in caso di disastro sono testati, riesaminati e, se del caso, aggiornati\
            \ a intervalli pianificati e a seguito di incidenti significativi o modifiche\
            \ significative delle operazioni o dei rischi. I soggetti pertinenti garantiscono\
            \ che i piani includano gli insegnamenti tratti da tali test."
          annotation: "\u2022 Testare, rivedere e, se necessario, aggiornare i piani\
            \ di continuit\xE0 operativa e di ripristino d'emergenza almeno una volta\
            \ all'anno.\n\u2022 Scegliere e combinare metodi per testare i piani di\
            \ continuit\xE0 operativa e di ripristino in caso di disastro, come ad\
            \ esempio:\n    o sedi alternative per il personale;\n    o sedi di ripristino\
            \ in caso di disastro - hot site;\n    o gemelli digitali;\n    o simulazioni;\n\
            \    o esercitazioni sul tavolo.\n\u2022 Testare regolarmente i piani\
            \ di continuit\xE0 operativa e di disaster recovery, tenendo conto di:\n\
            \    o registri delle modifiche;\n    o incidenti passati; e\n    o risultati\
            \ di test precedenti.\n\u2022 Ove opportuno, testare il piano di ripristino\
            \ di emergenza in un sito di elaborazione alternativo per:\n    o familiarizzare\
            \ il personale interessato con la struttura e le risorse disponibili;\
            \ e\n    o valutare le capacit\xE0 del sito di elaborazione alternativo\
            \ di supportare le operazioni.\n\u2022 Testare l'infrastruttura del centro\
            \ dati per:\n    o la disponibilit\xE0;\n    o il failover automatico;\n\
            \    o il failover dell'alimentazione tra fornitori di energia e/o tra\
            \ fornitori di energia e backup (ad esempio generatori o batterie); e\n\
            \    o la resilienza per mantenere il servizio ai clienti.\n\u2022 Definire\
            \ il ripristino completo e la ricostituzione del sistema informativo a\
            \ uno stato noto come parte del test del piano di ripristino in caso di\
            \ disastro. \n\u2022 Aggiornare i piani di continuit\xE0 operativa e di\
            \ disaster recovery e le relative misure sulla base di:\n    o registri\
            \ delle modifiche;\n    o incidenti passati;\n    o risultati documentati\
            \ delle attivit\xE0 di test di continuit\xE0 operativa; e\n    o registrazioni\
            \ delle attivit\xE0 di formazione individuale.\n\u2022 Rivedere i registri\
            \ delle modifiche e i risultati documentati dei test effettuati in passato\
            \ sui piani di continuit\xE0 operativa e di ripristino di emergenza per\
            \ garantire che i piani incorporino le lezioni apprese da tali test. \n\
            \u2022 Rivedere e, se necessario, aggiornare ruoli e responsabilit\xE0\
            .   \n\u2022 Esaminare i piani di disaster recovery di terzi dipendenti\
            \ per garantire che soddisfino i requisiti di continuit\xE0 operativa\
            \ dell'entit\xE0. \n\u2022 Comunicare le modifiche ai piani di continuit\xE0\
            \ operativa e di disaster recovery al personale chiave coinvolto.\n\n\
            [SUGGERIMENTI]\n\n\u2022 Oltre agli elementi di cui al punto 4.1.2 dell'allegato\
            \ al regolamento, il piano di continuit\xE0 operativa potrebbe riguardare:\n\
            \    o l'impegno del management;\n    o il coordinamento tra le unit\xE0\
            \ organizzative;\n    o il piano di comunicazione;\n    o la conformit\xE0\
            \ alle leggi;\n    o le metriche per misurare il successo dell'attuazione\
            \ del piano.\n\u2022 Proteggere i piani di continuit\xE0 operativa e di\
            \ disaster recovery dalla divulgazione e dalla modifica non autorizzata.\
            \ \n\u2022 Assicurare che i piani di continuit\xE0 operativa e di disaster\
            \ recovery siano facilmente accessibili durante un'interruzione del sistema.\
            \ Un elenco indicativo e non esaustivo di opzioni per raggiungere questo\
            \ obiettivo:\n    o copie fisiche;\n    o archiviazione in cloud;\n  \
            \  o unit\xE0 esterne;\n    o accesso mobile.\n\u2022 Distribuire copie\
            \ del piano di continuit\xE0 operativa al relativo personale chiave. \n\
            \u2022 Monitorare l'attivazione e l'esecuzione del piano di continuit\xE0\
            \ operativa registrando i tempi di ripristino riusciti e quelli falliti.\
            \ \n\u2022 Aggiungere nel piano di continuit\xE0 aziendale un riferimento\
            \ o una descrizione/collegamento con la politica, il piano e le procedure\
            \ di gestione degli incidenti. \n\u2022 Coordinare il piano di continuit\xE0\
            \ operativa con i rispettivi piani dei fornitori di servizi esterni per\
            \ garantire che i requisiti di continuit\xE0 siano soddisfatti. \n\u2022\
            \ Formare il personale chiave coinvolto nelle operazioni di continuit\xE0\
            . \n\u2022 Stabilire procedure relative ai canali di comunicazione appropriati\
            \ con le autorit\xE0 (inter)nazionali competenti, comprese le organizzazioni\
            \ di gestione dei disastri e le squadre di soccorso. \n\u2022 Formare\
            \ regolarmente il personale responsabile delle operazioni di ripristino\
            \ in caso di disastro. \n\u2022 Implementare piani di emergenza per i\
            \ sistemi basati su scenari.   \n\u2022 Monitorare l'attivazione e l'esecuzione\
            \ dei piani di emergenza, registrando gli RTO, gli RPO e gli SDO riusciti\
            \ e non riusciti. \n\u2022 Implementare piani di emergenza per i settori\
            \ e i servizi dipendenti e interdipendenti ad alta criticit\xE0."
          typical_evidence: "\u2022 Piani o programmi documentati per test futuri.\
            \ \n\u2022 Registrazioni di test precedenti, recensioni ed eventuali aggiornamenti.\
            \ \n\u2022 Registri di attivazione ed esecuzione dei piani di business\
            \ continuity e disaster recovery, comprese le decisioni prese, le fasi\
            \ seguite e i tempi finali di ripristino. \n\u2022 Comunicazioni, ad esempio\
            \ email, documenti e annunci intranet, riguardanti modifiche ai piani\
            \ di business continuity e disaster recovery. \n\u2022 Evidenze che le\
            \ lezioni apprese dai test passati sono incorporate nei piani, ad esempio\
            \ modifiche al flusso di lavoro e piani aggiornati.\n\n[CONSIGLI]\n\n\u2022\
            \ Misure, ad esempio la crittografia e il controllo degli accessi, per\
            \ proteggere la continuit\xE0 aziendale e i piani di disaster recovery\
            \ da divulgazioni e modifiche non autorizzate. \n\u2022 Strutture organizzative\
            \ aggiornate e ampiamente comunicate. \n\u2022 Processo decisionale per\
            \ l'attivazione dei piani di emergenza. \n\u2022 Piani di emergenza per\
            \ i sistemi, inclusi passaggi e procedure chiari per le minacce comuni,\
            \ trigger per l'attivazione, passaggi e RTO, RPO e SDO definiti. \n\u2022\
            \ Registri di attivazione ed esecuzione dei piani di emergenza, comprese\
            \ le decisioni prese, le misure seguite e i tempi finali di recupero."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.2
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4
      ref_id: '4.2'
      name: Backup and redundancy management
      translations:
        fr:
          name: Gestion des sauvegardes et des ressources redondantes
        es:
          name: "Gesti\xF3n de las copias de seguridad y las redundancias"
        cs:
          name: "Spr\xE1va z\xE1lohov\xE1n\xED a redundance"
        it:
          name: Gestione del backup e della ridondanza
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.2.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.2
      ref_id: 4.2.1
      description: The relevant entities shall maintain backup copies of data and
        provide sufficient available resources, including facilities, network and
        information systems and staff, to ensure an appropriate level of redundancy.
      annotation: "\u2022 Consider whether to invest in own redundancy or to engage\
        \ third parties, for example cloud providers, to provide such redundancy,\
        \ in alignment with the BIA (Annex to the regulation, point 4.1.3)."
      typical_evidence: "\u2022 Backups are physically separated from the systems\
        \ that generated them. \n\u2022 If the service is offered by a third party,\
        \ SLAs."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es conservent des copies de sauvegarde\
            \ des donn\xE9es et pr\xE9voient suffisamment de ressources disponibles,\
            \ y compris des installations, des r\xE9seaux et des syst\xE8mes d\u2019\
            information, ainsi que du personnel, afin de garantir un niveau appropri\xE9\
            \ de redondance."
          annotation: "\u2022 D\xE9terminer s\u2019il convient d\u2019investir dans\
            \ une redondance propre ou de faire appel \xE0 des tiers, par exemple\
            \ des fournisseurs de cloud, pour fournir cette redondance, conform\xE9\
            ment \xE0 la BIA (annexe du r\xE8glement, point 4.1.3)."
          typical_evidence: "\u2022 Les sauvegardes sont physiquement s\xE9par\xE9\
            es des syst\xE8mes qui les ont g\xE9n\xE9r\xE9es. \n\u2022 Si le service\
            \ est offert par un tiers, les SLA."
        es:
          description: "Las entidades pertinentes mantendr\xE1n copias de seguridad\
            \ de los datos y pondr\xE1n a disposici\xF3n recursos suficientes, como\
            \ instalaciones, sistemas de redes y de informaci\xF3n y personal, para\
            \ velar por un nivel de redundancia adecuado."
          annotation: "\u2022 Considerar la posibilidad de invertir en redundancia\
            \ propia o de contratar a terceros, por ejemplo, proveedores de servicios\
            \ en la nube, para que proporcionen dicha redundancia, en consonancia\
            \ con la BIA (anexo del Reglamento, punto 4.1.3)."
          typical_evidence: "\u2022 Las copias de seguridad est\xE1n f\xEDsicamente\
            \ separadas de los sistemas que las generaron. \n\u2022 Si el servicio\
            \ es ofrecido por un tercero, SLAs."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty uchov\xE1vaj\xED z\xE1\
            lo\u017En\xED kopie \xFAdaj\u016F a poskytuj\xED dostate\u010Dn\xE9 dostupn\xE9\
            \ zdroje, v\u010Detn\u011B za\u0159\xEDzen\xED, s\xEDt\xED a informa\u010D\
            n\xEDch syst\xE9m\u016F a zam\u011Bstnanc\u016F, aby zajistily odpov\xED\
            daj\xEDc\xED \xFArove\u0148 redundance."
          annotation: "\u2022 Zva\u017Ete, zda investovat do vlastn\xED redundance,\
            \ nebo zapojit t\u0159et\xED strany, nap\u0159\xEDklad poskytovatele cloudov\xFD\
            ch slu\u017Eeb, aby takovou redundanci poskytli, v souladu s BIA (p\u0159\
            \xEDloha na\u0159\xEDzen\xED, bod 4.1.3)."
          typical_evidence: "\u2022 Z\xE1lohy jsou fyzicky odd\u011Bleny od syst\xE9\
            m\u016F, kter\xE9 je vytvo\u0159ily. \n\u2022 Pokud je slu\u017Eba nab\xED\
            zena t\u0159et\xED stranou, SLA ."
        it:
          description: I soggetti pertinenti conservano copie di backup dei dati e
            mettono a disposizione risorse sufficienti, comprese le strutture, la
            rete e i sistemi informativi e il personale, per garantire un livello
            adeguato di ridondanza.
          annotation: "\u2022 Valutare se investire in un proprio esubero o coinvolgere\
            \ soggetti terzi, ad esempio fornitori di cloud, per fornire tale ridondanza,\
            \ in linea con il BIA (Allegato al regolamento, punto 4.1.3)."
          typical_evidence: "\u2022 I backup sono fisicamente separati dai sistemi\
            \ che li hanno generati. \n\u2022 Se il servizio \xE8 offerto da terzi,\
            \ gli SLA."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.2.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.2
      ref_id: 4.2.2
      description: 'Based on the results of the risk assessment carried out pursuant
        to point 2.1 and the business continuity plan, the relevant entities shall
        lay down backup plans which include the following:'
      annotation: "\u2022 Recovery times should not exceed the recovery objectives\
        \ referred to in 4.1.2 (f) of the Annex to the regulation. \n\u2022 Concerning\
        \ retention periods consider what is referred to in point 3.2.5 of the Annex\
        \ to the regulation. \n\u2022 If an entity engages third parties to ensure\
        \ an appropriate level of redundancy, it should be clearly decided whether\
        \ it is the entity's responsibility to compile the backup plans or if the\
        \ third parties have any involvement in the process."
      typical_evidence: "\u2022 Backup plans. \n\u2022 Logs from backup software that\
        \ show regular backups are being performed. \n\u2022 Backups physically separated\
        \ and with an appropriate level of protection, including encryption. \n\u2022\
        \ Logs or reports confirming that one copy of the backup is stored off-site,\
        \ such as in a cloud storage service or a remote data centre. \n\u2022 Configuration\
        \ settings of backup software to verify that it is set up to create copies\
        \ of data and store them on different media. \n\u2022 Clear and concise restoration\
        \ procedures that cover all relevant systems and services. \n\u2022 If applicable,\
        \ settings of the cloud storage service to ensure it is configured to receive\
        \ and store backup copies."
      translations:
        fr:
          description: "Sur la base des r\xE9sultats de l\u2019\xE9valuation des risques\
            \ effectu\xE9e conform\xE9ment au point\_2.1 et du plan de continuit\xE9\
            \ de l\u2019activit\xE9, les entit\xE9s concern\xE9es \xE9tablissent des\
            \ plans de sauvegarde qui comprennent les informations suivantes:"
          annotation: "\u2022 Les temps de r\xE9cup\xE9ration ne doivent pas d\xE9\
            passer les objectifs de r\xE9cup\xE9ration vis\xE9s au point 4.1.2 f)\
            \ de l\u2019annexe du r\xE8glement. \n\u2022 En ce qui concerne les d\xE9\
            lais de conservation, tenir compte de ce qui est vis\xE9 au point 3.2.5\
            \ de l\u2019annexe du r\xE8glement. \n\u2022 Si une entit\xE9 fait appel\
            \ \xE0 des tiers pour assurer un niveau appropri\xE9 de redondance, il\
            \ convient de d\xE9terminer clairement s\u2019il incombe \xE0 l\u2019\
            entit\xE9 d\u2019\xE9tablir les plans de secours ou si les tiers sont\
            \ impliqu\xE9s dans le processus."
          typical_evidence: "\u2022 Plans de secours. \n\u2022 Journaux du logiciel\
            \ de sauvegarde qui montrent que des sauvegardes r\xE9guli\xE8res sont\
            \ effectu\xE9es. \n\u2022 Sauvegardes physiquement s\xE9par\xE9es et avec\
            \ un niveau de protection appropri\xE9, y compris le cryptage. \n\u2022\
            \ Journaux ou rapports confirmant qu\u2019une copie de la sauvegarde est\
            \ stock\xE9e hors site, par exemple dans un service de stockage en nuage\
            \ ou un centre de donn\xE9es distant. \n\u2022 Param\xE8tres de configuration\
            \ du logiciel de sauvegarde pour v\xE9rifier qu\u2019il est configur\xE9\
            \ pour cr\xE9er des copies des donn\xE9es et les stocker sur diff\xE9\
            rents supports. \n\u2022 Des proc\xE9dures de restauration claires et\
            \ concises qui couvrent tous les syst\xE8mes et services pertinents. \n\
            \u2022 Le cas \xE9ch\xE9ant, les param\xE8tres du service de stockage\
            \ en nuage pour s\u2019assurer qu\u2019il est configur\xE9 pour recevoir\
            \ et stocker des copies de sauvegarde."
        es:
          description: "A partir de los resultados de la evaluaci\xF3n de riesgos\
            \ realizada seg\xFAn el punto 2.1 y el plan de continuidad de las actividades,\
            \ las entidades pertinentes establecer\xE1n planes de copia de seguridad\
            \ que incluir\xE1n lo siguiente:"
          annotation: "\u2022 Los plazos de recuperaci\xF3n no deben superar los objetivos\
            \ de recuperaci\xF3n mencionados en el punto 4.1.2 f) del anexo del Reglamento.\
            \ \n\u2022 En cuanto a los plazos de conservaci\xF3n, tenga en cuenta\
            \ lo que se menciona en el punto 3.2.5 del anexo del Reglamento. \n\u2022\
            \ Si una entidad contrata a terceros para garantizar un nivel adecuado\
            \ de redundancia, debe decidirse claramente si es responsabilidad de la\
            \ entidad compilar los planes de respaldo o si los terceros tienen alguna\
            \ participaci\xF3n en el proceso."
          typical_evidence: "\u2022 Planes de respaldo. \n\u2022 Registros del software\
            \ de copia de seguridad que muestran que se est\xE1n realizando copias\
            \ de seguridad peri\xF3dicas. \n\u2022 Copias de seguridad separadas f\xED\
            sicamente y con un nivel de protecci\xF3n adecuado, incluido el cifrado.\
            \ \n\u2022 Registros o informes que confirman que una copia de la copia\
            \ de seguridad se almacena fuera del sitio, como en un servicio de almacenamiento\
            \ en la nube o en un centro de datos remoto. \n\u2022 Ajustes de configuraci\xF3\
            n del software de copia de seguridad para verificar que est\xE1 configurado\
            \ para crear copias de datos y almacenarlas en diferentes medios. \n\u2022\
            \ Procedimientos de restauraci\xF3n claros y concisos que abarquen todos\
            \ los sistemas y servicios relevantes. \n\u2022 Si corresponde, la configuraci\xF3\
            n del servicio de almacenamiento en la nube para asegurarse de que est\xE1\
            \ configurado para recibir y almacenar copias de seguridad."
        cs:
          description: "Na z\xE1klad\u011B v\xFDsledk\u016F posouzen\xED rizik proveden\xE9\
            ho podle bodu 2.1 a pl\xE1nu kontinuity provozu stanov\xED p\u0159\xED\
            slu\u0161n\xE9 subjekty pl\xE1ny z\xE1lohov\xE1n\xED, kter\xE9 obsahuj\xED\
            \ tyto skute\u010Dnosti:"
          annotation: "\u2022 Doba obnoven\xED by nem\u011Bla p\u0159ekro\u010Dit\
            \ c\xEDle zp\u011Btn\xE9ho z\xEDsk\xE1v\xE1n\xED uveden\xE9 v bod\u011B\
            \ 4.1.2 p\xEDsm. f) p\u0159\xEDlohy na\u0159\xEDzen\xED. \n\u2022 Pokud\
            \ jde o doby uchov\xE1v\xE1n\xED, zva\u017Ete to, co je uvedeno v bod\u011B\
            \ 3.2.5 p\u0159\xEDlohy na\u0159\xEDzen\xED. \n\u2022 Pokud \xFA\u010D\
            etn\xED jednotka zapoj\xED t\u0159et\xED strany, aby zajistily p\u0159\
            im\u011B\u0159enou \xFArove\u0148 redundance, m\u011Blo by b\xFDt jasn\u011B\
            \ rozhodnuto, zda je odpov\u011Bdnost\xED \xFA\u010Detn\xED jednotky sestavit\
            \ z\xE1lo\u017En\xED pl\xE1ny, nebo zda jsou do procesu n\u011Bjak zapojeny\
            \ t\u0159et\xED strany."
          typical_evidence: "\u2022 Pl\xE1ny z\xE1lohov\xE1n\xED. \n\u2022 Jsou prov\xE1\
            d\u011Bny protokoly ze z\xE1lohovac\xEDho softwaru, kter\xE9 ukazuj\xED\
            \ pravideln\xE9 z\xE1lohov\xE1n\xED. \n\u2022 Z\xE1lohy fyzicky odd\u011B\
            len\xE9 a s odpov\xEDdaj\xEDc\xED \xFArovn\xED ochrany, v\u010Detn\u011B\
            \ \u0161ifrov\xE1n\xED. \n\u2022 Protokoly nebo zpr\xE1vy potvrzuj\xED\
            c\xED, \u017Ee jedna kopie z\xE1lohy je ulo\u017Eena mimo pracovi\u0161\
            t\u011B, nap\u0159\xEDklad v cloudov\xE9m \xFAlo\u017Ei\u0161ti nebo ve\
            \ vzd\xE1len\xE9m datov\xE9m centru. \n\u2022 Nastaven\xED konfigurace\
            \ z\xE1lohovac\xEDho softwaru pro ov\u011B\u0159en\xED, zda je nastaven\
            \ tak, aby vytv\xE1\u0159el kopie dat a ukl\xE1dal je na r\u016Fzn\xE1\
            \ m\xE9dia. \n\u2022 Jasn\xE9 a stru\u010Dn\xE9 postupy obnovy, kter\xE9\
            \ pokr\xFDvaj\xED v\u0161echny relevantn\xED syst\xE9my a slu\u017Eby.\
            \ \n\u2022 Pokud je to mo\u017En\xE9, nastaven\xED slu\u017Eby cloudov\xE9\
            ho \xFAlo\u017Ei\u0161t\u011B tak, aby bylo zaji\u0161t\u011Bno, \u017E\
            e je nakonfigurov\xE1na pro p\u0159\xEDjem a ukl\xE1d\xE1n\xED z\xE1lo\u017E\
            n\xEDch kopi\xED."
        it:
          description: "Sulla base dei risultati della valutazione dei rischi effettuata\
            \ a norma del punto 2.1 e del piano di continuit\xE0 operativa, i soggetti\
            \ pertinenti stabiliscono piani di backup che comprendono:"
          annotation: "\u2022 I tempi di recupero non devono superare gli obiettivi\
            \ di recupero di cui al punto 4.1.2, lettera f), dell'allegato al regolamento.\
            \ \n\u2022 Per quanto riguarda i periodi di conservazione, si considera\
            \ quanto indicato al punto 3.2.5 dell'Allegato al regolamento. \n\u2022\
            \ Se un'entit\xE0 si avvale di terze parti per garantire un livello adeguato\
            \ di ridondanza, dovrebbe essere chiaramente deciso se \xE8 responsabilit\xE0\
            \ dell'entit\xE0 compilare i piani di riserva o se le terze parti sono\
            \ coinvolte nel processo."
          typical_evidence: "\u2022 Piani di backup. \n\u2022 Registri del software\
            \ di backup che mostrano l'esecuzione di backup regolari. \n\u2022 Backup\
            \ fisicamente separati e con un livello di protezione adeguato, compresa\
            \ la crittografia. \n\u2022 Registri o report che confermano che una copia\
            \ del backup \xE8 archiviata fuori sede, ad esempio in un servizio di\
            \ archiviazione cloud o in un data center remoto. \n\u2022 Impostazioni\
            \ di configurazione del software di backup per verificare che sia impostato\
            \ per creare copie dei dati e memorizzarle su supporti diversi. \n\u2022\
            \ Procedure di ripristino chiare e concise che coprono tutti i sistemi\
            \ e i servizi pertinenti. \n\u2022 Se applicabile, le impostazioni del\
            \ servizio di archiviazione cloud per assicurarsi che sia configurato\
            \ per la ricezione e l'archiviazione di copie di backup."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.2.2.a
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.2.2
      ref_id: 4.2.2.a
      description: recovery times;
      translations:
        fr:
          description: "le d\xE9lai de r\xE9tablissement de l\u2019activit\xE9;"
        es:
          description: "plazos de recuperaci\xF3n;"
        cs:
          description: doby obnovy;
        it:
          description: tempi di recupero;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.2.2.b
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.2.2
      ref_id: 4.2.2.b
      description: assurance that backup copies are complete and accurate, including
        configuration data and data stored in cloud computing service environment;
      translations:
        fr:
          description: "la preuve que les copies de sauvegarde sont compl\xE8tes et\
            \ exactes, y compris les donn\xE9es de configuration et les donn\xE9es\
            \ stock\xE9es dans un environnement de services d\u2019informatique en\
            \ nuage;"
        es:
          description: "garant\xEDas de que las copias de seguridad sean completas\
            \ y precisas, especialmente los datos de configuraci\xF3n y la informaci\xF3\
            n almacenada en el entorno de proveedores de servicios de computaci\xF3\
            n en nube;"
        cs:
          description: "uji\u0161t\u011Bn\xED, \u017Ee z\xE1lo\u017En\xED kopie jsou\
            \ \xFApln\xE9 a spr\xE1vn\xE9, v\u010Detn\u011B konfigura\u010Dn\xEDch\
            \ dat a \xFAdaj\u016F ulo\u017Een\xFDch v prost\u0159ed\xED slu\u017E\
            by cloud computingu;"
        it:
          description: garanzia che le copie di backup siano complete e accurate,
            compresi i dati di configurazione e i dati archiviati nell'ambiente del
            servizio di cloud computing;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.2.2.c
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.2.2
      ref_id: 4.2.2.c
      description: storing backup copies (online or offline) in a safe location or
        locations, which are not in the same network as the system, and are at sufficient
        distance to escape any damage from a disaster at the main site;
      translations:
        fr:
          description: "le stockage de copies de sauvegarde (en ligne ou hors ligne)\
            \ dans un ou plusieurs endroits s\xFBrs, qui ne se trouvent pas sur le\
            \ m\xEAme r\xE9seau que le syst\xE8me et qui sont situ\xE9s \xE0 une distance\
            \ suffisante pour \xE9chapper \xE0 tout dommage caus\xE9 par une catastrophe\
            \ sur le site principal;"
        es:
          description: "almacenamiento de copias de seguridad (en l\xEDnea o fuera\
            \ de l\xEDnea) en uno o varios lugares seguros, que no est\xE9n en la\
            \ misma red que el sistema y que est\xE9n a una distancia suficiente para\
            \ escapar de cualquier da\xF1o provocado por una cat\xE1strofe en el emplazamiento\
            \ principal;"
        cs:
          description: "ulo\u017Een\xED z\xE1lo\u017En\xEDch kopi\xED (online nebo\
            \ offline) na bezpe\u010Dn\xE9m m\xEDst\u011B nebo m\xEDstech, kter\xE1\
            \ nejsou ve stejn\xE9 s\xEDti jako syst\xE9m a jsou v dostate\u010Dn\xE9\
            \ vzd\xE1lenosti, aby nedo\u0161lo k po\u0161kozen\xED v p\u0159\xEDpad\u011B\
            \ hav\xE1rie v hlavn\xED provozovn\u011B;"
        it:
          description: "conservare copie di backup (online o offline) in una o pi\xF9\
            \ posizioni sicure, che non si trovino nella stessa rete del sistema e\
            \ che si trovino a una distanza sufficiente per evitare eventuali danni\
            \ derivanti da un disastro nel sito principale;"
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.2.2.d
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.2.2
      ref_id: 4.2.2.d
      description: appropriate physical and logical access controls to backup copies,
        in accordance with the asset classification level;
      translations:
        fr:
          description: "des contr\xF4les d\u2019acc\xE8s physiques et logiques appropri\xE9\
            s pour les copies de sauvegarde, conform\xE9ment au niveau de classification\
            \ des actifs;"
        es:
          description: "controles adecuados de acceso l\xF3gico y f\xEDsico a las\
            \ copias de seguridad, de conformidad con el nivel de clasificaci\xF3\
            n de activos;"
        cs:
          description: "vhodn\xE9 kontroly fyzick\xE9ho a logick\xE9ho p\u0159\xED\
            stupu k z\xE1lo\u017En\xEDm kopi\xEDm v souladu se stupn\u011Bm utajen\xED\
            \ dat;"
        it:
          description: "adeguati controlli di accesso fisici e logici alle copie di\
            \ backup, in conformit\xE0 con il livello di classificazione degli asset;"
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.2.2.e
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.2.2
      ref_id: 4.2.2.e
      description: restoring data from backup copies;
      translations:
        fr:
          description: "les donn\xE9es restaur\xE9es \xE0 partir de copies de sauvegarde;"
        es:
          description: "recuperaci\xF3n de datos de las copias de seguridad;"
        cs:
          description: "obnoven\xED \xFAdaj\u016F ze z\xE1lo\u017En\xEDch kopi\xED\
            ;"
        it:
          description: ripristino dei dati dalle copie di backup;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.2.2.f
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.2.2
      ref_id: 4.2.2.f
      description: retention periods based on business and regulatory requirements.
      translations:
        fr:
          description: "les p\xE9riodes de conservation compte tenu des exigences\
            \ commerciales et r\xE9glementaires."
        es:
          description: "plazos de conservaci\xF3n sustentados en los requisitos operativos\
            \ y reglamentarios."
        cs:
          description: "doby uchov\xE1v\xE1n\xED na z\xE1klad\u011B obchodn\xEDch\
            \ a regula\u010Dn\xEDch po\u017Eadavk\u016F."
        it:
          description: Periodi di conservazione in base ai requisiti aziendali e normativi.
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.2.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.2
      ref_id: 4.2.3
      description: The relevant entities shall perform regular integrity checks on
        the backup copies.
      annotation: "\u2022 Check the integrity of the backup copies. An indicative,\
        \ non-exhaustive list of good practices is the following:\n    o use checksums\
        \ or hashing algorithms to verify that the data in your backups matches the\
        \ original data (section 9.2);\n    o implement automated scripts to run these\
        \ checks regularly, reducing the risk of human error;\n    o schedule regular\
        \ tests to restore data from backups to ensure they are complete, functional\
        \ and validated by business users to confirm the accuracy and usability of\
        \ the restored data;\n    o test various recovery scenarios, including full\
        \ system restores and individual file recoveries, to ensure all aspects of\
        \ your backup system are reliable; and\n    o consider using cloud storage\
        \ solutions for off-site backups, which often include built-in integrity checks\
        \ and redundancy."
      typical_evidence: "\u2022 Logs or reports showing that checksum or hashing algorithms\
        \ are used. \n\u2022 Settings in backup software or scripts that specify the\
        \ use of checksums or hashing algorithms. \n\u2022 Records of regular tests\
        \ in which data is restored from backups. \n\u2022 Evidence of tests of different\
        \ recovery scenarios, including full system restores and individual file recoveries.\
        \ \n\u2022 Logs or reports from actual incidents in which recovery procedures\
        \ were implemented (Annex to the regulation, points 3.2 and 3.5). \n\u2022\
        \ If the service is offered by a third party, SLAs."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es proc\xE8dent r\xE9guli\xE8rement\
            \ \xE0 des contr\xF4les d\u2019int\xE9grit\xE9 des copies de sauvegarde."
          annotation: "\u2022 V\xE9rifiez l\u2019int\xE9grit\xE9 des copies de sauvegarde.\
            \ Une liste indicative et non exhaustive de bonnes pratiques est la suivante\
            \ :\n    o utiliser des sommes de contr\xF4le ou des algorithmes de hachage\
            \ pour v\xE9rifier que les donn\xE9es de vos sauvegardes correspondent\
            \ aux donn\xE9es d\u2019origine (section 9.2) ;\n    o Mettre en place\
            \ des scripts automatis\xE9s pour ex\xE9cuter ces v\xE9rifications r\xE9\
            guli\xE8rement, r\xE9duisant ainsi le risque d\u2019erreur humaine ;\n\
            \    o Planifier des tests r\xE9guliers pour restaurer les donn\xE9es\
            \ \xE0 partir des sauvegardes afin de s\u2019assurer qu\u2019elles sont\
            \ compl\xE8tes, fonctionnelles et valid\xE9es par les utilisateurs m\xE9\
            tiers afin de confirmer l\u2019exactitude et la facilit\xE9 d\u2019utilisation\
            \ des donn\xE9es restaur\xE9es ;\n    o Tester divers sc\xE9narios de\
            \ r\xE9cup\xE9ration, y compris les restaurations compl\xE8tes du syst\xE8\
            me et les r\xE9cup\xE9rations de fichiers individuels, pour s\u2019assurer\
            \ que tous les aspects de votre syst\xE8me de sauvegarde sont fiables\_\
            ; et\n    o Envisagez d\u2019utiliser des solutions de stockage dans le\
            \ cloud pour les sauvegardes hors site, qui incluent souvent des contr\xF4\
            les d\u2019int\xE9grit\xE9 int\xE9gr\xE9s et une redondance."
          typical_evidence: "\u2022 Journaux ou rapports montrant que des algorithmes\
            \ de somme de contr\xF4le ou de hachage sont utilis\xE9s. \n\u2022 Param\xE8\
            tres dans les logiciels de sauvegarde ou les scripts qui sp\xE9cifient\
            \ l\u2019utilisation de sommes de contr\xF4le ou d\u2019algorithmes de\
            \ hachage. \n\u2022 Enregistrements des tests r\xE9guliers dans lesquels\
            \ les donn\xE9es sont restaur\xE9es \xE0 partir de sauvegardes. \n\u2022\
            \ Preuve de tests de diff\xE9rents sc\xE9narios de r\xE9cup\xE9ration,\
            \ y compris les restaurations compl\xE8tes du syst\xE8me et les r\xE9\
            cup\xE9rations de fichiers individuels. \n\u2022 Registres ou rapports\
            \ d\u2019incidents r\xE9els dans lesquels des proc\xE9dures de r\xE9cup\xE9\
            ration ont \xE9t\xE9 mises en \u0153uvre (annexe du r\xE8glement, points\
            \ 3.2 et 3.5). \n\u2022 Si le service est offert par un tiers, les SLA."
        es:
          description: "Las entidades pertinentes verificar\xE1n regularmente la integridad\
            \ de las copias de seguridad."
          annotation: "\u2022 Compruebe la integridad de las copias de seguridad.\
            \ Una lista indicativa y no exhaustiva de buenas pr\xE1cticas es la siguiente:\n\
            \    o utilizar sumas de comprobaci\xF3n o algoritmos de hash para verificar\
            \ que los datos de sus copias de seguridad coinciden con los datos originales\
            \ (secci\xF3n 9.2);\n    o implementar scripts automatizados para ejecutar\
            \ estas comprobaciones con regularidad, reduciendo el riesgo de error\
            \ humano;\n    o programar pruebas peri\xF3dicas para restaurar los datos\
            \ de las copias de seguridad para garantizar que est\xE9n completos, funcionales\
            \ y validados por los usuarios empresariales para confirmar la precisi\xF3\
            n y la usabilidad de los datos restaurados;\n    o Pruebe varios escenarios\
            \ de recuperaci\xF3n, incluidas restauraciones completas del sistema y\
            \ recuperaciones de archivos individuales, para garantizar que todos los\
            \ aspectos de su sistema de copia de seguridad sean confiables; y\n  \
            \  o Considere la posibilidad de utilizar soluciones de almacenamiento\
            \ en la nube para copias de seguridad externas, que a menudo incluyen\
            \ comprobaciones de integridad y redundancia integradas."
          typical_evidence: "\u2022 Registros o informes que muestren que se utilizan\
            \ algoritmos de suma de comprobaci\xF3n o hash. \n\u2022 Configuraci\xF3\
            n en software de copia de seguridad o scripts que especifican el uso de\
            \ sumas de comprobaci\xF3n o algoritmos de hash. \n\u2022 Registros de\
            \ pruebas peri\xF3dicas en las que se restauran datos a partir de copias\
            \ de seguridad. \n\u2022 Evidencia de pruebas de diferentes escenarios\
            \ de recuperaci\xF3n, incluidas restauraciones completas del sistema y\
            \ recuperaciones de archivos individuales. \n\u2022 Registros o informes\
            \ de incidentes reales en los que se implementaron procedimientos de recuperaci\xF3\
            n (Anexo del reglamento, puntos 3.2 y 3.5). \n\u2022 Si el servicio es\
            \ ofrecido por un tercero, SLAs."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty prov\xE1d\u011Bj\xED pravideln\xE9\
            \ kontroly integrity z\xE1lo\u017En\xEDch kopi\xED."
          annotation: "\u2022 Zkontrolujte integritu z\xE1lo\u017En\xEDch kopi\xED\
            . Orienta\u010Dn\xED, ne\xFApln\xFD seznam osv\u011Bd\u010Den\xFDch postup\u016F\
            \ je n\xE1sleduj\xEDc\xED:\n    o pou\u017E\xEDvat kontroln\xED sou\u010D\
            ty nebo hashovac\xED algoritmy k ov\u011B\u0159en\xED, \u017Ee data ve\
            \ va\u0161ich z\xE1loh\xE1ch odpov\xEDdaj\xED p\u016Fvodn\xEDm dat\u016F\
            m (odd\xEDl 9.2);\n    o implementovat automatizovan\xE9 skripty pro pravideln\xE9\
            \ prov\xE1d\u011Bn\xED t\u011Bchto kontrol, \u010D\xEDm\u017E se sni\u017E\
            uje riziko lidsk\xE9 chyby;\n    o napl\xE1novat pravideln\xE9 testy pro\
            \ obnovu dat ze z\xE1loh, aby bylo zaji\u0161t\u011Bno, \u017Ee jsou \xFA\
            pln\xE9, funk\u010Dn\xED a ov\u011B\u0159en\xE9 podnikov\xFDmi u\u017E\
            ivateli, aby se potvrdila p\u0159esnost a pou\u017Eitelnost obnoven\xFD\
            ch dat;\n    o testovat r\u016Fzn\xE9 sc\xE9n\xE1\u0159e obnovy, v\u010D\
            etn\u011B \xFApln\xE9ho obnoven\xED syst\xE9mu a obnovy jednotliv\xFD\
            ch soubor\u016F, abyste zajistili spolehlivost v\u0161ech aspekt\u016F\
            \ va\u0161eho z\xE1lohovac\xEDho syst\xE9mu; a\n    o Zva\u017Ete pou\u017E\
            it\xED \u0159e\u0161en\xED cloudov\xE9ho \xFAlo\u017Ei\u0161t\u011B pro\
            \ z\xE1lohov\xE1n\xED mimo pracovi\u0161t\u011B, kter\xE9 \u010Dasto zahrnuje\
            \ vestav\u011Bn\xE9 kontroly integrity a redundanci."
          typical_evidence: "\u2022 Protokoly nebo zpr\xE1vy ukazuj\xEDc\xED, \u017E\
            e jsou pou\u017Eity kontroln\xED sou\u010Det nebo algoritmy hash. \n\u2022\
            \ Nastaven\xED v z\xE1lohovac\xEDm softwaru nebo skriptech, kter\xE1 ur\u010D\
            uj\xED pou\u017Eit\xED kontroln\xEDch sou\u010Dt\u016F nebo hashovac\xED\
            ch algoritm\u016F. \n\u2022 Evidence pravideln\xFDch test\u016F, p\u0159\
            i kter\xFDch doch\xE1z\xED k obnov\u011B dat ze z\xE1loh. \n\u2022 D\u016F\
            kazy o testech r\u016Fzn\xFDch sc\xE9n\xE1\u0159\u016F obnovy, v\u010D\
            etn\u011B \xFApln\xE9ho obnoven\xED syst\xE9mu a obnovy jednotliv\xFD\
            ch soubor\u016F. \n\u2022 Protokoly nebo zpr\xE1vy ze skute\u010Dn\xFD\
            ch incident\u016F, p\u0159i nich\u017E byly provedeny postupy pro obnovu\
            \ (p\u0159\xEDloha na\u0159\xEDzen\xED, body 3.2 a 3.5). \n\u2022 Pokud\
            \ je slu\u017Eba nab\xEDzena t\u0159et\xED stranou, SLA ."
        it:
          description: "I soggetti pertinenti effettuano controlli periodici dell'integrit\xE0\
            \ delle copie di backup."
          annotation: "\u2022 Verificare l'integrit\xE0 delle copie di backup. Un\
            \ elenco indicativo e non esaustivo di buone pratiche \xE8 il seguente:\n\
            \    o utilizzare checksum o algoritmi di hashing per verificare che i\
            \ dati nei backup corrispondano ai dati originali (sezione 9.2);\n   \
            \ o implementare script automatizzati per eseguire regolarmente questi\
            \ controlli, riducendo il rischio di errore umano;\n    o programmare\
            \ test periodici per ripristinare i dati dai backup per assicurarsi che\
            \ siano completi, funzionali e convalidati dagli utenti aziendali per\
            \ confermare l'accuratezza e l'usabilit\xE0 dei dati ripristinati;\n \
            \   o Testare vari scenari di ripristino, inclusi ripristini completi\
            \ del sistema e recuperi di singoli file, per garantire che tutti gli\
            \ aspetti del sistema di backup siano affidabili; e\n    o Prendere in\
            \ considerazione l'utilizzo di soluzioni di archiviazione cloud per i\
            \ backup off-site, che spesso includono controlli di integrit\xE0 e ridondanza\
            \ integrati."
          typical_evidence: "\u2022 Registri o report che mostrano che vengono utilizzati\
            \ algoritmi di checksum o hashing. \n\u2022 Impostazioni nel software\
            \ di backup o negli script che specificano l'uso di checksum o algoritmi\
            \ di hashing. \n\u2022 Registrazioni di test regolari in cui i dati vengono\
            \ ripristinati dai backup. \n\u2022 Prova dei test di diversi scenari\
            \ di recupero, inclusi ripristini completi del sistema e recuperi di singoli\
            \ file. \n\u2022 Registri o rapporti di incidenti reali in cui sono state\
            \ attuate procedure di recupero (Allegato al regolamento, punti 3.2 e\
            \ 3.5). \n\u2022 Se il servizio \xE8 offerto da terzi, gli SLA."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.2.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.2
      ref_id: 4.2.4
      description: 'Based on the results of the risk assessment carried out pursuant
        to point 2.1 and the business continuity plan, the relevant entities shall
        ensure sufficient availability of resources by at least partial redundancy
        of the following:'
      annotation: "\u2022 Define minimum resources needed to ensure at least partial\
        \ redundancy for each of points (a), (b), (c) and (d). These may include the\
        \ following:\n    o network and information systems: one or more of the following\
        \ (indicative, non-exhaustive list):\n        * multiple internet service\
        \ providers, \uF0A7 load balancing, \uF0A7 mirrored servers, \uF0A7 virtualisation,\
        \ \uF0A7 redundant array of independent disks;\n    o assets: one or more\
        \ of the following (indicative, non-exhaustive list):\n        * shared workspaces,\
        \ \uF0A7 backup locations, \uF0A7 spare equipment, \uF0A7 multiple suppliers\
        \ for the same categories of products;\n    o personnel: one or more of the\
        \ following (indicative, non-exhaustive list):\n        * job rotation, \uF0A7\
        \ backup assignments, \uF0A7 emergency drills;\n    o multiple communication\
        \ platforms, for example social media, messaging apps and email; and\n   \
        \ o multiple methods to power a site, either through multiple electrical providers\
        \ or with a combination of electrical providers and backup mechanisms, such\
        \ as generators."
      typical_evidence: "\u2022 One or more of the above mechanisms are in place."
      translations:
        fr:
          description: "Sur la base des r\xE9sultats de l\u2019\xE9valuation des risques\
            \ effectu\xE9e conform\xE9ment au point\_2.1 et du plan de continuit\xE9\
            \ de l\u2019activit\xE9, les entit\xE9s concern\xE9es veillent \xE0 ce\
            \ que la disponibilit\xE9 des ressources soit suffisante moyennant une\
            \ redondance au moins partielle des \xE9l\xE9ments suivants:"
          annotation: "\u2022 D\xE9finir les ressources minimales n\xE9cessaires pour\
            \ assurer une redondance au moins partielle pour chacun des points a),\
            \ b), c) et d). Il peut s\u2019agir des \xE9l\xE9ments suivants :\n  \
            \  o r\xE9seaux et syst\xE8mes d\u2019information : un ou plusieurs des\
            \ \xE9l\xE9ments suivants (liste indicative, non exhaustive) :\n     \
            \   * plusieurs fournisseurs de services Internet, \uF0A7 \xE9quilibrage\
            \ de charge, \uF0A7 serveurs en miroir, \uF0A7 virtualisation, \uF0A7\
            \ r\xE9seau redondant de disques ind\xE9pendants ;\n    o actifs : un\
            \ ou plusieurs des \xE9l\xE9ments suivants (liste indicative, non exhaustive)\
            \ :\n        * espaces de travail partag\xE9s, \uF0A7 emplacements de\
            \ secours, \uF0A7 mat\xE9riel de rechange, \uF0A7 plusieurs fournisseurs\
            \ pour les m\xEAmes cat\xE9gories de produits ;\n    o personnel : un\
            \ ou plusieurs des \xE9l\xE9ments suivants (liste indicative et non exhaustive)\
            \ :\n        * rotation des t\xE2ches, \uF0A7 affectations de remplacement,\
            \ \uF0A7 exercices d\u2019urgence\_;\n    o plusieurs plateformes de communication,\
            \ par exemple les m\xE9dias sociaux, les applications de messagerie et\
            \ les e-mails ; et\n    o plusieurs m\xE9thodes pour alimenter un site,\
            \ soit par l\u2019interm\xE9diaire de plusieurs fournisseurs d\u2019\xE9\
            lectricit\xE9, soit avec une combinaison de fournisseurs d\u2019\xE9lectricit\xE9\
            \ et de m\xE9canismes de secours, tels que des g\xE9n\xE9rateurs."
          typical_evidence: "\u2022 Un ou plusieurs des m\xE9canismes ci-dessus sont\
            \ en place."
        es:
          description: "A partir de los resultados de la evaluaci\xF3n de riesgos\
            \ realizada con arreglo al punto 2.1 y el plan de continuidad de las actividades,\
            \ las entidades pertinentes garantizar\xE1n una disponibilidad suficiente\
            \ de los recursos mediante, como m\xEDnimo, la redundancia parcial de\
            \ lo siguiente:"
          annotation: "\u2022 Definir los recursos m\xEDnimos necesarios para garantizar\
            \ al menos una redundancia parcial para cada una de las letras a), b),\
            \ c) y d). Estos pueden incluir los siguientes:\n    o redes y sistemas\
            \ de informaci\xF3n: uno o varios de los siguientes (lista indicativa\
            \ y no exhaustiva):\n        * m\xFAltiples proveedores de servicios de\
            \ Internet, \uF0A7 equilibrio de carga, \uF0A7 servidores duplicados,\
            \ \uF0A7 virtualizaci\xF3n, \uF0A7 matriz redundante de discos independientes;\n\
            \    o Activos: uno o m\xE1s de los siguientes (lista indicativa, no exhaustiva):\n\
            \        * espacios de trabajo compartidos, \uF0A7 ubicaciones de copia\
            \ de seguridad, \uF0A7 equipos de repuesto, \uF0A7 m\xFAltiples proveedores\
            \ para las mismas categor\xEDas de productos;\n    o Personal: uno o varios\
            \ de los siguientes (lista indicativa y no exhaustiva):\n        * rotaci\xF3\
            n de trabajos, \uF0A7 asignaciones de respaldo, \uF0A7 simulacros de emergencia;\n\
            \    o m\xFAltiples plataformas de comunicaci\xF3n, por ejemplo, redes\
            \ sociales, aplicaciones de mensajer\xEDa y correo electr\xF3nico; y\n\
            \    o M\xFAltiples m\xE9todos para alimentar un sitio, ya sea a trav\xE9\
            s de m\xFAltiples proveedores el\xE9ctricos o con una combinaci\xF3n de\
            \ proveedores el\xE9ctricos y mecanismos de respaldo, como generadores."
          typical_evidence: "\u2022 Existen uno o m\xE1s de los mecanismos anteriores."
        cs:
          description: "Na z\xE1klad\u011B v\xFDsledk\u016F posouzen\xED rizik proveden\xE9\
            ho podle bodu 2.1 a pl\xE1nu kontinuity provozu zajist\xED p\u0159\xED\
            slu\u0161n\xE9 subjekty dostate\u010Dnou dostupnost zdroj\u016F alespo\u0148\
            \ \u010D\xE1ste\u010Dnou redundanc\xED t\u011Bchto zdroj\u016F:"
          annotation: "\u2022 Definovat minim\xE1ln\xED zdroje pot\u0159ebn\xE9 k\
            \ zaji\u0161t\u011Bn\xED alespo\u0148 \u010D\xE1ste\u010Dn\xE9 redundance\
            \ pro ka\u017Ed\xFD z bod\u016F (a), (b), (c) a (d). Mohou to b\xFDt n\xE1\
            sleduj\xEDc\xED:\n    o S\xED\u0165ov\xE9 a informa\u010Dn\xED syst\xE9\
            my: jeden nebo v\xEDce z n\xE1sleduj\xEDc\xEDch (orienta\u010Dn\xED, ne\xFA\
            pln\xFD seznam):\n        * v\xEDce poskytovatel\u016F internetov\xFD\
            ch slu\u017Eeb, \uF0A7 rozlo\u017Een\xED z\xE1t\u011B\u017Ee, \uF0A7 zrcadlen\xE9\
            \ servery, \uF0A7 virtualizace, \uF0A7 redundantn\xED pole nez\xE1visl\xFD\
            ch disk\u016F;\n    o Datov\xE9 zdroje: jeden nebo v\xEDce z n\xE1sleduj\xED\
            c\xEDch (orienta\u010Dn\xED, ne\xFApln\xFD seznam):\n        * sd\xED\
            len\xE9 pracovn\xED prostory, \uF0A7 um\xEDst\u011Bn\xED z\xE1loh, \uF0A7\
            \ n\xE1hradn\xED vybaven\xED, \uF0A7 v\xEDce dodavatel\u016F pro stejn\xE9\
            \ kategorie produkt\u016F;\n    o person\xE1l: jeden nebo v\xEDce z n\xE1\
            sleduj\xEDc\xEDch (orienta\u010Dn\xED, ne\xFApln\xFD seznam):\n      \
            \  * rotace \xFAloh, \uF0A7 z\xE1lo\u017En\xED \xFAkoly, \uF0A7 nouzov\xE1\
            \ cvi\u010Den\xED;\n    o v\xEDce komunika\u010Dn\xEDch platforem, nap\u0159\
            \xEDklad soci\xE1ln\xED m\xE9dia, aplikace pro zas\xEDl\xE1n\xED zpr\xE1\
            v a e-mail; a\n    o v\xEDce zp\u016Fsob\u016F nap\xE1jen\xED m\xEDsta,\
            \ bu\u010F prost\u0159ednictv\xEDm v\xEDce poskytovatel\u016F elektrick\xE9\
            \ energie, nebo kombinac\xED poskytovatel\u016F elektrick\xE9 energie\
            \ a z\xE1lo\u017En\xEDch mechanism\u016F, jako jsou gener\xE1tory."
          typical_evidence: "\u2022 Je zaveden jeden nebo v\xEDce z v\xFD\u0161e uveden\xFD\
            ch mechanism\u016F."
        it:
          description: "Sulla base dei risultati della valutazione dei rischi effettuata\
            \ a norma del punto 2.1 e del piano di continuit\xE0 operativa, i soggetti\
            \ pertinenti garantiscono una sufficiente disponibilit\xE0 di risorse\
            \ mediante la ridondanza almeno parziale dei seguenti elementi:"
          annotation: "\u2022 Definire le risorse minime necessarie per garantire\
            \ almeno una ridondanza parziale per ciascuna delle lettere a), b), c)\
            \ e d). Questi possono includere quanto segue:\n    o reti e sistemi informativi:\
            \ uno o pi\xF9 dei seguenti elementi (elenco indicativo e non esaustivo):\n\
            \        * pi\xF9 fornitori di servizi Internet, \uF0A7 bilanciamento\
            \ del carico, \uF0A7 server con mirroring, \uF0A7 virtualizzazione, \uF0A7\
            \ array ridondante di dischi indipendenti;\n    o attivit\xE0: uno o pi\xF9\
            \ dei seguenti elementi (elenco indicativo e non esaustivo):\n       \
            \ * spazi di lavoro condivisi, \uF0A7 sedi di backup, \uF0A7 attrezzature\
            \ di ricambio, \uF0A7 pi\xF9 fornitori per le stesse categorie di prodotti;\n\
            \    o personale: uno o pi\xF9 dei seguenti elementi (elenco indicativo\
            \ e non esaustivo):\n        * rotazione dei lavori, \uF0A7 incarichi\
            \ di riserva, \uF0A7 esercitazioni di emergenza;\n    o pi\xF9 piattaforme\
            \ di comunicazione, ad esempio social media, app di messaggistica ed e-mail;\
            \ e\n    o Metodi multipli per alimentare un sito, attraverso pi\xF9 fornitori\
            \ di energia elettrica o con una combinazione di fornitori di energia\
            \ elettrica e meccanismi di backup, come i generatori."
          typical_evidence: "\u2022 Uno o pi\xF9 dei meccanismi di cui sopra sono\
            \ in atto."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.2.4.a
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.2.4
      ref_id: 4.2.4.a
      description: network and information systems;
      translations:
        fr:
          description: "r\xE9seaux et syst\xE8mes d\u2019information;"
        es:
          description: "los sistemas de redes y de informaci\xF3n;"
        cs:
          description: "s\xEDt\u011B a informa\u010Dn\xED syst\xE9my;"
        it:
          description: reti e sistemi informativi;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.2.4.b
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.2.4
      ref_id: 4.2.4.b
      description: assets, including facilities, equipment and supplies;
      translations:
        fr:
          description: "actifs, y compris les installations, les \xE9quipements et\
            \ les fournitures;"
        es:
          description: los activos, incluidos las instalaciones, los equipos y los
            suministros;
        cs:
          description: "aktiva, v\u010Detn\u011B za\u0159\xEDzen\xED, vybaven\xED\
            \ a z\xE1sob;"
        it:
          description: beni, compresi impianti, attrezzature e forniture;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.2.4.c
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.2.4
      ref_id: 4.2.4.c
      description: personnel with the necessary responsibility, authority and competence;
      translations:
        fr:
          description: "personnel dot\xE9 des responsabilit\xE9s, des pouvoirs et\
            \ des comp\xE9tences n\xE9cessaires;"
        es:
          description: el personal con la responsabilidad, la autoridad y las competencias
            necesarias;
        cs:
          description: "pracovn\xEDci s pot\u0159ebnou odpov\u011Bdnost\xED, pravomocemi\
            \ a kompetencemi;"
        it:
          description: "personale dotato della responsabilit\xE0, dell'autorit\xE0\
            \ e della competenza necessarie;"
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.2.4.d
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.2.4
      ref_id: 4.2.4.d
      description: appropriate communication channels.
      translations:
        fr:
          description: "canaux de communication appropri\xE9s."
        es:
          description: "los canales de comunicaci\xF3n adecuados."
        cs:
          description: "vhodn\xE9 komunika\u010Dn\xED kan\xE1ly."
        it:
          description: canali di comunicazione adeguati.
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.2.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.2
      ref_id: 4.2.5
      description: Where appropriate, the relevant entities shall ensure that monitoring
        and adjustment of resources, including facilities, systems and personnel,
        is duly informed by backup and redundancy requirements.
      annotation: "\u2022 Decisions about resource allocation and adjustments should\
        \ be guided by the need for backups and redundancy. To this end, the entity\
        \ might consider one or more of the following (indicative, non-exhaustive\
        \ list):\n    o prioritisation of resources based on the results of the risk\
        \ analysis;\n    o partial redundancy;\n    o diverse backup locations; and\n\
        \    o continuous monitoring of the resources where redundancy is necessary."
      typical_evidence: "\u2022 Evidence of elements referred to in point 4.2.4 of\
        \ the Annex to the regulation. \n\u2022 Evidence from periodic simulations\
        \ and awareness raising activities to assess the readiness of personnel and\
        \ the adequacy of the procedures."
      translations:
        fr:
          description: "S\u2019il est besoin, les entit\xE9s concern\xE9es veillent\
            \ \xE0 ce que la surveillance et l\u2019adaptation des ressources, y compris\
            \ les installations, les syst\xE8mes et le personnel, soient d\xFBment\
            \ guid\xE9es par le respect des exigences en mati\xE8re de sauvegarde\
            \ et de redondance."
          annotation: "\u2022 Les d\xE9cisions concernant l\u2019allocation des ressources\
            \ et les ajustements doivent \xEAtre guid\xE9es par le besoin de sauvegardes\
            \ et de redondance. \xC0 cette fin, l\u2019entit\xE9 peut prendre en consid\xE9\
            ration un ou plusieurs des \xE9l\xE9ments suivants (liste indicative,\
            \ non exhaustive) :\n    o la hi\xE9rarchisation des ressources sur la\
            \ base des r\xE9sultats de l\u2019analyse des risques ;\n    o licenciement\
            \ partiel ;\n    o divers emplacements de sauvegarde\_; et\n    o Suivi\
            \ continu des ressources lorsque la redondance est n\xE9cessaire."
          typical_evidence: "\u2022 La preuve des \xE9l\xE9ments vis\xE9s au point\
            \ 4.2.4 de l\u2019annexe du r\xE8glement. \n\u2022 Des preuves provenant\
            \ de simulations p\xE9riodiques et d\u2019activit\xE9s de sensibilisation\
            \ pour \xE9valuer l\u2019\xE9tat de pr\xE9paration du personnel et l\u2019\
            ad\xE9quation des proc\xE9dures."
        es:
          description: "Cuando proceda, las entidades pertinentes velar\xE1n por que\
            \ la supervisi\xF3n y el ajuste de los recursos, incluidas las instalaciones,\
            \ los sistemas y el personal, est\xE9n debidamente fundados en los requisitos\
            \ de copias de seguridad y redundancia."
          annotation: "\u2022 Las decisiones sobre la asignaci\xF3n de recursos y\
            \ los ajustes deben guiarse por la necesidad de copias de seguridad y\
            \ redundancia. Con este fin, la entidad podr\xEDa considerar una o m\xE1\
            s de las siguientes opciones (lista indicativa y no exhaustiva):\n   \
            \ o priorizaci\xF3n de recursos en funci\xF3n de los resultados del an\xE1\
            lisis de riesgos;\n    o redundancia parcial;\n    o diversas ubicaciones\
            \ de copia de seguridad; y\n    o Monitorizaci\xF3n continua de los recursos\
            \ donde es necesaria la redundancia."
          typical_evidence: "\u2022 Acreditaci\xF3n de los elementos a que se refiere\
            \ el punto 4.2.4 del Anexo del Reglamento. \n\u2022 Evidencia de simulacros\
            \ peri\xF3dicos y actividades de sensibilizaci\xF3n para evaluar la preparaci\xF3\
            n del personal y la idoneidad de los procedimientos."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty v p\u0159\xEDpad\u011B\
            \ pot\u0159eby zajist\xED, aby sledov\xE1n\xED a p\u0159izp\u016Fsoben\xED\
            \ zdroj\u016F, v\u010Detn\u011B za\u0159\xEDzen\xED, syst\xE9m\u016F a\
            \ zam\u011Bstnanc\u016F, byly \u0159\xE1dn\u011B podlo\u017Eeny po\u017E\
            adavky na z\xE1lohov\xE1n\xED a redundanci."
          annotation: "Rozhodnut\xED o alokaci zdroj\u016F a \xFAprav\xE1ch by m\u011B\
            la b\xFDt vedena pot\u0159ebou z\xE1lohov\xE1n\xED a redundance. Za t\xED\
            mto \xFA\u010Delem m\u016F\u017Ee subjekt zv\xE1\u017Eit jeden nebo v\xED\
            ce z n\xE1sleduj\xEDc\xEDch (orienta\u010Dn\xED, ne\xFApln\xFD seznam):\n\
            \    o stanoven\xED priorit zdroj\u016F na z\xE1klad\u011B v\xFDsledk\u016F\
            \ anal\xFDzy rizik,\n    o \u010D\xE1ste\u010Dn\xE9 nadbyte\u010Dnosti;\n\
            \    o r\u016Fzn\xE1 um\xEDst\u011Bn\xED z\xE1loh; a\n    o nep\u0159\
            etr\u017Eit\xE9 sledov\xE1n\xED zdroj\u016F v p\u0159\xEDpadech, kdy je\
            \ nutn\xE1 redundance."
          typical_evidence: "\u2022 Doklady o prvc\xEDch uveden\xFDch v bod\u011B\
            \ 4.2.4 p\u0159\xEDlohy na\u0159\xEDzen\xED. \n\u2022 D\u016Fkazy z pravideln\xFD\
            ch simulac\xED a osv\u011Btov\xFDch aktivit s c\xEDlem posoudit p\u0159\
            ipravenost person\xE1lu a p\u0159im\u011B\u0159enost postup\u016F."
        it:
          description: Se del caso, i soggetti pertinenti garantiscono che il monitoraggio
            e l'adeguamento delle risorse, compresi gli impianti, i sistemi e il personale,
            siano debitamente informati dai requisiti di backup e di ridondanza.
          annotation: "\u2022 Le decisioni sull'allocazione e le regolazioni delle\
            \ risorse dovrebbero essere guidate dalla necessit\xE0 di backup e ridondanza.\
            \ A tal fine, l'ente pu\xF2 prendere in considerazione uno o pi\xF9 dei\
            \ seguenti elementi (elenco indicativo e non esaustivo):\n    o definizione\
            \ delle priorit\xE0 delle risorse sulla base dei risultati dell'analisi\
            \ dei rischi;\n    o ridondanza parziale;\n    o diverse posizioni di\
            \ backup; e\n    o monitoraggio continuo delle risorse laddove sia necessaria\
            \ la ridondanza."
          typical_evidence: "\u2022 Evidenza degli elementi di cui al punto 4.2.4\
            \ dell'Allegato al regolamento. \n\u2022 Evidenze provenienti da simulazioni\
            \ periodiche e attivit\xE0 di sensibilizzazione per valutare la prontezza\
            \ del personale e l'adeguatezza delle procedure."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.2.6
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.2
      ref_id: 4.2.6
      description: The relevant entities shall carry out regular testing of the recovery
        of backup copies and redundancies to ensure that, in recovery conditions,
        they can be relied upon and cover the copies, processes and knowledge to perform
        an effective recovery. The relevant entities shall document the results of
        the tests and, where needed, take corrective action.
      annotation: "\u2022 Tailor the frequency of the backup checks to the data criticality\
        \ based on the risk assessment (section 2.1). As an example:\n    o Data with\
        \ high criticality might be checked on a weekly basis.\n    o Data with moderate\
        \ and low criticality might be checked on a monthly basis.\n    o Significant\
        \ changes should be checked immediately after the change. \n\u2022 Make sure\
        \ that the issues and lessons learnt from exercises are addressed by the responsible\
        \ people and that the relevant processes and systems are updated accordingly.\
        \ \n\u2022 Involve suppliers and other third parties, such as business partners\
        \ or customers in tests.\n\n[TIPS]\n\n\u2022 Protect backup and restoration\
        \ hardware and software. \n\u2022 Ensure that encrypted backups remain accessible\
        \ by securely maintaining the associated encryption keys. Encryption keys\
        \ should be stored separately from the backup data to prevent unauthorized\
        \ access and ensure recoverability. \n\u2022 Before systems or configurations\
        \ are restored, a \u2018patient zero (37)\u2019 may need to be identified\
        \ so that the restoration does not restore any vulnerabilities or infections\
        \ that have sometimes been cleaned up.  \n\u2022 Consider the 3-2-1 backup\
        \ rule:\n    o keep three copies of the data (the original plus two backups),\
        \ o on two different types of storage media (e.g. hard drives, cloud storage),\
        \ o with one copy stored offsite. \n\u2022 Ensure the integrity of backups,\
        \ that is, prevent any modification or deletion, such as ransomware encryption\
        \ or tampering, within a defined retention period. Ways to ensure this include\
        \ (indicative, non- exhaustive list):\n    o malware and ransomware scanning\
        \ of backups before backups are stored;\n    o use of immutable backups;\n\
        \    o offline storage of backups. \n\u2022 Integrate business continuity\
        \ and disaster recovery plans with incident response (Annex to the regulation,\
        \ point 3.5) and crisis management processes (Annex to the regulation, point\
        \ 4.3). \n\u2022 When available cloud services:\n    o backups will be replicated\
        \ across multiple availability zones or stored in an alternate region to ensure\
        \ resilience against zone-level failures;\n    o will be configured with cross-zone\
        \ replication to minimise downtime;\n    o all backup data will be encrypted\
        \ at rest using cloud-native key management systems and encrypted during transfer\
        \ using TLS 1.2+;\n    o regular backup testing will be performed to validate\
        \ cross-zone recovery capabilities.\n\n(37) This term is usually used to identify\
        \ the first system affected by an attack."
      typical_evidence: "\u2022 Reports/logs of regular testing of backup status,\
        \ processes and procedures. \n\u2022 Test programme for backup plans, including\
        \ types of contingencies, frequency, roles and responsibilities, templates\
        \ and procedures for conducting tests, and templates for post-test reports.\
        \ \n\u2022 Reports of past tests of backup and contingency plans. \n\u2022\
        \ Reports about tests and drills showing the execution of the plans, including\
        \ evidence that recovery times were met and lessons learnt from the tests.\
        \ \n\u2022 Issues and lessons learnt from past tests addressed by the responsible\
        \ people. \n\u2022 Updated test plans, review comments and/or change logs.\
        \ \n\u2022 Input from suppliers and other third parties involved about how\
        \ to improve test scenarios.\n\n[TIPS]\n\n\u2022 Measures in place to protect\
        \ backup and restoration hardware and software, for example physical access\
        \ controls, surveillance systems, encryption, integrity checks and failover\
        \ mechanisms. \n\u2022 Review of the backup plan which mentions the 3-2-1\
        \ rule. \n\u2022 Logs from backup software that show regular backups are being\
        \ performed. \n\u2022 Configuration settings of backup software to verify\
        \ that it is set up to create three copies of data and store them on different\
        \ media. \n\u2022 If applicable, settings of the cloud storage service ensuring\
        \ it is configured to receive and store backup copies."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es proc\xE8dent r\xE9guli\xE8rement\
            \ \xE0 des tests de r\xE9cup\xE9ration des copies de sauvegarde et des\
            \ ressources redondantes afin de s\u2019assurer que, dans des conditions\
            \ de r\xE9tablissement, elles puissent \xEAtre utilis\xE9es de mani\xE8\
            re fiable et englober les copies, les proc\xE9dures et les connaissances\
            \ n\xE9cessaires pour proc\xE9der \xE0 un r\xE9tablissement efficace.\
            \ Les entit\xE9s concern\xE9es consignent les r\xE9sultats des tests et,\
            \ si n\xE9cessaire, adoptent des mesures correctrices."
          annotation: "\u2022 Adapter la fr\xE9quence des v\xE9rifications de sauvegarde\
            \ \xE0 la criticit\xE9 des donn\xE9es sur la base de l\u2019\xE9valuation\
            \ des risques (section 2.1). \xC0 titre d\u2019exemple :\n    o Les donn\xE9\
            es \xE0 haute criticit\xE9 peuvent \xEAtre v\xE9rifi\xE9es sur une base\
            \ hebdomadaire.\n    o Les donn\xE9es de criticit\xE9 mod\xE9r\xE9e et\
            \ faible peuvent \xEAtre v\xE9rifi\xE9es sur une base mensuelle.\n   \
            \ o Les modifications importantes doivent \xEAtre v\xE9rifi\xE9es imm\xE9\
            diatement apr\xE8s la modification. \n\u2022 S\u2019assurer que les probl\xE8\
            mes et les le\xE7ons tir\xE9s des exercices sont abord\xE9s par les personnes\
            \ responsables et que les processus et syst\xE8mes pertinents sont mis\
            \ \xE0 jour en cons\xE9quence. \n\u2022 Impliquer des fournisseurs et\
            \ d\u2019autres tiers, tels que des partenaires commerciaux ou des clients,\
            \ dans des tests.\n\n[CONSEILS]\n\n\u2022 Prot\xE9gez le mat\xE9riel et\
            \ les logiciels de sauvegarde et de restauration. \n\u2022 Assurez-vous\
            \ que les sauvegardes chiffr\xE9es restent accessibles en conservant en\
            \ toute s\xE9curit\xE9 les cl\xE9s de chiffrement associ\xE9es. Les cl\xE9\
            s de chiffrement doivent \xEAtre stock\xE9es s\xE9par\xE9ment des donn\xE9\
            es de sauvegarde afin d\u2019emp\xEAcher tout acc\xE8s non autoris\xE9\
            \ et d\u2019assurer la r\xE9cup\xE9rabilit\xE9. \n\u2022 Avant que les\
            \ syst\xE8mes ou les configurations ne soient restaur\xE9s, il peut \xEA\
            tre n\xE9cessaire d\u2019identifier un \xAB patient z\xE9ro (37) \xBB\
            \ afin que la restauration ne restaure pas les vuln\xE9rabilit\xE9s ou\
            \ les infections qui ont parfois \xE9t\xE9 nettoy\xE9es.  \n\u2022 Consid\xE9\
            rez la r\xE8gle de sauvegarde 3-2-1 :\n    o Conserver trois copies des\
            \ donn\xE9es (l\u2019original plus deux sauvegardes), o Sur deux types\
            \ de supports de stockage diff\xE9rents (par exemple, disques durs, stockage\
            \ en nuage), o Avec une copie stock\xE9e hors site. \n\u2022 Assurer l\u2019\
            int\xE9grit\xE9 des sauvegardes, c\u2019est-\xE0-dire emp\xEAcher toute\
            \ modification ou suppression, telle que le cryptage ou la falsification\
            \ par ransomware, dans une p\xE9riode de conservation d\xE9finie. Les\
            \ moyens de s\u2019en assurer sont les suivants (liste indicative, non\
            \ exhaustive) :\n    o Analyse des sauvegardes par les logiciels malveillants\
            \ et les ransomwares avant qu\u2019elles ne soient stock\xE9es ;\n   \
            \ o l\u2019utilisation de sauvegardes immuables ;\n    o Stockage hors\
            \ ligne des sauvegardes. \n\u2022 Int\xE9grer les plans de continuit\xE9\
            \ d\u2019activit\xE9 et de reprise apr\xE8s sinistre avec les processus\
            \ de r\xE9ponse aux incidents (annexe du r\xE8glement, point 3.5) et de\
            \ gestion de crise (annexe du r\xE8glement, point 4.3). \n\u2022 Lorsque\
            \ les services cloud sont disponibles :\n    o Les sauvegardes seront\
            \ r\xE9pliqu\xE9es dans plusieurs zones de disponibilit\xE9 ou stock\xE9\
            es dans une autre r\xE9gion pour garantir la r\xE9silience contre les\
            \ d\xE9faillances au niveau de la zone ;\n    o sera configur\xE9 avec\
            \ une r\xE9plication interzone pour minimiser les temps d\u2019arr\xEA\
            t ;\n    o Toutes les donn\xE9es de sauvegarde seront chiffr\xE9es au\
            \ repos \xE0 l\u2019aide de syst\xE8mes de gestion de cl\xE9s natifs du\
            \ cloud et chiffr\xE9es lors du transfert \xE0 l\u2019aide de TLS 1.2+\
            \ ;\n    o Des tests de sauvegarde r\xE9guliers seront effectu\xE9s pour\
            \ valider les capacit\xE9s de r\xE9cup\xE9ration interzone.\n\n(37) Ce\
            \ terme est g\xE9n\xE9ralement utilis\xE9 pour identifier le premier syst\xE8\
            me affect\xE9 par une attaque."
          typical_evidence: "\u2022 Rapports/journaux de tests r\xE9guliers de l\u2019\
            \xE9tat, des processus et des proc\xE9dures de sauvegarde. \n\u2022 Programme\
            \ de test des plans de secours, y compris les types d\u2019impr\xE9vus,\
            \ la fr\xE9quence, les r\xF4les et les responsabilit\xE9s, les mod\xE8\
            les et les proc\xE9dures de r\xE9alisation des tests, et les mod\xE8les\
            \ de rapports post-test. \n\u2022 Rapports des tests pass\xE9s de plans\
            \ de sauvegarde et d\u2019urgence. \n\u2022 Rapports sur les tests et\
            \ les exercices montrant l\u2019ex\xE9cution des plans, y compris les\
            \ preuves que les temps de r\xE9cup\xE9ration ont \xE9t\xE9 respect\xE9\
            s et les le\xE7ons tir\xE9es des tests. \n\u2022 Probl\xE8mes et le\xE7\
            ons tir\xE9s des tests pr\xE9c\xE9dents abord\xE9s par les personnes responsables.\
            \ \n\u2022 Mise \xE0 jour des plans de test, examen des commentaires et/ou\
            \ journaux des modifications. \n\u2022 Contribution des fournisseurs et\
            \ d\u2019autres tiers concern\xE9s sur la mani\xE8re d\u2019am\xE9liorer\
            \ les sc\xE9narios de test.\n\n[CONSEILS]\n\n\u2022 Mesures mises en place\
            \ pour prot\xE9ger le mat\xE9riel et les logiciels de sauvegarde et de\
            \ restauration, par exemple les contr\xF4les d\u2019acc\xE8s physiques,\
            \ les syst\xE8mes de surveillance, le cryptage, les contr\xF4les d\u2019\
            int\xE9grit\xE9 et les m\xE9canismes de basculement. \n\u2022 R\xE9vision\
            \ du plan de secours qui mentionne la r\xE8gle 3-2-1. \n\u2022 Journaux\
            \ du logiciel de sauvegarde qui montrent que des sauvegardes r\xE9guli\xE8\
            res sont effectu\xE9es. \n\u2022 Param\xE8tres de configuration du logiciel\
            \ de sauvegarde pour v\xE9rifier qu\u2019il est configur\xE9 pour cr\xE9\
            er trois copies de donn\xE9es et les stocker sur des supports diff\xE9\
            rents. \n\u2022 Le cas \xE9ch\xE9ant, les param\xE8tres du service de\
            \ stockage en nuage garantissant qu\u2019il est configur\xE9 pour recevoir\
            \ et stocker des copies de sauvegarde."
        es:
          description: "Las entidades pertinentes llevar\xE1n a cabo pruebas peri\xF3\
            dicas de la recuperaci\xF3n de copias de seguridad y las redundancias\
            \ para asegurarse de que, en condiciones de recuperaci\xF3n, es posible\
            \ depender de ellas y que engloban las copias, los procesos y los conocimientos\
            \ necesarios para llevar a cabo una recuperaci\xF3n eficaz. Las entidades\
            \ pertinentes documentar\xE1n los resultados de las pruebas y, cuando\
            \ sea necesario, adoptar\xE1n medidas correctoras."
          annotation: "\u2022 Adaptar la frecuencia de las comprobaciones de copia\
            \ de seguridad a la criticidad de los datos en funci\xF3n de la evaluaci\xF3\
            n de riesgos (secci\xF3n 2.1). A modo de ejemplo:\n    o Los datos con\
            \ alta criticidad pueden verificarse semanalmente.\n    o Los datos con\
            \ criticidad moderada y baja pueden verificarse mensualmente.\n    o Los\
            \ cambios significativos deben verificarse inmediatamente despu\xE9s del\
            \ cambio. \n\u2022 Asegurarse de que los problemas y las lecciones aprendidas\
            \ de los ejercicios sean abordados por las personas responsables y que\
            \ los procesos y sistemas pertinentes se actualicen en consecuencia. \n\
            \u2022 Involucrar a proveedores y otros terceros, como socios comerciales\
            \ o clientes, en las pruebas.\n\n[CONSEJOS]\n\n\u2022 Proteger el hardware\
            \ y el software de copia de seguridad y restauraci\xF3n. \n\u2022 Aseg\xFA\
            rese de que las copias de seguridad cifradas permanezcan accesibles manteniendo\
            \ de forma segura las claves de cifrado asociadas. Las claves de cifrado\
            \ deben almacenarse por separado de los datos de copia de seguridad para\
            \ evitar el acceso no autorizado y garantizar la capacidad de recuperaci\xF3\
            n. \n\u2022 Antes de que se restauren los sistemas o configuraciones,\
            \ es posible que sea necesario identificar a un \"paciente cero (37)\"\
            \ para que la restauraci\xF3n no restablezca ninguna vulnerabilidad o\
            \ infecci\xF3n que a veces se haya limpiado.  \n\u2022 Considere la regla\
            \ de respaldo 3-2-1:\n    o Conserve tres copias de los datos (el original\
            \ m\xE1s dos copias de seguridad), o en dos tipos diferentes de medios\
            \ de almacenamiento (por ejemplo, discos duros, almacenamiento en la nube),\
            \ o con una copia almacenada fuera del sitio. \n\u2022 Garantizar la integridad\
            \ de las copias de seguridad, es decir, evitar cualquier modificaci\xF3\
            n o eliminaci\xF3n, como el cifrado o la manipulaci\xF3n de ransomware,\
            \ dentro de un per\xEDodo de retenci\xF3n definido. Las formas de garantizar\
            \ esto incluyen (lista indicativa y no exhaustiva):\n    o escaneo de\
            \ malware y ransomware de las copias de seguridad antes de que se almacenen;\n\
            \    o uso de copias de seguridad inmutables;\n    o Almacenamiento fuera\
            \ de l\xEDnea de copias de seguridad. \n\u2022 Integrar los planes de\
            \ continuidad de negocio y recuperaci\xF3n ante desastres con los procesos\
            \ de respuesta a incidentes (Anexo del reglamento, punto 3.5) y de gesti\xF3\
            n de crisis (Anexo del reglamento, punto 4.3). \n\u2022 Cuando est\xE9\
            n disponibles los servicios en la nube:\n    o Las copias de seguridad\
            \ se replicar\xE1n en varias zonas de disponibilidad o se almacenar\xE1\
            n en una regi\xF3n alternativa para garantizar la resiliencia frente a\
            \ errores a nivel de zona.\n    o se configurar\xE1 con replicaci\xF3\
            n entre zonas para minimizar el tiempo de inactividad;\n    o todos los\
            \ datos de copia de seguridad se cifrar\xE1n en reposo mediante sistemas\
            \ de gesti\xF3n de claves nativos de la nube y se cifrar\xE1n durante\
            \ la transferencia mediante TLS 1.2+;\n    o Se realizar\xE1n pruebas\
            \ de copia de seguridad peri\xF3dicas para validar las capacidades de\
            \ recuperaci\xF3n entre zonas.\n\n(37) Este t\xE9rmino se utiliza habitualmente\
            \ para identificar el primer sistema afectado por un ataque."
          typical_evidence: "\u2022 Informes/registros de pruebas peri\xF3dicas del\
            \ estado, procesos y procedimientos de las copias de seguridad. \n\u2022\
            \ Programa de pruebas para planes de respaldo, incluidos los tipos de\
            \ contingencias, la frecuencia, las funciones y responsabilidades, las\
            \ plantillas y procedimientos para la realizaci\xF3n de pruebas, y las\
            \ plantillas para los informes posteriores a las pruebas. \n\u2022 Informes\
            \ de pruebas pasadas de respaldo y planes de contingencia. \n\u2022 Informes\
            \ sobre pruebas y simulacros que muestren la ejecuci\xF3n de los planes,\
            \ incluida la evidencia de que se cumplieron los tiempos de recuperaci\xF3\
            n y las lecciones aprendidas de las pruebas. \n\u2022 Problemas y lecciones\
            \ aprendidas de las pruebas anteriores abordadas por las personas responsables.\
            \ \n\u2022 Planes de prueba actualizados, comentarios de revisi\xF3n y/o\
            \ registros de cambios. \n\u2022 Aportes de los proveedores y otros terceros\
            \ involucrados sobre c\xF3mo mejorar los escenarios de prueba.\n\n[CONSEJOS]\n\
            \n\u2022 Medidas implementadas para proteger el hardware y software de\
            \ copia de seguridad y restauraci\xF3n, por ejemplo, controles de acceso\
            \ f\xEDsico, sistemas de vigilancia, cifrado, controles de integridad\
            \ y mecanismos de conmutaci\xF3n por error. \n\u2022 Revisi\xF3n del plan\
            \ de respaldo que menciona la regla 3-2-1. \n\u2022 Registros del software\
            \ de copia de seguridad que muestran que se est\xE1n realizando copias\
            \ de seguridad peri\xF3dicas. \n\u2022 Ajustes de configuraci\xF3n del\
            \ software de copia de seguridad para verificar que est\xE1 configurado\
            \ para crear tres copias de datos y almacenarlas en diferentes medios.\
            \ \n\u2022 Si corresponde, la configuraci\xF3n del servicio de almacenamiento\
            \ en la nube que garantiza que est\xE9 configurado para recibir y almacenar\
            \ copias de seguridad."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty prov\xE1d\u011Bj\xED pravideln\xE9\
            \ testov\xE1n\xED obnovy z\xE1lo\u017En\xEDch kopi\xED a redundanc\xED\
            , aby bylo zaji\u0161t\u011Bno, \u017Ee se na n\u011B lze v podm\xEDnk\xE1\
            ch obnovy spol\xE9hat a \u017Ee zahrnuj\xED kopie, postupy a znalosti\
            \ k proveden\xED \xFA\u010Dinn\xE9 obnovy. P\u0159\xEDslu\u0161n\xE9 subjekty\
            \ zdokumentuj\xED v\xFDsledky test\u016F a v p\u0159\xEDpad\u011B pot\u0159\
            eby p\u0159ijmou n\xE1pravn\xE1 opat\u0159en\xED."
          annotation: "\u2022 P\u0159izp\u016Fsobit frekvenci kontrol z\xE1lohov\xE1\
            n\xED kriti\u010Dnosti dat na z\xE1klad\u011B posouzen\xED rizik (\u010D\
            \xE1st 2.1). Jako p\u0159\xEDklad:\n    o Data s vysokou kriti\u010Dnost\xED\
            \ mohou b\xFDt kontrolov\xE1na na t\xFDdenn\xED b\xE1zi.\n    o Data se\
            \ st\u0159edn\xED a n\xEDzkou kriti\u010Dnost\xED mohou b\xFDt kontrolov\xE1\
            na na m\u011Bs\xED\u010Dn\xED b\xE1zi.\n    o V\xFDznamn\xE9 zm\u011B\
            ny by m\u011Bly b\xFDt zkontrolov\xE1ny ihned po zm\u011Bn\u011B. \n\u2022\
            \ Zajist\u011Bte, aby se probl\xE9my a poznatky z\xEDskan\xE9 ze cvi\u010D\
            en\xED zab\xFDvali odpov\u011Bdn\xED lid\xE9 a aby byly odpov\xEDdaj\xED\
            c\xEDm zp\u016Fsobem aktualizov\xE1ny p\u0159\xEDslu\u0161n\xE9 procesy\
            \ a syst\xE9my. \n\u2022 Zapojit do test\u016F dodavatele a dal\u0161\xED\
            \ t\u0159et\xED strany, jako jsou obchodn\xED partne\u0159i nebo z\xE1\
            kazn\xEDci.\n\n[TIPY]\n\n\u2022 Chra\u0148te hardware a software pro z\xE1\
            lohov\xE1n\xED a obnovu. \n\u2022 Zajist\u011Bte, aby \u0161ifrovan\xE9\
            \ z\xE1lohy z\u016Fstaly p\u0159\xEDstupn\xE9 bezpe\u010Dn\xFDm udr\u017E\
            ov\xE1n\xEDm p\u0159idru\u017Een\xFDch \u0161ifrovac\xEDch kl\xED\u010D\
            \u016F. \u0160ifrovac\xED kl\xED\u010De by m\u011Bly b\xFDt ulo\u017E\
            eny odd\u011Blen\u011B od z\xE1lohovan\xFDch dat, aby se zabr\xE1nilo\
            \ neopr\xE1vn\u011Bn\xE9mu p\u0159\xEDstupu a zajistila se obnovitelnost.\
            \ \n\u2022 P\u0159ed obnoven\xEDm syst\xE9m\u016F nebo konfigurac\xED\
            \ m\u016F\u017Ee b\xFDt nutn\xE9 identifikovat \"pacienta nula (37)\"\
            , aby obnova neobnovila \u017E\xE1dn\xE9 zranitelnosti nebo infekce, kter\xE9\
            \ byly n\u011Bkdy vy\u010Di\u0161t\u011Bny.  \n\u2022 Zva\u017Ete pravidlo\
            \ z\xE1lohov\xE1n\xED 3-2-1:\n    o uchov\xE1vat t\u0159i kopie dat (p\u016F\
            vodn\xED a dv\u011B z\xE1lohovan\xE9), o na dvou r\u016Fzn\xFDch typech\
            \ pam\u011B\u0165ov\xFDch m\xE9di\xED (nap\u0159. pevn\xE9 disky, cloudov\xE9\
            \ \xFAlo\u017Ei\u0161t\u011B), o s jednou kopi\xED ulo\u017Eenou mimo\
            \ pracovi\u0161t\u011B. \n\u2022 Zajistit integritu z\xE1loh, to znamen\xE1\
            \ zabr\xE1nit jak\xFDmkoli \xFAprav\xE1m nebo odstran\u011Bn\xED, jako\
            \ je \u0161ifrov\xE1n\xED ransomwaru nebo manipulace, v r\xE1mci definovan\xE9\
            \ doby uchov\xE1v\xE1n\xED. Mezi zp\u016Fsoby, jak to zajistit, pat\u0159\
            \xED (orienta\u010Dn\xED, ne\xFApln\xFD seznam):\n    o skenov\xE1n\xED\
            \ malwaru a ransomwaru z\xE1loh p\u0159ed jejich ulo\u017Een\xEDm;\n \
            \   o pou\u017Eit\xED nem\u011Bnn\xFDch z\xE1loh;\n    o offline ukl\xE1\
            d\xE1n\xED z\xE1loh. \n\u2022 Integrovat pl\xE1ny kontinuity \u010Dinnost\xED\
            \ a obnovy po hav\xE1rii s reakc\xEDch na incidenty (p\u0159\xEDloha na\u0159\
            \xEDzen\xED, bod 3.5) a procesy krizov\xE9ho \u0159\xEDzen\xED (p\u0159\
            \xEDloha na\u0159\xEDzen\xED, bod 4.3). \n\u2022 Pokud jsou k dispozici\
            \ cloudov\xE9 slu\u017Eby:\n    o Z\xE1lohy budou replikov\xE1ny nap\u0159\
            \xED\u010D v\xEDce z\xF3nami dostupnosti nebo ulo\u017Eeny v alternativn\xED\
            \ oblasti, aby byla zaji\u0161t\u011Bna odolnost proti selh\xE1n\xEDm\
            \ na \xFArovni z\xF3ny;\n    o bude nakonfigurov\xE1na s replikac\xED\
            \ mezi z\xF3nami, aby se minimalizovaly v\xFDpadky;\n    o v\u0161echna\
            \ data z\xE1loh budou v klidov\xE9m stavu \u0161ifrov\xE1na pomoc\xED\
            \ cloudov\xFDch syst\xE9m\u016F pro spr\xE1vu kl\xED\u010D\u016F a b\u011B\
            hem p\u0159enosu pomoc\xED protokolu TLS 1.2+;\n    o Bude prov\xE1d\u011B\
            no pravideln\xE9 testov\xE1n\xED z\xE1loh za \xFA\u010Delem ov\u011B\u0159\
            en\xED schopnost\xED obnovy mezi z\xF3nami.\n\n(37) Tento term\xEDn se\
            \ obvykle pou\u017E\xEDv\xE1 k identifikaci prvn\xEDho syst\xE9mu zasa\u017E\
            en\xE9ho \xFAtokem."
          typical_evidence: "\u2022 Reporty/logy z pravideln\xE9ho testov\xE1n\xED\
            \ stavu z\xE1loh, proces\u016F a postup\u016F. \n\u2022 Testovac\xED program\
            \ pro z\xE1lo\u017En\xED pl\xE1ny, v\u010Detn\u011B typ\u016F nep\u0159\
            edv\xEDdan\xFDch ud\xE1lost\xED, \u010Detnosti, rol\xED a odpov\u011B\
            dnost\xED, \u0161ablon a postup\u016F pro prov\xE1d\u011Bn\xED test\u016F\
            \ a \u0161ablon pro zpr\xE1vy po testu. \n\u2022 Zpr\xE1vy o minul\xFD\
            ch testech z\xE1lo\u017En\xEDch a pohotovostn\xEDch pl\xE1n\u016F. \n\u2022\
            \ Zpr\xE1vy o testech a cvi\u010Den\xEDch ukazuj\xEDc\xED prov\xE1d\u011B\
            n\xED pl\xE1n\u016F, v\u010Detn\u011B d\u016Fkaz\u016F o tom, \u017Ee\
            \ byly dodr\u017Eeny doby obnovy a pou\u010Den\xED z test\u016F. \n\u2022\
            \ Probl\xE9my a pou\u010Den\xED z minul\xFDch test\u016F, kter\xFDmi se\
            \ zab\xFDvali odpov\u011Bdn\xED lid\xE9. \n\u2022 Aktualizovan\xE9 testovac\xED\
            \ pl\xE1ny, kontrola koment\xE1\u0159\u016F a/nebo protokol\u016F zm\u011B\
            n. \n\u2022 Vstupy od dodavatel\u016F a dal\u0161\xEDch z\xFA\u010Dastn\u011B\
            n\xFDch t\u0159et\xEDch stran o tom, jak zlep\u0161it testovac\xED sc\xE9\
            n\xE1\u0159e.\n\n[TIPY]\n\n\u2022 Opat\u0159en\xED na ochranu hardwaru\
            \ a softwaru pro z\xE1lohov\xE1n\xED a obnovu, nap\u0159\xEDklad kontroly\
            \ fyzick\xE9ho p\u0159\xEDstupu, syst\xE9my dohledu, \u0161ifrov\xE1n\xED\
            , kontroly integrity a mechanismy p\u0159evzet\xED slu\u017Eeb p\u0159\
            i selh\xE1n\xED. \n\u2022 Kontrola z\xE1lo\u017En\xEDho pl\xE1nu, kter\xFD\
            \ zmi\u0148uje pravidlo 3-2-1. \n\u2022 Jsou prov\xE1d\u011Bny protokoly\
            \ ze z\xE1lohovac\xEDho softwaru, kter\xE9 ukazuj\xED pravideln\xE9 z\xE1\
            lohov\xE1n\xED. \n\u2022 Nastaven\xED konfigurace z\xE1lohovac\xEDho softwaru\
            \ pro ov\u011B\u0159en\xED, zda je nastaveno vytv\xE1\u0159en\xED t\u0159\
            \xED kopi\xED dat a jejich ukl\xE1d\xE1n\xED na r\u016Fzn\xE1 m\xE9dia.\
            \ \n\u2022 Pokud je to mo\u017En\xE9, nastaven\xED slu\u017Eby cloudov\xE9\
            ho \xFAlo\u017Ei\u0161t\u011B zaji\u0161\u0165uj\xEDc\xED, \u017Ee je\
            \ nakonfigurov\xE1na pro p\u0159\xEDjem a ukl\xE1d\xE1n\xED z\xE1lo\u017E\
            n\xEDch kopi\xED."
        it:
          description: I soggetti pertinenti effettuano verifiche periodiche del ripristino
            delle copie di backup e delle ridondanze per garantire che, in condizioni
            di ripristino, si possa fare affidamento su di esse e coprano le copie,
            i processi e le conoscenze necessarie per eseguire un ripristino efficace.
            Gli enti pertinenti documentano i risultati delle prove e, se necessario,
            adottano misure correttive.
          annotation: "\u2022 Adattare la frequenza dei controlli di backup alla criticit\xE0\
            \ dei dati in base alla valutazione del rischio (sezione 2.1). Ad esempio:\n\
            \    o I dati con elevata criticit\xE0 potrebbero essere controllati su\
            \ base settimanale.\n    o I dati con criticit\xE0 moderata e bassa potrebbero\
            \ essere controllati su base mensile.\n    o Le modifiche significative\
            \ devono essere controllate immediatamente dopo la modifica. \n\u2022\
            \ Assicurarsi che le questioni e le lezioni apprese dalle esercitazioni\
            \ siano affrontate dalle persone responsabili e che i processi e i sistemi\
            \ pertinenti siano aggiornati di conseguenza. \n\u2022 Coinvolgere fornitori\
            \ e altre terze parti, come partner commerciali o clienti nei test.\n\n\
            [CONSIGLI]\n\n\u2022 Proteggi l'hardware e il software di backup e ripristino.\
            \ \n\u2022 Assicurarsi che i backup crittografati rimangano accessibili\
            \ mantenendo in modo sicuro le chiavi di crittografia associate. Le chiavi\
            \ di crittografia devono essere archiviate separatamente dai dati di backup\
            \ per impedire l'accesso non autorizzato e garantire la recuperabilit\xE0\
            . \n\u2022 Prima che i sistemi o le configurazioni vengano ripristinati,\
            \ potrebbe essere necessario identificare un \"paziente zero (37)\" in\
            \ modo che il ripristino non ripristini eventuali vulnerabilit\xE0 o infezioni\
            \ che a volte sono state eliminate.  \n\u2022 Considera la regola del\
            \ backup 3-2-1:\n    o conservare tre copie dei dati (l'originale pi\xF9\
            \ due backup), o su due diversi tipi di supporti di archiviazione (ad\
            \ es. dischi rigidi, cloud storage), o con una copia conservata fuori\
            \ sede. \n\u2022 Garantire l'integrit\xE0 dei backup, ovvero prevenire\
            \ qualsiasi modifica o eliminazione, come la crittografia o la manomissione\
            \ di ransomware, entro un periodo di conservazione definito. I modi per\
            \ garantire ci\xF2 includono (elenco indicativo, non esaustivo):\n   \
            \ o scansione di malware e ransomware dei backup prima che i backup vengano\
            \ archiviati;\n    o utilizzo di backup immutabili;\n    o Archiviazione\
            \ offline dei backup. \n\u2022 Integrare i piani di business continuity\
            \ e disaster recovery con i processi di incident response (Allegato al\
            \ regolamento, punto 3.5) e di gestione delle crisi (Allegato al regolamento,\
            \ punto 4.3). \n\u2022 Quando sono disponibili servizi cloud:\n    o I\
            \ backup verranno replicati su pi\xF9 zone di disponibilit\xE0 o archiviati\
            \ in una regione alternativa per garantire la resilienza contro i guasti\
            \ a livello di zona;\n    o sar\xE0 configurato con la replica tra zone\
            \ per ridurre al minimo i tempi di inattivit\xE0;\n    o tutti i dati\
            \ di backup saranno crittografati a riposo utilizzando sistemi di gestione\
            \ delle chiavi nativi del cloud e crittografati durante il trasferimento\
            \ utilizzando TLS 1.2+;\n    o Verranno eseguiti test di backup regolari\
            \ per convalidare le capacit\xE0 di ripristino tra zone.\n\n(37) Questo\
            \ termine \xE8 solitamente utilizzato per identificare il primo sistema\
            \ colpito da un attacco."
          typical_evidence: "\u2022 Report/log di test regolari dello stato, dei processi\
            \ e delle procedure di backup. \n\u2022 Programma di test per i piani\
            \ di backup, inclusi tipi di imprevisti, frequenza, ruoli e responsabilit\xE0\
            , modelli e procedure per l'esecuzione dei test e modelli per i rapporti\
            \ post-test. \n\u2022 Rapporti sui test passati dei piani di backup e\
            \ di emergenza. \n\u2022 Relazioni su test ed esercitazioni che mostrino\
            \ l'esecuzione dei piani, comprese le prove che i tempi di recupero sono\
            \ stati rispettati e gli insegnamenti tratti dai test. \n\u2022 Questioni\
            \ e lezioni apprese dai test passati affrontati dalle persone responsabili.\
            \ \n\u2022 Piani di test aggiornati, commenti di revisione e/o registri\
            \ delle modifiche. \n\u2022 Input da parte dei fornitori e di altre terze\
            \ parti coinvolte su come migliorare gli scenari di test.\n\n[CONSIGLI]\n\
            \n\u2022 Misure in atto per proteggere l'hardware e il software di backup\
            \ e ripristino, ad esempio controlli di accesso fisico, sistemi di sorveglianza,\
            \ crittografia, controlli di integrit\xE0 e meccanismi di failover. \n\
            \u2022 Revisione del piano di riserva che menziona la regola del 3-2-1.\
            \ \n\u2022 Registri del software di backup che mostrano l'esecuzione di\
            \ backup regolari. \n\u2022 Impostazioni di configurazione del software\
            \ di backup per verificare che sia impostato per creare tre copie dei\
            \ dati e memorizzarle su supporti diversi. \n\u2022 Se applicabile, le\
            \ impostazioni del servizio di archiviazione cloud che assicurano che\
            \ sia configurato per ricevere e archiviare copie di backup."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.3
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4
      ref_id: '4.3'
      name: Crisis management
      translations:
        fr:
          name: Gestion des crises
        es:
          name: "Gesti\xF3n de crisis"
        cs:
          name: "Krizov\xE9 \u0159\xEDzen\xED"
        it:
          name: Gestione delle crisi
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.3.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.3
      ref_id: 4.3.1
      description: The relevant entities shall put in place a process for crisis management.
      annotation: "\u2022 Take into account industry-recognised standards when developing\
        \ the crisis management process (38).\n    o Be aware that each crisis may\
        \ be different and further analysis may be required on an ad hoc basis.\n\
        \    o Consider the various aspects (e.g. technical, operational, communication\
        \ and remediation) of crisis management, including processes, roles and responsibilities.\
        \  \n\u2022 Because the escalation of an incident to crisis status depends\
        \ on an entity\u2019s risk appetite and incident handling capabilities, the\
        \ entity should define criteria on when a crisis is declared (39). This may\
        \ refer to incidents that cause serious impact, beyond a certain threshold\
        \ of tolerance. These criteria may include the following (indicative and non-exhaustive\
        \ list):\n    o the incident poses significant risk to critical assets or\
        \ operations with high criticality, for example high-severity incidents (e.g.\
        \ data breaches involving sensitive information);\n    o the incident disrupts\
        \ business operations significantly, for example prolonged downtime, widespread\
        \ loss of services or significant impact on customer service;\n    o the breadth\
        \ of the incident, that is, whether it affects multiple systems, departments\
        \ or geographic locations, indicating a wider threat;\n    o the potential\
        \ impact on the entity\u2019s reputation \u2013 incidents that could lead\
        \ to public scrutiny or loss of customer trust should be escalated;\n    o\
        \ the potential impact of the cybersecurity incident on the confidentiality,\
        \ integrity, authenticity and availability of data;\n    o the sophistication\
        \ and motivations of the threat actors involved. Incidents linked to advanced\
        \ persistent threats or organised cybercrime may require a higher-level response,\
        \ beyond the capabilities of the entity;\n    o the potential to escalate\
        \ further (e.g. if vulnerabilities could be exploited again or if malware\
        \ is spreading).\n\n(38) Additionally, consider: \n\u2022 ISO 22361:2022,\
        \ Security and resilience \u2013 Crisis management \u2013 Guidelines; \n\u2022\
        \ ENISA Best Practices for Cyber Crisis Management, https://www.enisa.europa.eu/publications/best-practices-for-cyber-crisis-\
        \ management; \n\u2022 NIST Special Publication 800-61 Revision 2. \n(39)\
        \ According to ISO 22361, a crisis is an \u2018abnormal or extraordinary event\
        \ or situation which threatens an organisation or community and requires a\
        \ strategic, adaptive and timely response in order to preserve its viability\
        \ and integrity\u2019."
      typical_evidence: "\u2022 Crisis management process is in line with documented\
        \ standards and/or good practices."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es mettent en place une proc\xE9\
            dure de gestion des crises."
          annotation: "\u2022 Tenir compte des normes reconnues par l\u2019industrie\
            \ lors de l\u2019\xE9laboration du processus de gestion de crise (38).\n\
            \    o Sachez que chaque crise peut \xEAtre diff\xE9rente et qu\u2019\
            une analyse plus approfondie peut \xEAtre n\xE9cessaire sur une base ad\
            \ hoc.\n    o Tenir compte des divers aspects (techniques, op\xE9rationnels,\
            \ communication et rem\xE9diation) de la gestion de crise, y compris les\
            \ processus, les r\xF4les et les responsabilit\xE9s.  \n\u2022 \xC9tant\
            \ donn\xE9 que l\u2019escalade d\u2019un incident \xE0 l\u2019\xE9tat\
            \ de crise d\xE9pend de l\u2019app\xE9tit pour le risque et des capacit\xE9\
            s de traitement des incidents de l\u2019entit\xE9, l\u2019entit\xE9 doit\
            \ d\xE9finir des crit\xE8res pour savoir quand une crise est d\xE9clar\xE9\
            e (39). Il peut s\u2019agir d\u2019incidents qui ont des r\xE9percussions\
            \ graves, au-del\xE0 d\u2019un certain seuil de tol\xE9rance. Ces crit\xE8\
            res peuvent inclure les suivants (liste indicative et non exhaustive)\
            \ :\n    o l\u2019incident pr\xE9sente un risque important pour les actifs\
            \ critiques ou les op\xE9rations \xE0 forte criticit\xE9, par exemple\
            \ les incidents de gravit\xE9 \xE9lev\xE9e (par exemple, les violations\
            \ de donn\xE9es impliquant des informations sensibles) ;\n    o l\u2019\
            incident perturbe consid\xE9rablement les op\xE9rations de l\u2019entreprise,\
            \ par exemple des temps d\u2019arr\xEAt prolong\xE9s, une perte g\xE9\
            n\xE9ralis\xE9e de services ou un impact significatif sur le service client\
            \ ;\n    o l\u2019ampleur de l\u2019incident, c\u2019est-\xE0-dire s\u2019\
            il touche plusieurs syst\xE8mes, services ou emplacements g\xE9ographiques,\
            \ indiquant une menace plus large\_;\n    o l\u2019impact potentiel sur\
            \ la r\xE9putation de l\u2019entit\xE9 \u2013 les incidents qui pourraient\
            \ entra\xEEner un examen public ou une perte de confiance des clients\
            \ doivent \xEAtre signal\xE9s ;\n    o l\u2019impact potentiel de l\u2019\
            incident de cybers\xE9curit\xE9 sur la confidentialit\xE9, l\u2019int\xE9\
            grit\xE9, l\u2019authenticit\xE9 et la disponibilit\xE9 des donn\xE9es\
            \ ;\n    o la sophistication et les motivations des acteurs de la menace\
            \ impliqu\xE9s. Les incidents li\xE9s \xE0 des menaces persistantes avanc\xE9\
            es ou \xE0 la cybercriminalit\xE9 organis\xE9e peuvent n\xE9cessiter une\
            \ r\xE9ponse de plus haut niveau, au-del\xE0 des capacit\xE9s de l\u2019\
            entit\xE9 ;\n    o le potentiel d\u2019escalade suppl\xE9mentaire (par\
            \ exemple, si les vuln\xE9rabilit\xE9s peuvent \xEAtre exploit\xE9es \xE0\
            \ nouveau ou si des logiciels malveillants se propagent).\n\n(38) De plus,\
            \ il faut tenir compte des \xE9l\xE9ments suivants : \n\u2022 ISO 22361:2022,\
            \ S\xE9curit\xE9 et r\xE9silience \u2013 Gestion de crise \u2013 Lignes\
            \ directrices ; \n\u2022 Meilleures pratiques de l\u2019ENISA pour la\
            \ gestion des cybercrises, https://www.enisa.europa.eu/publications/best-practices-for-cyber-crisis-management\
            \ ; \n\u2022 Publication sp\xE9ciale NIST 800-61 R\xE9vision 2. \n(39)\
            \ Selon la norme ISO 22361, une crise est un \xAB\_\xE9v\xE9nement ou\
            \ une situation anormale ou extraordinaire qui menace une organisation\
            \ ou une communaut\xE9 et n\xE9cessite une r\xE9ponse strat\xE9gique,\
            \ adaptative et opportune afin de pr\xE9server sa viabilit\xE9 et son\
            \ int\xE9grit\xE9\_\xBB."
          typical_evidence: "\u2022 Le processus de gestion de crise est conforme\
            \ aux normes document\xE9es et/ou aux bonnes pratiques."
        es:
          description: "Las entidades pertinentes pondr\xE1n en marcha procesos de\
            \ gesti\xF3n de crisis."
          annotation: "\u2022 Tener en cuenta las normas reconocidas por el sector\
            \ a la hora de desarrollar el proceso de gesti\xF3n de crisis (38).\n\
            \    o Tenga en cuenta que cada crisis puede ser diferente y que puede\
            \ ser necesario un an\xE1lisis m\xE1s detallado sobre una base ad hoc.\n\
            \    o Considerar los diversos aspectos (por ejemplo, t\xE9cnicos, operativos,\
            \ de comunicaci\xF3n y remediaci\xF3n) de la gesti\xF3n de crisis, incluidos\
            \ los procesos, las funciones y las responsabilidades.  \n\u2022 Debido\
            \ a que la escalada de un incidente a un estado de crisis depende del\
            \ apetito de riesgo y de las capacidades de manejo de incidentes de la\
            \ entidad, la entidad debe definir criterios sobre cu\xE1ndo se declara\
            \ una crisis (39). Esto puede referirse a incidentes que causan un impacto\
            \ grave, m\xE1s all\xE1 de un cierto umbral de tolerancia. Estos criterios\
            \ pueden incluir los siguientes (lista indicativa y no exhaustiva):\n\
            \    o el incidente representa un riesgo significativo para los activos\
            \ cr\xEDticos o las operaciones con alta criticidad, por ejemplo, incidentes\
            \ de alta gravedad (por ejemplo, violaciones de datos que involucran informaci\xF3\
            n confidencial);\n    o el incidente interrumpe significativamente las\
            \ operaciones comerciales, por ejemplo, tiempo de inactividad prolongado,\
            \ p\xE9rdida generalizada de servicios o impacto significativo en el servicio\
            \ al cliente;\n    o la amplitud del incidente, es decir, si afecta a\
            \ m\xFAltiples sistemas, departamentos o ubicaciones geogr\xE1ficas, lo\
            \ que indica una amenaza m\xE1s amplia;\n    o el impacto potencial en\
            \ la reputaci\xF3n de la entidad: los incidentes que podr\xEDan conducir\
            \ al escrutinio p\xFAblico o a la p\xE9rdida de confianza de los clientes\
            \ deben escalarse;\n    o el impacto potencial del incidente de ciberseguridad\
            \ en la confidencialidad, integridad, autenticidad y disponibilidad de\
            \ los datos;\n    o La sofisticaci\xF3n y las motivaciones de los actores\
            \ de amenazas involucrados. Los incidentes relacionados con amenazas persistentes\
            \ avanzadas o ciberdelincuencia organizada pueden requerir una respuesta\
            \ de nivel superior, m\xE1s all\xE1 de las capacidades de la entidad;\n\
            \    o la posibilidad de que se intensifique a\xFAn m\xE1s (por ejemplo,\
            \ si las vulnerabilidades podr\xEDan volver a explotarse o si el malware\
            \ se est\xE1 propagando).\n\n(38) Adem\xE1s, considere: \n\u2022 ISO 22361:2022,\
            \ Seguridad y resiliencia \u2013 Gesti\xF3n de crisis \u2013 Directrices;\
            \ \n\u2022 Mejores Pr\xE1cticas de ENISA para la Gesti\xF3n de Crisis\
            \ Cibern\xE9ticas, gesti\xF3n https://www.enisa.europa.eu/publications/best-practices-for-cyber-crisis;\
            \ \n\u2022 Publicaci\xF3n especial del NIST 800-61, revisi\xF3n 2. \n\
            (39) De conformidad con la norma ISO 22361, una crisis es un \xABacontecimiento\
            \ o situaci\xF3n anormal o extraordinaria que amenaza a una organizaci\xF3\
            n o comunidad y requiere una respuesta estrat\xE9gica, adaptativa y oportuna\
            \ para preservar su viabilidad e integridad\xBB."
          typical_evidence: "\u2022 El proceso de gesti\xF3n de crisis est\xE1 en\
            \ l\xEDnea con est\xE1ndares documentados y/o buenas pr\xE1cticas."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty zavedou postup pro krizov\xE9\
            \ \u0159\xEDzen\xED."
          annotation: "\u2022 P\u0159i vypracov\xE1v\xE1n\xED procesu krizov\xE9ho\
            \ \u0159\xEDzen\xED zohlednit odv\u011Btvov\u011B uzn\xE1van\xE9 normy\
            \ (38).\n    o Uv\u011Bdomte si, \u017Ee ka\u017Ed\xE1 krize m\u016F\u017E\
            e b\xFDt jin\xE1 a m\u016F\u017Ee b\xFDt vy\u017Eadov\xE1na dal\u0161\xED\
            \ anal\xFDza ad hoc.\n    o Zv\xE1\u017Eit r\u016Fzn\xE9 aspekty (nap\u0159\
            . technick\xE9, provozn\xED, komunika\u010Dn\xED a n\xE1pravn\xE9) krizov\xE9\
            ho \u0159\xEDzen\xED, v\u010Detn\u011B proces\u016F, \xFAloh a odpov\u011B\
            dnost\xED.  \n\u2022 Vzhledem k tomu, \u017Ee eskalace incidentu do krizov\xE9\
            ho stavu z\xE1vis\xED na ochot\u011B subjektu riskovat a jeho schopnosti\
            \ \u0159e\u0161it incidenty, m\u011Bl by subjekt definovat krit\xE9ria\
            \ pro to, kdy je krize vyhl\xE1\u0161ena (39). To se m\u016F\u017Ee t\xFD\
            kat incident\u016F, kter\xE9 maj\xED v\xE1\u017En\xE9 n\xE1sledky nad\
            \ ur\u010Ditou hranici tolerance. Tato krit\xE9ria mohou zahrnovat n\xE1\
            sleduj\xEDc\xED (orienta\u010Dn\xED a ne\xFApln\xFD seznam):\n    o incident\
            \ p\u0159edstavuje v\xFDznamn\xE9 riziko pro kritick\xE1 aktiva nebo operace\
            \ s vysokou kriti\u010Dnost\xED, nap\u0159\xEDklad incidenty s vysokou\
            \ z\xE1va\u017Enost\xED (nap\u0159. naru\u0161en\xED bezpe\u010Dnosti\
            \ dat zahrnuj\xEDc\xED citliv\xE9 informace);\n    o incident v\xFDznamn\u011B\
            \ naru\u0161\xED obchodn\xED operace, nap\u0159\xEDklad del\u0161\xED\
            \ odst\xE1vku, rozs\xE1hlou ztr\xE1tu slu\u017Eeb nebo v\xFDznamn\xFD\
            \ dopad na slu\u017Eby z\xE1kazn\xEDk\u016Fm;\n    o rozsah incidentu,\
            \ tj. zda ovliv\u0148uje v\xEDce syst\xE9m\u016F, odd\u011Blen\xED nebo\
            \ geografick\xFDch lokalit, co\u017E nazna\u010Duje \u0161ir\u0161\xED\
            \ hrozbu;\n    o potenci\xE1ln\xED dopad na pov\u011Bst subjektu \u2013\
            \ incidenty, kter\xE9 by mohly v\xE9st k ve\u0159ejn\xE9 kontrole nebo\
            \ ztr\xE1t\u011B d\u016Fv\u011Bry z\xE1kazn\xEDk\u016F, by m\u011Bly b\xFD\
            t eskalov\xE1ny;\n    o mo\u017En\xE9m dopadu kybernetick\xE9ho bezpe\u010D\
            nostn\xEDho incidentu na d\u016Fv\u011Brnost, integritu, autenticitu a\
            \ dostupnost \xFAdaj\u016F;\n    o sofistikovanost a motivace z\xFA\u010D\
            astn\u011Bn\xFDch akt\xE9r\u016F hrozeb. Incidenty spojen\xE9 s pokro\u010D\
            il\xFDmi p\u0159etrv\xE1vaj\xEDc\xEDmi hrozbami nebo organizovanou kyberkriminalitou\
            \ mohou vy\u017Eadovat reakci na vy\u0161\u0161\xED \xFArovni, kter\xE1\
            \ p\u0159esahuje mo\u017Enosti dan\xE9ho subjektu.\n    o potenci\xE1\
            lu dal\u0161\xED eskalace (nap\u0159. pokud by bylo mo\u017En\xE9 znovu\
            \ zneu\u017E\xEDt zranitelnosti nebo pokud se \u0161\xED\u0159\xED malware).\n\
            \n(38) D\xE1le zva\u017Ete: \n\u2022 ISO 22361:2022, Bezpe\u010Dnost a\
            \ odolnost \u2013 Krizov\xE9 \u0159\xEDzen\xED \u2013 Sm\u011Brnice; \n\
            \u2022 osv\u011Bd\u010Den\xE9 postupy agentury ENISA pro \u0159\xEDzen\xED\
            \ kybernetick\xFDch kriz\xED, \u0159\xEDzen\xED https://www.enisa.europa.eu/publications/best-practices-for-cyber-crisis\
            \ - management; \n\u2022 Zvl\xE1\u0161tn\xED publikace NIST 800-61 Revize\
            \ 2. \n(39) Podle normy ISO 22361 je krize \"mimo\u0159\xE1dn\xE1 nebo\
            \ mimo\u0159\xE1dn\xE1 ud\xE1lost nebo situace, kter\xE1 ohro\u017Euje\
            \ organizaci nebo komunitu a vy\u017Eaduje strategickou, adaptivn\xED\
            \ a v\u010Dasnou reakci, aby byla zachov\xE1na jej\xED \u017Eivotaschopnost\
            \ a integrita\"."
          typical_evidence: "\u2022 Proces krizov\xE9ho \u0159\xEDzen\xED je v souladu\
            \ s dokumentovan\xFDmi standardy a/nebo osv\u011Bd\u010Den\xFDmi postupy."
        it:
          description: I soggetti pertinenti istituiscono un processo per la gestione
            delle crisi.
          annotation: "\u2022 Tenere conto delle norme riconosciute dal settore nell'elaborazione\
            \ del processo di gestione delle crisi (38).\n    o Essere consapevoli\
            \ del fatto che ogni crisi pu\xF2 essere diversa e che potrebbero essere\
            \ necessarie ulteriori analisi su base ad hoc.\n    o Considerare i vari\
            \ aspetti (ad esempio tecnici, operativi, di comunicazione e di rimedio)\
            \ della gestione delle crisi, compresi i processi, i ruoli e le responsabilit\xE0\
            .  \n\u2022 Poich\xE9 l'escalation di un incidente allo stato di crisi\
            \ dipende dalla propensione al rischio e dalle capacit\xE0 di gestione\
            \ degli incidenti di un soggetto, l'entit\xE0 dovrebbe definire criteri\
            \ per stabilire quando viene dichiarata una crisi (39). Questo pu\xF2\
            \ riferirsi a incidenti che causano un impatto grave, oltre una certa\
            \ soglia di tolleranza. Tali criteri possono includere i seguenti (elenco\
            \ indicativo e non esaustivo):\n    o l'incidente rappresenta un rischio\
            \ significativo per le risorse critiche o le operazioni con elevata criticit\xE0\
            , ad esempio incidenti di elevata gravit\xE0 (ad es. violazioni dei dati\
            \ che coinvolgono informazioni sensibili);\n    o l'incidente interrompe\
            \ in modo significativo le operazioni aziendali, ad esempio tempi di inattivit\xE0\
            \ prolungati, perdita diffusa di servizi o impatto significativo sul servizio\
            \ clienti;\n    o l'ampiezza dell'incidente, ovvero se interessa pi\xF9\
            \ sistemi, reparti o posizioni geografiche, indicando una minaccia pi\xF9\
            \ ampia;\n    o il potenziale impatto sulla reputazione dell'entit\xE0\
            : gli incidenti che potrebbero portare al controllo pubblico o alla perdita\
            \ di fiducia dei clienti dovrebbero essere intensificati;\n    o il potenziale\
            \ impatto dell'incidente di cibersicurezza sulla riservatezza, l'integrit\xE0\
            , l'autenticit\xE0 e la disponibilit\xE0 dei dati;\n    o la sofisticazione\
            \ e le motivazioni degli attori delle minacce coinvolti. Gli incidenti\
            \ legati a minacce persistenti avanzate o alla criminalit\xE0 informatica\
            \ organizzata possono richiedere una risposta di livello superiore, al\
            \ di l\xE0 delle capacit\xE0 dell'entit\xE0;\n    o il potenziale di ulteriore\
            \ escalation (ad esempio, se le vulnerabilit\xE0 potrebbero essere sfruttate\
            \ nuovamente o se il malware si sta diffondendo).\n\n(38) Inoltre, si\
            \ consideri: \n\u2022 ISO 22361:2022, Sicurezza e resilienza \u2013 Gestione\
            \ delle crisi \u2013 Linee guida; \n\u2022 Migliori pratiche ENISA per\
            \ la gestione delle crisi informatiche, la gestione https://www.enisa.europa.eu/publications/best-practices-for-cyber-crisis-;\
            \ \n\u2022 Pubblicazione speciale NIST 800-61 Revisione 2. \n(39) Secondo\
            \ la norma ISO 22361, una crisi \xE8 un \xABevento o una situazione anormale\
            \ o straordinaria che minaccia un'organizzazione o una comunit\xE0 e richiede\
            \ una risposta strategica, adattativa e tempestiva al fine di preservarne\
            \ la vitalit\xE0 e l'integrit\xE0\xBB."
          typical_evidence: "\u2022 Il processo di gestione delle crisi \xE8 in linea\
            \ con gli standard documentati e/o le buone pratiche."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.3.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.3
      ref_id: 4.3.2
      description: 'The relevant entities shall ensure that the crisis management
        process addresses at least the following elements:'
      annotation: "\u2022 For crisis communication, consider (indicative, non-exhaustive\
        \ list):\n    o legal obligations for communication, such as timing of communication,\
        \ in particular referring to requirements for notification;\n    o how information\
        \ will be disseminated to internal and external stakeholders (employees, customers,\
        \ direct suppliers and service providers, emergency services, etc.) during\
        \ a crisis;\n    o templates for communication;\n    o communication channels\
        \ to be used for each type of stakeholder, considering that:\n        * internal\
        \ and external stakeholders may use different communication channels;\n  \
        \      * normal communication channels might not be safe in crisis mode;\n\
        \        * channels used to notify and communicate with competent authorities\
        \ should also be indicated;\n    o up-to-date contact information for internal\
        \ and external stakeholders."
      typical_evidence: "\u2022 Documented crisis management process. \n\u2022 List\
        \ of members of the crisis management team, including their roles, contact\
        \ information and alternatives."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es veillent \xE0 ce que la proc\xE9\
            dure de gestion des crises porte au moins sur les aspects suivants:"
          annotation: "\u2022 Pour la communication de crise, prendre en compte (liste\
            \ indicative et non exhaustive) :\n    o les obligations l\xE9gales en\
            \ mati\xE8re de communication, telles que le moment de la communication,\
            \ en particulier les exigences en mati\xE8re de notification ;\n    o\
            \ la mani\xE8re dont l\u2019information sera diffus\xE9e aux parties prenantes\
            \ internes et externes (employ\xE9s, clients, fournisseurs et prestataires\
            \ de services directs, services d\u2019urgence, etc.) lors d\u2019une\
            \ crise ;\n    o mod\xE8les de communication ;\n    o les canaux de communication\
            \ \xE0 utiliser pour chaque type de partie prenante, en tenant compte\
            \ du fait que :\n        * les parties prenantes internes et externes\
            \ peuvent utiliser des canaux de communication diff\xE9rents ;\n     \
            \   * les canaux de communication normaux peuvent ne pas \xEAtre s\xFB\
            rs en mode de crise ;\n        * les canaux utilis\xE9s pour notifier\
            \ et communiquer avec les autorit\xE9s comp\xE9tentes doivent \xE9galement\
            \ \xEAtre indiqu\xE9s\_;\n    o Coordonn\xE9es \xE0 jour des parties prenantes\
            \ internes et externes."
          typical_evidence: "\u2022 Processus de gestion de crise document\xE9. \n\
            \u2022 Liste des membres de l\u2019\xE9quipe de gestion de crise, y compris\
            \ leurs r\xF4les, leurs coordonn\xE9es et les alternatives."
        es:
          description: "Las entidades pertinentes velar\xE1n por que los procesos\
            \ de gesti\xF3n de crisis aborden al menos los siguientes elementos:"
          annotation: "\u2022 Para la comunicaci\xF3n de crisis, considere (lista\
            \ indicativa y no exhaustiva):\n    o obligaciones legales para la comunicaci\xF3\
            n, como el momento de la comunicaci\xF3n, en particular lo que se refiere\
            \ a los requisitos para la notificaci\xF3n;\n    o c\xF3mo se difundir\xE1\
            \ la informaci\xF3n a las partes interesadas internas y externas (empleados,\
            \ clientes, proveedores directos y proveedores de servicios, servicios\
            \ de emergencia, etc.) durante una crisis;\n    o plantillas para la comunicaci\xF3\
            n;\n    o Canales de comunicaci\xF3n a utilizar para cada tipo de Actor,\
            \ considerando que:\n        * las partes interesadas internas y externas\
            \ pueden utilizar diferentes canales de comunicaci\xF3n;\n        * los\
            \ canales de comunicaci\xF3n normales pueden no ser seguros en modo de\
            \ crisis;\n        * tambi\xE9n deben indicarse los canales utilizados\
            \ para notificar y comunicarse con las autoridades competentes;\n    o\
            \ Informaci\xF3n de contacto actualizada para las partes interesadas internas\
            \ y externas."
          typical_evidence: "\u2022 Document\xE9 el proceso de gesti\xF3n de crisis.\
            \ \n\u2022 Lista de los miembros del equipo de gesti\xF3n de crisis, incluidas\
            \ sus funciones, informaci\xF3n de contacto y alternativas."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty zajist\xED, aby postup\
            \ krizov\xFDch \u0159\xEDzen\xED zahrnoval alespo\u0148 tyto prvky:"
          annotation: "\u2022 V p\u0159\xEDpad\u011B krizov\xE9 komunikace zva\u017E\
            te (orienta\u010Dn\xED, ne\xFApln\xFD seznam):\n    o z\xE1konn\xE9 povinnosti\
            \ t\xFDkaj\xEDc\xED se komunikace, jako je na\u010Dasov\xE1n\xED komunikace,\
            \ zejm\xE9na s odkazem na po\u017Eadavky na ozn\xE1men\xED;\n    o jak\
            \ budou informace b\u011Bhem krize \u0161\xED\u0159eny intern\xEDm a extern\xED\
            m z\xFA\u010Dastn\u011Bn\xFDm stran\xE1m (zam\u011Bstnanc\u016Fm, z\xE1\
            kazn\xEDk\u016Fm, p\u0159\xEDm\xFDm dodavatel\u016Fm a poskytovatel\u016F\
            m slu\u017Eeb, pohotovostn\xEDm slu\u017Eb\xE1m atd.),\n    o \u0161ablony\
            \ pro komunikaci;\n    o komunika\u010Dn\xED kan\xE1ly, kter\xE9 maj\xED\
            \ b\xFDt pou\u017Eity pro ka\u017Ed\xFD typ z\xFA\u010Dastn\u011Bn\xFD\
            ch stran, s ohledem na to, \u017Ee:\n        * intern\xED a extern\xED\
            \ zainteresovan\xE9 strany mohou vyu\u017E\xEDvat r\u016Fzn\xE9 komunika\u010D\
            n\xED kan\xE1ly;\n        * b\u011B\u017En\xE9 komunika\u010Dn\xED kan\xE1\
            ly nemus\xED b\xFDt v krizov\xE9m re\u017Eimu bezpe\u010Dn\xE9;\n    \
            \    * m\u011Bly by b\xFDt rovn\u011B\u017E uvedeny kan\xE1ly pou\u017E\
            \xEDvan\xE9 k oznamov\xE1n\xED a komunikaci s p\u0159\xEDslu\u0161n\xFD\
            mi org\xE1ny;\n    o aktu\xE1ln\xED kontaktn\xED informace pro intern\xED\
            \ a extern\xED zainteresovan\xE9 strany."
          typical_evidence: "\u2022 Zdokumentovan\xFD proces krizov\xE9ho \u0159\xED\
            zen\xED. \n\u2022 Seznam \u010Dlen\u016F t\xFDmu pro krizov\xE9 \u0159\
            \xEDzen\xED, v\u010Detn\u011B jejich rol\xED, kontaktn\xEDch \xFAdaj\u016F\
            \ a alternativ."
        it:
          description: "I soggetti pertinenti provvedono affinch\xE9 il processo di\
            \ gestione della crisi riguardi almeno i seguenti elementi:"
          annotation: "\u2022 Per la comunicazione di crisi, considerare (elenco indicativo\
            \ e non esaustivo):\n    o obblighi legali in materia di comunicazione,\
            \ quali i tempi di comunicazione, con particolare riferimento ai requisiti\
            \ per la notifica;\n    o come le informazioni saranno diffuse agli stakeholder\
            \ interni ed esterni (dipendenti, clienti, fornitori diretti e fornitori\
            \ di servizi, servizi di emergenza, ecc.) durante una crisi;\n    o modelli\
            \ per la comunicazione;\n    o canali di comunicazione da utilizzare per\
            \ ogni tipologia di stakeholder, considerando che:\n        * gli stakeholder\
            \ interni ed esterni possono utilizzare canali di comunicazione diversi;\n\
            \        * i normali canali di comunicazione potrebbero non essere sicuri\
            \ in modalit\xE0 di crisi;\n        * dovrebbero essere indicati anche\
            \ i canali utilizzati per notificare e comunicare con le autorit\xE0 competenti;\n\
            \    o informazioni di contatto aggiornate per gli stakeholder interni\
            \ ed esterni."
          typical_evidence: "\u2022 Processo documentato di gestione delle crisi.\
            \ \n\u2022 Elenco dei membri del team di gestione delle crisi, compresi\
            \ i loro ruoli, le informazioni di contatto e le alternative."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.3.2.a
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.3.2
      ref_id: 4.3.2.a
      description: roles and responsibilities for personnel and, where appropriate,
        suppliers and service providers, specifying the allocation of roles in crisis
        situations, including specific steps to follow;
      translations:
        fr:
          description: "les r\xF4les et responsabilit\xE9s du personnel et, s\u2019\
            il est besoin, des fournisseurs et des prestataires de services, en pr\xE9\
            cisant la r\xE9partition des r\xF4les dans les situations de crise, y\
            \ compris les \xE9tapes sp\xE9cifiques \xE0 suivre;"
        es:
          description: "los roles y responsabilidades del personal y, cuando proceda,\
            \ los proveedores y los prestadores de servicios, especificando la asignaci\xF3\
            n de roles en situaciones de crisis y los pasos espec\xEDficos que deben\
            \ seguirse;"
        cs:
          description: "\xFAlohy a odpov\u011Bdnost zam\u011Bstnanc\u016F a v p\u0159\
            \xEDpad\u011B pot\u0159eby dodavatel\u016F a poskytovatel\u016F slu\u017E\
            eb s uveden\xEDm rozd\u011Blen\xED \xFAkol\u016F v krizov\xFDch situac\xED\
            ch, v\u010Detn\u011B konkr\xE9tn\xEDch krok\u016F, kter\xE9 je t\u0159\
            eba dodr\u017Eovat;"
        it:
          description: "ruoli e responsabilit\xE0 del personale e, se del caso, dei\
            \ fornitori e dei prestatori di servizi, specificando l'assegnazione dei\
            \ ruoli in situazioni di crisi, comprese le misure specifiche da seguire;"
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.3.2.b
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.3.2
      ref_id: 4.3.2.b
      description: appropriate communication means between the relevant entities and
        relevant competent authorities;
      translations:
        fr:
          description: "des moyens de communication appropri\xE9s entre les entit\xE9\
            s concern\xE9es et les autorit\xE9s comp\xE9tentes concern\xE9es;"
        es:
          description: "los medios de comunicaci\xF3n adecuados entre las entidades\
            \ pertinentes y las autoridades competentes;"
        cs:
          description: "vhodn\xE9 komunika\u010Dn\xED prost\u0159edky mezi p\u0159\
            \xEDslu\u0161n\xFDmi subjekty a p\u0159\xEDslu\u0161n\xFDmi org\xE1ny;"
        it:
          description: "adeguati mezzi di comunicazione tra i soggetti interessati\
            \ e le autorit\xE0 competenti pertinenti;"
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.3.2.c
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.3.2
      ref_id: 4.3.2.c
      description: application of appropriate measures to ensure the maintenance of
        network and information system security in crisis situations.
      translations:
        fr:
          description: "l\u2019application de mesures appropri\xE9es pour garantir\
            \ le maintien de la s\xE9curit\xE9 des r\xE9seaux et des syst\xE8mes d\u2019\
            information dans les situations de crise."
        es:
          description: "la aplicaci\xF3n de medidas adecuadas para garantizar el mantenimiento\
            \ de la seguridad de los sistemas de redes y de informaci\xF3n en situaciones\
            \ de crisis."
        cs:
          description: "uplat\u0148ov\xE1n\xED vhodn\xFDch opat\u0159en\xED k zaji\u0161\
            t\u011Bn\xED zachov\xE1n\xED bezpe\u010Dnosti s\xEDt\xED a informa\u010D\
            n\xEDch syst\xE9m\u016F v krizov\xFDch situac\xEDch."
        it:
          description: l'applicazione di misure adeguate per garantire il mantenimento
            della sicurezza delle reti e dei sistemi informativi in situazioni di
            crisi.
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.3.2:1
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.3.2
      description: For the purpose of point (b), the flow of information between the
        relevant entities and relevant competent authorities shall include both obligatory
        communications, such as incident reports and related timelines, and non- obligatory
        communications.
      translations:
        fr:
          description: "Aux fins du point\_b), le flux d\u2019informations entre les\
            \ entit\xE9s concern\xE9es et les autorit\xE9s comp\xE9tentes concern\xE9\
            es comprend tant les communications obligatoires, telles que les rapports\
            \ d\u2019incidents et les d\xE9lais correspondants, que les communications\
            \ non obligatoires."
        es:
          description: "A efectos de la letra b), el flujo de informaci\xF3n entre\
            \ las entidades pertinentes y las autoridades competentes incluir\xE1\
            \ comunicaciones obligatorias, como informes de incidentes y los plazos\
            \ correspondientes, as\xED como comunicaciones facultativas."
        cs:
          description: "Pro \xFA\u010Dely p\xEDsmene b) zahrnuje tok informac\xED\
            \ mezi p\u0159\xEDslu\u0161n\xFDmi subjekty a p\u0159\xEDslu\u0161n\xFD\
            mi org\xE1ny jak povinn\xE1 sd\u011Blen\xED, jako jsou ozn\xE1men\xED\
            \ o incidentech a souvisej\xEDc\xED \u010Dasov\xE9 pl\xE1ny, tak nepovinn\xE1\
            \ sd\u011Blen\xED."
        it:
          description: "Ai fini della lettera b), il flusso di informazioni tra i\
            \ soggetti pertinenti e le autorit\xE0 competenti pertinenti comprende\
            \ sia le comunicazioni obbligatorie, quali le segnalazioni di incidenti\
            \ e le relative tempistiche, sia le comunicazioni non obbligatorie."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.3.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.3
      ref_id: 4.3.3
      description: The relevant entities shall implement a process for managing and
        making use of information received from the CSIRTs or, where applicable, the
        competent authorities, concerning incidents, vulnerabilities, threats or possible
        mitigation measures.
      annotation: "\u2022 Implement a process for managing and making use of information\
        \ received from the CSIRTs. Consider the following steps (indicative, non-exhaustive\
        \ list):\n    o designate a point of contact with the CSIRT;\n    o ensure\
        \ that the point of contact has sufficient knowledge concerning incidents\
        \ and threat intelligence.\n    o classify incoming information into categories\
        \ such as incidents, vulnerabilities, threats and mitigation measures.\n \
        \   o assign priority levels based on severity and potential impact on the\
        \ entity, if the information is relevant or applicable o have the CSIRT contact\
        \ point review the information for relevance and urgency.\n    o validate\
        \ information against internal logs, threat intelligence feeds and existing\
        \ security policies.\n    o for vulnerabilities and threats, if applicable,\
        \ collaborate with relevant teams (IT, security, operations) to develop a\
        \ mitigation strategy;\n    o update or create incident response plans based\
        \ on the nature of the threats or incidents reported in accordance with point\
        \ 3.5 of the Annex to the regulation.\n    o where appropriate, implement\
        \ the mitigation measures and communicate with the relevant stakeholders in\
        \ accordance with point 3.5 of the Annex to the regulation.\n    o share insights\
        \ and feedback on incidents and mitigations with the CSIRT on a voluntary\
        \ basis."
      typical_evidence: "\u2022 Previous communications with CSIRTs or, where applicable,\
        \ the competent authorities, for example emails, correspondence and meeting\
        \ minutes. \n\u2022 Evidences that the point of contact has sufficient knowledge\
        \ concerning incidents and threat intelligence."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es appliquent une proc\xE9dure de\
            \ gestion et d\u2019utilisation des informations re\xE7ues des CSIRT ou,\
            \ s\u2019il y a lieu, des autorit\xE9s comp\xE9tentes, concernant les\
            \ incidents, les vuln\xE9rabilit\xE9s, les menaces ou les \xE9ventuelles\
            \ mesures d\u2019att\xE9nuation."
          annotation: "\u2022 Mettre en place un processus de gestion et d\u2019utilisation\
            \ des informations re\xE7ues des CSIRT. Consid\xE9rez les \xE9tapes suivantes\
            \ (liste indicative, non exhaustive) :\n    o d\xE9signer un point de\
            \ contact avec le CSIRT ;\n    o S\u2019assurer que le point de contact\
            \ dispose de connaissances suffisantes sur les incidents et les renseignements\
            \ sur les menaces.\n    o Classer les informations entrantes en cat\xE9\
            gories telles que les incidents, les vuln\xE9rabilit\xE9s, les menaces\
            \ et les mesures d\u2019att\xE9nuation.\n    o Attribuer des niveaux de\
            \ priorit\xE9 en fonction de la gravit\xE9 et de l\u2019impact potentiel\
            \ sur l\u2019entit\xE9, si les informations sont pertinentes ou applicables\
            \ o Demander au point de contact du CSIRT d\u2019examiner les informations\
            \ pour en v\xE9rifier la pertinence et l\u2019urgence.\n    o Valider\
            \ les informations par rapport aux journaux internes, aux flux de renseignements\
            \ sur les menaces et aux politiques de s\xE9curit\xE9 existantes.\n  \
            \  o pour les vuln\xE9rabilit\xE9s et les menaces, le cas \xE9ch\xE9ant,\
            \ collaborer avec les \xE9quipes concern\xE9es (IT, s\xE9curit\xE9, op\xE9\
            rations) pour \xE9laborer une strat\xE9gie d\u2019att\xE9nuation ;\n \
            \   o mettre \xE0 jour ou cr\xE9er des plans de r\xE9ponse aux incidents\
            \ en fonction de la nature des menaces ou des incidents signal\xE9s conform\xE9\
            ment au point 3.5 de l\u2019annexe du r\xE8glement.\n    ole cas \xE9\
            ch\xE9ant, mettre en \u0153uvre les mesures d\u2019att\xE9nuation et communiquer\
            \ avec les parties prenantes concern\xE9es conform\xE9ment au point 3.5\
            \ de l\u2019annexe du r\xE8glement.\n    o Partager des id\xE9es et des\
            \ commentaires sur les incidents et les mesures d\u2019att\xE9nuation\
            \ avec le CSIRT sur une base volontaire."
          typical_evidence: "\u2022 Communications ant\xE9rieures avec les CSIRT ou,\
            \ le cas \xE9ch\xE9ant, les autorit\xE9s comp\xE9tentes, par exemple les\
            \ courriels, la correspondance et les proc\xE8s-verbaux de r\xE9unions.\
            \ \n\u2022 Des preuves que le point de contact a une connaissance suffisante\
            \ des incidents et des renseignements sur les menaces."
        es:
          description: "Las entidades pertinentes pondr\xE1n en marcha procesos para\
            \ gestionar y usar la informaci\xF3n recibida de los CSIRT o, cuando proceda,\
            \ las autoridades competentes, en relaci\xF3n con incidentes, vulnerabilidades,\
            \ amenazas o posibles medidas de mitigaci\xF3n."
          annotation: "\u2022 Implementar un proceso de gesti\xF3n y uso de la informaci\xF3\
            n recibida de los CSIRTs. Considere los siguientes pasos (lista indicativa,\
            \ no exhaustiva):\n    o designar un punto de contacto con el CSIRT;\n\
            \    o Asegurarse de que el punto de contacto tenga suficiente conocimiento\
            \ sobre incidentes e inteligencia de amenazas.\n    o Clasificar la informaci\xF3\
            n entrante en categor\xEDas como incidentes, vulnerabilidades, amenazas\
            \ y medidas de mitigaci\xF3n.\n    o asignar niveles de prioridad en funci\xF3\
            n de la gravedad y el impacto potencial en la entidad, si la informaci\xF3\
            n es pertinente o aplicable. o hacer que el punto de contacto del CSIRT\
            \ revise la informaci\xF3n para determinar su pertinencia y urgencia.\n\
            \    o Validar la informaci\xF3n con los registros internos, las fuentes\
            \ de inteligencia de amenazas y las pol\xEDticas de seguridad existentes.\n\
            \    o para vulnerabilidades y amenazas, si procede, colaborar con los\
            \ equipos pertinentes (TI, seguridad, operaciones) para desarrollar una\
            \ estrategia de mitigaci\xF3n;\n    o actualizar o crear planes de respuesta\
            \ a incidentes basados en la naturaleza de las amenazas o incidentes notificados\
            \ de conformidad con el punto 3.5 del anexo del Reglamento.\n    o, en\
            \ su caso, aplicar las medidas de mitigaci\xF3n y comunicarse con las\
            \ partes interesadas pertinentes de conformidad con el punto 3.5 del anexo\
            \ del Reglamento.\n    o compartir ideas y comentarios sobre incidentes\
            \ y mitigaciones con el CSIRT de forma voluntaria."
          typical_evidence: "\u2022 Comunicaciones previas con los CSIRT o, en su\
            \ caso, con las autoridades competentes, por ejemplo, correos electr\xF3\
            nicos, correspondencia y actas de reuniones. \n\u2022 Evidencias de que\
            \ el punto de contacto tiene suficiente conocimiento sobre incidentes\
            \ e inteligencia de amenazas."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty zavedou postup pro spr\xE1\
            vu a vyu\u017E\xEDv\xE1n\xED informac\xED obdr\u017Een\xFDch od t\xFD\
            m\u016F CSIRT nebo v p\u0159\xEDslu\u0161n\xFDch p\u0159\xEDpadech od\
            \ p\u0159\xEDslu\u0161n\xFDch org\xE1n\u016F, kter\xE9 se t\xFDkaj\xED\
            \ incident\u016F, zranitelnost\xED, hrozeb nebo mo\u017En\xFDch zm\xED\
            r\u0148uj\xEDc\xEDch opat\u0159en\xED."
          annotation: "\u2022 Zav\xE9st proces \u0159\xEDzen\xED a vyu\u017E\xEDv\xE1\
            n\xED informac\xED z\xEDskan\xFDch od t\xFDm\u016F CSIRT. Zva\u017Ete\
            \ n\xE1sleduj\xEDc\xED kroky (orienta\u010Dn\xED, ne\xFApln\xFD seznam):\n\
            \    o ur\u010Dit kontaktn\xED m\xEDsto pro t\xFDm CSIRT,\n    o zajistit,\
            \ aby kontaktn\xED m\xEDsto m\u011Blo dostate\u010Dn\xE9 znalosti o incidentech\
            \ a informac\xEDch o hrozb\xE1ch.\n    o Klasifikovat p\u0159\xEDchoz\xED\
            \ informace do kategori\xED, jako jsou incidenty, zranitelnosti, hrozby\
            \ a zm\xEDr\u0148uj\xEDc\xED opat\u0159en\xED.\n    o p\u0159i\u0159adit\
            \ \xFArovn\u011B priorit na z\xE1klad\u011B z\xE1va\u017Enosti a potenci\xE1\
            ln\xEDho dopadu na subjekt, pokud jsou informace relevantn\xED nebo pou\u017E\
            iteln\xE9 o po\u017E\xE1dat kontaktn\xED m\xEDsto CSIRT, aby informace\
            \ p\u0159ezkoumalo z hlediska relevance a nal\xE9havosti.\n    o Ov\u011B\
            \u0159ovat informace oproti intern\xEDm protokol\u016Fm, zdroj\u016Fm\
            \ informac\xED o hrozb\xE1ch a st\xE1vaj\xEDc\xEDm bezpe\u010Dnostn\xED\
            m z\xE1sad\xE1m.\n    o v p\u0159\xEDpad\u011B zranitelnost\xED a hrozeb,\
            \ pokud je to relevantn\xED, spolupracovat s p\u0159\xEDslu\u0161n\xFD\
            mi t\xFDmy (IT, zabezpe\u010Den\xED, provoz) na v\xFDvoji strategie zm\xED\
            rn\u011Bn\xED;\n    o aktualizovat nebo vytv\xE1\u0159et pl\xE1ny reakce\
            \ na incidenty na z\xE1klad\u011B povahy hrozeb nebo incident\u016F hl\xE1\
            \u0161en\xFDch v souladu s bodem 3.5 p\u0159\xEDlohy na\u0159\xEDzen\xED\
            .\n    o p\u0159\xEDpadn\u011B prov\xE9st zm\xEDr\u0148uj\xEDc\xED opat\u0159\
            en\xED a komunikovat s p\u0159\xEDslu\u0161n\xFDmi z\xFA\u010Dastn\u011B\
            n\xFDmi stranami v souladu s bodem 3.5 p\u0159\xEDlohy na\u0159\xEDzen\xED\
            .\n    o sd\xEDlet poznatky a zp\u011Btnou vazbu o incidentech a zm\xED\
            r\u0148uj\xEDc\xEDch opat\u0159en\xEDch s t\xFDmem CSIRT na dobrovoln\xE9\
            \ b\xE1zi."
          typical_evidence: "\u2022 P\u0159edchoz\xED komunikace s t\xFDmy CSIRT nebo\
            \ p\u0159\xEDpadn\u011B s p\u0159\xEDslu\u0161n\xFDmi org\xE1ny, nap\u0159\
            \xEDklad e-maily, korespondence a z\xE1pisy ze sch\u016Fz\xED. \n\u2022\
            \ D\u016Fkaz, \u017Ee kontaktn\xED m\xEDsto m\xE1 dostate\u010Dn\xE9 znalosti\
            \ t\xFDkaj\xEDc\xED se incident\u016F a informac\xED o hrozb\xE1ch."
        it:
          description: "I soggetti pertinenti attuano un processo per la gestione\
            \ e l'utilizzo delle informazioni ricevute dai CSIRT o, se del caso, dalle\
            \ autorit\xE0 competenti, in merito a incidenti, vulnerabilit\xE0, minacce\
            \ o possibili misure di mitigazione."
          annotation: "\u2022 Implementare un processo per la gestione e l'utilizzo\
            \ delle informazioni ricevute dai CSIRT. Considerare i seguenti passaggi\
            \ (elenco indicativo, non esaustivo):\n    o designare un punto di contatto\
            \ con il CSIRT;\n    o garantire che il punto di contatto disponga di\
            \ conoscenze sufficienti in merito agli incidenti e all'intelligence sulle\
            \ minacce.\n    o Classificare le informazioni in arrivo in categorie\
            \ come incidenti, vulnerabilit\xE0, minacce e misure di mitigazione.\n\
            \    o assegnare livelli di priorit\xE0 in base alla gravit\xE0 e al potenziale\
            \ impatto sull'entit\xE0, se le informazioni sono pertinenti o applicabili;\
            \ o chiedere al punto di contatto CSIRT di esaminare le informazioni per\
            \ verificarne la pertinenza e l'urgenza.\n    o Convalidare le informazioni\
            \ in base ai registri interni, ai feed di intelligence sulle minacce e\
            \ alle policy di sicurezza esistenti.\n    o per vulnerabilit\xE0 e minacce,\
            \ se applicabile, collaborare con i team pertinenti (IT, sicurezza, operazioni)\
            \ per sviluppare una strategia di mitigazione;\n    o aggiornare o creare\
            \ piani di risposta agli incidenti in base alla natura delle minacce o\
            \ degli incidenti segnalati in conformit\xE0 al punto 3.5 dell'allegato\
            \ del regolamento.\n    o, se del caso, attuare le misure di mitigazione\
            \ e comunicare con le parti interessate conformemente al punto 3.5 dell'allegato\
            \ del regolamento.\n    o condividere approfondimenti e feedback sugli\
            \ incidenti e sulle mitigazioni con il CSIRT su base volontaria."
          typical_evidence: "\u2022 Comunicazioni preliminari con i CSIRT o, se del\
            \ caso, con le autorit\xE0 competenti, ad esempio e-mail, corrispondenza\
            \ e verbali di riunioni. \n\u2022 Dimostra che il punto di contatto ha\
            \ conoscenze sufficienti in merito agli incidenti e all'intelligence sulle\
            \ minacce."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.3.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:4.3
      ref_id: 4.3.4
      description: The relevant entities shall test, review and, where appropriate,
        update the crisis management plan on a regular basis or following significant
        incidents or significant changes to operations or risks.
      annotation: "\u2022 Test the crisis management process annually.   \n\u2022\
        \ Test the crisis management process through, for example, an exercise or\
        \ simulation, by (indicative, non- exhaustive list):\n    o taking into account\
        \ past crisis situations;\n    o comparing the results of the tests to the\
        \ objectives defined, for instance the recovery objectives in point 4.1.2\
        \ (f) of the Annex to the regulation (e.g. RTOs, RPOs and SDOs); and\n   \
        \ o using the results of the comparison to update and improve the crisis management\
        \ procedure. \n\u2022 Review and update, if necessary, the crisis management\
        \ process after a test or following significant incidents or significant changes\
        \ to operations or risks. \n\u2022 Review and update the policy on the security\
        \ of network and information systems and crisis management organisational\
        \ measures after a test or following significant incidents or significant\
        \ changes to operations or risks.\n\n[TIPS]\n\n\u2022 Management bodies should\
        \ approve the crisis management process and, where appropriate, their roles\
        \ and responsibilities during a crisis should be defined. \n\u2022 In addition\
        \ to the elements referred to in point 4.3.2 of the Annex to the regulation\
        \ the crisis management process might identify (indicative, non-exhaustive\
        \ list):\n    o procedures for declaring a crisis;\n    o activation of the\
        \ crisis management team;\n    o escalation paths;\n    o emergency procedures,\
        \ which describe the actions in the event of a crisis; and\n    o fall back\
        \ procedures that describe the actions to be taken to protect essential activities\
        \ or support services (e.g. alternative temporary locations for bringing the\
        \ process back to normal operation, recovery or restoration)."
      typical_evidence: "\u2022 Documentation showing how crisis management integrates\
        \ with the entity\u2019s incident response plans (Annex to the regulation,\
        \ point 3.5), particularly for ICT-related incidents. \n\u2022 Documents identifying\
        \ any previous crises and assessing their likelihood of recurrence and potential\
        \ impact on business operations. \n\u2022 Documentation of previous crisis\
        \ management tests, including the scenarios tested, participants involved\
        \ and outcomes. \n\u2022 After-action reports or evaluations from crisis management\
        \ tests, identifying strengths, weaknesses and areas for improvement. \n\u2022\
        \ Records of internal or external reviews and audits of the crisis management\
        \ plan, including any findings and corrective actions taken.\n\n[TIPS]\n\n\
        \u2022 Inventory of resources required for crisis management, including backup\
        \ systems, alternative communication tools and emergency supplies. \n\u2022\
        \ Approved crisis management process. \n\u2022 A crisis communication plan\
        \ documented and approved by the management bodies in place and communicated\
        \ to all personnel. In addition to the elements referred to in point 4.3.2\
        \ of the Annex to the   regulation and the elements of the above guidance,\
        \ the plan includes at least (indicative, non-exhaustive list):\n    o how\
        \ information will be disseminated to stakeholders during a crisis;\n    o\
        \ templates for communication; and\n    o up-to-date contact information for\
        \ internal and external stakeholders, including employees, customers, suppliers\
        \ and emergency services. \n\u2022 Evidence that personnel are aware of the\
        \ processes and who to contact in the event of a crisis. \n\u2022 Records\
        \ from periodic simulations and awareness raising activities to assess the\
        \ readiness of personnel and the adequacy of the procedures for managing a\
        \ crisis."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es testent, r\xE9examinent et, s\u2019\
            il est besoin, mettent \xE0 jour le plan de gestion des crises de fa\xE7\
            on r\xE9guli\xE8re, \xE0 la suite d\u2019incidents importants ou lorsque\
            \ des changements majeurs concernant les op\xE9rations ou les risques\
            \ se produisent."
          annotation: "\u2022 Tester annuellement le processus de gestion de crise.\
            \   \n\u2022 Tester le processus de gestion de crise \xE0 travers, par\
            \ exemple, un exercice ou une simulation, par (liste indicative, non exhaustive)\
            \ :\n    o la prise en compte des situations de crise pass\xE9es ;\n \
            \   o comparer les r\xE9sultats des essais aux objectifs d\xE9finis, par\
            \ exemple les objectifs de r\xE9cup\xE9ration vis\xE9s au point 4.1.2\
            \ f) de l\u2019annexe du r\xE8glement (par exemple, RTO, RPO et SDO)\_\
            ; et\n    o Utiliser les r\xE9sultats de la comparaison pour mettre \xE0\
            \ jour et am\xE9liorer la proc\xE9dure de gestion de crise. \n\u2022 Examiner\
            \ et mettre \xE0 jour, si n\xE9cessaire, le processus de gestion de crise\
            \ apr\xE8s un test ou \xE0 la suite d\u2019incidents significatifs ou\
            \ de changements significatifs dans les op\xE9rations ou les risques.\
            \ \n\u2022 Revoir et mettre \xE0 jour la politique de s\xE9curit\xE9 des\
            \ r\xE9seaux et des syst\xE8mes d\u2019information et les mesures organisationnelles\
            \ de gestion de crise apr\xE8s un test ou \xE0 la suite d\u2019incidents\
            \ significatifs ou de modifications significatives du fonctionnement ou\
            \ des risques.\n\n[CONSEILS]\n\n\u2022 Les organes de direction devraient\
            \ approuver le processus de gestion de crise et, le cas \xE9ch\xE9ant,\
            \ d\xE9finir leurs r\xF4les et responsabilit\xE9s en cas de crise. \n\u2022\
            \ Outre les \xE9l\xE9ments vis\xE9s au point 4.3.2 de l\u2019annexe du\
            \ r\xE8glement, le processus de gestion de crise pourrait identifier (liste\
            \ indicative et non exhaustive) :\n    o les proc\xE9dures de d\xE9claration\
            \ de crise ;\n    o activation de l\u2019\xE9quipe de gestion de crise\
            \ ;\n    o les voies d\u2019escalade ;\n    o les proc\xE9dures d\u2019\
            urgence, qui d\xE9crivent les actions \xE0 mener en cas de crise ; et\n\
            \    o des proc\xE9dures de repli qui d\xE9crivent les actions \xE0 prendre\
            \ pour prot\xE9ger les activit\xE9s essentielles ou les services de soutien\
            \ (par exemple, des emplacements temporaires alternatifs pour ramener\
            \ le processus \xE0 un fonctionnement normal, une r\xE9cup\xE9ration ou\
            \ une restauration)."
          typical_evidence: "\u2022 Une documentation montrant comment la gestion\
            \ de crise s\u2019int\xE8gre aux plans de r\xE9ponse aux incidents de\
            \ l\u2019entit\xE9 (annexe du r\xE8glement, point 3.5), en particulier\
            \ pour les incidents li\xE9s aux TIC. \n\u2022 Documents identifiant toute\
            \ crise ant\xE9rieure et \xE9valuant sa probabilit\xE9 de r\xE9currence\
            \ et son impact potentiel sur les op\xE9rations commerciales. \n\u2022\
            \ Documentation des tests de gestion de crise pr\xE9c\xE9dents, y compris\
            \ les sc\xE9narios test\xE9s, les participants impliqu\xE9s et les r\xE9\
            sultats. \n\u2022 Rapports apr\xE8s action ou \xE9valuations de tests\
            \ de gestion de crise, identifiant les forces, les faiblesses et les domaines\
            \ \xE0 am\xE9liorer. \n\u2022 Dossiers des examens et audits internes\
            \ ou externes du plan de gestion de crise, y compris les conclusions et\
            \ les mesures correctives prises.\n\n[CONSEILS]\n\n\u2022 Inventaire des\
            \ ressources n\xE9cessaires \xE0 la gestion de crise, y compris les syst\xE8\
            mes de secours, les outils de communication alternatifs et les fournitures\
            \ d\u2019urgence. \n\u2022 Approbation du processus de gestion de crise.\
            \ \n\u2022 Un plan de communication de crise document\xE9 et approuv\xE9\
            \ par les organes de direction en place et communiqu\xE9 \xE0 l\u2019\
            ensemble du personnel. Outre les \xE9l\xE9ments vis\xE9s au point 4.3.2\
            \ de l\u2019annexe du r\xE8glement et les \xE9l\xE9ments des orientations\
            \ ci-dessus, le plan comprend au moins (liste indicative et non exhaustive)\
            \ :\n    o la mani\xE8re dont l\u2019information sera diffus\xE9e aux\
            \ parties prenantes en cas de crise ;\n    o mod\xE8les de communication\
            \ ; et\n    o Coordonn\xE9es \xE0 jour des parties prenantes internes\
            \ et externes, y compris les employ\xE9s, les clients, les fournisseurs\
            \ et les services d\u2019urgence. \n\u2022 La preuve que le personnel\
            \ conna\xEEt les processus et les personnes \xE0 contacter en cas de crise.\
            \ \n\u2022 Enregistrements de simulations p\xE9riodiques et d\u2019activit\xE9\
            s de sensibilisation pour \xE9valuer l\u2019\xE9tat de pr\xE9paration\
            \ du personnel et l\u2019ad\xE9quation des proc\xE9dures de gestion d\u2019\
            une crise."
        es:
          description: "Las entidades pertinentes comprobar\xE1n, revisar\xE1n y,\
            \ cuando proceda, actualizar\xE1n los planes de gesti\xF3n de la crisis\
            \ de forma peri\xF3dica o despu\xE9s de incidentes significativos o cambios\
            \ significativos en las operaciones o los riesgos."
          annotation: "\u2022 Probar anualmente el proceso de gesti\xF3n de crisis.\
            \   \n\u2022 Poner a prueba el proceso de gesti\xF3n de crisis mediante,\
            \ por ejemplo, un ejercicio o una simulaci\xF3n, mediante (lista indicativa\
            \ y no exhaustiva):\n    o tener en cuenta situaciones de crisis pasadas;\n\
            \    o comparar los resultados de los ensayos con los objetivos definidos,\
            \ por ejemplo, los objetivos de recuperaci\xF3n del punto 4.1.2, letra\
            \ f), del anexo del Reglamento (por ejemplo, RTO, RPO y SDO); y\n    o\
            \ utilizar los resultados de la comparaci\xF3n para actualizar y mejorar\
            \ el procedimiento de gesti\xF3n de crisis. \n\u2022 Revisar y actualizar,\
            \ si es necesario, el proceso de gesti\xF3n de crisis despu\xE9s de una\
            \ prueba o despu\xE9s de incidentes significativos o cambios significativos\
            \ en las operaciones o riesgos. \n\u2022 Revisar y actualizar la pol\xED\
            tica de seguridad de las redes y sistemas de informaci\xF3n y las medidas\
            \ organizativas de gesti\xF3n de crisis despu\xE9s de una prueba o despu\xE9\
            s de incidentes significativos o cambios significativos en las operaciones\
            \ o riesgos.\n\n[CONSEJOS]\n\n\u2022 Los \xF3rganos de direcci\xF3n deben\
            \ aprobar el proceso de gesti\xF3n de crisis y, cuando proceda, deben\
            \ definirse sus funciones y responsabilidades durante una crisis. \n\u2022\
            \ Adem\xE1s de los elementos mencionados en el punto 4.3.2 del anexo del\
            \ Reglamento, el proceso de gesti\xF3n de crisis podr\xEDa identificar\
            \ (lista indicativa no exhaustiva):\n    o procedimientos para declarar\
            \ una crisis;\n    o activaci\xF3n del equipo de gesti\xF3n de crisis;\n\
            \    o v\xEDas de escalamiento;\n    o procedimientos de emergencia, que\
            \ describen las acciones en caso de crisis; y\n    o Procedimientos alternativos\
            \ que describan las acciones que deben tomarse para proteger las actividades\
            \ esenciales o los servicios de apoyo (por ejemplo, ubicaciones temporales\
            \ alternativas para que el proceso vuelva a funcionar normalmente, recuperarse\
            \ o restablecerse)."
          typical_evidence: "\u2022 Documentaci\xF3n que demuestre c\xF3mo la gesti\xF3\
            n de crisis se integra con los planes de respuesta a incidentes de la\
            \ entidad (Anexo del reglamento, punto 3.5), en particular para incidentes\
            \ relacionados con las TIC. \n\u2022 Documentos que identifiquen cualquier\
            \ crisis previa y eval\xFAen su probabilidad de recurrencia y su posible\
            \ impacto en las operaciones comerciales. \n\u2022 Documentaci\xF3n de\
            \ las pruebas de gesti\xF3n de crisis anteriores, incluidos los escenarios\
            \ probados, los participantes involucrados y los resultados. \n\u2022\
            \ Informes o evaluaciones posteriores a la acci\xF3n de las pruebas de\
            \ gesti\xF3n de crisis, identificando fortalezas, debilidades y \xE1reas\
            \ de mejora. \n\u2022 Registros de revisiones y auditor\xEDas internas\
            \ o externas del plan de gesti\xF3n de crisis, incluidos los hallazgos\
            \ y las acciones correctivas tomadas.\n\n[CONSEJOS]\n\n\u2022 Inventario\
            \ de los recursos necesarios para la gesti\xF3n de crisis, incluidos los\
            \ sistemas de respaldo, las herramientas alternativas de comunicaci\xF3\
            n y los suministros de emergencia. \n\u2022 Aprobaci\xF3n del proceso\
            \ de gesti\xF3n de crisis. \n\u2022 Un plan de comunicaci\xF3n de crisis\
            \ documentado y aprobado por los \xF3rganos de direcci\xF3n existentes\
            \ y comunicado a todo el personal. Adem\xE1s de los elementos mencionados\
            \ en el punto 4.3.2 del anexo del Reglamento y de los elementos de las\
            \ orientaciones anteriores, el plan incluye al menos (lista indicativa\
            \ y no exhaustiva):\n    o c\xF3mo se difundir\xE1 la informaci\xF3n a\
            \ las partes interesadas durante una crisis;\n    o plantillas para la\
            \ comunicaci\xF3n; y\n    o Informaci\xF3n de contacto actualizada para\
            \ las partes interesadas internas y externas, incluidos empleados, clientes,\
            \ proveedores y servicios de emergencia. \n\u2022 Evidencia de que el\
            \ personal est\xE1 al tanto de los procesos y a qui\xE9n contactar en\
            \ caso de una crisis. \n\u2022 Registros de simulacros peri\xF3dicos y\
            \ actividades de sensibilizaci\xF3n para evaluar la preparaci\xF3n del\
            \ personal y la idoneidad de los procedimientos para gestionar una crisis."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty pl\xE1n krizov\xE9ho \u0159\
            \xEDzen\xED pravideln\u011B nebo po v\xFDznamn\xFDch incidentech nebo\
            \ v\xFDznamn\xFDch zm\u011Bn\xE1ch operac\xED \u010Di rizik testuj\xED\
            , p\u0159ezkoum\xE1vaj\xED a v p\u0159\xEDpad\u011B pot\u0159eby aktualizuj\xED\
            ."
          annotation: "\u2022 Ka\u017Edoro\u010Dn\u011B testovat proces krizov\xE9\
            ho \u0159\xEDzen\xED.   \n\u2022 Otestujte proces krizov\xE9ho \u0159\xED\
            zen\xED, nap\u0159\xEDklad prost\u0159ednictv\xEDm cvi\u010Den\xED nebo\
            \ simulace, a to pomoc\xED (orienta\u010Dn\xEDho, nevy\u010Derp\xE1vaj\xED\
            c\xEDho seznamu):\n    o s p\u0159ihl\xE9dnut\xEDm k minul\xFDm krizov\xFD\
            m situac\xEDm,\n    o porovn\xE1n\xED v\xFDsledk\u016F zkou\u0161ek s\
            \ definovan\xFDmi c\xEDli, nap\u0159\xEDklad s c\xEDli v\xFDt\u011B\u017E\
            nosti uveden\xFDmi v bod\u011B 4.1.2 p\xEDsm. f) p\u0159\xEDlohy na\u0159\
            \xEDzen\xED (nap\u0159. RTO, RPO a SDO), a\n    o vyu\u017Eit\xED v\xFD\
            sledk\u016F srovn\xE1n\xED k aktualizaci a zlep\u0161en\xED postupu krizov\xE9\
            ho \u0159\xEDzen\xED. \n\u2022 V p\u0159\xEDpad\u011B pot\u0159eby p\u0159\
            ezkoumat a aktualizovat proces krizov\xE9ho \u0159\xEDzen\xED po testu\
            \ nebo po v\xFDznamn\xFDch incidentech nebo v\xFDznamn\xFDch zm\u011B\
            n\xE1ch operac\xED nebo rizik. \n\u2022 P\u0159ezkoumat a aktualizovat\
            \ politiku bezpe\u010Dnosti s\xEDt\xED a informa\u010Dn\xEDch syst\xE9\
            m\u016F a organiza\u010Dn\xEDch opat\u0159en\xED krizov\xE9ho \u0159\xED\
            zen\xED po zkou\u0161ce nebo po v\xFDznamn\xFDch incidentech nebo v\xFD\
            znamn\xFDch zm\u011Bn\xE1ch provozu nebo rizik.\n\n[TIPY]\n\n\u2022 \u0158\
            \xEDd\xEDc\xED org\xE1ny by m\u011Bly schvalovat proces krizov\xE9ho \u0159\
            \xEDzen\xED a p\u0159\xEDpadn\u011B by m\u011Bly b\xFDt definov\xE1ny\
            \ jejich \xFAlohy a odpov\u011Bdnosti b\u011Bhem krize. \n\u2022 Krom\u011B\
            \ prvk\u016F uveden\xFDch v bod\u011B 4.3.2 p\u0159\xEDlohy na\u0159\xED\
            zen\xED by proces krizov\xE9ho \u0159\xEDzen\xED mohl ur\u010Dit (orienta\u010D\
            n\xED, demonstrativn\xED seznam):\n    o postupy pro vyhl\xE1\u0161en\xED\
            \ krize,\n    o aktivaci t\xFDmu pro krizov\xE9 \u0159\xEDzen\xED,\n \
            \   o eskala\u010Dn\xED cesty;\n    o nouzov\xE9 postupy, kter\xE9 popisuj\xED\
            \ opat\u0159en\xED v p\u0159\xEDpad\u011B krize; a\n    o Ustupte od postup\u016F\
            , kter\xE9 popisuj\xED opat\u0159en\xED, kter\xE1 maj\xED b\xFDt p\u0159\
            ijata k ochran\u011B z\xE1kladn\xEDch \u010Dinnost\xED nebo podp\u016F\
            rn\xFDch slu\u017Eeb (nap\u0159. alternativn\xED do\u010Dasn\xE1 m\xED\
            sta pro obnoven\xED procesu do norm\xE1ln\xEDho provozu, obnoven\xED nebo\
            \ obnovy)."
          typical_evidence: "\u2022 Dokumentace prokazuj\xEDc\xED, jak se krizov\xE9\
            \ \u0159\xEDzen\xED integruje s pl\xE1ny reakce subjektu na incidenty\
            \ (p\u0159\xEDloha na\u0159\xEDzen\xED, bod 3.5), zejm\xE9na v p\u0159\
            \xEDpad\u011B incident\u016F souvisej\xEDc\xEDch s IKT. \n\u2022 Dokumenty\
            \ identifikuj\xEDc\xED jak\xE9koli p\u0159edchoz\xED krize a posuzuj\xED\
            c\xED pravd\u011Bpodobnost jejich opakov\xE1n\xED a potenci\xE1ln\xED\
            \ dopad na obchodn\xED operace. \n\u2022 Dokumentace p\u0159edchoz\xED\
            ch test\u016F krizov\xE9ho \u0159\xEDzen\xED, v\u010Detn\u011B testovan\xFD\
            ch sc\xE9n\xE1\u0159\u016F, zapojen\xFDch \xFA\u010Dastn\xEDk\u016F a\
            \ v\xFDsledk\u016F. \n\u2022 Zpr\xE1vy po akci nebo hodnocen\xED z test\u016F\
            \ krizov\xE9ho \u0159\xEDzen\xED, identifikace siln\xFDch a slab\xFDch\
            \ str\xE1nek a oblast\xED pro zlep\u0161en\xED. \n\u2022 Z\xE1znamy o\
            \ intern\xEDch nebo extern\xEDch p\u0159ezkumech a auditech pl\xE1nu krizov\xE9\
            ho \u0159\xEDzen\xED, v\u010Detn\u011B v\u0161ech zji\u0161t\u011Bn\xED\
            \ a p\u0159ijat\xFDch n\xE1pravn\xFDch opat\u0159en\xED.\n\n[TIPY]\n\n\
            \u2022 Inventarizace zdroj\u016F pot\u0159ebn\xFDch pro krizov\xE9 \u0159\
            \xEDzen\xED, v\u010Detn\u011B z\xE1lo\u017En\xEDch syst\xE9m\u016F, alternativn\xED\
            ch komunika\u010Dn\xEDch n\xE1stroj\u016F a nouzov\xE9ho z\xE1sobov\xE1\
            n\xED. \n\u2022 Schv\xE1len\xFD proces krizov\xE9ho \u0159\xEDzen\xED\
            . \n\u2022 Pl\xE1n krizov\xE9 komunikace zdokumentovan\xFD a schv\xE1\
            len\xFD p\u0159\xEDslu\u0161n\xFDmi \u0159\xEDd\xEDc\xEDmi org\xE1ny a\
            \ sd\u011Blen\xFD v\u0161em zam\u011Bstnanc\u016Fm. Krom\u011B prvk\u016F\
            \ uveden\xFDch v bod\u011B 4.3.2 p\u0159\xEDlohy na\u0159\xEDzen\xED a\
            \ prvk\u016F v\xFD\u0161e uveden\xFDch pokyn\u016F obsahuje pl\xE1n alespo\u0148\
            \ (orienta\u010Dn\xED, demonstrativn\xED seznam):\n    o tom, jak budou\
            \ informace \u0161\xED\u0159eny z\xFA\u010Dastn\u011Bn\xFDm stran\xE1\
            m b\u011Bhem krize,\n    o \u0161ablony pro komunikaci; a\n    o aktu\xE1\
            ln\xED kontaktn\xED informace pro intern\xED a extern\xED z\xFA\u010D\
            astn\u011Bn\xE9 strany, v\u010Detn\u011B zam\u011Bstnanc\u016F, z\xE1\
            kazn\xEDk\u016F, dodavatel\u016F a pohotovostn\xEDch slu\u017Eeb. \n\u2022\
            \ D\u016Fkaz, \u017Ee zam\u011Bstnanci znaj\xED procesy a koho kontaktovat\
            \ v p\u0159\xEDpad\u011B krize. \n\u2022 Z\xE1znamy z periodick\xFDch\
            \ simulac\xED a osv\u011Btov\xFDch aktivit s c\xEDlem posoudit p\u0159\
            ipravenost person\xE1lu a adekv\xE1tnost postup\u016F pro zvl\xE1dnut\xED\
            \ krize."
        it:
          description: I soggetti pertinenti testano, riesaminano e, se del caso,
            aggiornano il piano di gestione delle crisi su base periodica o a seguito
            di incidenti significativi o modifiche significative delle operazioni
            o dei rischi.
          annotation: "\u2022 Testare annualmente il processo di gestione della crisi.\
            \   \n\u2022 Testare il processo di gestione della crisi attraverso, ad\
            \ esempio, un'esercitazione o una simulazione, (elenco indicativo, non\
            \ esaustivo):\n    o tenendo conto delle situazioni di crisi passate;\n\
            \    o il confronto dei risultati delle prove con gli obiettivi definiti,\
            \ ad esempio gli obiettivi di recupero di cui al punto 4.1.2, lettera\
            \ f), dell'allegato del regolamento (ad esempio, RTO, RPO e SDO); e\n\
            \    o utilizzare i risultati del confronto per aggiornare e migliorare\
            \ la procedura di gestione delle crisi. \n\u2022 Rivedere e aggiornare,\
            \ se necessario, il processo di gestione delle crisi dopo un test o a\
            \ seguito di incidenti significativi o modifiche significative alle operazioni\
            \ o ai rischi. \n\u2022 Rivedere e aggiornare la politica sulla sicurezza\
            \ delle reti e dei sistemi informativi e le misure organizzative di gestione\
            \ delle crisi dopo un test o a seguito di incidenti significativi o modifiche\
            \ significative alle operazioni o ai rischi.\n\n[CONSIGLI]\n\n\u2022 Gli\
            \ organi di gestione dovrebbero approvare il processo di gestione delle\
            \ crisi e, se del caso, dovrebbero essere definiti i loro ruoli e le loro\
            \ responsabilit\xE0 durante una crisi. \n\u2022 Oltre agli elementi di\
            \ cui al punto 4.3.2 dell'Allegato al regolamento, il processo di gestione\
            \ della crisi potrebbe individuare (elenco indicativo e non esaustivo):\n\
            \    o procedure per la dichiarazione di una crisi;\n    o attivazione\
            \ del team di gestione della crisi;\n    o percorsi di escalation;\n \
            \   o procedure di emergenza, che descrivono le azioni in caso di crisi;\
            \ e\n    o procedure di ripiego che descrivano le azioni da intraprendere\
            \ per proteggere le attivit\xE0 essenziali o i servizi di supporto (ad\
            \ esempio, luoghi temporanei alternativi per riportare il processo al\
            \ normale funzionamento, il recupero o il ripristino)."
          typical_evidence: "\u2022 Documentazione che dimostri come la gestione delle\
            \ crisi si integri con i piani di risposta agli incidenti dell'ente (allegato\
            \ al regolamento, punto 3.5), in particolare per gli incidenti legati\
            \ alle TIC. \n\u2022 Documenti che identificano eventuali crisi precedenti\
            \ e ne valutano la probabilit\xE0 di ricorrenza e il potenziale impatto\
            \ sull'operativit\xE0 aziendale. \n\u2022 Documentazione dei precedenti\
            \ test di gestione delle crisi, compresi gli scenari testati, i partecipanti\
            \ coinvolti e gli esiti. \n\u2022 Rapporti post-azione o valutazioni da\
            \ test di gestione delle crisi, identificando i punti di forza, di debolezza\
            \ e le aree di miglioramento. \n\u2022 Registrazioni delle revisioni e\
            \ degli audit interni o esterni del piano di gestione delle crisi, compresi\
            \ i risultati e le azioni correttive adottate.\n\n[CONSIGLI]\n\n\u2022\
            \ Inventario delle risorse necessarie per la gestione delle crisi, compresi\
            \ i sistemi di backup, gli strumenti di comunicazione alternativi e le\
            \ forniture di emergenza. \n\u2022 Processo di gestione della crisi approvato.\
            \ \n\u2022 Un piano di comunicazione di crisi documentato e approvato\
            \ dagli organi di gestione in essere e comunicato a tutto il personale.\
            \ Oltre agli elementi di cui al punto 4.3.2 dell'allegato al regolamento\
            \ e agli elementi degli orientamenti di cui sopra, il piano comprende\
            \ almeno (elenco indicativo e non esaustivo):\n    o come le informazioni\
            \ saranno diffuse alle parti interessate durante una crisi;\n    o modelli\
            \ per la comunicazione; e\n    o informazioni di contatto aggiornate per\
            \ gli stakeholder interni ed esterni, inclusi dipendenti, clienti, fornitori\
            \ e servizi di emergenza. \n\u2022 Prova che il personale \xE8 a conoscenza\
            \ dei processi e delle persone da contattare in caso di crisi. \n\u2022\
            \ Registrazioni di simulazioni periodiche e attivit\xE0 di sensibilizzazione\
            \ per valutare la prontezza del personale e l'adeguatezza delle procedure\
            \ per la gestione di una crisi."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:5
      assessable: false
      depth: 1
      ref_id: '5'
      name: SUPPLY CHAIN SECURITY (ARTICLE 21(2), POINT (D), OF DIRECTIVE (EU) 2022/2555)
      translations:
        fr:
          name: "S\xE9curit\xE9 de la cha\xEEne d\u2019approvisionnement [article\_\
            21, paragraphe\_2, point\_d), de la directive (UE)\_2022/2555]"
        es:
          name: "SEGURIDAD DE LAS CADENAS DE SUMINISTRO [Art\xEDculo 21, Apartado\
            \ 2, Letra D), de la directiva (UE) 2022/2555]"
        cs:
          name: "Bezpe\u010Dnost dodavatelsk\xE9ho \u0159et\u011Bzce (\u010Dl. 21\
            \ odst. 2 p\xEDsm. d) sm\u011Brnice (EU) 2022/2555)"
        it:
          name: SICUREZZA DELLA CATENA DI APPROVVIGIONAMENTO [ARTICOLO 21, PARAGRAFO
            2, LETTERA D), DELLA DIRETTIVA (UE) 2022/2555]
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:5.1
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:5
      ref_id: '5.1'
      name: Supply chain security policy
      translations:
        fr:
          name: "Politique de s\xE9curit\xE9 de la cha\xEEne d\u2019approvisionnement"
        es:
          name: "Pol\xEDtica de seguridad de las cadenas de suministros"
        cs:
          name: "Politika bezpe\u010Dnosti dodavatelsk\xE9ho \u0159et\u011Bzce"
        it:
          name: Politica di sicurezza della supply chain
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:5.1.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:5.1
      ref_id: 5.1.1
      description: For the purpose of Article 21(2), point (d) of Directive (EU) 2022/2555,
        the relevant entities shall establish, implement and apply a supply chain
        security policy which governs the relations with their direct suppliers and
        service providers in order to mitigate the identified risks to the security
        of network and information systems. In the supply chain security policy, the
        relevant entities shall identify their role in the supply chain and communicate
        it to their direct suppliers and service providers.
      annotation: "\u2022 Take into account industry-recognised standards or good\
        \ practices when developing the supply chain policy (40). \n\u2022 The role\
        \ of a supplier or service provider might be one or more of the following\
        \ (41):\n    o ICT supplier (including software and hardware supplier), o\
        \ Manufacturer, o managed service provider, o managed security service provider\
        \ and o cloud computing provider. \n\u2022 In the case of free and open source\
        \ software (FOSS), communities and projects that openly develop, maintain\
        \ and distribute software may not be considered direct suppliers or service\
        \ providers where no contractual relationship exists between the relevant\
        \ entity and the open source project, beyond adherence to a standardised copyright\
        \ licence, or where the contractual relationship is with an open source software\
        \ steward (Regulation 2024/2847, Article 3(14) \u2018provides support on a\
        \ sustained basis for the development and ensures the viability of those products\u2019\
        ).\n\n(40) In addition, consider the following: \n\u2022 ISO/IEC 27036-1:2021,\
        \ Cybersecurity \u2013 Supplier relationships Part 1: Overview and concepts;\
        \ \n\u2022 ISO/IEC 27036-2:2022, Cybersecurity \u2013 Supplier relationships\
        \ Part 2: Requirements; \n\u2022 NIST SP 800-161 Rev. 1, \u2018Cybersecurity\
        \ supply chain risk management practices for systems and organizations\u2019\
        , https://csrc.nist.gov/pubs/sp/800/161/r1/upd1/final; \n\u2022 ENISA, Good\
        \ Practices for Supply Chain Cybersecurity, https://www.enisa.europa.eu/publications/good-practices-for-supply-chain-\
        \ cybersecurity.\n(41) The list aligns with the draft EU ICT Supply Chain\
        \ Toolbox from the NIS Cooperation Group workstream on supply chain, as of\
        \ February 2025."
      typical_evidence: "\u2022 Supply chain security policy in place and is in line\
        \ with industry-recognised standards and/or good practices. \n\u2022 Evidence\
        \ (e.g. email, contract or announcements) of the communication of the role\
        \ of the entity to the direct suppliers and service providers, where possible."
      translations:
        fr:
          description: "Aux fins de l\u2019article\_21, paragraphe\_2, point\_d),\
            \ de la directive (UE)\_2022/2555, les entit\xE9s concern\xE9es \xE9tablissent,\
            \ mettent en \u0153uvre et appliquent une politique de s\xE9curit\xE9\
            \ de la cha\xEEne d\u2019approvisionnement r\xE9gissant les relations\
            \ avec leurs fournisseurs et leurs prestataires de services directs afin\
            \ d'att\xE9nuer les risques identifi\xE9s pour la s\xE9curit\xE9 des r\xE9\
            seaux et des syst\xE8mes d\u2019information. Dans la politique de s\xE9\
            curit\xE9 de la cha\xEEne d\u2019approvisionnement, les entit\xE9s concern\xE9\
            es d\xE9finissent leur r\xF4le dans la cha\xEEne d\u2019approvisionnement\
            \ et en informent leurs fournisseurs et leurs prestataires de services\
            \ directs."
          annotation: "\u2022 Tenir compte des normes ou des bonnes pratiques reconnues\
            \ par l\u2019industrie lors de l\u2019\xE9laboration de la politique de\
            \ la cha\xEEne d\u2019approvisionnement (40). \n\u2022 Le r\xF4le d\u2019\
            un fournisseur ou d\u2019un prestataire de services peut \xEAtre l\u2019\
            un ou plusieurs des \xE9l\xE9ments suivants (41) :\n    o Fournisseur\
            \ de TIC (y compris fournisseur de logiciels et de mat\xE9riel), o Fabricant,\
            \ o Fournisseur de services g\xE9r\xE9s, o Fournisseur de services de\
            \ s\xE9curit\xE9 g\xE9r\xE9s et o Fournisseur de cloud computing. \n\u2022\
            \ Dans le cas des logiciels libres et open source, les communaut\xE9s\
            \ et les projets qui d\xE9veloppent, maintiennent et distribuent ouvertement\
            \ des logiciels ne peuvent pas \xEAtre consid\xE9r\xE9s comme des fournisseurs\
            \ directs ou des prestataires de services lorsqu\u2019il n\u2019existe\
            \ aucune relation contractuelle entre l\u2019entit\xE9 concern\xE9e et\
            \ le projet open source, au-del\xE0 de l\u2019adh\xE9sion \xE0 une licence\
            \ de droit d\u2019auteur standardis\xE9e, ou lorsque la relation contractuelle\
            \ est avec un gestionnaire de logiciels open source (R\xE8glement 2024/2847,\
            \  L\u2019article 3, paragraphe 14, \xAB\_apporte un soutien durable au\
            \ d\xE9veloppement de ces produits et en assure la viabilit\xE9\_\xBB\
            .\n\n(40) En outre, il convient de tenir compte des points suivants\_\
            : \n\u2022 ISO/IEC 27036-1:2021, Cybers\xE9curit\xE9 \u2013 Relations\
            \ avec les fournisseurs, partie 1 : Vue d\u2019ensemble et concepts ;\
            \ \n\u2022 ISO/IEC 27036-2:2022, Cybers\xE9curit\xE9 \u2013 Relations\
            \ avec les fournisseurs, Partie 2 : Exigences ; \n\u2022 NIST SP 800-161\
            \ Rev. 1, \xAB Pratiques de gestion des risques de la cha\xEEne d\u2019\
            approvisionnement en cybers\xE9curit\xE9 pour les syst\xE8mes et les organisations\
            \ \xBB, https://csrc.nist.gov/pubs/sp/800/161/r1/upd1/final ; \n\u2022\
            \ ENISA, Bonnes Pratiques pour la Cybers\xE9curit\xE9 de la Supply Chain,\
            \ https://www.enisa.europa.eu/publications/good-practices-for-supply-chain-cybers\xE9\
            curit\xE9.\n(41) Cette liste s\u2019aligne sur le projet de bo\xEEte \xE0\
            \ outils de l\u2019UE sur la cha\xEEne d\u2019approvisionnement dans le\
            \ domaine des TIC, \xE9labor\xE9 \xE0 partir de f\xE9vrier 2025."
          typical_evidence: "\u2022 Politique de s\xE9curit\xE9 de la cha\xEEne d\u2019\
            approvisionnement en place et conforme aux normes et/ou bonnes pratiques\
            \ reconnues par l\u2019industrie. \n\u2022 Preuve (par exemple, e-mail,\
            \ contrat ou annonces) de la communication du r\xF4le de l\u2019entit\xE9\
            \ aux fournisseurs directs et aux prestataires de services, dans la mesure\
            \ du possible."
        es:
          description: "A efectos del art\xEDculo 21, apartado 2, letra d), de la\
            \ Directiva (UE) 2022/2555, las entidades pertinentes establecer\xE1n,\
            \ pondr\xE1n en marcha y aplicar\xE1n una pol\xEDtica de seguridad de\
            \ las cadenas de suministros que rija las relaciones con sus proveedores\
            \ y prestadores de servicios directos con el fin de mitigar los riesgos\
            \ detectados para la seguridad de los sistemas de redes y de informaci\xF3\
            n. En la pol\xEDtica de seguridad de las cadenas de suministros, las entidades\
            \ pertinentes determinar\xE1n su papel en la cadena de suministro y se\
            \ lo comunicar\xE1n a sus proveedores y prestadores de servicios directos."
          annotation: "\u2022 Tener en cuenta las normas o buenas pr\xE1cticas reconocidas\
            \ por el sector a la hora de desarrollar la pol\xEDtica de la cadena de\
            \ suministro (40). \n\u2022 La funci\xF3n de un proveedor o prestador\
            \ de servicios puede ser una o varias de las siguientes (41):\n    o Proveedor\
            \ de TIC (incluido el proveedor de software y hardware), o Fabricante,\
            \ o Proveedor de servicios gestionados, o Proveedor de servicios de seguridad\
            \ gestionados y o Proveedor de computaci\xF3n en la nube. \n\u2022 En\
            \ el caso del software libre y de c\xF3digo abierto (FOSS), las comunidades\
            \ y proyectos que desarrollen, mantengan y distribuyan software abiertamente\
            \ no pueden considerarse proveedores directos o prestadores de servicios\
            \ cuando no exista una relaci\xF3n contractual entre la entidad pertinente\
            \ y el proyecto de c\xF3digo abierto, m\xE1s all\xE1 de la adhesi\xF3\
            n a una licencia de derechos de autor estandarizada, o cuando la relaci\xF3\
            n contractual sea con un administrador de software de c\xF3digo abierto\
            \ (Reglamento 2024/2847,  El art\xEDculo 3, apartado 14, \xABproporciona\
            \ apoyo sostenido para el desarrollo y garantiza la viabilidad de dichos\
            \ productos\xBB).\n\n(40) Adem\xE1s, considere lo siguiente: \n\u2022\
            \ ISO/IEC 27036-1:2021, Ciberseguridad \u2013 Relaciones con proveedores\
            \ Parte 1: Descripci\xF3n general y conceptos; \n\u2022 ISO/IEC 27036-2:2022,\
            \ Ciberseguridad \u2013 Relaciones con proveedores Parte 2: Requisitos;\
            \ \n\u2022 NIST SP 800-161 Rev. 1, \xABPr\xE1cticas de gesti\xF3n de riesgos\
            \ de la cadena de suministro de ciberseguridad para sistemas y organizaciones\xBB\
            , https://csrc.nist.gov/pubs/sp/800/161/r1/upd1/final; \n\u2022 ENISA,\
            \ Buenas Pr\xE1cticas para la Ciberseguridad de la Cadena de Suministro,\
            \ https://www.enisa.europa.eu/publications/good-practices-for-supply-chain-ciberseguridad.\n\
            (41) La lista se ajusta al proyecto de conjunto de herramientas de la\
            \ cadena de suministro de TIC de la UE del flujo de trabajo del Grupo\
            \ de Cooperaci\xF3n SRI sobre la cadena de suministro, a febrero de 2025."
          typical_evidence: "\u2022 La pol\xEDtica de seguridad de la cadena de suministro\
            \ est\xE1 en l\xEDnea con los est\xE1ndares reconocidos por la industria\
            \ y/o las buenas pr\xE1cticas. \n\u2022 Evidencia (por ejemplo, correo\
            \ electr\xF3nico, contrato o anuncios) de la comunicaci\xF3n de la funci\xF3\
            n de la entidad a los proveedores directos y proveedores de servicios,\
            \ cuando sea posible."
        cs:
          description: "Pro \xFA\u010Dely \u010Dl. 21 odst. 2 p\xEDsm. d) sm\u011B\
            rnice (EU) 2022/2555 p\u0159\xEDslu\u0161n\xE9 subjekty stanov\xED, zavedou\
            \ a uplat\u0148uj\xED politiku bezpe\u010Dnosti dodavatelsk\xE9ho \u0159\
            et\u011Bzce, kter\xE1 upravuje vztahy s jejich p\u0159\xEDm\xFDmi dodavateli\
            \ a poskytovateli slu\u017Eeb s c\xEDlem zm\xEDrnit zji\u0161t\u011Bn\xE1\
            \ rizika pro bezpe\u010Dnost s\xEDt\xED a informa\u010Dn\xEDch syst\xE9\
            m\u016F. V politice bezpe\u010Dnosti dodavatelsk\xE9ho \u0159et\u011B\
            zce p\u0159\xEDslu\u0161n\xE9 subjekty ur\u010D\xED svou \xFAlohu v dodavatelsk\xE9\
            m \u0159et\u011Bzci a sd\u011Bl\xED ji sv\xFDm p\u0159\xEDm\xFDm dodavatel\u016F\
            m a poskytovatel\u016Fm slu\u017Eeb."
          annotation: "\u2022 P\u0159i vytv\xE1\u0159en\xED politiky dodavatelsk\xE9\
            ho \u0159et\u011Bzce zohlednit odv\u011Btvov\u011B uzn\xE1van\xE9 normy\
            \ nebo osv\u011Bd\u010Den\xE9 postupy (40). \n\u2022 \xDAloha dodavatele\
            \ nebo poskytovatele slu\u017Eeb m\u016F\u017Ee b\xFDt jedna nebo v\xED\
            ce z t\u011Bchto (41):\n    o Dodavatel informa\u010Dn\xEDch a komunika\u010D\
            n\xEDch technologi\xED (v\u010Detn\u011B dodavatele softwaru a hardwaru),\
            \ o V\xFDrobce, o Poskytovatel \u0159\xEDzen\xFDch bezpe\u010Dnostn\xED\
            ch slu\u017Eeb, Poskytovatel \u0159\xEDzen\xFDch bezpe\u010Dnostn\xED\
            ch slu\u017Eeb a Poskytovatel cloud computingu. \n\u2022 V p\u0159\xED\
            pad\u011B svobodn\xE9ho a open source softwaru (FOSS) nelze komunity a\
            \ projekty, kter\xE9 otev\u0159en\u011B vyv\xEDjej\xED, udr\u017Euj\xED\
            \ a distribuuj\xED software, pova\u017Eovat za p\u0159\xEDm\xE9 dodavatele\
            \ nebo poskytovatele slu\u017Eeb, pokud mezi p\u0159\xEDslu\u0161n\xFD\
            m subjektem a open source projektem neexistuje \u017E\xE1dn\xFD smluvn\xED\
            \ vztah nad r\xE1mec dodr\u017Eov\xE1n\xED standardizovan\xE9 licence\
            \ na autorsk\xE1 pr\xE1va, nebo pokud je smluvn\xED vztah se spr\xE1vcem\
            \ open source softwaru (na\u0159\xEDzen\xED 2024/2847,  \u010Cl\xE1nek\
            \ 3 bod 14 \"poskytuje trvalou podporu pro v\xFDvoj a zaji\u0161\u0165\
            uje \u017Eivotaschopnost t\u011Bchto produkt\u016F\").\n\n(40) Krom\u011B\
            \ toho zva\u017Ete n\xE1sleduj\xEDc\xED: \n\u2022 ISO/IEC 27036-1:2021,\
            \ Kybernetick\xE1 bezpe\u010Dnost \u2013 vztahy s dodavateli, \u010D\xE1\
            st 1: P\u0159ehled a koncepty; \n\u2022 ISO/IEC 27036-2:2022, Kybernetick\xE1\
            \ bezpe\u010Dnost \u2013 dodavatelsk\xE9 vztahy, \u010D\xE1st 2: Po\u017E\
            adavky; \n\u2022 NIST SP 800-161 Rev. 1, \"Postupy \u0159\xEDzen\xED rizik\
            \ dodavatelsk\xE9ho \u0159et\u011Bzce kybernetick\xE9 bezpe\u010Dnosti\
            \ pro syst\xE9my a organizace\", https://csrc.nist.gov/pubs/sp/800/161/r1/upd1/final;\
            \ \n\u2022 ENISA, Osv\u011Bd\u010Den\xE9 postupy pro kybernetickou bezpe\u010D\
            nost dodavatelsk\xE9ho \u0159et\u011Bzce, https://www.enisa.europa.eu/publications/good-practices-for-supply-chain\
            \ \u2013 kybernetick\xE1 bezpe\u010Dnost.\n(41) Seznam je v souladu s\
            \ n\xE1vrhem souboru n\xE1stroj\u016F EU pro dodavatelsk\xFD \u0159et\u011B\
            zec v oblasti IKT, kter\xFD od \xFAnora 2025 p\u0159edlo\u017Eila pracovn\xED\
            \ skupina pro spolupr\xE1ci v oblasti bezpe\u010Dnosti s\xEDt\xED a informac\xED\
            \ t\xFDkaj\xEDc\xED se dodavatelsk\xE9ho \u0159et\u011Bzce."
          typical_evidence: "\u2022 Politika zabezpe\u010Den\xED dodavatelsk\xE9ho\
            \ \u0159et\u011Bzce je zavedena a je v souladu s pr\u016Fmyslov\u011B\
            \ uzn\xE1van\xFDmi standardy a/nebo osv\u011Bd\u010Den\xFDmi postupy.\
            \ \n\u2022 D\u016Fkaz (nap\u0159. e-mail, smlouva nebo ozn\xE1men\xED\
            ) o sd\u011Blen\xED \xFAlohy subjektu p\u0159\xEDm\xFDm dodavatel\u016F\
            m a poskytovatel\u016Fm slu\u017Eeb, pokud je to mo\u017En\xE9."
        it:
          description: Ai fini dell'articolo 21, paragrafo 2, lettera d), della direttiva
            (UE) 2022/2555, i soggetti pertinenti istituiscono, attuano e applicano
            una politica di sicurezza della catena di approvvigionamento che disciplina
            le relazioni con i loro fornitori diretti e prestatori di servizi al fine
            di attenuare i rischi individuati per la sicurezza delle reti e dei sistemi
            informativi. Nella politica di sicurezza della catena di approvvigionamento,
            i soggetti pertinenti identificano il loro ruolo nella catena di approvvigionamento
            e lo comunicano ai loro fornitori diretti e prestatori di servizi.
          annotation: "\u2022 Tenere conto delle norme o delle buone pratiche riconosciute\
            \ dal settore nell'elaborazione della politica della catena di approvvigionamento\
            \ (40). \n\u2022 Il ruolo di un fornitore o di un prestatore di servizi\
            \ potrebbe essere uno o pi\xF9 dei seguenti (41):\n    o Fornitore ICT\
            \ (incluso il fornitore di software e hardware), o Produttore, o Fornitore\
            \ di servizi gestiti, o Fornitore di servizi di sicurezza gestiti e o\
            \ Fornitore di cloud computing. \n\u2022 Nel caso di software libero e\
            \ open source (FOSS), le comunit\xE0 e i progetti che sviluppano, mantengono\
            \ e distribuiscono apertamente software non possono essere considerati\
            \ fornitori diretti o fornitori di servizi laddove non esista alcun rapporto\
            \ contrattuale tra l'entit\xE0 pertinente e il progetto open source, oltre\
            \ all'adesione a una licenza di copyright standardizzata, o laddove il\
            \ rapporto contrattuale sia con un amministratore di software open source\
            \ (Regolamento 2024/2847,  L'articolo 3, paragrafo 14, \xABfornisce un\
            \ sostegno duraturo allo sviluppo e garantisce la redditivit\xE0 di tali\
            \ prodotti\xBB).\n\n(40) Inoltre, si consideri quanto segue: \n\u2022\
            \ ISO/IEC 27036-1:2021, Sicurezza informatica \u2013 Relazioni con i fornitori\
            \ Parte 1: Panoramica e concetti; \n\u2022 ISO/IEC 27036-2:2022, Sicurezza\
            \ informatica \u2013 Relazioni con i fornitori Parte 2: Requisiti; \n\u2022\
            \ NIST SP 800-161 Rev. 1, \"Pratiche di gestione dei rischi della catena\
            \ di approvvigionamento della sicurezza informatica per sistemi e organizzazioni\"\
            , https://csrc.nist.gov/pubs/sp/800/161/r1/upd1/final; \n\u2022 ENISA,\
            \ Buone pratiche per la cibersicurezza della catena di approvvigionamento,\
            \ https://www.enisa.europa.eu/publications/good-practices-for-supply-chain-\
            \ cybersecurity.\n(41) L'elenco \xE8 in linea con il progetto di pacchetto\
            \ di strumenti dell'UE per la catena di approvvigionamento delle TIC del\
            \ gruppo di cooperazione NIS sulla catena di approvvigionamento, a partire\
            \ dal febbraio 2025."
          typical_evidence: "\u2022 Politica di sicurezza della catena di approvvigionamento\
            \ in atto e in linea con gli standard e/o le buone pratiche riconosciuti\
            \ dal settore. \n\u2022 Prove (ad es. e-mail, contratto o annunci) della\
            \ comunicazione del ruolo dell'entit\xE0 ai fornitori diretti e ai fornitori\
            \ di servizi, ove possibile."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:5.1.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:5.1
      ref_id: 5.1.2
      description: 'As part of the supply chain security policy referred to in point
        5.1.1, the relevant entities shall lay down criteria to select and contract
        suppliers and service providers. Those criteria shall include the following:'
      annotation: "\u2022 Consider criteria such as:\n    o the legal jurisdiction\
        \ of the supplier or service provider, for example whether the supplier is\
        \ regulated under the NIS2 Directive or the Cyber Resilience Act and in which\
        \ jurisdiction(s);\n    o if available, compliance statements from the supplier\
        \ in relation to the NIS2 Directive;\n    o the corporate ownership of the\
        \ supplier or service provider;\n    o the supplier\u2019s or service provider\u2019\
        s ability to ensure supply (e.g. size, reliance on other suppliers or service\
        \ providers and degree of control over its own supply chain);\n    o the cybersecurity\
        \ practices of the supplier or service provider, and whether adequate prioritisation\
        \ is given to cybersecurity practices, attested by:\n        * industry standard\
        \ certifications for cybersecurity;\n        * vendor risk-management software\
        \ reports or other provider assessment reports (e.g. Standardized Information\
        \ Gathering, vendor security assessment or consensus assessment initiative\
        \ questionnaire), if available;\n    o notices or advice issued by national\
        \ authorities on the selection of suppliers or service providers, if available;\n\
        \    o the sensitivity of the use of the products and services acquired;\n\
        \    o the supplier or service provider\u2019s history in relation to cybersecurity\
        \ events and breaches;\n    o the possibility of vendor lock-in, if the supplier\
        \ or service provider is selected. Parameters to consider are the use of open\
        \ and interoperable standards, the use of open data formats, existing contracts\
        \ with the supplier or service provider, the use of proprietary software features,\
        \ etc."
      typical_evidence: "\u2022 A policy containing the elements referred to in point\
        \ 5.1.2 of the Annex to the regulation."
      translations:
        fr:
          description: "Dans le cadre de la politique vis\xE9e au point\_5.1.1, les\
            \ entit\xE9s concern\xE9es fixent des crit\xE8res pour la s\xE9lection\
            \ des fournisseurs et des prestataires de services et la passation de\
            \ contrats avec ces derniers. Ces crit\xE8res incluent:"
          annotation: "\u2022 Tenez compte de crit\xE8res tels que :\n    o la juridiction\
            \ juridique du fournisseur ou du prestataire de services, par exemple\
            \ si le fournisseur est r\xE9glement\xE9 par la directive NIS2 ou le Cyber\
            \ Resilience Act et dans quelle(s) juridiction(s) ;\n    o le cas \xE9\
            ch\xE9ant, les d\xE9clarations de conformit\xE9 du fournisseur par rapport\
            \ \xE0 la directive NIS2 ;\n    o la propri\xE9t\xE9 sociale du fournisseur\
            \ ou du prestataire de services ;\n    o la capacit\xE9 du fournisseur\
            \ ou du prestataire de services \xE0 assurer l\u2019approvisionnement\
            \ (par exemple, la taille, la d\xE9pendance \xE0 l\u2019\xE9gard d\u2019\
            autres fournisseurs ou prestataires de services et le degr\xE9 de contr\xF4\
            le de sa propre cha\xEEne d\u2019approvisionnement) ;\n    o les pratiques\
            \ de cybers\xE9curit\xE9 du fournisseur ou du prestataire de services,\
            \ et la question de savoir si une priorit\xE9 ad\xE9quate est accord\xE9\
            e aux pratiques de cybers\xE9curit\xE9, attest\xE9es par :\n        *\
            \ certifications standard de l\u2019industrie pour la cybers\xE9curit\xE9\
            \ ;\n        * rapports sur les logiciels de gestion des risques li\xE9\
            s aux fournisseurs ou autres rapports d\u2019\xE9valuation des fournisseurs\
            \ (p. ex., collecte d\u2019informations normalis\xE9e, \xE9valuation de\
            \ la s\xE9curit\xE9 des fournisseurs ou questionnaire d\u2019initiative\
            \ d\u2019\xE9valuation consensuelle), le cas \xE9ch\xE9ant\_;\n    o les\
            \ avis ou avis \xE9mis par les autorit\xE9s nationales sur la s\xE9lection\
            \ des fournisseurs ou des prestataires de services, le cas \xE9ch\xE9\
            ant\_;\n    o la sensibilit\xE9 de l\u2019utilisation des produits et\
            \ services acquis ;\n    o l\u2019historique du fournisseur ou du prestataire\
            \ de services en mati\xE8re d\u2019\xE9v\xE9nements et de violations de\
            \ cybers\xE9curit\xE9 ;\n    o la possibilit\xE9 d\u2019une d\xE9pendance\
            \ vis-\xE0-vis d\u2019un fournisseur, si le fournisseur ou le prestataire\
            \ de services est s\xE9lectionn\xE9. Les param\xE8tres \xE0 prendre en\
            \ compte sont l\u2019utilisation de normes ouvertes et interop\xE9rables,\
            \ l\u2019utilisation de formats de donn\xE9es ouverts, les contrats existants\
            \ avec le fournisseur ou le prestataire de services, l\u2019utilisation\
            \ de fonctionnalit\xE9s logicielles propri\xE9taires, etc."
          typical_evidence: "\u2022 Une politique contenant les \xE9l\xE9ments vis\xE9\
            s au point 5.1.2 de l\u2019annexe du r\xE8glement."
        es:
          description: "Como parte de la pol\xEDtica de la cadena de suministro contemplada\
            \ en el punto 5.1.1, las entidades pertinentes establecer\xE1n criterios\
            \ para seleccionar y contratar a los proveedores y prestadores de servicios.\
            \ Dichos criterios incluir\xE1n lo siguiente:"
          annotation: "\u2022 Tener en cuenta criterios como:\n    o la jurisdicci\xF3\
            n legal del proveedor o prestador de servicios, por ejemplo, si el proveedor\
            \ est\xE1 regulado por la Directiva NIS2 o la Ley de Resiliencia Cibern\xE9\
            tica y en qu\xE9 jurisdicci\xF3n(es);\n    o, si est\xE1n disponibles,\
            \ declaraciones de conformidad del proveedor en relaci\xF3n con la Directiva\
            \ NIS2;\n    o la propiedad corporativa del proveedor o prestador de servicios;\n\
            \    o la capacidad del proveedor o prestador de servicios para garantizar\
            \ el suministro (por ejemplo, tama\xF1o, dependencia de otros proveedores\
            \ o prestadores de servicios y grado de control sobre su propia cadena\
            \ de suministro);\n    o las pr\xE1cticas de ciberseguridad del proveedor\
            \ o prestador de servicios, y si se da una prioridad adecuada a las pr\xE1\
            cticas de ciberseguridad, atestiguadas por:\n        * certificaciones\
            \ est\xE1ndar de la industria para la ciberseguridad;\n        * informes\
            \ de software de gesti\xF3n de riesgos del proveedor u otros informes\
            \ de evaluaci\xF3n del proveedor (por ejemplo, recopilaci\xF3n de informaci\xF3\
            n estandarizada, evaluaci\xF3n de la seguridad del proveedor o cuestionario\
            \ de la iniciativa de evaluaci\xF3n de consenso), si est\xE1n disponibles;\n\
            \    o avisos o avisos emitidos por las autoridades nacionales sobre la\
            \ selecci\xF3n de proveedores o prestadores de servicios, si est\xE1n\
            \ disponibles;\n    o la sensibilidad del uso de los productos y servicios\
            \ adquiridos;\n    o el historial del proveedor o prestador de servicios\
            \ en relaci\xF3n con eventos y violaciones de ciberseguridad;\n    o la\
            \ posibilidad de bloqueo del proveedor, si se selecciona el proveedor\
            \ o prestador de servicios. Los par\xE1metros a tener en cuenta son el\
            \ uso de est\xE1ndares abiertos e interoperables, el uso de formatos de\
            \ datos abiertos, los contratos existentes con el proveedor o prestador\
            \ de servicios, el uso de caracter\xEDsticas de software propietario,\
            \ etc."
          typical_evidence: "\u2022 Una p\xF3liza que contenga los elementos mencionados\
            \ en el punto 5.1.2 del anexo del Reglamento."
        cs:
          description: "V r\xE1mci politiky bezpe\u010Dnosti dodavatelsk\xE9ho \u0159\
            et\u011Bzce uveden\xE9 v bod\u011B 5.1.1 stanov\xED p\u0159\xEDslu\u0161\
            n\xE9 subjekty krit\xE9ria pro v\xFDb\u011Br dodavatel\u016F a poskytovatel\u016F\
            \ slu\u017Eeb a uzav\xEDr\xE1n\xED smluv s nimi. Tato krit\xE9ria zahrnuj\xED\
            :"
          annotation: "\u2022 Zva\u017Ete krit\xE9ria jako:\n    o pr\xE1vn\xED jurisdikci\
            \ dodavatele nebo poskytovatele slu\u017Eeb, nap\u0159\xEDklad zda je\
            \ dodavatel regulov\xE1n podle sm\u011Brnice NIS2 nebo z\xE1kona o kybernetick\xE9\
            \ odolnosti a v jak\xE9 jurisdikci (jurisdikc\xEDch);\n    o prohl\xE1\
            \u0161en\xED o shod\u011B od dodavatele ve vztahu ke sm\u011Brnici NIS2,\
            \ pokud jsou k dispozici;\n    o vlastnictv\xED spole\u010Dnosti dodavatele\
            \ nebo poskytovatele slu\u017Eeb;\n    o schopnosti dodavatele nebo poskytovatele\
            \ slu\u017Eeb zajistit dod\xE1vky (nap\u0159. velikost, z\xE1vislost na\
            \ jin\xFDch dodavatel\xEDch nebo poskytovatel\xEDch slu\u017Eeb a m\xED\
            ra kontroly nad vlastn\xEDm dodavatelsk\xFDm \u0159et\u011Bzcem),\n  \
            \  o postupech dodavatele nebo poskytovatele slu\u017Eeb v oblasti kybernetick\xE9\
            \ bezpe\u010Dnosti a o tom, zda jsou postupy kybernetick\xE9 bezpe\u010D\
            nosti dostate\u010Dn\u011B up\u0159ednost\u0148ov\xE1ny, co\u017E dokl\xE1\
            d\xE1:\n        * pr\u016Fmyslov\xE9 standardn\xED certifikace pro kybernetickou\
            \ bezpe\u010Dnost;\n        * zpr\xE1vy softwaru pro \u0159\xEDzen\xED\
            \ rizik dodavatele nebo jin\xE9 zpr\xE1vy o hodnocen\xED poskytovatele\
            \ (nap\u0159. standardizovan\xE9 shroma\u017E\u010Fov\xE1n\xED informac\xED\
            , hodnocen\xED bezpe\u010Dnosti dodavatele nebo dotazn\xEDk iniciativy\
            \ pro hodnocen\xED konsensu), pokud jsou k dispozici;\n    o ozn\xE1men\xED\
            \ nebo rady vydan\xE9 vnitrost\xE1tn\xEDmi org\xE1ny ohledn\u011B v\xFD\
            b\u011Bru dodavatel\u016F nebo poskytovatel\u016F slu\u017Eeb, jsou-li\
            \ k dispozici,\n    o citlivosti pou\u017E\xEDv\xE1n\xED z\xEDskan\xFD\
            ch produkt\u016F a slu\u017Eeb;\n    o historii dodavatele nebo poskytovatele\
            \ slu\u017Eeb v souvislosti s ud\xE1lostmi a naru\u0161en\xEDm kybernetick\xE9\
            \ bezpe\u010Dnosti;\n    o mo\u017Enost uzam\u010Den\xED dodavatele, pokud\
            \ je vybr\xE1n dodavatel nebo poskytovatel slu\u017Eeb. Parametry, kter\xE9\
            \ je t\u0159eba zv\xE1\u017Eit, jsou pou\u017Eit\xED otev\u0159en\xFD\
            ch a interoperabiln\xEDch standard\u016F, pou\u017Eit\xED otev\u0159en\xFD\
            ch datov\xFDch form\xE1t\u016F, st\xE1vaj\xEDc\xED smlouvy s dodavatelem\
            \ nebo poskytovatelem slu\u017Eeb, pou\u017Eit\xED propriet\xE1rn\xED\
            ch funkc\xED softwaru atd."
          typical_evidence: "\u2022 Pravidla obsahuj\xEDc\xED prvky uveden\xE9 v bod\u011B\
            \ 5.1.2 p\u0159\xEDlohy na\u0159\xEDzen\xED."
        it:
          description: 'Nell''ambito della politica di sicurezza della catena logistica
            di cui al punto 5.1.1, i soggetti pertinenti stabiliscono i criteri per
            la selezione e la stipula di contratti con i fornitori e i prestatori
            di servizi. Tali criteri comprendono i seguenti:'
          annotation: "\u2022 Considera criteri come:\n    o la giurisdizione giuridica\
            \ del fornitore o del fornitore di servizi, ad esempio se il fornitore\
            \ \xE8 regolamentato dalla direttiva NIS2 o dalla legge sulla resilienza\
            \ informatica e in quale giurisdizione o giurisdizioni;\n    o se disponibili,\
            \ dichiarazioni di conformit\xE0 del fornitore in relazione alla Direttiva\
            \ NIS2;\n    o la propriet\xE0 aziendale del fornitore o del prestatore\
            \ di servizi;\n    o la capacit\xE0 del fornitore o del prestatore di\
            \ servizi di garantire l'approvvigionamento (ad esempio, dimensioni, dipendenza\
            \ da altri fornitori o prestatori di servizi e grado di controllo sulla\
            \ propria catena di approvvigionamento);\n    o le pratiche di cibersicurezza\
            \ del fornitore o del prestatore di servizi e se le pratiche di cibersicurezza\
            \ sono adeguatamente classificate in ordine di priorit\xE0, attestate\
            \ da:\n        * certificazioni standard di settore per la sicurezza informatica;\n\
            \        * rapporti sul software di gestione del rischio del fornitore\
            \ o altri rapporti di valutazione del fornitore (ad es. raccolta di informazioni\
            \ standardizzate, valutazione della sicurezza del fornitore o questionario\
            \ sull'iniziativa di valutazione del consenso), se disponibili;\n    o\
            \ avvisi o pareri emessi dalle autorit\xE0 nazionali sulla selezione dei\
            \ fornitori o dei prestatori di servizi, se disponibili;\n    o la sensibilit\xE0\
            \ all'uso dei prodotti e servizi acquistati;\n    o la storia del fornitore\
            \ o del fornitore di servizi in relazione a eventi e violazioni della\
            \ sicurezza informatica;\n    o la possibilit\xE0 di vendor lock-in, se\
            \ viene selezionato il fornitore o il fornitore di servizi. I parametri\
            \ da considerare sono l'uso di standard aperti e interoperabili, l'uso\
            \ di formati di dati aperti, i contratti esistenti con il fornitore o\
            \ il prestatore di servizi, l'uso di funzionalit\xE0 software proprietarie,\
            \ ecc."
          typical_evidence: "\u2022 Una policy contenente gli elementi di cui al punto\
            \ 5.1.2 dell'Allegato al regolamento."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:5.1.2.a
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:5.1.2
      ref_id: 5.1.2.a
      description: the cybersecurity practices of the suppliers and service providers,
        including their secure development procedures;
      translations:
        fr:
          description: "les pratiques des fournisseurs et des prestataires de services\
            \ en mati\xE8re de cybers\xE9curit\xE9, y compris leurs proc\xE9dures\
            \ de d\xE9veloppement s\xE9curis\xE9;"
        es:
          description: "las pr\xE1cticas de ciberseguridad de sus proveedores y prestadores\
            \ de servicios, incluidos sus procedimientos de desarrollo seguro;"
        cs:
          description: "postupy kybernetick\xE9 bezpe\u010Dnosti dodavatel\u016F a\
            \ poskytovatel\u016F slu\u017Eeb, v\u010Detn\u011B jejich postup\u016F\
            \ k zaji\u0161t\u011Bn\xED bezpe\u010Dn\xE9ho v\xFDvoje;"
        it:
          description: le pratiche di cibersicurezza dei fornitori e dei prestatori
            di servizi, comprese le loro procedure di sviluppo sicuro;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:5.1.2.b
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:5.1.2
      ref_id: 5.1.2.b
      description: the ability of the suppliers and service providers to meet cybersecurity
        specifications set by the relevant entities;
      translations:
        fr:
          description: "la capacit\xE9 des fournisseurs et des prestataires de services\
            \ de se conformer aux sp\xE9cifications de cybers\xE9curit\xE9 d\xE9finies\
            \ par les entit\xE9s concern\xE9es;"
        es:
          description: la capacidad de los proveedores y prestadores de servicios
            para cumplir las especificaciones de ciberseguridad establecidas por las
            entidades pertinentes;
        cs:
          description: "schopnost dodavatel\u016F a poskytovatel\u016F slu\u017Eeb\
            \ spl\u0148ovat specifikace v oblasti kybernetick\xE9 bezpe\u010Dnosti\
            \ stanoven\xE9 p\u0159\xEDslu\u0161n\xFDmi subjekty;"
        it:
          description: "la capacit\xE0 dei fornitori e dei prestatori di servizi di\
            \ soddisfare le specifiche in materia di cibersicurezza stabilite dai\
            \ soggetti pertinenti;"
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:5.1.2.c
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:5.1.2
      ref_id: 5.1.2.c
      description: the overall quality and resilience of ICT products and ICT services
        and the cybersecurity risk-management measures embedded in them, including
        the risks and classification level of the ICT products and ICT services;
      translations:
        fr:
          description: "la qualit\xE9 et la r\xE9silience globales des produits TIC\
            \ et des services TIC et les mesures de gestion des risques en mati\xE8\
            re de cybers\xE9curit\xE9 qui y sont int\xE9gr\xE9es, y compris les risques\
            \ et le niveau de classification des produits TIC et des services TIC;"
        es:
          description: "la calidad general y la resiliencia de los productos y servicios\
            \ TIC y las medidas para la gesti\xF3n de riesgos de ciberseguridad integradas\
            \ en ellos, incluidos los riesgos y el nivel de clasificaci\xF3n de los\
            \ productos y servicios TIC;"
        cs:
          description: "celkovou kvalitu a odolnost produkt\u016F a slu\u017Eeb IKT\
            \ a v nich obsa\u017Een\xFDch opat\u0159en\xED pro \u0159\xEDzen\xED kybernetick\xFD\
            ch bezpe\u010Dnostn\xEDch rizik, v\u010Detn\u011B rizik a \xFArovn\u011B\
            \ klasifikace produkt\u016F IKT a slu\u017Eeb IKT;"
        it:
          description: "la qualit\xE0 e la resilienza complessive dei prodotti e dei\
            \ servizi TIC e le misure di gestione dei rischi di cibersicurezza in\
            \ essi integrate, compresi i rischi e il livello di classificazione dei\
            \ prodotti e dei servizi TIC;"
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:5.1.2.d
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:5.1.2
      ref_id: 5.1.2.d
      description: the ability of the relevant entities to diversify sources of supply
        and limit vendor lock-in, where applicable.
      translations:
        fr:
          description: "la capacit\xE9 des entit\xE9s concern\xE9es \xE0 diversifier\
            \ les sources d\u2019approvisionnement et \xE0 limiter l\u2019effet de\
            \ verrouillage, s\u2019il y a lieu."
        es:
          description: la capacidad de las entidades pertinentes de diversificar las
            fuentes de suministro y limitar la dependencia de un proveedor, cuando
            proceda.
        cs:
          description: "schopnost p\u0159\xEDslu\u0161n\xFDch subjekt\u016F diverzifikovat\
            \ zdroje dod\xE1vek a v p\u0159\xEDslu\u0161n\xFDch p\u0159\xEDpadech\
            \ omezit z\xE1vislost na dodavateli."
        it:
          description: "la capacit\xE0 dei soggetti pertinenti di diversificare le\
            \ fonti di approvvigionamento e di limitare la dipendenza dal fornitore,\
            \ se del caso."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:5.1.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:5.1
      ref_id: 5.1.3
      description: When establishing their supply chain security policy, relevant
        entities shall take into account the results of the coordinated security risk
        assessments of critical supply chains carried out in accordance with Article
        22(1) of Directive (EU) 2022/2555, where applicable.
      annotation: "\u2022 Take into account any recommendations or guidance on supply\
        \ chain security, published by the NIS Cooperation Group, established by the\
        \ NIS2 Directive, Article 14 (42) and by the national competent authorities.\n\
        \n(42) \u2018NIS Cooperation Group\u2019, https://digital-strategy.ec.europa.eu/en/policies/nis-cooperation-group."
      typical_evidence: "\u2022 Evidence that scenarios and the recommendations of\
        \ the NIS Cooperation Group have been taken into account in the supply chain\
        \ policy, relevant to the entity\u2019s business objectives."
      translations:
        fr:
          description: "Lorsqu\u2019elles \xE9tablissent leur politique de s\xE9curit\xE9\
            \ de la cha\xEEne d\u2019approvisionnement, les entit\xE9s concern\xE9\
            es tiennent compte des r\xE9sultats des \xE9valuations coordonn\xE9es\
            \ des risques pour la s\xE9curit\xE9 des cha\xEEnes d\u2019approvisionnement\
            \ critiques effectu\xE9es conform\xE9ment \xE0 l\u2019article 22, paragraphe\
            \ 1, de la directive (UE) 2022/2555, s\u2019il y a lieu."
          annotation: "\u2022 Tenir compte de toutes les recommandations ou orientations\
            \ sur la s\xE9curit\xE9 de la cha\xEEne d\u2019approvisionnement, publi\xE9\
            es par le groupe de coop\xE9ration SRI, \xE9tabli par la directive NIS2,\
            \ article 14 (42) et par les autorit\xE9s nationales comp\xE9tentes.\n\
            \n(42) \xAB\_Groupe de coop\xE9ration SRI\_\xBB, https://digital-strategy.ec.europa.eu/en/policies/nis-cooperation-group."
          typical_evidence: "\u2022 Preuve que les sc\xE9narios et les recommandations\
            \ du groupe de coop\xE9ration NIS ont \xE9t\xE9 pris en compte dans la\
            \ politique de la cha\xEEne d\u2019approvisionnement, en rapport avec\
            \ les objectifs commerciaux de l\u2019entit\xE9."
        es:
          description: "Cuando establezcan su pol\xEDtica de seguridad de la cadena\
            \ de suministro, las entidades pertinentes tendr\xE1n en cuenta los resultados\
            \ de las evaluaciones coordinadas de riesgos para la seguridad de las\
            \ cadenas de suministro cr\xEDticas realizadas de conformidad con el art\xED\
            culo 22, apartado 1, de la Directiva (UE) 2022/2555, seg\xFAn proceda."
          annotation: "\u2022 Tener en cuenta las recomendaciones u orientaciones\
            \ sobre seguridad de la cadena de suministro publicadas por el Grupo de\
            \ Cooperaci\xF3n SRI, establecido por la Directiva SRI2, art\xEDculo 14\
            \ (42) y por las autoridades nacionales competentes.\n\n(42) \xABGrupo\
            \ de Cooperaci\xF3n SRI\xBB, https://digital-strategy.ec.europa.eu/en/policies/nis-cooperation-group."
          typical_evidence: "\u2022 Evidencia de que los escenarios y las recomendaciones\
            \ del Grupo de Cooperaci\xF3n SRI se han tenido en cuenta en la pol\xED\
            tica de la cadena de suministro, relevantes para los objetivos comerciales\
            \ de la entidad."
        cs:
          description: "P\u0159i vytv\xE1\u0159en\xED sv\xE9 politiky bezpe\u010D\
            nosti dodavatelsk\xE9ho \u0159et\u011Bzce p\u0159\xEDslu\u0161n\xE9 subjekty\
            \ v p\u0159\xEDslu\u0161n\xFDch p\u0159\xEDpadech zohledn\xED v\xFDsledky\
            \ koordinovan\xE9ho posouzen\xED bezpe\u010Dnostn\xEDch rizik kritick\xFD\
            ch dodavatelsk\xFDch \u0159et\u011Bzc\u016F proveden\xE9ho v souladu s\
            \ \u010Dl. 22 odst. 1 sm\u011Brnice (EU) 2022/2555."
          annotation: "\u2022 Vz\xEDt v \xFAvahu ve\u0161ker\xE1 doporu\u010Den\xED\
            \ nebo pokyny t\xFDkaj\xEDc\xED se bezpe\u010Dnosti dodavatelsk\xE9ho\
            \ \u0159et\u011Bzce, kter\xE9 zve\u0159ejnila skupina pro spolupr\xE1\
            ci v oblasti bezpe\u010Dnosti s\xEDt\xED a informac\xED, z\u0159\xEDzen\xE1\
            \ \u010Dl\xE1nkem 14 (42) sm\u011Brnice NIS2 a p\u0159\xEDslu\u0161n\xFD\
            mi vnitrost\xE1tn\xEDmi org\xE1ny.\n\n(42) \"Skupina pro spolupr\xE1ci\
            \ v oblasti bezpe\u010Dnosti s\xEDt\xED a informac\xED\", https://digital-strategy.ec.europa.eu/en/policies/nis-cooperation-group."
          typical_evidence: "\u2022 D\u016Fkaz, \u017Ee sc\xE9n\xE1\u0159e a doporu\u010D\
            en\xED skupiny pro spolupr\xE1ci v oblasti bezpe\u010Dnosti s\xEDt\xED\
            \ a informac\xED byly zohledn\u011Bny v politice dodavatelsk\xE9ho \u0159\
            et\u011Bzce, kter\xE9 jsou relevantn\xED pro obchodn\xED c\xEDle subjektu."
        it:
          description: Nell'elaborare la loro politica di sicurezza della catena di
            approvvigionamento, i soggetti pertinenti tengono conto dei risultati
            delle valutazioni coordinate dei rischi per la sicurezza delle catene
            di approvvigionamento critiche effettuate conformemente all'articolo 22,
            paragrafo 1, della direttiva (UE) 2022/2555, se del caso.
          annotation: "\u2022 Tenere conto di eventuali raccomandazioni o orientamenti\
            \ sulla sicurezza della catena di approvvigionamento, pubblicati dal gruppo\
            \ di cooperazione NIS, istituito dalla direttiva NIS2, articolo 14, paragrafo\
            \ 42, e dalle autorit\xE0 nazionali competenti.\n\n(42) \xABGruppo di\
            \ cooperazione NIS\xBB, https://digital-strategy.ec.europa.eu/en/policies/nis-cooperation-group."
          typical_evidence: "\u2022 Prove del fatto che gli scenari e le raccomandazioni\
            \ del gruppo di cooperazione NIS sono stati presi in considerazione nella\
            \ politica della catena di approvvigionamento, pertinenti agli obiettivi\
            \ aziendali dell'entit\xE0."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:5.1.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:5.1
      ref_id: 5.1.4
      description: 'Based on the supply chain security policy and taking into account
        the results of the risk assessment carried out in accordance with point 2.1.
        of this Annex, the relevant entities shall ensure that their contracts with
        the suppliers and service providers specify, where appropriate through service
        level agreements, the following, where appropriate:'
      annotation: "\u2022 Ensure that, in all relevant new and renewed contracts,\
        \ the requirements from point 5.1.4 of the Annex to the regulation are included.\
        \ \n\u2022 When dealing with large suppliers and service providers consider\
        \ one or more of the following measures (indicative, non-exhaustive list):\n\
        \    o collective bargaining by teaming up with similar size organisations\
        \ for purchasing products or services in bulk;\n    o representation by an\
        \ association of which the entity is a member of;\n    o legal advice for\
        \ reviewing and negotiating a contract;\n    o negotiating specific clauses\
        \ such as exit, pricing and SLAs (43);\n    o suppliers that publicly publish\
        \ their security, privacy or reliability commitments;\n    o providers with\
        \ standard certifications (e.g. ISO 27001, SOC 2);\n    o trusted platforms\
        \ or marketplaces that vet suppliers (e.g. app stores, SaaS directories, partner\
        \ networks);\n    o contract templates or free legal checklists from small\
        \ business associations, NGOs or government sites;\n    o tools/services that\
        \ allow easy data export, monthly payments or no lock-in;\n    o avoiding\
        \ long-term commitments or vendor lock-in without clear exit strategies; and\
        \  o a short list of alternatives in case the supplier becomes unavailable.\n\
        \n(43) The entity remains fully accountable for the integrity, availability\
        \ and confidentiality of services provided by suppliers. SLAs must be clearly\
        \ defined, actively managed and aligned with the entity\u2019s business continuity,\
        \ security and compliance obligations."
      typical_evidence: "\u2022 Contracts that contain the elements referred to in\
        \ point 5.1.4 of the Annex to the regulation."
      translations:
        fr:
          description: "Sur la base de la politique de s\xE9curit\xE9 de la cha\xEE\
            ne d\u2019approvisionnement et compte tenu des r\xE9sultats de l\u2019\
            \xE9valuation des risques effectu\xE9e conform\xE9ment au point\_2.1 de\
            \ la pr\xE9sente annexe, les entit\xE9s concern\xE9es veillent \xE0 ce\
            \ que les contrats pass\xE9s avec les fournisseurs et les prestataires\
            \ de services pr\xE9cisent, s\u2019il est besoin et le cas \xE9ch\xE9\
            ant au moyen d\u2019accords de niveau de service, les \xE9l\xE9ments suivants:"
          annotation: "\u2022 Veiller \xE0 ce que les exigences du point 5.1.4 de\
            \ l\u2019annexe du r\xE8glement soient incluses dans tous les contrats\
            \ nouveaux et renouvel\xE9s pertinents. \n\u2022 Lorsque vous traitez\
            \ avec de grands fournisseurs et prestataires de services, envisagez une\
            \ ou plusieurs des mesures suivantes (liste indicative, non exhaustive)\
            \ :\n    o la n\xE9gociation collective en s\u2019associant \xE0 des organisations\
            \ de taille similaire pour l\u2019achat de produits ou de services en\
            \ gros ;\n    o la repr\xE9sentation par une association dont l\u2019\
            entit\xE9 est membre ;\n    o conseil juridique pour l\u2019examen et\
            \ la n\xE9gociation d\u2019un contrat ;\n    o la n\xE9gociation de clauses\
            \ sp\xE9cifiques telles que la sortie, la tarification et les SLA (43)\_\
            ;\n    o les fournisseurs qui publient publiquement leurs engagements\
            \ en mati\xE8re de s\xE9curit\xE9, de confidentialit\xE9 ou de fiabilit\xE9\
            \ ;\n    o fournisseurs disposant de certifications standard (e.g. ISO\
            \ 27001, SOC 2) ;\n    o des plateformes ou places de march\xE9 de confiance\
            \ qui v\xE9rifient les fournisseurs (magasins e.g. app, annuaires SaaS,\
            \ r\xE9seaux partenaires) ;\n    o des mod\xE8les de contrats ou des listes\
            \ de contr\xF4le juridiques gratuites d\u2019associations de petites entreprises,\
            \ d\u2019ONG ou de sites gouvernementaux ;\n    o des outils/services\
            \ qui permettent une exportation facile des donn\xE9es, des paiements\
            \ mensuels ou sans verrouillage ;\n    o \xC9viter les engagements \xE0\
            \ long terme ou la d\xE9pendance vis-\xE0-vis d\u2019un fournisseur sans\
            \ strat\xE9gies de sortie claires\_; et o une courte liste d\u2019alternatives\
            \ en cas d\u2019indisponibilit\xE9 du fournisseur.\n\n(43) L\u2019entit\xE9\
            \ reste pleinement responsable de l\u2019int\xE9grit\xE9, de la disponibilit\xE9\
            \ et de la confidentialit\xE9 des services fournis par les fournisseurs.\
            \ Les SLA doivent \xEAtre clairement d\xE9finis, g\xE9r\xE9s activement\
            \ et align\xE9s sur les obligations de l\u2019entit\xE9 en mati\xE8re\
            \ de continuit\xE9 des activit\xE9s, de s\xE9curit\xE9 et de conformit\xE9\
            ."
          typical_evidence: "\u2022 Les contrats qui contiennent les \xE9l\xE9ments\
            \ vis\xE9s au point 5.1.4 de l\u2019annexe du r\xE8glement."
        es:
          description: "A partir de la pol\xEDtica de seguridad de las cadenas de\
            \ suministro y teniendo en cuenta los resultados de la evaluaci\xF3n de\
            \ riesgos realizada de conformidad con el punto 2.1 del presente anexo,\
            \ las entidades pertinentes se asegurar\xE1n de que sus contratos con\
            \ los proveedores y prestadores de servicios especifiquen, cuando proceda\
            \ mediante acuerdos de nivel de servicio, los siguientes elementos, seg\xFA\
            n se requiera:"
          annotation: "\u2022 Garantizar que, en todos los contratos nuevos y renovados\
            \ pertinentes, se incluyan los requisitos del punto 5.1.4 del anexo del\
            \ Reglamento. \n\u2022 Cuando se trate de grandes proveedores y prestadores\
            \ de servicios, considere una o m\xE1s de las siguientes medidas (lista\
            \ indicativa y no exhaustiva):\n    o negociaci\xF3n colectiva mediante\
            \ la asociaci\xF3n con organizaciones de tama\xF1o similar para la compra\
            \ de productos o servicios al por mayor;\n    o representaci\xF3n por\
            \ una asociaci\xF3n de la que la entidad sea miembro;\n    o asesoramiento\
            \ legal para la revisi\xF3n y negociaci\xF3n de un contrato;\n    o negociaci\xF3\
            n de cl\xE1usulas espec\xEDficas como la salida, la fijaci\xF3n de precios\
            \ y los acuerdos de nivel de servicio (43);\n    o proveedores que publiquen\
            \ p\xFAblicamente sus compromisos de seguridad, privacidad o fiabilidad;\n\
            \    o proveedores con certificaciones est\xE1ndar (e.g. ISO 27001, SOC\
            \ 2);\n    o plataformas o mercados de confianza que examinan a los proveedores\
            \ (tiendas de e.g. app, directorios de SaaS, redes de socios);\n    o\
            \ plantillas de contratos o listas de verificaci\xF3n legales gratuitas\
            \ de asociaciones de peque\xF1as empresas, ONG o sitios gubernamentales;\n\
            \    o herramientas/servicios que permiten una f\xE1cil exportaci\xF3\
            n de datos, pagos mensuales o sin bloqueo;\n    o evitar los compromisos\
            \ a largo plazo o la dependencia de un proveedor sin estrategias de salida\
            \ claras; y o una breve lista de alternativas en caso de que el proveedor\
            \ no est\xE9 disponible.\n\n(43) La entidad sigue siendo plenamente responsable\
            \ de la integridad, disponibilidad y confidencialidad de los servicios\
            \ prestados por los proveedores. Los SLA deben estar claramente definidos,\
            \ gestionados activamente y alineados con las obligaciones de continuidad\
            \ del negocio, seguridad y cumplimiento de la entidad."
          typical_evidence: "\u2022 Los contratos que contengan los elementos a que\
            \ se refiere el punto 5.1.4 del Anexo del Reglamento."
        cs:
          description: "Na z\xE1klad\u011B politiky bezpe\u010Dnosti dodavatelsk\xE9\
            ho \u0159et\u011Bzce a s p\u0159ihl\xE9dnut\xEDm k v\xFDsledk\u016Fm posouzen\xED\
            \ rizik proveden\xE9ho podle bodu 2.1 t\xE9to p\u0159\xEDlohy p\u0159\xED\
            slu\u0161n\xE9 subjekty zajist\xED, aby jejich smlouvy s dodavateli a\
            \ poskytovateli slu\u017Eeb, a to v p\u0159\xEDpad\u011B pot\u0159eby\
            \ prost\u0159ednictv\xEDm dohod o \xFArovni slu\u017Eeb, stanovovaly:"
          annotation: "\u2022 Zajistit, aby ve v\u0161ech p\u0159\xEDslu\u0161n\xFD\
            ch nov\xFDch a obnoven\xFDch smlouv\xE1ch byly zahrnuty po\u017Eadavky\
            \ z bodu 5.1.4 p\u0159\xEDlohy na\u0159\xEDzen\xED. \n\u2022 P\u0159i\
            \ jedn\xE1n\xED s velk\xFDmi dodavateli a poskytovateli slu\u017Eeb zva\u017E\
            te jedno nebo v\xEDce z n\xE1sleduj\xEDc\xEDch opat\u0159en\xED (orienta\u010D\
            n\xED, ne\xFApln\xFD seznam):\n    o kolektivn\xED vyjedn\xE1v\xE1n\xED\
            \ prost\u0159ednictv\xEDm spolupr\xE1ce s organizacemi podobn\xE9 velikosti\
            \ za \xFA\u010Delem hromadn\xE9ho n\xE1kupu produkt\u016F nebo slu\u017E\
            eb;\n    o zastoupen\xED sdru\u017Een\xEDm, jeho\u017E je subjekt \u010D\
            lenem;\n    o pr\xE1vn\xED poradenstv\xED p\u0159i revizi a vyjedn\xE1\
            v\xE1n\xED smlouvy;\n    o sjedn\xE1n\xED konkr\xE9tn\xEDch ustanoven\xED\
            , jako je odchod, stanoven\xED cen a SLA (43),\n    o dodavatel\xE9, kte\u0159\
            \xED ve\u0159ejn\u011B zve\u0159ej\u0148uj\xED sv\xE9 z\xE1vazky v oblasti\
            \ bezpe\u010Dnosti, ochrany osobn\xEDch \xFAdaj\u016F nebo spolehlivosti;\n\
            \    o poskytovatel\xE9 se standardn\xEDmi certifikacemi (e.g. ISO 27001,\
            \ SOC 2);\n    o d\u016Fv\u011Bryhodn\xFDch platform\xE1ch nebo tr\u017E\
            i\u0161t\xEDch, kter\xE9 prov\u011B\u0159uj\xED dodavatele (e.g. app obchody,\
            \ adres\xE1\u0159e SaaS, partnersk\xE9 s\xEDt\u011B);\n    o vzory smluv\
            \ nebo bezplatn\xE9 pr\xE1vn\xED kontroln\xED seznamy od sdru\u017Een\xED\
            \ mal\xFDch podnik\u016F, nevl\xE1dn\xEDch organizac\xED nebo vl\xE1dn\xED\
            ch str\xE1nek;\n    o n\xE1stroje/slu\u017Eby, kter\xE9 umo\u017E\u0148\
            uj\xED snadn\xFD export dat, m\u011Bs\xED\u010Dn\xED platby nebo bez uzam\u010D\
            en\xED;\n    o vyh\xFDb\xE1n\xED se dlouhodob\xFDm z\xE1vazk\u016Fm nebo\
            \ vendor lock-in bez jasn\xFDch v\xFDstupn\xEDch strategi\xED; a o kr\xE1\
            tk\xFD seznam alternativ pro p\u0159\xEDpad, \u017Ee by dodavatel nebyl\
            \ k dispozici.\n\n(43) Subjekt z\u016Fst\xE1v\xE1 pln\u011B odpov\u011B\
            dn\xFD za integritu, dostupnost a d\u016Fv\u011Brnost slu\u017Eeb poskytovan\xFD\
            ch dodavateli. Smlouvy SLA mus\xED b\xFDt jasn\u011B definov\xE1ny, aktivn\u011B\
            \ \u0159\xEDzeny a v souladu s povinnostmi subjektu v oblasti kontinuity\
            \ podnik\xE1n\xED, bezpe\u010Dnosti a dodr\u017Eov\xE1n\xED p\u0159edpis\u016F\
            ."
          typical_evidence: "\u2022 Smlouvy, kter\xE9 obsahuj\xED prvky uveden\xE9\
            \ v bod\u011B 5.1.4 p\u0159\xEDlohy na\u0159\xEDzen\xED."
        it:
          description: "Sulla base della politica di sicurezza della catena di approvvigionamento\
            \ e tenendo conto dei risultati della valutazione dei rischi effettuata\
            \ conformemente al punto 2.1. del presente allegato, i soggetti pertinenti\
            \ provvedono affinch\xE9 i loro contratti con i fornitori e i prestatori\
            \ di servizi specifichino, se del caso mediante accordi sul livello dei\
            \ servizi, quanto segue:"
          annotation: "\u2022 Garantire che, in tutti i contratti nuovi e rinnovati\
            \ pertinenti, siano inclusi i requisiti di cui al punto 5.1.4 dell'Allegato\
            \ al regolamento. \n\u2022 Nei rapporti con grandi fornitori e prestatori\
            \ di servizi, considerare una o pi\xF9 delle seguenti misure (elenco indicativo\
            \ e non esaustivo):\n    o contrattazione collettiva collaborando con\
            \ organizzazioni di dimensioni simili per l'acquisto di prodotti o servizi\
            \ all'ingrosso;\n    o rappresentanza da parte di un'associazione di cui\
            \ l'ente \xE8 membro;\n    o consulenza legale per la revisione e la negoziazione\
            \ di un contratto;\n    o negoziare clausole specifiche quali l'uscita,\
            \ i prezzi e gli SLA (43);\n    o fornitori che pubblicano i loro impegni\
            \ in materia di sicurezza, privacy o affidabilit\xE0;\n    o fornitori\
            \ con certificazioni standard (e.g. ISO 27001, SOC 2);\n    o piattaforme\
            \ o marketplace affidabili che controllano i fornitori (negozi e.g. app,\
            \ directory SaaS, reti di partner);\n    o modelli di contratto o liste\
            \ di controllo legali gratuite da associazioni di piccole imprese, ONG\
            \ o siti governativi;\n    o strumenti/servizi che consentono una facile\
            \ esportazione dei dati, pagamenti mensili o assenza di lock-in;\n   \
            \ o evitare impegni a lungo termine o vendor lock-in senza chiare strategie\
            \ di uscita; e o un breve elenco di alternative nel caso in cui il fornitore\
            \ non sia disponibile.\n\n(43) L'ente rimane pienamente responsabile dell'integrit\xE0\
            , della disponibilit\xE0 e della riservatezza dei servizi forniti dai\
            \ fornitori. Gli SLA devono essere chiaramente definiti, gestiti attivamente\
            \ e allineati con gli obblighi di continuit\xE0 aziendale, sicurezza e\
            \ conformit\xE0 dell'entit\xE0."
          typical_evidence: "\u2022 Appalti che contengano gli elementi di cui al\
            \ punto 5.1.4 dell'Allegato al regolamento."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:5.1.4.a
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:5.1.4
      ref_id: 5.1.4.a
      description: cybersecurity requirements for the suppliers or service providers,
        including requirements as regards the security in acquisition of ICT services
        or ICT products set out in point 6.1.;
      translations:
        fr:
          description: "les exigences en mati\xE8re de cybers\xE9curit\xE9 applicables\
            \ aux fournisseurs ou aux prestataires de services, y compris les exigences\
            \ relatives \xE0 la s\xE9curit\xE9 de l\u2019acquisition de services TIC\
            \ ou de produits TIC \xE9nonc\xE9es au point\_6.1;"
        es:
          description: "los requisitos de ciberseguridad correspondientes a los proveedores\
            \ y prestadores de servicios, incluidos los requisitos relativos a la\
            \ seguridad en la adquisici\xF3n de productos y servicios TIC establecidos\
            \ en el punto 6.1;"
        cs:
          description: "po\u017Eadavky na kybernetickou bezpe\u010Dnost pro dodavatele\
            \ nebo poskytovatele slu\u017Eeb, v\u010Detn\u011B po\u017Eadavk\u016F\
            \ na bezpe\u010Dnost p\u0159i po\u0159izov\xE1n\xED slu\u017Eeb IKT nebo\
            \ produkt\u016F IKT uveden\xFDch v bod\u011B 6.1;"
        it:
          description: i requisiti di cibersicurezza per i fornitori o i prestatori
            di servizi, compresi i requisiti relativi alla sicurezza nell'acquisto
            di servizi o prodotti TIC di cui al punto 6.1;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:5.1.4.b
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:5.1.4
      ref_id: 5.1.4.b
      description: "requirements regarding awareness, skills and training, and where\
        \ appropriate certifications, required from the suppliers\u2019 or service\
        \ providers\u2019 employees;"
      translations:
        fr:
          description: "les exigences en mati\xE8re de sensibilisation, de comp\xE9\
            tences et de formation et, s\u2019il est besoin, les certifications requises\
            \ \xE0 l\u2019\xE9gard du personnel des fournisseurs ou des prestataires\
            \ de services;"
        es:
          description: "los requisitos relativos a la sensibilizaci\xF3n, las capacidades\
            \ y la formaci\xF3n y, cuando proceda, los certificados requeridos de\
            \ los empleados de los proveedores o prestadores de servicios;"
        cs:
          description: "po\u017Eadavky na informovanost, dovednosti a \u0161kolen\xED\
            \ a v p\u0159\xEDpad\u011B pot\u0159eby osv\u011Bd\u010Den\xED, kter\xE1\
            \ se vy\u017Eaduj\xED od zam\u011Bstnanc\u016F dodavatel\u016F nebo poskytovatel\u016F\
            \ slu\u017Eeb;"
        it:
          description: requisiti in materia di consapevolezza, competenze e formazione
            e, se del caso, certificazioni richieste ai dipendenti dei fornitori o
            dei prestatori di servizi;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:5.1.4.c
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:5.1.4
      ref_id: 5.1.4.c
      description: "requirements regarding the verification of the background of the\
        \ suppliers\u2019 and service providers\u2019 employees;"
      translations:
        fr:
          description: "les exigences relatives \xE0 la v\xE9rification des ant\xE9\
            c\xE9dents du personnel des fournisseurs et des prestataires de services;"
        es:
          description: los requisitos relativos a los controles de los antecedentes
            personales de los empleados de los proveedores y prestadores de servicios;
        cs:
          description: "po\u017Eadavky na ov\u011B\u0159ov\xE1n\xED spolehlivosti\
            \ zam\u011Bstnanc\u016F dodavatel\u016F a poskytovatel\u016F slu\u017E\
            eb;"
        it:
          description: requisiti relativi alla verifica del background dei dipendenti
            dei fornitori e dei prestatori di servizi;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:5.1.4.d
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:5.1.4
      ref_id: 5.1.4.d
      description: an obligation on suppliers and service providers to notify, without
        undue delay, the relevant entities of incidents that present a risk to the
        security of the network and information systems of those entities;
      translations:
        fr:
          description: "l\u2019obligation pour les fournisseurs et les prestataires\
            \ de services de notifier sans retard injustifi\xE9 aux entit\xE9s concern\xE9\
            es les incidents qui pr\xE9sentent un risque pour la s\xE9curit\xE9 des\
            \ r\xE9seaux et des syst\xE8mes d\u2019information de ces entit\xE9s;"
        es:
          description: "la obligaci\xF3n de los proveedores y prestadores de servicios\
            \ de informar, sin demora indebida, a las entidades pertinentes de aquellos\
            \ incidentes que presenten un riesgo para la seguridad de los sistemas\
            \ de redes y de informaci\xF3n de dichas entidades;"
        cs:
          description: "povinnost dodavatel\u016F a poskytovatel\u016F slu\u017Eeb\
            \ bez zbyte\u010Dn\xE9ho odkladu informovat p\u0159\xEDslu\u0161n\xE9\
            \ subjekty o incidentech, kter\xE9 p\u0159edstavuj\xED riziko pro bezpe\u010D\
            nost s\xEDt\u011B a informa\u010Dn\xEDch syst\xE9m\u016F t\u011Bchto subjekt\u016F\
            ;"
        it:
          description: l'obbligo per i fornitori e i prestatori di servizi di notificare,
            senza indebito ritardo, ai soggetti interessati gli incidenti che presentano
            un rischio per la sicurezza della rete e dei sistemi informativi di tali
            soggetti;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:5.1.4.e
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:5.1.4
      ref_id: 5.1.4.e
      description: the right to audit or right to receive audit reports;
      translations:
        fr:
          description: "le droit d\u2019effectuer des audits ou le droit de recevoir\
            \ des rapports d\u2019audit;"
        es:
          description: "el derecho de auditor\xEDa o el derecho a recibir informes\
            \ de auditor\xEDa;"
        cs:
          description: "pr\xE1vo prov\xE9st audit nebo pr\xE1vo obdr\u017Eet auditn\xED\
            \ zpr\xE1vy;"
        it:
          description: il diritto di revisione contabile o il diritto di ricevere
            relazioni di revisione;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:5.1.4.f
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:5.1.4
      ref_id: 5.1.4.f
      description: an obligation on suppliers and service providers to handle vulnerabilities
        that present a risk to the security of the network and information systems
        of the relevant entities;
      translations:
        fr:
          description: "l\u2019obligation pour les fournisseurs et les prestataires\
            \ de services de g\xE9rer les vuln\xE9rabilit\xE9s qui pr\xE9sentent un\
            \ risque pour la s\xE9curit\xE9 des r\xE9seaux et des syst\xE8mes d\u2019\
            information des entit\xE9s concern\xE9es;"
        es:
          description: "la obligaci\xF3n de los proveedores y prestadores de servicios\
            \ de hacerse cargo de las vulnerabilidades que presenten un riesgo para\
            \ la seguridad de los sistemas de redes y de informaci\xF3n de las entidades\
            \ pertinentes;"
        cs:
          description: "povinnost dodavatel\u016F a poskytovatel\u016F slu\u017Eeb\
            \ \u0159e\u0161it zranitelnosti, kter\xE9 p\u0159edstavuj\xED riziko pro\
            \ bezpe\u010Dnost s\xEDt\xED a informa\u010Dn\xEDch syst\xE9m\u016F p\u0159\
            \xEDslu\u0161n\xFDch subjekt\u016F;"
        it:
          description: "l'obbligo per i fornitori e i prestatori di servizi di gestire\
            \ le vulnerabilit\xE0 che presentano un rischio per la sicurezza della\
            \ rete e dei sistemi informativi dei soggetti interessati;"
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:5.1.4.g
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:5.1.4
      ref_id: 5.1.4.g
      description: requirements regarding subcontracting and, where the relevant entities
        allow subcontracting, cybersecurity requirements for subcontractors in accordance
        with the cybersecurity requirements referred to in point (a);
      translations:
        fr:
          description: "les exigences relatives \xE0 la sous-traitance et, si les\
            \ entit\xE9s concern\xE9es autorisent la sous-traitance, les exigences\
            \ en mati\xE8re de cybers\xE9curit\xE9 applicables aux sous-traitants\
            \ conform\xE9ment aux exigences en mati\xE8re de cybers\xE9curit\xE9 vis\xE9\
            es au point\_a);"
        es:
          description: "los requisitos relativos a la subcontrataci\xF3n y, cuando\
            \ las entidades pertinentes permitan esta \xFAltima, los requisitos de\
            \ ciberseguridad de los subcontratistas de conformidad con los requisitos\
            \ de seguridad contemplados en la letra a);"
        cs:
          description: "po\u017Eadavky t\xFDkaj\xEDc\xED se subdod\xE1vek, a pokud\
            \ p\u0159\xEDslu\u0161n\xE9 subjekty subdod\xE1vky umo\u017E\u0148uj\xED\
            , po\u017Eadavky na kybernetickou bezpe\u010Dnost subdodavatel\u016F v\
            \ souladu s po\u017Eadavky na kybernetickou bezpe\u010Dnost uveden\xFD\
            mi v p\xEDsmenu a);"
        it:
          description: requisiti relativi al subappalto e, qualora i soggetti pertinenti
            consentano il subappalto, requisiti di cibersicurezza per i subappaltatori
            conformemente ai requisiti di cibersicurezza di cui alla lettera a);
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:5.1.4.h
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:5.1.4
      ref_id: 5.1.4.h
      description: obligations on the suppliers and service providers at the termination
        of the contract, such as retrieval and disposal of the information obtained
        by the suppliers and service providers in the exercise of their tasks.
      translations:
        fr:
          description: "les obligations incombant aux fournisseurs et aux prestataires\
            \ de services au terme du contrat, telles que la r\xE9cup\xE9ration et\
            \ la destruction des informations obtenues par les fournisseurs et les\
            \ prestataires de services dans l\u2019exercice de leur mission."
        es:
          description: "las obligaciones de los proveedores y prestadores de servicios\
            \ al finalizar el contrato, tales como la recuperaci\xF3n y eliminaci\xF3\
            n de informaci\xF3n que hayan obtenido en el ejercicio de sus funciones."
        cs:
          description: "povinnosti dodavatel\u016F a poskytovatel\u016F slu\u017E\
            eb p\u0159i ukon\u010Den\xED smlouvy, jako je vyhled\xE1n\xED a zni\u010D\
            en\xED informac\xED, kter\xE9 dodavatel\xE9 a poskytovatel\xE9 slu\u017E\
            eb z\xEDskali p\u0159i pln\u011Bn\xED sv\xFDch \xFAkol\u016F."
        it:
          description: obblighi dei fornitori e dei prestatori di servizi alla risoluzione
            del contratto, quali il reperimento e l'eliminazione delle informazioni
            ottenute dai fornitori e dai prestatori di servizi nell'esercizio dei
            loro compiti.
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:5.1.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:5.1
      ref_id: 5.1.5
      description: The relevant entities shall take into account the elements referred
        to in point 5.1.2 and 5.1.3. as part of the selection process of new suppliers
        and service providers, as well as part of the procurement process referred
        to in point 6.1.
      annotation: "\u2022 Perform a risk analysis before entering into any agreement\
        \ with suppliers and service providers related to information security, taking\
        \ into account the elements referred to in point 5.1.2 and 5.1.3, where appropriate\
        \ (44).\n\n(44) For example, for procuring security services or for recurring\
        \ purchases in large quantities."
      typical_evidence: "\u2022 Evidence that contracts with new suppliers and service\
        \ providers or the procurement guidelines take into account the elements referred\
        \ to in points 5.1.2 and 5.1.3. \n\u2022 Comparison between selected contracts\
        \ and the associated tenders to check whether the secure acquisition of ICT\
        \ systems, products and service processes and particularly the elements referred\
        \ to in point 6.1.2 of the Annex to the regulation, are taken into consideration.\
        \ \n\u2022 Risk analysis results from supplier and service provider evaluations."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es tiennent compte des \xE9l\xE9\
            ments vis\xE9s aux points 5.1.2 et 5.1.3 dans le cadre de la proc\xE9\
            dure de s\xE9lection de nouveaux fournisseurs et prestataires de services,\
            \ ainsi que de la proc\xE9dure de passation de march\xE9s vis\xE9e au\
            \ point 6.1."
          annotation: "\u2022 Effectuer une analyse des risques avant de conclure\
            \ tout accord avec les fournisseurs et prestataires de services en mati\xE8\
            re de s\xE9curit\xE9 de l\u2019information, en tenant compte des \xE9\
            l\xE9ments vis\xE9s aux points 5.1.2 et 5.1.3, le cas \xE9ch\xE9ant (44).\n\
            \n(44) Par exemple, pour l\u2019achat de services de s\xE9curit\xE9 ou\
            \ pour des achats r\xE9currents en grandes quantit\xE9s."
          typical_evidence: "\u2022 La preuve que les contrats conclus avec de nouveaux\
            \ fournisseurs et prestataires de services ou les lignes directrices en\
            \ mati\xE8re de march\xE9s prennent en compte les \xE9l\xE9ments vis\xE9\
            s aux points 5.1.2 et 5.1.3. \n\u2022 Comparaison entre les march\xE9\
            s s\xE9lectionn\xE9s et les offres associ\xE9es afin de v\xE9rifier si\
            \ l\u2019acquisition s\xE9curis\xE9e de syst\xE8mes, de produits et de\
            \ processus de services TIC, et en particulier les \xE9l\xE9ments vis\xE9\
            s au point 6.1.2 de l\u2019annexe du r\xE8glement, sont pris en consid\xE9\
            ration. \n\u2022 R\xE9sultats de l\u2019analyse des risques \xE0 partir\
            \ des \xE9valuations des fournisseurs et des prestataires."
        es:
          description: "Las entidades pertinentes tendr\xE1n en cuenta los elementos\
            \ a que se refieren los puntos 5.1.2 y 5.1.3 como parte del proceso de\
            \ selecci\xF3n de nuevos proveedores o prestadores de servicios, y como\
            \ parte del proceso de contrataci\xF3n a que se refiere el punto 6.1."
          annotation: "\u2022 Realizar un an\xE1lisis de riesgos antes de celebrar\
            \ cualquier acuerdo con proveedores y prestadores de servicios relacionado\
            \ con la seguridad de la informaci\xF3n, teniendo en cuenta, en su caso,\
            \ los elementos mencionados en los puntos 5.1.2 y 5.1.3 (44).\n\n(44)\
            \ Por ejemplo, para la contrataci\xF3n de servicios de garant\xEDa o para\
            \ compras recurrentes en grandes cantidades."
          typical_evidence: "\u2022 Pruebas de que los contratos con nuevos proveedores\
            \ y prestadores de servicios o las directrices de contrataci\xF3n tienen\
            \ en cuenta los elementos mencionados en los puntos 5.1.2 y 5.1.3. \n\u2022\
            \ Comparaci\xF3n entre los contratos seleccionados y las ofertas asociadas\
            \ para comprobar si se tiene en cuenta la adquisici\xF3n segura de sistemas,\
            \ productos y procesos de servicios de TIC y, en particular, de los elementos\
            \ mencionados en el punto 6.1.2 del anexo del Reglamento. \n\u2022 An\xE1\
            lisis de riesgos resultados de evaluaciones de proveedores y prestadores\
            \ de servicios."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty zohledn\xED prvky uveden\xE9\
            \ v bodech 5.1.2 a 5.1.3 v r\xE1mci procesu v\xFDb\u011Bru nov\xFDch dodavatel\u016F\
            \ a poskytovatel\u016F slu\u017Eeb, ale i v r\xE1mci procesu zad\xE1v\xE1\
            n\xED zak\xE1zek uveden\xE9ho v bod\u011B 6.1."
          annotation: "\u2022 P\u0159ed uzav\u0159en\xEDm jak\xE9koli dohody s dodavateli\
            \ a poskytovateli slu\u017Eeb t\xFDkaj\xEDc\xED se bezpe\u010Dnosti informac\xED\
            \ prov\xE9st anal\xFDzu rizik, p\u0159\xEDpadn\u011B s p\u0159ihl\xE9\
            dnut\xEDm k prvk\u016Fm uveden\xFDm v bodech 5.1.2 a 5.1.3 (44).\n\n(44)\
            \ Nap\u0159\xEDklad pro po\u0159izov\xE1n\xED bezpe\u010Dnostn\xEDch slu\u017E\
            eb nebo pro opakovan\xE9 n\xE1kupy ve velk\xE9m mno\u017Estv\xED."
          typical_evidence: "\u2022 D\u016Fkaz, \u017Ee smlouvy s nov\xFDmi dodavateli\
            \ a poskytovateli slu\u017Eeb nebo pokyny pro zad\xE1v\xE1n\xED ve\u0159\
            ejn\xFDch zak\xE1zek zohled\u0148uj\xED prvky uveden\xE9 v bodech 5.1.2\
            \ a 5.1.3. \n\u2022 Porovn\xE1n\xED mezi vybran\xFDmi zak\xE1zkami a souvisej\xED\
            c\xEDmi nab\xEDdkov\xFDmi \u0159\xEDzen\xEDmi s c\xEDlem ov\u011B\u0159\
            it, zda je zohledn\u011Bno bezpe\u010Dn\xE9 po\u0159\xEDzen\xED ICT syst\xE9\
            m\u016F, produkt\u016F a slu\u017Eeb, a zejm\xE9na prvk\u016F uveden\xFD\
            ch v bod\u011B 6.1.2 p\u0159\xEDlohy na\u0159\xEDzen\xED. \n\u2022 Anal\xFD\
            za rizik je v\xFDsledkem hodnocen\xED dodavatel\u016F a poskytovatel\u016F\
            \ slu\u017Eeb."
        it:
          description: "I soggetti pertinenti tengono conto degli elementi di cui\
            \ ai punti 5.1.2 e 5.1.3. nell'ambito del processo di selezione di nuovi\
            \ fornitori e prestatori di servizi, nonch\xE9 nell'ambito del processo\
            \ di approvvigionamento di cui al punto 6.1."
          annotation: "\u2022 Effettuare un'analisi dei rischi prima di stipulare\
            \ qualsiasi accordo con fornitori e prestatori di servizi in materia di\
            \ sicurezza delle informazioni, tenendo conto degli elementi di cui ai\
            \ punti 5.1.2 e 5.1.3, se del caso (44).\n\n(44) Ad esempio, per l'approvvigionamento\
            \ di servizi di sicurezza o per acquisti ricorrenti in grandi quantit\xE0\
            ."
          typical_evidence: "\u2022 Prove che i contratti con nuovi fornitori e prestatori\
            \ di servizi o le linee guida sugli appalti tengono conto degli elementi\
            \ di cui ai punti 5.1.2 e 5.1.3. \n\u2022 Confronto tra i contratti selezionati\
            \ e le relative gare per verificare se vengono presi in considerazione\
            \ l'acquisizione sicura di sistemi, prodotti e processi di servizi ICT\
            \ e in particolare gli elementi di cui al punto 6.1.2 dell'Allegato al\
            \ regolamento. \n\u2022 Risultati dell'analisi dei rischi derivanti dalle\
            \ valutazioni dei fornitori e dei fornitori di servizi."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:5.1.6
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:5.1
      ref_id: 5.1.6
      description: The relevant entities shall review the supply chain security policy,
        and monitor, evaluate and, where necessary, act upon changes in the cybersecurity
        practices of suppliers and service providers, at planned intervals and when
        significant changes to operations or risks or significant incidents related
        to the provision of ICT services or having impact on the security of the ICT
        products from suppliers and service providers occur.
      annotation: "\u2022 Review the supply chain policy at least annually. \n\u2022\
        \ Create and maintain a process to monitor suppliers and service providers\
        \ over the life cycle."
      typical_evidence: "\u2022 Supply chain policy review plans or schedules. \n\u2022\
        \ Records from previous reviews. \n\u2022 List of security incidents related\
        \ to or caused by engagement with a supplier or service provider. \n\u2022\
        \ Evidence that the policy was reviewed and possibly updated, after significant\
        \ changes to operations or risks or significant incidents related to the provision\
        \ of ICT services or having an impact on the security of the ICT products\
        \ from suppliers and service providers. \n\u2022 Evidence from evaluations\
        \ of suppliers and service providers."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es r\xE9examinent la politique de\
            \ s\xE9curit\xE9 de la cha\xEEne d\u2019approvisionnement et elles surveillent,\
            \ \xE9valuent et, si n\xE9cessaire, r\xE9agissent \xE0 l\u2019\xE9volution\
            \ des pratiques en mati\xE8re de cybers\xE9curit\xE9 des fournisseurs\
            \ et des prestataires de services \xE0 intervalles pr\xE9d\xE9finis et\
            \ lorsque des changements majeurs concernant les op\xE9rations ou les\
            \ risques se produisent, ou en cas d\u2019incidents importants li\xE9\
            s \xE0 la fourniture de services TIC ou ayant un impact sur la s\xE9curit\xE9\
            \ des produits TIC provenant de fournisseurs et de prestataires de services."
          annotation: "\u2022 Examinez la politique de la cha\xEEne d\u2019approvisionnement\
            \ au moins une fois par an. \n\u2022 Cr\xE9er et maintenir un processus\
            \ de suivi des fournisseurs et des prestataires de services tout au long\
            \ du cycle de vie."
          typical_evidence: "\u2022 R\xE9vision des plans ou des calendriers de la\
            \ politique de la cha\xEEne d\u2019approvisionnement. \n\u2022 Dossiers\
            \ des examens pr\xE9c\xE9dents. \n\u2022 Liste des incidents de s\xE9\
            curit\xE9 li\xE9s ou caus\xE9s par un engagement avec un fournisseur ou\
            \ un prestataire de services. \n\u2022 La preuve que la politique a \xE9\
            t\xE9 r\xE9vis\xE9e et \xE9ventuellement mise \xE0 jour, apr\xE8s des\
            \ changements importants dans les op\xE9rations ou des risques ou des\
            \ incidents importants li\xE9s \xE0 la fourniture de services TIC ou ayant\
            \ un impact sur la s\xE9curit\xE9 des produits TIC des fournisseurs et\
            \ des prestataires de services. \n\u2022 Preuves provenant d\u2019\xE9\
            valuations de fournisseurs et de prestataires de services."
        es:
          description: "Las entidades pertinentes revisar\xE1n la pol\xEDtica de seguridad\
            \ de la cadena de suministro y supervisar\xE1n, evaluar\xE1n y, cuando\
            \ proceda, tomar\xE1n medidas acordes con los cambios en las pr\xE1cticas\
            \ de ciberseguridad de los proveedores y prestadores de servicios, a intervalos\
            \ planificados o cuando se produzcan cambios significativos en las operaciones\
            \ o en los riesgos, o acontezcan incidentes significativos relativos a\
            \ la prestaci\xF3n de servicios TIC o que tengan repercusiones en la seguridad\
            \ del producto TIC de los proveedores y prestadores de servicios."
          annotation: "\u2022 Revisar la pol\xEDtica de la cadena de suministro al\
            \ menos una vez al a\xF1o. \n\u2022 Crear y mantener un proceso de seguimiento\
            \ de proveedores y prestadores de servicios a lo largo del ciclo de vida."
          typical_evidence: "\u2022 Revisi\xF3n de la pol\xEDtica de la cadena de\
            \ suministro, planes o horarios. \n\u2022 Registros de revisiones anteriores.\
            \ \n\u2022 Lista de incidentes de seguridad relacionados o causados por\
            \ la interacci\xF3n con un proveedor o prestador de servicios. \n\u2022\
            \ Evidencia de que la pol\xEDtica fue revisada y posiblemente actualizada,\
            \ despu\xE9s de cambios significativos en las operaciones o riesgos o\
            \ incidentes significativos relacionados con la prestaci\xF3n de servicios\
            \ de TIC o que hayan tenido un impacto en la seguridad de los productos\
            \ de TIC de proveedores y prestadores de servicios. \n\u2022 Evidencias\
            \ de evaluaciones de proveedores y prestadores de servicios."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty politiku bezpe\u010Dnosti\
            \ dodavatelsk\xE9ho \u0159et\u011Bzce p\u0159ezkoum\xE1vaj\xED, sleduj\xED\
            \ a vyhodnocuj\xED v pl\xE1novan\xFDch intervalech a v p\u0159\xEDpad\u011B\
            , \u017Ee dojde k v\xFDznamn\xFDm zm\u011Bn\xE1m operac\xED nebo rizik\
            \ nebo k v\xFDznamn\xFDm incident\u016Fm souvisej\xEDc\xEDm s poskytov\xE1\
            n\xEDm slu\u017Eeb IKT nebo maj\xEDc\xEDm dopad na bezpe\u010Dnost produkt\u016F\
            \ IKT od dodavatel\u016F a poskytovatel\u016F slu\u017Eeb, a v p\u0159\
            \xEDpad\u011B pot\u0159eby jednaj\xED v n\xE1vaznosti na zm\u011Bny postup\u016F\
            \ kybernetick\xE9 bezpe\u010Dnosti dodavatel\u016F a poskytovatel\u016F\
            \ slu\u017Eeb."
          annotation: "\u2022 Alespo\u0148 jednou ro\u010Dn\u011B p\u0159ezkoumat\
            \ politiku dodavatelsk\xE9ho \u0159et\u011Bzce. \n\u2022 Vytvo\u0159it\
            \ a udr\u017Eovat proces sledov\xE1n\xED dodavatel\u016F a poskytovatel\u016F\
            \ slu\u017Eeb v pr\u016Fb\u011Bhu \u017Eivotn\xEDho cyklu."
          typical_evidence: "\u2022 Revize pl\xE1n\u016F nebo harmonogram\u016F politiky\
            \ dodavatelsk\xE9ho \u0159et\u011Bzce. \n\u2022 Z\xE1znamy z p\u0159edchoz\xED\
            ch recenz\xED. \n\u2022 Seznam bezpe\u010Dnostn\xEDch incident\u016F souvisej\xED\
            c\xEDch se spoluprac\xED s dodavatelem nebo poskytovatelem slu\u017Eeb\
            \ nebo zp\u016Fsoben\xFDch spoluprac\xED. \n\u2022 D\u016Fkaz, \u017E\
            e z\xE1sady byly revidov\xE1ny a p\u0159\xEDpadn\u011B aktualizov\xE1\
            ny po v\xFDznamn\xFDch zm\u011Bn\xE1ch operac\xED nebo rizik nebo v\xFD\
            znamn\xFDch incidentech souvisej\xEDc\xEDch s poskytov\xE1n\xEDm slu\u017E\
            eb ICT nebo maj\xEDc\xEDch dopad na bezpe\u010Dnost produkt\u016F ICT\
            \ od dodavatel\u016F a poskytovatel\u016F slu\u017Eeb. \n\u2022 D\u016F\
            kazy z hodnocen\xED dodavatel\u016F a poskytovatel\u016F slu\u017Eeb."
        it:
          description: I soggetti pertinenti riesaminano la politica di sicurezza
            della catena di approvvigionamento e monitorano, valutano e, se necessario,
            agiscono in seguito alle modifiche delle pratiche di cibersicurezza dei
            fornitori e dei prestatori di servizi, a intervalli pianificati e quando
            si verificano modifiche significative delle operazioni o dei rischi o
            incidenti significativi connessi alla fornitura di servizi di TIC o che
            hanno un impatto sulla sicurezza dei prodotti di TIC da parte di fornitori
            e prestatori di servizi.
          annotation: "\u2022 Riesaminare la politica della catena di approvvigionamento\
            \ almeno una volta all'anno. \n\u2022 Creare e mantenere un processo per\
            \ monitorare i fornitori e i fornitori di servizi durante il ciclo di\
            \ vita."
          typical_evidence: "\u2022 Piani o programmi di revisione delle politiche\
            \ della catena di approvvigionamento. \n\u2022 Registrazioni di revisioni\
            \ precedenti. \n\u2022 Elenco degli incidenti di sicurezza correlati o\
            \ causati dall'interazione con un fornitore o un fornitore di servizi.\
            \ \n\u2022 Prova che la politica \xE8 stata rivista ed eventualmente aggiornata,\
            \ a seguito di modifiche significative alle operazioni o rischi o incidenti\
            \ significativi relativi alla fornitura di servizi ICT o aventi un impatto\
            \ sulla sicurezza dei prodotti ICT da parte di fornitori e fornitori di\
            \ servizi. \n\u2022 Evidenze provenienti da valutazioni di fornitori e\
            \ prestatori di servizi."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:5.1.7
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:5.1
      ref_id: 5.1.7
      description: 'For the purpose of point 5.1.6., the relevant entities shall:'
      annotation: "\u2022 Set up a regular review (e.g. as part of a regular supplier\
        \ meeting) and follow up on deviations from the agreed SLAs. \n\u2022 Define\
        \ and assign responsibilities regarding maintenance, operation and ownership\
        \ of assets. \n\u2022 Make sure that monitoring encompasses periodic reassessment\
        \ of supplier and service provider compliance, and monitor supplier and service\
        \ provider release notes. \n\u2022 Periodically ensure that product configuration\
        \ is aligned with vendor recommendations, with increasing frequency as products\
        \ age. \n\u2022 Keep track of security incidents related to or caused by suppliers\
        \ and service providers as they might trigger an unscheduled review of the\
        \ suppliers and service providers. Other circumstances for such an unscheduled\
        \ review include to suppliers and service providers (indicative, non-exhaustive\
        \ list):\n    o material changes in their operations;\n    o changes in their\
        \ risk exposure;\n    o failure to meet their contractual obligations; and\n\
        \    o emergence of new threats or vulnerabilities affecting the provided\
        \ ICT products or services. \n\u2022 Monitoring frequency should be aligned\
        \ with supply chain policy (Annex to the regulation, point 5.1.1) and the\
        \ review of the secure acquisition of ICT services, systems or products processes\
        \ (Annex to the regulation, point 6.1.3).\n\n[TIPS]\n\n\u2022 In addition\
        \ to the elements referred to point 5.1.4 of the Annex to the regulation,\
        \ consider the following additional elements for contract clauses (indicative,\
        \ non-exhaustive list):\n    o a clear and complete description of ICT products\
        \ and services;\n    o service level descriptions, including uptime guarantees\
        \ or target service levels, response times for service issues and updates\
        \ to the service level descriptions thereof;\n    o locations (regions or\
        \ countries) where the ICT products are to be produced and ICT services are\
        \ to be provided and where data is to be processed, including the storage\
        \ location and the requirement for the supplier and service provider to notify\
        \ the entity in advance if it envisages changing such locations;\n    o provisions\
        \ on availability, authenticity, integrity and confidentiality in relation\
        \ to the protection of data, including personal data;\n    o non-disclosure\
        \ agreements;\n    o obligations on the suppliers and service providers, such\
        \ as retrieval and disposal of the information obtained by the suppliers and\
        \ service providers in the exercise of their tasks, in the event of the insolvency,\
        \ resolution, termination or discontinuation of the business operations of\
        \ the supplier or service provider;\n    o obligations of the supplier or\
        \ service provider to provide assistance to the entity at no additional cost\
        \ or at a cost that is determined ex ante, in the event of a cyber incident\
        \ that presents a risk and was caused by the ICT product or the ICT service\
        \ contracted;\n    o roles and responsibilities;\n    o contacts and reporting\
        \ lines;\n    o the obligation of the supplier or service provider to fully\
        \ cooperate with the competent authorities;\n    o termination rights and\
        \ related minimum notice periods for the termination of the contractual arrangements;\n\
        \    o notice periods and reporting obligations of the supplier or service\
        \ provider to the entity, including notification of any development that might\
        \ have a material impact on the supplier\u2019s or service provider\u2019\
        s ability to effectively provide the ICT products or services in line with\
        \ agreed service levels;\n    o the right to audit by the entity or an appointed\
        \ third party and by the competent authority and the obligation of the supplier\
        \ and the service provider to fully cooperate during onsite inspections and\
        \ audits performed by competent authorities and the obligation to provide\
        \ details on the scope, procedures to be followed and frequency of such inspections\
        \ and audits;\n    o exit strategies, in particular the establishment of a\
        \ mandatory adequate transition period, provisions on intellectual property\
        \ and responsibilities of the supplier during the exit period, for example\
        \ to provide relevant documentation and historical logs. \n\u2022 In addition\
        \ to the elements referred to in point 5.1.5 of the Annex to the regulation,\
        \ consider the following (indicative, non-exhaustive list):\n    o country-specific\
        \ information (e.g. threat assessment from national security services), if\
        \ available;\n    o restrictions or exclusions posed by a relevant national\
        \ authority, for example equipment with high criticality for the entity or\
        \ for high-risk suppliers;\n    o information stemming from known incidents\
        \ or cyber threat intelligence; and\n    o the characteristics of each supplier,\
        \ such as the quality of its security practices, the legal framework and the\
        \ level of transparency. \n\u2022 Make sure that secure decommissioning service\
        \ providers consider issues such as deactivating user and service accounts,\
        \ terminating data flows and ensuring secure disposal of the entity\u2019\
        s data within supplier or service provider systems.   \n\u2022 Awareness training\
        \ regarding rules of engagement and behaviour should be delivered to the entity\u2019\
        s and the suppliers or service providers\u2019 personnel, where appropriate,\
        \ based on the level of access to the entity\u2019s assets and information\
        \ assets. \n\u2022 Include relevant personnel of suppliers and service providers\
        \ and their relevant responsibilities, in crisis management tests, where appropriate.\
        \ \n\u2022 Make sure that contracts with suppliers and service providers are\
        \ in line with the policy on the security of network and information systems.\
        \ \n\u2022 When implementing a supply chain security policy, consider the\
        \ following elements regarding the use of free and open source software (FOSS)\
        \ supply chain:\n    o When using FOSS without purchasing a related software\
        \ product or entering into a service agreement for development with the originator\
        \ of the FOSS, obligations for compliance cannot be imposed beyond the adherence\
        \ to the terms of the open source software licence (45).\n    o Consider supporting\
        \ the communities developing and maintaining FOSS and invest in a mutually\
        \ beneficial relationship with them. Where effective, this could involve relationships\
        \ with the relevant OSS steward that \u2018provid[es] support on a sustained\
        \ basis for the development and ensures the viability of those products\u2019\
        \ (46). Such a relationship should not qualify the steward as a direct supplier\
        \ or service provider, as imposing technical or methodological requirements\
        \ might not be appropriate, applicable or feasible considering their role.\n\
        \    o Consider steps to mitigate the identified risks to the security of\
        \ network and information systems as it relates to free and open source software\
        \ dependencies:\n        * before integrating free and open source components,\
        \ require the direct supplier or service provider to conduct a risk assessment\
        \ and communicate the results to understand potential vulnerabilities and\
        \ their impact on the entity\u2019s systems; \n\u2022 where feasible, the\
        \ risk assessment should be done in coordination with its open source project\
        \ or associated OSS Steward, at the expense of the supplier or service provider\
        \ using the component and in such a way that subsequent risk assessments done\
        \ by third parties benefit from this work;\n        * require suppliers or\
        \ service providers to provide evidence of their engagement with the OSS community\
        \ to ascertain whether adequate resources are available to support sustainable\
        \ maintenance efforts and contribute such resources where appropriate, including\
        \ to guarantee future availability of security patches;\n        * ensure\
        \ that free and open source components are regularly updated by the supplier\
        \ or the service provider to address all known and patched security vulnerabilities;\n\
        \        * require the supplier or service provider to perform regular code\
        \ reviews and security testing on free and open source components to identify\
        \ and address any security issues (47);\n        * require the supplier or\
        \ service provider to provide information on tools to manage software dependencies\
        \ (e.g. Dependabot, Yarn, Gradle and Pip) and ensure that all components and\
        \ their dependencies are secure and up to date;\n        * require the supplier\
        \ or service provider to provide clear documentation and policies for using\
        \ free and open source components, including guidelines for evaluation and\
        \ integration, along with evidence of efforts to ensure the sustainable maintenance\
        \ of their dependencies by nurturing the open source projects they rely on,\
        \ such as by referencing their public (code) contributions.\n    o Engage\
        \ with relevant open source communities to stay informed about significant\
        \ updates, patches and best practices for using and updating their FOSS component.\n\
        \n(45) OSS, also known as free software or FOSS, guarantees its users the\
        \ essential four freedoms: use, study, share and improve. OSS can be used\
        \ for any purpose and is free of restrictions such as licence expiry or geographic\
        \ limitations. Its software code can be studied by anyone, without non\u2010\
        \ disclosure agreements or similar restrictions. It can be shared and copied\
        \ at virtually no cost. It be modified by anyone, and these improvements can\
        \ be shared publicly. The absence or weakening of at least one of these freedoms\
        \ means an application is proprietary, so non\u2010OSS. The four freedoms\
        \ are given by a software licence. Software licences define the conditions\
        \ under which a programme can be used and reused. For it to be free software,\
        \ the licence text must contain at least the four freedoms. The Free Software\
        \ Foundation and the Open Source Initiative maintain lists of reviewed and\
        \ approved licences. An application can usually not be considered OSS if its\
        \ licence does not appear in one of these lists.\n(46) Regulation (EU) 2024/2847,\
        \ Art. 3(14). \n(47) Suppliers do not necessarily need to perform security\
        \ audits (and the resulting remediation efforts) themselves, but they can\
        \ fund existing initiatives that perform open source security audits at scale\
        \ (e.g. Sovereign Tech Agency, Alpha-Omega and the Open Source Technology\
        \ Improvement Fund) or upstream (e.g. by funding a maintainer or by establishing\
        \ contractual relationships with relevant Open Source Software Stewards to\
        \ do that work). Additionally, suppliers and service providers should make\
        \ any code reviews reusable for others to align with manufacturer obligations\
        \ under Article 13(6) of the Cyber Resilience Act. The term \u2018upstream\u2019\
        \ and \u2018downstream\u2019 denotes whether a component is being depended\
        \ on (is upstream of) or is a dependent of (is downstream of) a component."
      typical_evidence: "\u2022 Records showing that service levels are monitored\
        \ in accordance with established SLA). \n\u2022 Incident response records\
        \ which confirm whether the entity takes into account incidents related to\
        \ ICT services, systems or products from suppliers and service providers;\
        \ \n\u2022 Evidence that signed contracts with third parties (e.g. contractors\
        \ and suppliers) are in line with the policy on the security of network and\
        \ information systems, for example contractual clauses, references to key\
        \ security-relevant roles and responsibilities, and requirements for the contractor\
        \ to report incidents. \n\u2022 Supplier and service provider exit process,\
        \ meaning documentation outlining how the entity manages the exit of suppliers\
        \ and service providers. This includes transitioning services, data and access\
        \ rights when terminating a supplier and service provider relationship. \n\
        \u2022 List of security incidents related to or caused by engagement with\
        \ third parties.\n\n[TIPS]\n\n\u2022 Contract clauses that include, in addition\
        \ to the elements referred to in point 5.1.4 of the Annex to the regulation,\
        \ one or more of the above lists with additional elements. \n\u2022 Evidence\
        \ of awareness trainings. \n\u2022 Records from crisis management tests (Annex\
        \ to the regulation, point 4.3.4), if available or written confirmations by\
        \ the supplier or provider after crisis management tests, which demonstrate\
        \ the participation of relevant personnel of suppliers and service providers.\
        \ \n\u2022 For FOSS (indicative, non-exhaustive list):\n    o results from\
        \ risk assessments of the FOSS, o dependency monitoring tools, o documentation."
      translations:
        fr:
          description: "Aux fins du point 5.1.6, les entit\xE9s concern\xE9es:"
          annotation: "\u2022 Mettre en place un examen r\xE9gulier (par exemple dans\
            \ le cadre d'une r\xE9union r\xE9guli\xE8re des fournisseurs) et assurer\
            \ le suivi des \xE9carts par rapport aux accords de niveau de service\
            \ convenus. \n\u2022 D\xE9finir et attribuer les responsabilit\xE9s en\
            \ mati\xE8re de maintenance, d'exploitation et de propri\xE9t\xE9 des\
            \ actifs. \n\u2022 Veiller \xE0 ce que le suivi comprenne une r\xE9\xE9\
            valuation p\xE9riodique de la conformit\xE9 du fournisseur et du prestataire\
            \ de services, et surveiller les notes de mise \xE0 jour du fournisseur\
            \ et du prestataire de services. \n\u2022 S'assurer p\xE9riodiquement\
            \ que la configuration des produits est conforme aux recommandations du\
            \ fournisseur, en augmentant la fr\xE9quence au fur et \xE0 mesure que\
            \ les produits vieillissent. \n\u2022 Suivre les incidents de s\xE9curit\xE9\
            \ li\xE9s aux fournisseurs et aux prestataires de services ou caus\xE9\
            s par eux, car ils peuvent d\xE9clencher un examen impr\xE9vu des fournisseurs\
            \ et des prestataires de services. D'autres circonstances justifiant un\
            \ tel examen impr\xE9vu sont les suivantes pour les fournisseurs et prestataires\
            \ de services (liste indicative et non exhaustive) :\n    o changements\
            \ importants dans leurs activit\xE9s ;\n    o changements dans leur exposition\
            \ aux risques ;\n    o non-respect de leurs obligations contractuelles\
            \ ; et\n    o apparition de nouvelles menaces ou vuln\xE9rabilit\xE9s\
            \ affectant les produits ou services TIC fournis.\n\u2022 La fr\xE9quence\
            \ du suivi doit \xEAtre align\xE9e sur la politique de la cha\xEEne d'approvisionnement\
            \ (annexe du r\xE8glement, point 5.1.1) et sur l'examen des processus\
            \ d'acquisition s\xE9curis\xE9e de services, de syst\xE8mes ou de produits\
            \ TIC (annexe du r\xE8glement, point 6.1.3).\n\n[CONSEILS]\n\n\u2022 Outre\
            \ les \xE9l\xE9ments vis\xE9s au point 5.1.4 de l'annexe du r\xE8glement,\
            \ envisagez les \xE9l\xE9ments suppl\xE9mentaires suivants pour les clauses\
            \ contractuelles (liste indicative et non exhaustive) :\n    o une description\
            \ claire et compl\xE8te des produits et services TIC ;\n    o des descriptions\
            \ des niveaux de service, y compris des garanties de disponibilit\xE9\
            \ ou des niveaux de service cibles, des d\xE9lais de r\xE9ponse aux probl\xE8\
            mes de service et des mises \xE0 jour des descriptions des niveaux de\
            \ service ;\n    o les lieux (r\xE9gions ou pays) o\xF9 les produits TIC\
            \ doivent \xEAtre fabriqu\xE9s et les services TIC fournis et o\xF9 les\
            \ donn\xE9es doivent \xEAtre trait\xE9es, y compris le lieu de stockage\
            \ et l'obligation pour le fournisseur et le prestataire de services d'informer\
            \ l'entit\xE9 \xE0 l'avance s'il envisage de changer ces lieux ;\n   \
            \ o des dispositions sur la disponibilit\xE9, l'authenticit\xE9, l'int\xE9\
            grit\xE9 et la confidentialit\xE9 en ce qui concerne la protection des\
            \ donn\xE9es, y compris les donn\xE9es \xE0 caract\xE8re personnel ;\n\
            \    o les accords de non-divulgation ;\n    o les obligations des fournisseurs\
            \ et des prestataires de services, telles que la r\xE9cup\xE9ration et\
            \ l'\xE9limination des informations obtenues par les fournisseurs et les\
            \ prestataires de services dans l'exercice de leurs fonctions, en cas\
            \ d'insolvabilit\xE9, de r\xE9solution, de cessation ou d'arr\xEAt des\
            \ activit\xE9s commerciales du fournisseur ou du prestataire de services\
            \ ;\n    o les obligations du fournisseur ou du prestataire de services\
            \ de fournir une assistance \xE0 l'entit\xE9 sans frais suppl\xE9mentaires\
            \ ou \xE0 un co\xFBt d\xE9termin\xE9 ex ante, en cas d'incident cybern\xE9\
            tique pr\xE9sentant un risque et caus\xE9 par le produit TIC ou le service\
            \ TIC contract\xE9.\n    o les r\xF4les et les responsabilit\xE9s.\n \
            \   o les contacts et les voies hi\xE9rarchiques ;\n    o l'obligation\
            \ du fournisseur ou du prestataire de services de coop\xE9rer pleinement\
            \ avec les autorit\xE9s comp\xE9tentes ;\n    o les droits de r\xE9siliation\
            \ et les d\xE9lais de pr\xE9avis minimums correspondants pour la r\xE9\
            siliation des arrangements contractuels ;\n    o les d\xE9lais de pr\xE9\
            avis et les obligations de notification du fournisseur ou du prestataire\
            \ de services \xE0 l'entit\xE9, y compris la notification de tout d\xE9\
            veloppement susceptible d'avoir une incidence importante sur la capacit\xE9\
            \ du fournisseur ou du prestataire de services \xE0 fournir effectivement\
            \ les produits ou services TIC conform\xE9ment aux niveaux de service\
            \ convenus ;\n    o le droit \xE0 l'audit par l'entit\xE9 ou un tiers\
            \ d\xE9sign\xE9 et par l'autorit\xE9 comp\xE9tente et l'obligation pour\
            \ le fournisseur et le prestataire de services de coop\xE9rer pleinement\
            \ lors des inspections et audits sur place effectu\xE9s par les autorit\xE9\
            s comp\xE9tentes et l'obligation de fournir des d\xE9tails sur la port\xE9\
            e, les proc\xE9dures \xE0 suivre et la fr\xE9quence de ces inspections\
            \ et audits ;\n    o les strat\xE9gies de sortie, en particulier l'\xE9\
            tablissement d'une p\xE9riode de transition ad\xE9quate obligatoire, les\
            \ dispositions relatives \xE0 la propri\xE9t\xE9 intellectuelle et les\
            \ responsabilit\xE9s du fournisseur pendant la p\xE9riode de sortie, par\
            \ exemple pour fournir la documentation pertinente et les registres historiques.\n\
            \u2022 Outre les \xE9l\xE9ments vis\xE9s au point 5.1.5 de l'annexe du\
            \ r\xE8glement, il convient de prendre en consid\xE9ration les \xE9l\xE9\
            ments suivants (liste indicative et non exhaustive) :\n    o les informations\
            \ sp\xE9cifiques au pays (par exemple, l'\xE9valuation de la menace par\
            \ les services de s\xE9curit\xE9 nationaux), si elles sont disponibles\
            \ ;\n    o les restrictions ou exclusions impos\xE9es par une autorit\xE9\
            \ nationale comp\xE9tente, par exemple pour les \xE9quipements hautement\
            \ critiques pour l'entit\xE9 ou pour les fournisseurs \xE0 haut risque\
            \ ;\n    o les informations provenant d'incidents connus ou de renseignements\
            \ sur les cybermenaces ; et\n    o les caract\xE9ristiques de chaque fournisseur,\
            \ telles que la qualit\xE9 de ses pratiques en mati\xE8re de s\xE9curit\xE9\
            , le cadre juridique et le niveau de transparence.\n\u2022 Veillez \xE0\
            \ ce que les prestataires de services de d\xE9mant\xE8lement s\xE9curis\xE9\
            \ prennent en compte des questions telles que la d\xE9sactivation des\
            \ comptes d'utilisateurs et de services, l'interruption des flux de donn\xE9\
            es et l'\xE9limination s\xE9curis\xE9e des donn\xE9es de l'entit\xE9 dans\
            \ les syst\xE8mes du fournisseur ou du prestataire de services.   \n\u2022\
            \ Une formation de sensibilisation aux r\xE8gles d'engagement et de comportement\
            \ doit \xEAtre dispens\xE9e au personnel de l'entit\xE9 et des fournisseurs\
            \ ou prestataires de services, le cas \xE9ch\xE9ant, en fonction du niveau\
            \ d'acc\xE8s aux actifs et aux actifs informationnels de l'entit\xE9.\
            \ \n\u2022 Inclure, le cas \xE9ch\xE9ant, le personnel concern\xE9 des\
            \ fournisseurs et des prestataires de services, ainsi que les responsabilit\xE9\
            s qui leur incombent, dans les tests de gestion de crise. \n\u2022 Veiller\
            \ \xE0 ce que les contrats conclus avec les fournisseurs et les prestataires\
            \ de services soient conformes \xE0 la politique de s\xE9curit\xE9 des\
            \ r\xE9seaux et des syst\xE8mes d'information. \n\u2022 Lors de la mise\
            \ en \u0153uvre d'une politique de s\xE9curit\xE9 de la cha\xEEne d'approvisionnement,\
            \ prendre en consid\xE9ration les \xE9l\xE9ments suivants concernant l'utilisation\
            \ de logiciels libres dans la cha\xEEne d'approvisionnement :\n    o Lorsque\
            \ l'on utilise des logiciels libres sans acheter un produit logiciel connexe\
            \ ou sans conclure un accord de service pour le d\xE9veloppement avec\
            \ l'auteur du logiciel libre, les obligations de conformit\xE9 ne peuvent\
            \ \xEAtre impos\xE9es au-del\xE0 de l'adh\xE9sion aux termes de la licence\
            \ du logiciel libre (45).\n    o Envisager de soutenir les communaut\xE9\
            s qui d\xE9veloppent et maintiennent les logiciels libres et investir\
            \ dans une relation mutuellement b\xE9n\xE9fique avec elles. Le cas \xE9\
            ch\xE9ant, il pourrait s'agir de relations avec le responsable du logiciel\
            \ libre concern\xE9 qui \xAB apporte un soutien durable au d\xE9veloppement\
            \ et assure la viabilit\xE9 de ces produits \xBB (46). Une telle relation\
            \ ne devrait pas qualifier l'administrateur de fournisseur direct ou de\
            \ prestataire de services, car l'imposition d'exigences techniques ou\
            \ m\xE9thodologiques pourrait ne pas \xEAtre appropri\xE9e, applicable\
            \ ou r\xE9alisable compte tenu de son r\xF4le.\n    o Envisager des mesures\
            \ pour att\xE9nuer les risques identifi\xE9s pour la s\xE9curit\xE9 des\
            \ r\xE9seaux et des syst\xE8mes d'information en ce qui concerne les d\xE9\
            pendances \xE0 l'\xE9gard des logiciels libres :\n        * avant d'int\xE9\
            grer des composants libres, exiger du fournisseur direct ou du prestataire\
            \ de services qu'il proc\xE8de \xE0 une \xE9valuation des risques et qu'il\
            \ communique les r\xE9sultats afin de comprendre les vuln\xE9rabilit\xE9\
            s potentielles et leur impact sur les syst\xE8mes de l'entit\xE9 ; \n\u2022\
            \ dans la mesure du possible, l'\xE9valuation des risques doit \xEAtre\
            \ effectu\xE9e en coordination avec le projet open source ou le responsable\
            \ OSS associ\xE9, aux frais du fournisseur ou du prestataire de services\
            \ qui utilise le composant et de mani\xE8re \xE0 ce que les \xE9valuations\
            \ des risques ult\xE9rieures effectu\xE9es par des tiers b\xE9n\xE9ficient\
            \ de ce travail ;\n        * exiger des fournisseurs ou des prestataires\
            \ de services qu'ils apportent la preuve de leur engagement aupr\xE8s\
            \ de la communaut\xE9 des logiciels libres afin de d\xE9terminer si des\
            \ ressources ad\xE9quates sont disponibles pour soutenir des efforts de\
            \ maintenance durables et contribuer \xE0 ces ressources le cas \xE9ch\xE9\
            ant, notamment pour garantir la disponibilit\xE9 future des correctifs\
            \ de s\xE9curit\xE9 ;\n        * veiller \xE0 ce que les composants libres\
            \ soient r\xE9guli\xE8rement mis \xE0 jour par le fournisseur ou le prestataire\
            \ de services afin de rem\xE9dier \xE0 toutes les failles de s\xE9curit\xE9\
            \ connues et corrig\xE9es ;\n        * exiger du fournisseur ou du prestataire\
            \ de services qu'il proc\xE8de r\xE9guli\xE8rement \xE0 des examens du\
            \ code et \xE0 des tests de s\xE9curit\xE9 sur les composants libres et\
            \ gratuits afin d'identifier et de r\xE9soudre tout probl\xE8me de s\xE9\
            curit\xE9 (47) ;\n        * exiger du fournisseur ou du prestataire de\
            \ services qu'il fournisse des informations sur les outils de gestion\
            \ des d\xE9pendances logicielles (par exemple Dependabot, Yarn, Gradle\
            \ et Pip) et qu'il veille \xE0 ce que tous les composants et leurs d\xE9\
            pendances soient s\xFBrs et \xE0 jour ;\n        * exiger du fournisseur\
            \ ou du prestataire de services qu'il fournisse une documentation et des\
            \ politiques claires pour l'utilisation de composants libres et open source,\
            \ y compris des lignes directrices pour l'\xE9valuation et l'int\xE9gration,\
            \ ainsi que des preuves des efforts d\xE9ploy\xE9s pour assurer la maintenance\
            \ durable de leurs d\xE9pendances en soutenant les projets open source\
            \ sur lesquels ils s'appuient, par exemple en faisant r\xE9f\xE9rence\
            \ \xE0 leurs contributions publiques (code).\n    o S'engager aupr\xE8\
            s des communaut\xE9s open source pertinentes pour rester inform\xE9 des\
            \ mises \xE0 jour importantes, des correctifs et des meilleures pratiques\
            \ pour l'utilisation et la mise \xE0 jour de leur composant libre et open\
            \ source.\n\n(45) Les OSS, \xE9galement connus sous le nom de logiciels\
            \ libres, garantissent \xE0 leurs utilisateurs les quatre libert\xE9s\
            \ essentielles : utiliser, \xE9tudier, partager et am\xE9liorer. Les logiciels\
            \ libres peuvent \xEAtre utilis\xE9s dans n'importe quel but et sont exempts\
            \ de restrictions telles que l'expiration des licences ou les limitations\
            \ g\xE9ographiques. Son code logiciel peut \xEAtre \xE9tudi\xE9 par n'importe\
            \ qui, sans accord de non-divulgation ou autres restrictions similaires.\
            \ Il peut \xEAtre partag\xE9 et copi\xE9 pratiquement sans frais. Il peut\
            \ \xEAtre modifi\xE9 par n'importe qui et ces am\xE9liorations peuvent\
            \ \xEAtre partag\xE9es publiquement. L'absence ou l'affaiblissement d'au\
            \ moins une de ces libert\xE9s signifie qu'une application est propri\xE9\
            taire, donc non libre. Les quatre libert\xE9s sont garanties par une licence\
            \ logicielle. Les licences logicielles d\xE9finissent les conditions dans\
            \ lesquelles un programme peut \xEAtre utilis\xE9 et r\xE9utilis\xE9.\
            \ Pour qu'il s'agisse d'un logiciel libre, le texte de la licence doit\
            \ contenir au moins les quatre libert\xE9s. La Free Software Foundation\
            \ et l'Open Source Initiative tiennent \xE0 jour des listes de licences\
            \ examin\xE9es et approuv\xE9es. Une application ne peut g\xE9n\xE9ralement\
            \ pas \xEAtre consid\xE9r\xE9e comme un logiciel libre si sa licence ne\
            \ figure pas dans l'une de ces listes.\n(46) R\xE8glement (UE) 2024/2847,\
            \ Art. 3(14).\n(47) Les fournisseurs ne doivent pas n\xE9cessairement\
            \ effectuer eux-m\xEAmes les audits de s\xE9curit\xE9 (et les efforts\
            \ de rem\xE9diation qui en r\xE9sultent), mais ils peuvent financer des\
            \ initiatives existantes qui effectuent des audits de s\xE9curit\xE9 open\
            \ source \xE0 grande \xE9chelle (par exemple Sovereign Tech Agency, Alpha-Omega\
            \ et Open Source Technology Improvement Fund) ou en amont (par exemple\
            \ en finan\xE7ant un mainteneur ou en \xE9tablissant des relations contractuelles\
            \ avec les responsables des logiciels open source concern\xE9s pour effectuer\
            \ ce travail). En outre, les fournisseurs et les prestataires de services\
            \ doivent faire en sorte que toute r\xE9vision de code soit r\xE9utilisable\
            \ par d'autres afin de s'aligner sur les obligations des fabricants au\
            \ titre de l'article 13, paragraphe 6, de la loi sur la cyber-r\xE9silience.\
            \ Les termes \xAB en amont \xBB et \xAB en aval \xBB indiquent si un composant\
            \ d\xE9pend (en amont) ou est d\xE9pendant (en aval) d'un autre composant."
          typical_evidence: "\u2022 Registres montrant que les niveaux de service\
            \ sont surveill\xE9s conform\xE9ment aux SLA \xE9tablis. \n\u2022 Des\
            \ registres d\u2019intervention en cas d\u2019incident qui confirment\
            \ si l\u2019entit\xE9 prend en compte les incidents li\xE9s aux services,\
            \ syst\xE8mes ou produits TIC des fournisseurs et prestataires de services\
            \ ; \n\u2022 Preuve que les contrats sign\xE9s avec des tiers (par exemple,\
            \ des entrepreneurs et des fournisseurs) sont conformes \xE0 la politique\
            \ sur la s\xE9curit\xE9 des r\xE9seaux et des syst\xE8mes d\u2019information,\
            \ par exemple des clauses contractuelles, des r\xE9f\xE9rences aux principaux\
            \ r\xF4les et responsabilit\xE9s en mati\xE8re de s\xE9curit\xE9 et des\
            \ exigences pour l\u2019entrepreneur de signaler les incidents. \n\u2022\
            \ Le processus de sortie des fournisseurs et des prestataires de services,\
            \ c\u2019est-\xE0-dire la documentation d\xE9crivant comment l\u2019entit\xE9\
            \ g\xE8re la sortie des fournisseurs et des prestataires de services.\
            \ Cela inclut la transition des services, des donn\xE9es et des droits\
            \ d\u2019acc\xE8s lors de la r\xE9siliation d\u2019une relation entre\
            \ un fournisseur et un fournisseur de services. \n\u2022 Liste des incidents\
            \ de s\xE9curit\xE9 li\xE9s ou caus\xE9s par l\u2019engagement avec des\
            \ tiers.\n\n[CONSEILS]\n\n\u2022 Les clauses contractuelles qui comprennent,\
            \ en plus des \xE9l\xE9ments vis\xE9s au point 5.1.4 de l\u2019annexe\
            \ du r\xE8glement, une ou plusieurs des listes ci-dessus avec des \xE9\
            l\xE9ments suppl\xE9mentaires. \n\u2022 Preuve de formations de sensibilisation.\
            \ \n\u2022 Dossiers des tests de gestion de crise (annexe du r\xE8glement,\
            \ point 4.3.4), s\u2019ils sont disponibles, ou confirmations \xE9crites\
            \ du fournisseur ou du prestataire apr\xE8s des tests de gestion de crise,\
            \ qui d\xE9montrent la participation du personnel concern\xE9 des fournisseurs\
            \ et prestataires de services. \n\u2022 Pour les logiciels libres (liste\
            \ indicative et non exhaustive) :\n    o les r\xE9sultats des \xE9valuations\
            \ des risques du logiciel libre, o les outils de surveillance des d\xE9\
            pendances, o la documentation."
        es:
          description: 'A los efectos del punto 5.1.6, las entidades pertinentes:'
          annotation: "\u2022 Establecer una revisi\xF3n peri\xF3dica (por ejemplo,\
            \ como parte de una reuni\xF3n peri\xF3dica de proveedores) y hacer un\
            \ seguimiento de las desviaciones de los SLA acordados. \n\u2022 Defina\
            \ y asigne responsabilidades en relaci\xF3n con el mantenimiento, el funcionamiento\
            \ y la propiedad de los activos. \n\u2022 Aseg\xFArese de que la supervisi\xF3\
            n incluye la reevaluaci\xF3n peri\xF3dica del cumplimiento por parte del\
            \ proveedor y del proveedor de servicios, y supervise las notas de publicaci\xF3\
            n del proveedor y del proveedor de servicios. \n\u2022 Aseg\xFArese peri\xF3\
            dicamente de que la configuraci\xF3n del producto se ajusta a las recomendaciones\
            \ del proveedor, con mayor frecuencia a medida que los productos envejecen.\
            \ \n\u2022 Realizar un seguimiento de los incidentes de seguridad relacionados\
            \ con proveedores y proveedores de servicios o causados por ellos, ya\
            \ que podr\xEDan desencadenar una revisi\xF3n no programada de los proveedores\
            \ y proveedores de servicios. Otras circunstancias para una revisi\xF3\
            n no programada incluyen a los proveedores y prestadores de servicios\
            \ (lista indicativa, no exhaustiva):\n    o cambios materiales en sus\
            \ operaciones;\n    o cambios en su exposici\xF3n al riesgo;\n    o incumplimiento\
            \ de sus obligaciones contractuales; y\n    o aparici\xF3n de nuevas amenazas\
            \ o vulnerabilidades que afecten a los productos o servicios de TIC suministrados.\n\
            \u2022 La frecuencia de la supervisi\xF3n debe ajustarse a la pol\xED\
            tica de la cadena de suministro (anexo del Reglamento, punto 5.1.1) y\
            \ a la revisi\xF3n de los procesos de adquisici\xF3n segura de servicios,\
            \ sistemas o productos de TIC (anexo del Reglamento, punto 6.1.3).\n\n\
            [CONSEJOS]\n\n\u2022 Adem\xE1s de los elementos mencionados en el punto\
            \ 5.1.4 del anexo del Reglamento, considere los siguientes elementos adicionales\
            \ para las cl\xE1usulas contractuales (lista indicativa y no exhaustiva)\n\
            \    o una descripci\xF3n clara y completa de los productos y servicios\
            \ de TIC;\n    o descripciones de los niveles de servicio, incluidas garant\xED\
            as de tiempo de actividad o niveles de servicio objetivo, tiempos de respuesta\
            \ para problemas de servicio y actualizaciones de las descripciones de\
            \ los niveles de servicio de los mismos;\n    o ubicaciones (regiones\
            \ o pa\xEDses) en las que se producir\xE1n los productos de TIC y se prestar\xE1\
            n los servicios de TIC y en las que se procesar\xE1n los datos, incluida\
            \ la ubicaci\xF3n de almacenamiento y el requisito de que el proveedor\
            \ y prestador de servicios notifique a la entidad por adelantado si prev\xE9\
            \ cambiar dichas ubicaciones;\n    o disposiciones sobre disponibilidad,\
            \ autenticidad, integridad y confidencialidad en relaci\xF3n con la protecci\xF3\
            n de datos, incluidos los datos personales;\n    o acuerdos de no divulgaci\xF3\
            n;\n    o obligaciones de los proveedores y prestadores de servicios,\
            \ como la recuperaci\xF3n y eliminaci\xF3n de la informaci\xF3n obtenida\
            \ por los proveedores y prestadores de servicios en el ejercicio de sus\
            \ funciones, en caso de insolvencia, resoluci\xF3n, cese o interrupci\xF3\
            n de las operaciones comerciales del proveedor o prestador de servicios;\n\
            \    o obligaciones del proveedor o prestador de servicios de prestar\
            \ asistencia a la entidad sin coste adicional o a un coste que se determine\
            \ ex ante, en caso de un incidente cibern\xE9tico que presente un riesgo\
            \ y haya sido causado por el producto de TIC o el servicio de TIC contratado;\n\
            \    o funciones y responsabilidades;\n    o contactos y l\xEDneas de\
            \ informaci\xF3n;\n    o la obligaci\xF3n del proveedor o prestador de\
            \ servicios de cooperar plenamente con las autoridades competentes;\n\
            \    o los derechos de rescisi\xF3n y los plazos m\xEDnimos de preaviso\
            \ correspondientes para la rescisi\xF3n de los acuerdos contractuales;\n\
            \    o los plazos de preaviso y las obligaciones de informaci\xF3n del\
            \ proveedor o prestador de servicios a la entidad, incluida la notificaci\xF3\
            n de cualquier acontecimiento que pueda tener un impacto material en la\
            \ capacidad del proveedor o prestador de servicios para suministrar eficazmente\
            \ los productos o servicios de TIC en consonancia con los niveles de servicio\
            \ acordados;\n    o el derecho de auditor\xEDa por parte de la entidad\
            \ o de un tercero designado y de la autoridad competente, y la obligaci\xF3\
            n del proveedor y del prestador de servicios de cooperar plenamente durante\
            \ las inspecciones y auditor\xEDas in situ realizadas por las autoridades\
            \ competentes, as\xED como la obligaci\xF3n de proporcionar detalles sobre\
            \ el alcance, los procedimientos que deben seguirse y la frecuencia de\
            \ dichas inspecciones y auditor\xEDas;\n    o estrategias de salida, en\
            \ particular el establecimiento obligatorio de un per\xEDodo de transici\xF3\
            n adecuado, disposiciones sobre propiedad intelectual y responsabilidades\
            \ del proveedor durante el per\xEDodo de salida, por ejemplo, facilitar\
            \ la documentaci\xF3n pertinente y los registros hist\xF3ricos. \n\u2022\
            \ Adem\xE1s de los elementos mencionados en el punto 5.1.5 del anexo del\
            \ Reglamento, considere los siguientes (lista indicativa, no exhaustiva):\n\
            \    o informaci\xF3n espec\xEDfica del pa\xEDs (por ejemplo, evaluaci\xF3\
            n de amenazas de los servicios de seguridad nacionales), si est\xE1 disponible;\n\
            \    o restricciones o exclusiones impuestas por una autoridad nacional\
            \ pertinente, por ejemplo, equipos de alta criticidad para la entidad\
            \ o para proveedores de alto riesgo;\n    o informaci\xF3n derivada de\
            \ incidentes conocidos o inteligencia sobre ciberamenazas; y\n    o las\
            \ caracter\xEDsticas de cada proveedor, como la calidad de sus pr\xE1\
            cticas de seguridad, el marco jur\xEDdico y el nivel de transparencia.\n\
            \u2022 Aseg\xFArese de que los proveedores de servicios de desmantelamiento\
            \ seguro tengan en cuenta cuestiones como la desactivaci\xF3n de cuentas\
            \ de usuarios y servicios, la finalizaci\xF3n de los flujos de datos y\
            \ la eliminaci\xF3n segura de los datos de la entidad dentro de los sistemas\
            \ del proveedor o del proveedor de servicios.   \n\u2022 Debe impartirse\
            \ formaci\xF3n de concienciaci\xF3n sobre las normas de actuaci\xF3n y\
            \ comportamiento al personal de la entidad y de los proveedores o prestadores\
            \ de servicios, cuando proceda, en funci\xF3n del nivel de acceso a los\
            \ activos de la entidad y a los activos de informaci\xF3n.\n\u2022 Incluir\
            \ al personal pertinente de los proveedores y prestadores de servicios\
            \ y sus responsabilidades pertinentes, en las pruebas de gesti\xF3n de\
            \ crisis, cuando proceda. \n\u2022 Aseg\xFArese de que los contratos con\
            \ proveedores y prestadores de servicios est\xE9n en consonancia con la\
            \ pol\xEDtica de seguridad de los sistemas de red y de informaci\xF3n.\
            \ \n\u2022 Al implantar una pol\xEDtica de seguridad de la cadena de suministro,\
            \ tenga en cuenta los siguientes elementos relativos al uso de software\
            \ libre y de c\xF3digo abierto (FOSS) en la cadena de suministro:\n  \
            \  o Cuando se utilice FOSS sin adquirir un producto de software relacionado\
            \ o suscribir un acuerdo de servicio para el desarrollo con el creador\
            \ del FOSS, no se pueden imponer obligaciones de cumplimiento m\xE1s all\xE1\
            \ de la adhesi\xF3n a los t\xE9rminos de la licencia del software de c\xF3\
            digo abierto (45).\n    o Considere la posibilidad de apoyar a las comunidades\
            \ que desarrollan y mantienen FOSS e invierta en una relaci\xF3n mutuamente\
            \ beneficiosa con ellas. Cuando sea efectivo, esto podr\xEDa implicar\
            \ relaciones con el administrador de OSS pertinente que \xABproporcione\
            \ apoyo de forma sostenida para el desarrollo y garantice la viabilidad\
            \ de esos productos\xBB (46). Dicha relaci\xF3n no deber\xEDa calificar\
            \ al administrador como proveedor directo o prestador de servicios, ya\
            \ que la imposici\xF3n de requisitos t\xE9cnicos o metodol\xF3gicos podr\xED\
            a no ser apropiada, aplicable o factible teniendo en cuenta su papel.\n\
            \    o Considerar medidas para mitigar los riesgos identificados para\
            \ la seguridad de la red y los sistemas de informaci\xF3n en lo que respecta\
            \ a las dependencias de software libre y de c\xF3digo abierto:\n     \
            \   * antes de integrar componentes de software libre y de c\xF3digo abierto,\
            \ exigir al proveedor directo o al prestador de servicios que realice\
            \ una evaluaci\xF3n de riesgos y comunique los resultados para comprender\
            \ las vulnerabilidades potenciales y su impacto en los sistemas de la\
            \ entidad;\n\u2022 cuando sea factible, la evaluaci\xF3n de riesgos debe\
            \ realizarse en coordinaci\xF3n con su proyecto de c\xF3digo abierto o\
            \ con el administrador de OSS asociado, a expensas del proveedor o prestador\
            \ de servicios que utilice el componente y de tal forma que las evaluaciones\
            \ de riesgos posteriores realizadas por terceros se beneficien de este\
            \ trabajo;\n        * exigir a los proveedores o prestadores de servicios\
            \ que aporten pruebas de su compromiso con la comunidad de OSS para determinar\
            \ si se dispone de los recursos adecuados para apoyar los esfuerzos de\
            \ mantenimiento sostenible y aportar dichos recursos cuando proceda, incluso\
            \ para garantizar la disponibilidad futura de parches de seguridad;\n\
            \        * Garantizar que el proveedor o prestador de servicios actualiza\
            \ peri\xF3dicamente los componentes de c\xF3digo abierto y gratuitos para\
            \ solucionar todas las vulnerabilidades de seguridad conocidas y parcheadas;\n\
            \        * Exigir al proveedor o prestador de servicios que realice revisiones\
            \ peri\xF3dicas del c\xF3digo y pruebas de seguridad de los componentes\
            \ libres y de c\xF3digo abierto para identificar y resolver cualquier\
            \ problema de seguridad (47);\n        * Exigir al proveedor o prestador\
            \ de servicios que facilite informaci\xF3n sobre herramientas para gestionar\
            \ las dependencias de software (por ejemplo, Dependabot, Yarn, Gradle\
            \ y Pip) y garantizar que todos los componentes y sus dependencias son\
            \ seguros y est\xE1n actualizados;\n        * exigir al proveedor o prestador\
            \ de servicios que facilite documentaci\xF3n y pol\xEDticas claras para\
            \ el uso de componentes libres y de c\xF3digo abierto, incluidas directrices\
            \ para la evaluaci\xF3n y la integraci\xF3n, junto con pruebas de los\
            \ esfuerzos realizados para garantizar el mantenimiento sostenible de\
            \ sus dependencias mediante el fomento de los proyectos de c\xF3digo abierto\
            \ en los que se basan, por ejemplo, haciendo referencia a sus contribuciones\
            \ p\xFAblicas (c\xF3digo).\n    o Comprometerse con las comunidades de\
            \ c\xF3digo abierto pertinentes para mantenerse informado sobre las actualizaciones\
            \ significativas, los parches y las mejores pr\xE1cticas para utilizar\
            \ y actualizar su componente de FOSS.\n\n(45) El OSS, tambi\xE9n conocido\
            \ como software libre o FOSS, garantiza a sus usuarios las cuatro libertades\
            \ esenciales: usar, estudiar, compartir y mejorar. El OSS puede utilizarse\
            \ para cualquier prop\xF3sito y est\xE1 libre de restricciones como la\
            \ caducidad de la licencia o las limitaciones geogr\xE1ficas. Su c\xF3\
            digo de software puede ser estudiado por cualquiera, sin acuerdos de no\
            \ divulgaci\xF3n ni restricciones similares. Puede compartirse y copiarse\
            \ pr\xE1cticamente sin coste alguno. Puede ser modificado por cualquiera,\
            \ y estas mejoras pueden compartirse p\xFAblicamente. La ausencia o el\
            \ debilitamiento de al menos una de estas libertades significa que una\
            \ aplicaci\xF3n es privativa, es decir, que no es software libre. Las\
            \ cuatro libertades vienen dadas por una licencia de software. Las licencias\
            \ de software definen las condiciones de uso y reutilizaci\xF3n de un\
            \ programa. Para que sea software libre, el texto de la licencia debe\
            \ contener al menos las cuatro libertades. La Free Software Foundation\
            \ y la Open Source Initiative mantienen listas de licencias revisadas\
            \ y aprobadas. Por lo general, una aplicaci\xF3n no puede considerarse\
            \ OSS si su licencia no aparece en una de estas listas.\n(46) Reglamento\
            \ (UE) 2024/2847, Art. 3(14).\n(47) Los proveedores no tienen por qu\xE9\
            \ realizar auditor\xEDas de seguridad (y los consiguientes esfuerzos de\
            \ correcci\xF3n) por s\xED mismos, pero pueden financiar iniciativas existentes\
            \ que realicen auditor\xEDas de seguridad de c\xF3digo abierto a escala\
            \ (por ejemplo, Sovereign Tech Agency, Alpha-Omega y el Open Source Technology\
            \ Improvement Fund) o en fases anteriores (por ejemplo, financiando a\
            \ un mantenedor o estableciendo relaciones contractuales con los administradores\
            \ de software de c\xF3digo abierto pertinentes para que realicen ese trabajo).\
            \ Adem\xE1s, los proveedores y prestadores de servicios deben hacer que\
            \ cualquier revisi\xF3n de c\xF3digo sea reutilizable para otros, a fin\
            \ de alinearse con las obligaciones del fabricante en virtud del art\xED\
            culo 13, apartado 6, de la Ley de Ciberresiliencia. Los t\xE9rminos \xAB\
            ascendente\xBB y \xABdescendente\xBB denotan si un componente depende\
            \ de (es ascendente de) o es dependiente de (es descendente de) un componente."
          typical_evidence: "\u2022 Registros que demuestren que los niveles de servicio\
            \ se supervisan de acuerdo con el SLA establecido). \n\u2022 Registros\
            \ de respuesta a incidentes que confirmen si la entidad tiene en cuenta\
            \ los incidentes relacionados con los servicios, sistemas o productos\
            \ de TIC de proveedores y prestadores de servicios; \n\u2022 Pruebas de\
            \ que los contratos firmados con terceros (por ejemplo, contratistas y\
            \ proveedores) est\xE1n en l\xEDnea con la pol\xEDtica de seguridad de\
            \ las redes y los sistemas de informaci\xF3n, por ejemplo, cl\xE1usulas\
            \ contractuales, referencias a funciones y responsabilidades clave en\
            \ materia de seguridad y requisitos para que el contratista informe de\
            \ incidentes. \n\u2022 Proceso de salida de proveedores y prestadores\
            \ de servicios, es decir, documentaci\xF3n que describa c\xF3mo la entidad\
            \ gestiona la salida de proveedores y prestadores de servicios. Esto incluye\
            \ la transici\xF3n de servicios, datos y derechos de acceso al finalizar\
            \ una relaci\xF3n entre un proveedor y un proveedor de servicios. \n\u2022\
            \ Lista de incidentes de seguridad relacionados o causados por la interacci\xF3\
            n con terceros.\n\n[CONSEJOS]\n\n\u2022 Cl\xE1usulas contractuales que\
            \ incluyan, adem\xE1s de los elementos mencionados en el punto 5.1.4 del\
            \ Anexo del Reglamento, una o varias de las listas anteriores con elementos\
            \ adicionales. \n\u2022 Evidencia de capacitaciones de concientizaci\xF3\
            n. \n\u2022 Registros de las pruebas de gesti\xF3n de crisis (anexo del\
            \ reglamento, punto 4.3.4), si est\xE1n disponibles o confirmaciones escritas\
            \ del proveedor o prestador despu\xE9s de las pruebas de gesti\xF3n de\
            \ crisis, que demuestren la participaci\xF3n del personal pertinente de\
            \ los proveedores y prestadores de servicios. \n\u2022 Para el software\
            \ libre (lista indicativa y no exhaustiva):\n    o resultados de las evaluaciones\
            \ de riesgos del software libre, o herramientas de seguimiento de dependencias,\
            \ o documentaci\xF3n."
        cs:
          description: "Pro \xFA\u010Dely bodu 5.1.6 p\u0159\xEDslu\u0161n\xE9 subjekty:"
          annotation: "\u2022 Nastavte pravidelnou kontrolu (nap\u0159. v r\xE1mci\
            \ pravideln\xE9ho setk\xE1n\xED dodavatel\u016F) a sledujte odchylky od\
            \ dohodnut\xFDch SLA. \n\u2022 Definujte a p\u0159id\u011Blte odpov\u011B\
            dnosti t\xFDkaj\xEDc\xED se \xFAdr\u017Eby, provozu a vlastnictv\xED majetku.\
            \ \n\u2022 Zajist\u011Bte, aby monitorov\xE1n\xED zahrnovalo pravideln\xE9\
            \ p\u0159ehodnocov\xE1n\xED shody dodavatele a poskytovatele slu\u017E\
            eb, a sledujte pozn\xE1mky o uvoln\u011Bn\xED dodavatele a poskytovatele\
            \ slu\u017Eeb. \n\u2022 Pravideln\u011B zaji\u0161\u0165ujte, aby konfigurace\
            \ produkt\u016F byla v souladu s doporu\u010Den\xEDmi dodavatele, a to\
            \ st\xE1le \u010Dast\u011Bji s p\u0159ib\xFDvaj\xEDc\xEDm v\u011Bkem produkt\u016F\
            . \n\u2022 Sledujte bezpe\u010Dnostn\xED incidenty souvisej\xEDc\xED s\
            \ dodavateli a poskytovateli slu\u017Eeb nebo jimi zp\u016Fsoben\xE9,\
            \ proto\u017Ee mohou vyvolat nepl\xE1novanou kontrolu dodavatel\u016F\
            \ a poskytovatel\u016F slu\u017Eeb. Mezi dal\u0161\xED okolnosti pro takov\xFD\
            \ nepl\xE1novan\xFD p\u0159ezkum pat\u0159\xED u dodavatel\u016F a poskytovatel\u016F\
            \ slu\u017Eeb (orienta\u010Dn\xED, ne\xFApln\xFD seznam):\n    o podstatn\xE9\
            \ zm\u011Bny v jejich \u010Dinnosti;\n    o zm\u011Bny v jejich rizikovosti;\n\
            \    o nepln\u011Bn\xED jejich smluvn\xEDch z\xE1vazk\u016F; a\n    o\
            \ v\xFDskyt nov\xFDch hrozeb nebo zranitelnost\xED ovliv\u0148uj\xEDc\xED\
            ch poskytovan\xE9 produkty nebo slu\u017Eby ICT.\n\u2022 \u010Cetnost\
            \ monitorov\xE1n\xED by m\u011Bla b\xFDt v souladu s politikou dodavatelsk\xE9\
            ho \u0159et\u011Bzce (p\u0159\xEDloha na\u0159\xEDzen\xED, bod 5.1.1)\
            \ a s p\u0159ezkumem proces\u016F bezpe\u010Dn\xE9ho po\u0159izov\xE1\
            n\xED slu\u017Eeb, syst\xE9m\u016F nebo produkt\u016F ICT (p\u0159\xED\
            loha na\u0159\xEDzen\xED, bod 6.1.3).\n\n[TIPY]\n\n\u2022 Krom\u011B prvk\u016F\
            \ uveden\xFDch v bod\u011B 5.1. 4 p\u0159\xEDlohy na\u0159\xEDzen\xED\
            \ zva\u017Ete n\xE1sleduj\xEDc\xED dal\u0161\xED prvky pro smluvn\xED\
            \ dolo\u017Eky (orienta\u010Dn\xED, ne\xFApln\xFD seznam):\n    o jasn\xFD\
            \ a \xFApln\xFD popis produkt\u016F a slu\u017Eeb IKT;\n    o popis \xFA\
            rovn\u011B slu\u017Eeb, v\u010Detn\u011B z\xE1ruk provozuschopnosti nebo\
            \ c\xEDlov\xE9 \xFArovn\u011B slu\u017Eeb, doby odezvy na probl\xE9my\
            \ se slu\u017Ebami a aktualizace jejich popisu;\n    o m\xEDsta (regiony\
            \ nebo zem\u011B), kde maj\xED b\xFDt produkty IKT vyr\xE1b\u011Bny a\
            \ slu\u017Eby IKT poskytov\xE1ny a kde maj\xED b\xFDt zpracov\xE1v\xE1\
            ny \xFAdaje, v\u010Detn\u011B m\xEDsta ulo\u017Een\xED a po\u017Eadavku,\
            \ aby dodavatel a poskytovatel slu\u017Eeb p\u0159edem informoval zadavatele,\
            \ pokud pl\xE1nuje zm\u011Bnu t\u011Bchto m\xEDst;\n    o ustanoven\xED\
            \ o dostupnosti, pravosti, integrit\u011B a d\u016Fv\u011Brnosti v souvislosti\
            \ s ochranou \xFAdaj\u016F, v\u010Detn\u011B osobn\xEDch \xFAdaj\u016F\
            ;\n    o dohody o ml\u010Denlivosti;\n    o povinnosti dodavatel\u016F\
            \ a poskytovatel\u016F slu\u017Eeb, jako je vyhled\xE1v\xE1n\xED a likvidace\
            \ informac\xED z\xEDskan\xFDch dodavateli a poskytovateli slu\u017Eeb\
            \ p\u0159i pln\u011Bn\xED jejich \xFAkol\u016F, v p\u0159\xEDpad\u011B\
            \ platebn\xED neschopnosti, \u0159e\u0161en\xED probl\xE9m\u016F, ukon\u010D\
            en\xED nebo p\u0159eru\u0161en\xED obchodn\xED \u010Dinnosti dodavatele\
            \ nebo poskytovatele slu\u017Eeb;\n    o povinnosti dodavatele nebo poskytovatele\
            \ slu\u017Eeb poskytnout subjektu pomoc bez dodate\u010Dn\xFDch n\xE1\
            klad\u016F nebo za n\xE1klady, kter\xE9 jsou stanoveny ex ante, v p\u0159\
            \xEDpad\u011B kybernetick\xE9ho incidentu, kter\xFD p\u0159edstavuje riziko\
            \ a byl zp\u016Fsoben sjednan\xFDm produktem ICT nebo slu\u017Ebou ICT;\n\
            \    o role a odpov\u011Bdnosti;\n    o kontakty a linky pro pod\xE1v\xE1\
            n\xED zpr\xE1v;\n    o povinnost dodavatele nebo poskytovatele slu\u017E\
            eb pln\u011B spolupracovat s p\u0159\xEDslu\u0161n\xFDmi org\xE1ny;\n\
            \    o pr\xE1va na ukon\u010Den\xED smlouvy a souvisej\xEDc\xED minim\xE1\
            ln\xED v\xFDpov\u011Bdn\xED lh\u016Fty pro ukon\u010Den\xED smluvn\xED\
            ch ujedn\xE1n\xED;\n    o v\xFDpov\u011Bdn\xED lh\u016Fty a povinnosti\
            \ dodavatele nebo poskytovatele slu\u017Eeb pod\xE1vat zadavateli zpr\xE1\
            vy, v\u010Detn\u011B ozn\xE1men\xED o jak\xE9mkoli v\xFDvoji, kter\xFD\
            \ by mohl m\xEDt podstatn\xFD dopad na schopnost dodavatele nebo poskytovatele\
            \ slu\u017Eeb \xFA\u010Dinn\u011B poskytovat produkty nebo slu\u017Eby\
            \ IKT v souladu s dohodnut\xFDmi \xFArovn\u011Bmi slu\u017Eeb;\n    o\
            \ pr\xE1vo na audit ze strany zadavatele nebo pov\u011B\u0159en\xE9 t\u0159\
            et\xED strany a p\u0159\xEDslu\u0161n\xE9ho org\xE1nu a povinnost dodavatele\
            \ a poskytovatele slu\u017Eeb pln\u011B spolupracovat p\u0159i kontrol\xE1\
            ch a auditech na m\xEDst\u011B prov\xE1d\u011Bn\xFDch p\u0159\xEDslu\u0161\
            n\xFDmi org\xE1ny a povinnost poskytnout podrobnosti o rozsahu, postupech,\
            \ kter\xE9 je t\u0159eba dodr\u017Eovat, a \u010Detnosti takov\xFDch kontrol\
            \ a audit\u016F;\n    o strategie odchodu, zejm\xE9na stanoven\xED povinn\xE9\
            ho p\u0159im\u011B\u0159en\xE9ho p\u0159echodn\xE9ho obdob\xED, ustanoven\xED\
            \ o du\u0161evn\xEDm vlastnictv\xED a odpov\u011Bdnosti dodavatele b\u011B\
            hem obdob\xED odchodu, nap\u0159\xEDklad poskytnut\xED p\u0159\xEDslu\u0161\
            n\xE9 dokumentace a historick\xFDch z\xE1znam\u016F. \n\u2022 Krom\u011B\
            \ prvk\u016F uveden\xFDch v bod\u011B 5.1.5 p\u0159\xEDlohy na\u0159\xED\
            zen\xED zva\u017Ete n\xE1sleduj\xEDc\xED (orienta\u010Dn\xED, ne\xFApln\xFD\
            \ seznam):\n    o informace specifick\xE9 pro danou zemi (nap\u0159. hodnocen\xED\
            \ hrozeb od vnitrost\xE1tn\xEDch bezpe\u010Dnostn\xEDch slu\u017Eeb),\
            \ pokud jsou k dispozici;\n    o omezen\xED nebo vylou\u010Den\xED stanoven\xE1\
            \ p\u0159\xEDslu\u0161n\xFDm vnitrost\xE1tn\xEDm org\xE1nem, nap\u0159\
            \xEDklad za\u0159\xEDzen\xED s vysokou kriti\u010Dnost\xED pro dan\xFD\
            \ subjekt nebo pro vysoce rizikov\xE9 dodavatele;\n    o informace vypl\xFD\
            vaj\xEDc\xED ze zn\xE1m\xFDch incident\u016F nebo zpravodajsk\xFDch informac\xED\
            \ o kybernetick\xFDch hrozb\xE1ch; a\n    o charakteristiky ka\u017Ed\xE9\
            ho dodavatele, jako je kvalita jeho bezpe\u010Dnostn\xEDch postup\u016F\
            , pr\xE1vn\xED r\xE1mec a \xFArove\u0148 transparentnosti.\n\u2022 Ujist\u011B\
            te se, \u017Ee poskytovatel\xE9 slu\u017Eeb bezpe\u010Dn\xE9ho vy\u0159\
            azen\xED z provozu zva\u017Euj\xED ot\xE1zky, jako je deaktivace u\u017E\
            ivatelsk\xFDch \xFA\u010Dt\u016F a \xFA\u010Dt\u016F slu\u017Eeb, ukon\u010D\
            en\xED datov\xFDch tok\u016F a zaji\u0161t\u011Bn\xED bezpe\u010Dn\xE9\
            \ likvidace dat subjektu v r\xE1mci syst\xE9m\u016F dodavatele nebo poskytovatele\
            \ slu\u017Eeb.   \n\u2022 Person\xE1lu subjektu a dodavatel\u016F nebo\
            \ poskytovatel\u016F slu\u017Eeb by m\u011Blo b\xFDt poskytnuto \u0161\
            kolen\xED o pravidlech zapojen\xED a chov\xE1n\xED, p\u0159\xEDpadn\u011B\
            \ v z\xE1vislosti na \xFArovni p\u0159\xEDstupu k aktiv\u016Fm a informa\u010D\
            n\xEDm prost\u0159edk\u016Fm subjektu. \n\u2022 V p\u0159\xEDpad\u011B\
            \ pot\u0159eby zahr\u0148te do test\u016F krizov\xE9ho \u0159\xEDzen\xED\
            \ p\u0159\xEDslu\u0161n\xE9 pracovn\xEDky dodavatel\u016F a poskytovatel\u016F\
            \ slu\u017Eeb a jejich p\u0159\xEDslu\u0161n\xE9 odpov\u011Bdnosti. \n\
            \u2022 Zajist\u011Bte, aby smlouvy s dodavateli a poskytovateli slu\u017E\
            eb byly v souladu s politikou bezpe\u010Dnosti s\xEDt\xED a informa\u010D\
            n\xEDch syst\xE9m\u016F. \n\u2022 P\u0159i zav\xE1d\u011Bn\xED bezpe\u010D\
            nostn\xED politiky dodavatelsk\xE9ho \u0159et\u011Bzce zva\u017Ete n\xE1\
            sleduj\xEDc\xED prvky t\xFDkaj\xEDc\xED se pou\u017E\xEDv\xE1n\xED svobodn\xE9\
            ho softwaru a softwaru s otev\u0159en\xFDm zdrojov\xFDm k\xF3dem (FOSS)\
            \ v dodavatelsk\xE9m \u0159et\u011Bzci:\n    o P\u0159i pou\u017E\xED\
            v\xE1n\xED FOSS bez n\xE1kupu souvisej\xEDc\xEDho softwarov\xE9ho produktu\
            \ nebo uzav\u0159en\xED smlouvy o poskytov\xE1n\xED slu\u017Eeb na v\xFD\
            voj s p\u016Fvodcem FOSS nelze ukl\xE1dat povinnosti t\xFDkaj\xEDc\xED\
            \ se dodr\u017Eov\xE1n\xED p\u0159edpis\u016F nad r\xE1mec dodr\u017E\
            ov\xE1n\xED podm\xEDnek licence k softwaru s otev\u0159en\xFDm zdrojov\xFD\
            m k\xF3dem (45).\n    o Zva\u017Ete podporu komunit vyv\xEDjej\xEDc\xED\
            ch a spravuj\xEDc\xEDch FOSS a investujte do vz\xE1jemn\u011B v\xFDhodn\xFD\
            ch vztah\u016F s nimi. Tam, kde je to \xFA\u010Dinn\xE9, by to mohlo zahrnovat\
            \ vztahy s p\u0159\xEDslu\u0161n\xFDm spr\xE1vcem OSS, kter\xFD \u201E\
            poskytuje trvalou podporu pro v\xFDvoj a zaji\u0161\u0165uje \u017Eivotaschopnost\
            \ t\u011Bchto produkt\u016F\u201C (46). Takov\xFD vztah by nem\u011Bl\
            \ kvalifikovat spr\xE1vce jako p\u0159\xEDm\xE9ho dodavatele nebo poskytovatele\
            \ slu\u017Eeb, proto\u017Ee ukl\xE1d\xE1n\xED technick\xFDch nebo metodick\xFD\
            ch po\u017Eadavk\u016F by nemuselo b\xFDt vhodn\xE9, pou\u017Eiteln\xE9\
            \ nebo provediteln\xE9 s ohledem na jejich \xFAlohu.\n    o Zv\xE1\u017E\
            it kroky ke zm\xEDrn\u011Bn\xED zji\u0161t\u011Bn\xFDch rizik pro bezpe\u010D\
            nost s\xEDt\xED a informa\u010Dn\xEDch syst\xE9m\u016F v souvislosti se\
            \ z\xE1vislostmi na svobodn\xE9m softwaru a softwaru s otev\u0159en\xFD\
            m zdrojov\xFDm k\xF3dem:\n        * p\u0159ed integrac\xED svobodn\xFD\
            ch a otev\u0159en\xFDch softwarov\xFDch komponent vy\u017Eadujte, aby\
            \ p\u0159\xEDm\xFD dodavatel nebo poskytovatel slu\u017Eeb provedl posouzen\xED\
            \ rizik a sd\u011Blil jeho v\xFDsledky, abyste pochopili potenci\xE1ln\xED\
            \ zranitelnosti a jejich dopad na syst\xE9my subjektu;\n\u2022 pokud je\
            \ to mo\u017En\xE9, m\u011Blo by b\xFDt posouzen\xED rizik provedeno v\
            \ koordinaci s projektem otev\u0159en\xE9ho k\xF3du nebo p\u0159idru\u017E\
            en\xFDm spr\xE1vcem OSS, a to na n\xE1klady dodavatele nebo poskytovatele\
            \ slu\u017Eeb, kter\xFD danou komponentu pou\u017E\xEDv\xE1, a takov\xFD\
            m zp\u016Fsobem, aby n\xE1sledn\xE1 posouzen\xED rizik proveden\xE1 t\u0159\
            et\xEDmi stranami m\u011Bla z t\xE9to pr\xE1ce prosp\u011Bch;\n      \
            \  * po\u017Eadovat, aby dodavatel\xE9 nebo poskytovatel\xE9 slu\u017E\
            eb poskytli d\u016Fkazy o sv\xE9 spolupr\xE1ci s komunitou OSS s c\xED\
            lem zjistit, zda jsou k dispozici dostate\u010Dn\xE9 zdroje na podporu\
            \ udr\u017Eiteln\xE9ho \xFAsil\xED o \xFAdr\u017Ebu, a p\u0159\xEDpadn\u011B\
            \ tyto zdroje poskytnout, v\u010Detn\u011B z\xE1ruky budouc\xED dostupnosti\
            \ bezpe\u010Dnostn\xEDch oprav;\n        * zajistit, aby dodavatel\xE9\
            \ nebo poskytovatel\xE9 slu\u017Eeb pravideln\u011B aktualizovali voln\u011B\
            \ dostupn\xE9 a otev\u0159en\xE9 sou\u010D\xE1sti tak, aby byly odstran\u011B\
            ny v\u0161echny zn\xE1m\xE9 a opraven\xE9 bezpe\u010Dnostn\xED chyby;\n\
            \        * vy\u017Eadovat, aby dodavatel nebo poskytovatel slu\u017Eeb\
            \ prov\xE1d\u011Bl pravideln\xE9 revize k\xF3du a bezpe\u010Dnostn\xED\
            \ testov\xE1n\xED voln\u011B dostupn\xFDch a otev\u0159en\xFDch komponent\
            \ s c\xEDlem identifikovat a \u0159e\u0161it ve\u0161ker\xE9 bezpe\u010D\
            nostn\xED probl\xE9my (47);\n        * po\u017Eadovat, aby dodavatel nebo\
            \ poskytovatel slu\u017Eeb poskytl informace o n\xE1stroj\xEDch pro spr\xE1\
            vu softwarov\xFDch z\xE1vislost\xED (nap\u0159. Dependabot, Yarn, Gradle\
            \ a Pip) a zajistil, aby v\u0161echny komponenty a jejich z\xE1vislosti\
            \ byly bezpe\u010Dn\xE9 a aktu\xE1ln\xED;\n        * po\u017Eadovat, aby\
            \ dodavatel nebo poskytovatel slu\u017Eeb poskytl jasnou dokumentaci a\
            \ z\xE1sady pro pou\u017E\xEDv\xE1n\xED svobodn\xFDch a otev\u0159en\xFD\
            ch komponent, v\u010Detn\u011B pokyn\u016F pro hodnocen\xED a integraci,\
            \ spolu s d\u016Fkazy o \xFAsil\xED zajistit udr\u017Eitelnou \xFAdr\u017E\
            bu sv\xFDch z\xE1vislost\xED prost\u0159ednictv\xEDm p\xE9\u010De o projekty\
            \ s otev\u0159en\xFDm zdrojov\xFDm k\xF3dem, na kter\xE9 se spol\xE9haj\xED\
            , nap\u0159\xEDklad odkazem na jejich ve\u0159ejn\xE9 p\u0159\xEDsp\u011B\
            vky (k\xF3d).\n    o zapojit se do p\u0159\xEDslu\u0161n\xFDch komunit\
            \ s otev\u0159en\xFDm zdrojov\xFDm k\xF3dem, aby byli informov\xE1ni o\
            \ v\xFDznamn\xFDch aktualizac\xEDch, oprav\xE1ch a osv\u011Bd\u010Den\xFD\
            ch postupech pro pou\u017E\xEDv\xE1n\xED a aktualizaci sv\xFDch FOSS komponent.\n\
            \n(45) OSS, zn\xE1m\xFD tak\xE9 jako svobodn\xFD software nebo FOSS, zaru\u010D\
            uje sv\xFDm u\u017Eivatel\u016Fm \u010Dty\u0159i z\xE1kladn\xED svobody:\
            \ pou\u017E\xEDvat, studovat, sd\xEDlet a zlep\u0161ovat. OSS lze pou\u017E\
            \xEDvat k jak\xE9mukoli \xFA\u010Delu a nen\xED omezen omezen\xEDmi, jako\
            \ je vypr\u0161en\xED platnosti licence nebo geografick\xE1 omezen\xED\
            . Jeho softwarov\xFD k\xF3d m\u016F\u017Ee studovat kdokoli, ani\u017E\
            \ by musel uzav\xEDrat dohody o nezve\u0159ej\u0148ov\xE1n\xED informac\xED\
            \ nebo podobn\xE1 omezen\xED. Lze jej sd\xEDlet a kop\xEDrovat prakticky\
            \ bez n\xE1klad\u016F. M\u016F\u017Ee b\xFDt upravov\xE1n k\xFDmkoli a\
            \ tato vylep\u0161en\xED mohou b\xFDt ve\u0159ejn\u011B sd\xEDlena. Absence\
            \ nebo oslaben\xED alespo\u0148 jedn\xE9 z t\u011Bchto svobod znamen\xE1\
            , \u017Ee aplikace je propriet\xE1rn\xED, tedy neOSS. Tyto \u010Dty\u0159\
            i svobody jsou d\xE1ny softwarovou licenc\xED. Softwarov\xE9 licence definuj\xED\
            \ podm\xEDnky, za kter\xFDch lze program pou\u017E\xEDvat a opakovan\u011B\
            \ pou\u017E\xEDvat. Aby se jednalo o svobodn\xFD software, mus\xED text\
            \ licence obsahovat alespo\u0148 \u010Dty\u0159i svobody. Nadace pro svobodn\xFD\
            \ software a Iniciativa pro otev\u0159en\xFD software vedou seznamy p\u0159\
            ezkoum\xE1van\xFDch a schv\xE1len\xFDch licenc\xED. Aplikaci obvykle nelze\
            \ pova\u017Eovat za OSS, pokud jej\xED licence nen\xED uvedena v n\u011B\
            kter\xE9m z t\u011Bchto seznam\u016F.\n(46) Na\u0159\xEDzen\xED (EU) 2024/2847,\
            \ \u010Dl. 3(14).\n(47) Dodavatel\xE9 nemus\xED nutn\u011B prov\xE1d\u011B\
            t bezpe\u010Dnostn\xED audity (a z nich vypl\xFDvaj\xEDc\xED \xFAsil\xED\
            \ o n\xE1pravu) sami, ale mohou financovat existuj\xEDc\xED iniciativy,\
            \ kter\xE9 prov\xE1d\u011Bj\xED bezpe\u010Dnostn\xED audity otev\u0159\
            en\xE9ho softwaru ve velk\xE9m m\u011B\u0159\xEDtku (nap\u0159. Sovereign\
            \ Tech Agency, Alpha-Omega a Open Source Technology Improvement Fund),\
            \ nebo v p\u0159edchoz\xEDch f\xE1z\xEDch (nap\u0159. financov\xE1n\xED\
            m spr\xE1vce nebo nav\xE1z\xE1n\xEDm smluvn\xEDch vztah\u016F s p\u0159\
            \xEDslu\u0161n\xFDmi spr\xE1vci otev\u0159en\xE9ho softwaru, kte\u0159\
            \xED tuto pr\xE1ci prov\xE1d\u011Bj\xED). Dodavatel\xE9 a poskytovatel\xE9\
            \ slu\u017Eeb by nav\xEDc m\u011Bli zajistit, aby ve\u0161ker\xE9 revize\
            \ k\xF3du byly opakovan\u011B pou\u017Eiteln\xE9 pro ostatn\xED, aby byly\
            \ v souladu s povinnostmi v\xFDrobc\u016F podle \u010Dl. 13 odst. 6 z\xE1\
            kona o kybernetick\xE9 odolnosti. Term\xEDn \u201Eupstream\u201C a \u201E\
            downstream\u201C ozna\u010Duje, zda je komponenta z\xE1visl\xE1 (je p\u0159\
            ed n\xED) nebo je z\xE1visl\xE1 na komponent\u011B (je za n\xED)."
          typical_evidence: "\u2022 Z\xE1znamy prokazuj\xEDc\xED, \u017Ee \xFArovn\u011B\
            \ slu\u017Eeb jsou sledov\xE1ny v souladu se stanoven\xFDm SLA). \n\u2022\
            \ Z\xE1znamy o reakc\xEDch na incidenty, kter\xE9 potvrzuj\xED, zda subjekt\
            \ bere v \xFAvahu incidenty souvisej\xEDc\xED s ICT slu\u017Ebami, syst\xE9\
            my nebo produkty dodavatel\u016F a poskytovatel\u016F slu\u017Eeb; \n\u2022\
            \ D\u016Fkaz, \u017Ee podepsan\xE9 smlouvy s t\u0159et\xEDmi stranami\
            \ (nap\u0159. smluvn\xEDmi stranami a dodavateli) jsou v souladu s politikou\
            \ bezpe\u010Dnosti s\xEDt\xED a informa\u010Dn\xEDch syst\xE9m\u016F,\
            \ nap\u0159\xEDklad smluvn\xED dolo\u017Eky, odkazy na kl\xED\u010Dov\xE9\
            \ role a odpov\u011Bdnosti souvisej\xEDc\xED s bezpe\u010Dnost\xED a po\u017E\
            adavky, aby dodavatel hl\xE1sil incidenty. \n\u2022 Proces odchodu dodavatele\
            \ a poskytovatele slu\u017Eeb, co\u017E znamen\xE1 dokumentaci popisuj\xED\
            c\xED, jak subjekt \u0159\xEDd\xED odchod dodavatel\u016F a poskytovatel\u016F\
            \ slu\u017Eeb. To zahrnuje p\u0159evod slu\u017Eeb, dat a p\u0159\xED\
            stupov\xFDch pr\xE1v p\u0159i ukon\u010Den\xED vztahu dodavatel a poskytovatel\
            \ slu\u017Eeb. \n\u2022 Seznam bezpe\u010Dnostn\xEDch incident\u016F souvisej\xED\
            c\xEDch se spoluprac\xED s t\u0159et\xEDmi stranami nebo zp\u016Fsoben\xFD\
            ch spoluprac\xED s t\u0159et\xEDmi stranami.\n\n[TIPY]\n\n\u2022 Smluvn\xED\
            \ ustanoven\xED, kter\xE1 krom\u011B prvk\u016F uveden\xFDch v bod\u011B\
            \ 5.1.4 p\u0159\xEDlohy na\u0159\xEDzen\xED obsahuj\xED jeden nebo v\xED\
            ce z v\xFD\u0161e uveden\xFDch seznam\u016F s dal\u0161\xEDmi prvky. \n\
            \u2022 D\u016Fkazy o \u0161kolen\xEDch o zvy\u0161ov\xE1n\xED pov\u011B\
            dom\xED. \n\u2022 z\xE1znamy z test\u016F krizov\xE9ho \u0159\xEDzen\xED\
            \ (p\u0159\xEDloha na\u0159\xEDzen\xED, bod 4.3.4), pokud jsou k dispozici,\
            \ nebo p\xEDsemn\xE1 potvrzen\xED dodavatele nebo poskytovatele po testech\
            \ krizov\xE9ho \u0159\xEDzen\xED, kter\xE1 prokazuj\xED \xFA\u010Dast\
            \ p\u0159\xEDslu\u0161n\xFDch pracovn\xEDk\u016F dodavatel\u016F a poskytovatel\u016F\
            \ slu\u017Eeb. \n\u2022 Pro FOSS (orienta\u010Dn\xED, ne\xFApln\xFD seznam):\n\
            \    o v\xFDsledky hodnocen\xED rizik FOSS, o n\xE1stroje pro monitorov\xE1\
            n\xED z\xE1vislost\xED, o dokumentace."
        it:
          description: 'Ai fini del punto 5.1.6, i soggetti interessati:'
          annotation: "\u2022 Istituire una revisione periodica (ad esempio, nell'ambito\
            \ di una riunione periodica con i fornitori) e seguire le deviazioni dagli\
            \ SLA concordati. \n\u2022 Definire e assegnare le responsabilit\xE0 relative\
            \ alla manutenzione, al funzionamento e alla propriet\xE0 degli asset.\
            \ \n\u2022 Assicurarsi che il monitoraggio comprenda una rivalutazione\
            \ periodica della conformit\xE0 dei fornitori e dei fornitori di servizi\
            \ e monitorare le note di rilascio dei fornitori e dei fornitori di servizi.\
            \ \n\u2022 Assicurarsi periodicamente che la configurazione dei prodotti\
            \ sia in linea con le raccomandazioni del fornitore, con frequenza crescente\
            \ man mano che i prodotti invecchiano. \n\u2022 Tenere traccia degli incidenti\
            \ di sicurezza correlati o causati da fornitori e fornitori di servizi,\
            \ in quanto potrebbero innescare una revisione non programmata dei fornitori\
            \ e dei fornitori di servizi. Tra le altre circostanze che possono giustificare\
            \ un riesame non programmato dei fornitori e dei fornitori di servizi\
            \ (elenco indicativo e non esaustivo):\n    o cambiamenti sostanziali\
            \ nelle loro operazioni;\n    o cambiamenti nella loro esposizione al\
            \ rischio;\n    o mancato rispetto degli obblighi contrattuali; e\n  \
            \  o comparsa di nuove minacce o vulnerabilit\xE0 che riguardano i prodotti\
            \ o i servizi TIC forniti.\n\u2022 La frequenza del monitoraggio deve\
            \ essere allineata con la politica della catena di fornitura (allegato\
            \ al regolamento, punto 5.1.1) e con la revisione dei processi di acquisizione\
            \ sicura di servizi, sistemi o prodotti TIC (allegato al regolamento,\
            \ punto 6.1.3).\n\n[SUGGERIMENTI]\n\n\u2022 Oltre agli elementi di cui\
            \ al punto 5.1. 4 dell'allegato al regolamento, considerare i seguenti\
            \ elementi aggiuntivi per le clausole contrattuali (elenco indicativo\
            \ e non esaustivo):\n    o una descrizione chiara e completa dei prodotti\
            \ e dei servizi TIC;\n    o descrizioni dei livelli di servizio, comprese\
            \ le garanzie di uptime o i livelli di servizio target, i tempi di risposta\
            \ per i problemi di servizio e gli aggiornamenti delle relative descrizioni\
            \ dei livelli di servizio;\n    o luoghi (regioni o paesi) in cui i prodotti\
            \ TIC devono essere prodotti e i servizi TIC devono essere forniti e in\
            \ cui i dati devono essere trattati, compreso il luogo di archiviazione\
            \ e l'obbligo per il fornitore e il fornitore di servizi di notificare\
            \ in anticipo all'ente se prevede di cambiare tali luoghi;\n    o disposizioni\
            \ sulla disponibilit\xE0, l'autenticit\xE0, l'integrit\xE0 e la riservatezza\
            \ in relazione alla protezione dei dati, compresi i dati personali;\n\
            \    o accordi di non divulgazione;\n    o obblighi per i fornitori e\
            \ i fornitori di servizi, come il recupero e lo smaltimento delle informazioni\
            \ ottenute dai fornitori e dai fornitori di servizi nell'esercizio dei\
            \ loro compiti, in caso di insolvenza, risoluzione, cessazione o interruzione\
            \ delle attivit\xE0 commerciali del fornitore o del fornitore di servizi;\n\
            \    o obblighi del fornitore o del prestatore di servizi di fornire assistenza\
            \ all'ente senza costi aggiuntivi o a un costo determinato ex ante, in\
            \ caso di incidente informatico che presenti un rischio e sia stato causato\
            \ dal prodotto o dal servizio TIC oggetto del contratto;\n    o ruoli\
            \ e responsabilit\xE0;\n    o contatti e linee di segnalazione;\n    o\
            \ obbligo del fornitore o del prestatore di servizi di cooperare pienamente\
            \ con le autorit\xE0 competenti;\n    o i diritti di risoluzione e i relativi\
            \ periodi minimi di preavviso per la risoluzione degli accordi contrattuali;\n\
            \    o i periodi di preavviso e gli obblighi di comunicazione del fornitore\
            \ o del prestatore di servizi all'entit\xE0, compresa la notifica di qualsiasi\
            \ sviluppo che potrebbe avere un impatto materiale sulla capacit\xE0 del\
            \ fornitore o del prestatore di servizi di fornire efficacemente i prodotti\
            \ o i servizi TIC in linea con i livelli di servizio concordati;\n   \
            \ o il diritto di revisione da parte dell'entit\xE0 o di una terza parte\
            \ designata e dell'autorit\xE0 competente e l'obbligo del fornitore e\
            \ del fornitore di servizi di cooperare pienamente durante le ispezioni\
            \ e le verifiche in loco effettuate dalle autorit\xE0 competenti e l'obbligo\
            \ di fornire dettagli sull'ambito, le procedure da seguire e la frequenza\
            \ di tali ispezioni e verifiche;\n    o strategie di uscita, in particolare\
            \ la definizione di un periodo di transizione adeguato obbligatorio, disposizioni\
            \ sulla propriet\xE0 intellettuale e responsabilit\xE0 del fornitore durante\
            \ il periodo di uscita, ad esempio per fornire la documentazione pertinente\
            \ e i registri storici. \n\u2022 Oltre agli elementi di cui al punto 5.1.5\
            \ dell'allegato al regolamento, prendere in considerazione i seguenti\
            \ (elenco indicativo e non esaustivo):\n    o informazioni specifiche\
            \ del Paese (ad esempio, valutazione delle minacce da parte dei servizi\
            \ di sicurezza nazionali), se disponibili;\n    o restrizioni o esclusioni\
            \ poste da un'autorit\xE0 nazionale pertinente, ad esempio per le apparecchiature\
            \ ad alta criticit\xE0 per l'entit\xE0 o per i fornitori ad alto rischio;\n\
            \    o informazioni derivanti da incidenti noti o intelligence sulle minacce\
            \ informatiche; e\n    o le caratteristiche di ciascun fornitore, come\
            \ la qualit\xE0 delle sue pratiche di sicurezza, il quadro giuridico e\
            \ il livello di trasparenza.\n\u2022 Assicurarsi che i fornitori di servizi\
            \ di disattivazione sicura prendano in considerazione questioni quali\
            \ la disattivazione degli account degli utenti e dei servizi, l'interruzione\
            \ dei flussi di dati e lo smaltimento sicuro dei dati dell'entit\xE0 all'interno\
            \ dei sistemi del fornitore o del fornitore di servizi.   \n\u2022 La\
            \ formazione di sensibilizzazione sulle regole di ingaggio e di comportamento\
            \ deve essere impartita al personale dell'entit\xE0 e dei fornitori o\
            \ dei prestatori di servizi, ove opportuno, in base al livello di accesso\
            \ alle attivit\xE0 e alle risorse informative dell'entit\xE0.\n\u2022\
            \ Includere il personale dei fornitori e dei prestatori di servizi e le\
            \ relative responsabilit\xE0 nei test di gestione delle crisi, ove opportuno.\
            \ \n\u2022 Assicurarsi che i contratti con i fornitori e i fornitori di\
            \ servizi siano in linea con la politica sulla sicurezza della rete e\
            \ dei sistemi informativi. \n\u2022 Nell'implementazione di una politica\
            \ di sicurezza della catena di fornitura, considerare i seguenti elementi\
            \ relativi all'uso di software libero e open source (FOSS) nella catena\
            \ di fornitura:\n    o Quando si utilizza il FOSS senza acquistare un\
            \ prodotto software correlato o stipulare un contratto di servizio per\
            \ lo sviluppo con l'ideatore del FOSS, non si possono imporre obblighi\
            \ di conformit\xE0 che vadano oltre l'adesione ai termini della licenza\
            \ del software open source (45).\n    o Considerare il sostegno alle comunit\xE0\
            \ che sviluppano e mantengono il FOSS e investire in una relazione reciprocamente\
            \ vantaggiosa con loro. Se efficace, ci\xF2 potrebbe comportare rapporti\
            \ con il responsabile dell'OSS in questione, che \u201Cfornisce un sostegno\
            \ duraturo allo sviluppo e assicura la redditivit\xE0 di tali prodotti\u201D\
            \ (46). Tale rapporto non dovrebbe qualificare lo steward come fornitore\
            \ diretto o fornitore di servizi, in quanto l'imposizione di requisiti\
            \ tecnici o metodologici potrebbe non essere appropriata, applicabile\
            \ o fattibile in considerazione del suo ruolo.\n    o Considerare le misure\
            \ per mitigare i rischi identificati per la sicurezza della rete e dei\
            \ sistemi informativi in relazione alle dipendenze da software libero\
            \ e open source:\n        * prima di integrare componenti free e open\
            \ source, richiedere al fornitore diretto o al fornitore di servizi di\
            \ condurre una valutazione del rischio e di comunicare i risultati per\
            \ comprendere le potenziali vulnerabilit\xE0 e il loro impatto sui sistemi\
            \ dell'ente;\n\u2022 ove possibile, la valutazione dei rischi dovrebbe\
            \ essere effettuata in coordinamento con il progetto open source o con\
            \ l'OSS Steward associato, a spese del fornitore o del fornitore di servizi\
            \ che utilizza il componente e in modo tale che le successive valutazioni\
            \ dei rischi effettuate da terzi traggano vantaggio da questo lavoro;\n\
            \        * richiedere ai fornitori o ai fornitori di servizi di fornire\
            \ prove del loro impegno con la comunit\xE0 OSS per verificare se sono\
            \ disponibili risorse adeguate per sostenere sforzi di manutenzione sostenibili\
            \ e contribuire con tali risorse, se del caso, anche per garantire la\
            \ futura disponibilit\xE0 di patch di sicurezza;\n        * garantire\
            \ che i componenti free e open source siano regolarmente aggiornati dal\
            \ fornitore o dal fornitore di servizi per risolvere tutte le vulnerabilit\xE0\
            \ di sicurezza conosciute e corrette;\n        * richiedere al fornitore\
            \ o al fornitore di servizi di eseguire regolarmente revisioni del codice\
            \ e test di sicurezza sui componenti free e open source per identificare\
            \ e risolvere eventuali problemi di sicurezza (47);\n        * richiedere\
            \ al fornitore o al fornitore di servizi di fornire informazioni sugli\
            \ strumenti per gestire le dipendenze del software (ad esempio Dependabot,\
            \ Yarn, Gradle e Pip) e garantire che tutti i componenti e le loro dipendenze\
            \ siano sicuri e aggiornati;\n        * richiedere al fornitore o al fornitore\
            \ di servizi di fornire una documentazione chiara e politiche per l'utilizzo\
            \ di componenti liberi e open source, comprese le linee guida per la valutazione\
            \ e l'integrazione, insieme alla prova degli sforzi compiuti per garantire\
            \ la manutenzione sostenibile delle loro dipendenze alimentando i progetti\
            \ open source su cui si basano, ad esempio facendo riferimento ai loro\
            \ contributi pubblici (codice).\n    o Impegnarsi con le comunit\xE0 open\
            \ source pertinenti per rimanere informati sugli aggiornamenti significativi,\
            \ sulle patch e sulle migliori pratiche per l'utilizzo e l'aggiornamento\
            \ del loro componente FOSS.\n\n(45) L'OSS, noto anche come software libero\
            \ o FOSS, garantisce ai suoi utenti le quattro libert\xE0 essenziali:\
            \ usare, studiare, condividere e migliorare. L'OSS pu\xF2 essere utilizzato\
            \ per qualsiasi scopo ed \xE8 libero da restrizioni come la scadenza della\
            \ licenza o le limitazioni geografiche. Il suo codice software pu\xF2\
            \ essere studiato da chiunque, senza accordi di non divulgazione o restrizioni\
            \ simili. Pu\xF2 essere condiviso e copiato praticamente a costo zero.\
            \ Pu\xF2 essere modificato da chiunque e questi miglioramenti possono\
            \ essere condivisi pubblicamente. L'assenza o l'indebolimento di almeno\
            \ una di queste libert\xE0 significa che un'applicazione \xE8 proprietaria,\
            \ quindi nonOSS. Le quattro libert\xE0 sono garantite da una licenza software.\
            \ Le licenze software definiscono le condizioni di utilizzo e riutilizzo\
            \ di un programma. Perch\xE9 sia software libero, il testo della licenza\
            \ deve contenere almeno le quattro libert\xE0. La Free Software Foundation\
            \ e l'Open Source Initiative mantengono elenchi di licenze revisionate\
            \ e approvate. Di solito un'applicazione non pu\xF2 essere considerata\
            \ OSS se la sua licenza non compare in uno di questi elenchi.\n(46) Regolamento\
            \ (UE) 2024/2847, art. 3(14). 3(14).\n(47) I fornitori non devono necessariamente\
            \ eseguire autonomamente i controlli di sicurezza (e le conseguenti iniziative\
            \ di rimedio), ma possono finanziare le iniziative esistenti che eseguono\
            \ controlli di sicurezza open source su scala (ad esempio Sovereign Tech\
            \ Agency, Alpha-Omega e Open Source Technology Improvement Fund) o a monte\
            \ (ad esempio finanziando un manutentore o stabilendo relazioni contrattuali\
            \ con i responsabili del software open source per svolgere questo lavoro).\
            \ Inoltre, i fornitori e i fornitori di servizi devono rendere qualsiasi\
            \ revisione del codice riutilizzabile per altri, per allinearsi agli obblighi\
            \ del produttore ai sensi dell'articolo 13(6) del Cyber Resilience Act.\
            \ I termini \u201Ca monte\u201D e \u201Ca valle\u201D indicano se un componente\
            \ dipende da (\xE8 a monte di) o \xE8 dipendente da (\xE8 a valle di)\
            \ un componente."
          typical_evidence: "\u2022 Registrazioni che dimostrino che i livelli di\
            \ servizio sono monitorati in conformit\xE0 con gli SLA stabiliti). \n\
            \u2022 registrazioni di risposta agli incidenti che confermano se l'entit\xE0\
            \ tiene conto degli incidenti relativi a servizi, sistemi o prodotti TIC\
            \ da fornitori e fornitori di servizi; \n\u2022 Prove che i contratti\
            \ firmati con terzi (ad esempio appaltatori e fornitori) sono in linea\
            \ con la politica in materia di sicurezza delle reti e dei sistemi informativi,\
            \ ad esempio clausole contrattuali, riferimenti a ruoli e responsabilit\xE0\
            \ chiave rilevanti per la sicurezza e requisiti per l'appaltatore di segnalare\
            \ gli incidenti. \n\u2022 Processo di uscita da fornitori e prestatori\
            \ di servizi, ovvero documentazione che illustra come l'entit\xE0 gestisce\
            \ l'uscita di fornitori e prestatori di servizi. Ci\xF2 include la transizione\
            \ di servizi, dati e diritti di accesso in caso di cessazione di un rapporto\
            \ tra fornitore e prestatore di servizi. \n\u2022 Elenco degli incidenti\
            \ di sicurezza correlati o causati dal coinvolgimento di terze parti.\n\
            \n[CONSIGLI]\n\n\u2022 Clausole contrattuali che comprendono, oltre agli\
            \ elementi di cui al punto 5.1.4 dell'Allegato al regolamento, uno o pi\xF9\
            \ degli elenchi di cui sopra con elementi aggiuntivi. \n\u2022 Prova di\
            \ corsi di sensibilizzazione. \n\u2022 Registrazioni dei test di gestione\
            \ delle crisi (allegato al regolamento, punto 4.3.4), se disponibili,\
            \ o conferme scritte del fornitore o del fornitore dopo i test di gestione\
            \ delle crisi, che dimostrino la partecipazione del personale pertinente\
            \ dei fornitori e dei prestatori di servizi. \n\u2022 Per FOSS (elenco\
            \ indicativo e non esaustivo):\n    o risultati delle valutazioni del\
            \ rischio del FOSS, o strumenti di monitoraggio delle dipendenze, o documentazione."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:5.1.7.a
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:5.1.7
      ref_id: 5.1.7.a
      description: regularly monitor reports on the implementation of the service
        level agreements, where applicable;
      translations:
        fr:
          description: "passent r\xE9guli\xE8rement en revue les rapports sur la mise\
            \ en \u0153uvre des accords de niveau de service, s\u2019il y a lieu;"
        es:
          description: "supervisar\xE1n peri\xF3dicamente los informes relativos a\
            \ la aplicaci\xF3n de los acuerdos de nivel de servicio, cuando proceda;"
        cs:
          description: "v p\u0159\xEDslu\u0161n\xFDch p\u0159\xEDpadech pravideln\u011B\
            \ monitoruj\xED zpr\xE1vy o prov\xE1d\u011Bn\xED dohod o \xFArovni slu\u017E\
            eb;"
        it:
          description: monitorare regolarmente le relazioni sull'attuazione degli
            accordi sul livello dei servizi, se del caso;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:5.1.7.b
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:5.1.7
      ref_id: 5.1.7.b
      description: review incidents related to ICT products and ICT services from
        suppliers and service providers;
      translations:
        fr:
          description: "examinent les incidents li\xE9s aux produits TIC et aux services\
            \ TIC provenant de fournisseurs et de prestataires de services;"
        es:
          description: "revisar\xE1n los incidentes relacionados con los productos\
            \ y servicios TIC de los proveedores y prestadores de servicios;"
        cs:
          description: "p\u0159ezkoum\xE1vaj\xED incidenty t\xFDkaj\xEDc\xED se produkt\u016F\
            \ IKT a slu\u017Eeb ICT od dodavatel\u016F a poskytovatel\u016F slu\u017E\
            eb;"
        it:
          description: esaminare gli incidenti relativi ai prodotti e ai servizi TIC
            da fornitori e prestatori di servizi;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:5.1.7.c
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:5.1.7
      ref_id: 5.1.7.c
      description: assess the need for unscheduled reviews and document the findings
        in a comprehensible manner;
      translations:
        fr:
          description: "\xE9valuent la n\xE9cessit\xE9 de r\xE9examens non programm\xE9\
            s et en consignent les conclusions de mani\xE8re compr\xE9hensible;"
        es:
          description: "evaluar\xE1n la necesidad de revisiones no programadas y recopilar\xE1\
            n las conclusiones de manera comprensible;"
        cs:
          description: "posuzuj\xED pot\u0159ebu nepl\xE1novan\xFDch p\u0159ezkum\u016F\
            \ a komplexn\u011B dokumentuj\xED zji\u0161t\u011Bn\xED;"
        it:
          description: "valutare la necessit\xE0 di revisioni non programmate e documentare\
            \ i risultati in modo comprensibile;"
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:5.1.7.d
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:5.1.7
      ref_id: 5.1.7.d
      description: analyse the risks presented by changes related to ICT products
        and ICT services from suppliers and service providers and, where appropriate,
        take mitigating measures in a timely manner.
      translations:
        fr:
          description: "analysent, en temps utile, les risques pr\xE9sent\xE9s par\
            \ les changements li\xE9s aux produits TIC et aux services TIC provenant\
            \ des fournisseurs et des prestataires de services et, s\u2019il est besoin,\
            \ prennent des mesures d\u2019att\xE9nuation."
        es:
          description: "analizar\xE1n los riesgos que planteen los cambios relativos\
            \ a los productos y servicios TIC de los proveedores y prestadores de\
            \ servicios y, cuando proceda, adoptar\xE1n medidas de mitigaci\xF3n a\
            \ su debido tiempo."
        cs:
          description: "analyzuj\xED rizika, kter\xE1 p\u0159edstavuj\xED zm\u011B\
            ny souvisej\xEDc\xED s produkty IKT a slu\u017Ebami IKT od dodavatel\u016F\
            \ a poskytovatel\u016F slu\u017Eeb, a v p\u0159\xEDpad\u011B pot\u0159\
            eby v\u010Das p\u0159ij\xEDmaj\xED zm\xEDr\u0148uj\xEDc\xED opat\u0159\
            en\xED."
        it:
          description: analizzare i rischi presentati dalle modifiche relative ai
            prodotti e ai servizi TIC da parte dei fornitori e dei prestatori di servizi
            e, se del caso, adottare tempestivamente misure di mitigazione.
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:5.2
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:5
      ref_id: '5.2'
      name: Directory of suppliers and service providers
      annotation: "\u2022 Keep the registry up to date to ensure all information is\
        \ current and accurate, that is, add, update and remove suppliers and service\
        \ provider from the registry in the event of changes.  \n\u2022 Conduct reviews\
        \ of the registry, at least annually or when significant changes occur to\
        \ ensure all information is current and accurate.\n\n[TIPS]\n\n\u2022 In addition\
        \ to the elements referred to in point 5.2 of the Annex to the regulation\
        \ consider the start and end dates of the contract and the region of each\
        \ direct supplier and service provider. \n\u2022 Classify direct suppliers\
        \ and service providers. The classification may include one or more characteristics\
        \ (indicative, non-exhaustive list):\n    o sensitivity of assets purchased,\
        \ o volume of assets purchased, o availability requirements, o applicable\
        \ regulations, o inherent risk and mitigated risk. \n\u2022 Update and review\
        \ classifications annually or when significant changes occur. Examples of\
        \ categories may be:\n    o critical \u2013 those with a significant impact\
        \ on the entity\u2019s operations;\n    o strategic \u2013 high-value partners\
        \ who contribute to information assets, for example cloud providers, data\
        \ analytic providers, software developers and telecommunication providers;\n\
        \    o routine \u2013 those with minimal impact on the entity."
      typical_evidence: "\u2022 Registry of direct suppliers and service providers.\
        \ \n\u2022 Evidence of registry updates following direct supplier and service\
        \ provider changes. \n\u2022 Review plans or schedules.\n\n[TIPS]\n\n\u2022\
        \ List of relevant contracts or SLAs that are in line with the documented\
        \ supply chain policy. \n\u2022 Evidence that the entity has categorised its\
        \ direct suppliers and service providers based on criteria. \n\u2022 A clear\
        \ description of how direct suppliers and service providers are grouped and\
        \ managed based on their importance and risk level. \n\u2022 Evidence that\
        \ the entity assesses risks associated with each direct supplier and service\
        \ provider category, and that it tailors measures accordingly. For instance,\
        \ \u2018critical\u2019 direct suppliers and service providers receive more\
        \ attention and customised policies."
      translations:
        fr:
          name: Annuaire des fournisseurs et des prestataires de services
          annotation: "\u2022 Tenir le registre \xE0 jour pour s\u2019assurer que\
            \ toutes les informations sont \xE0 jour et exactes, c\u2019est-\xE0-dire\
            \ ajouter, mettre \xE0 jour et retirer des fournisseurs et des prestataires\
            \ de services du registre en cas de changements.  \n\u2022 Effectuer des\
            \ examens du registre, au moins une fois par an ou lorsque des changements\
            \ importants se produisent, pour s\u2019assurer que tous les renseignements\
            \ sont \xE0 jour et exacts.\n\n[CONSEILS]\n\n\u2022 En plus des \xE9l\xE9\
            ments vis\xE9s au point 5.2 de l\u2019annexe du r\xE8glement, tenez compte\
            \ des dates de d\xE9but et de fin du contrat et de la r\xE9gion de chaque\
            \ fournisseur direct et prestataire de services. \n\u2022 Classer les\
            \ fournisseurs directs et les prestataires de services. La classification\
            \ peut comporter une ou plusieurs caract\xE9ristiques (liste indicative\
            \ et non exhaustive) :\n    o la sensibilit\xE9 des actifs achet\xE9s,\
            \ o le volume des actifs achet\xE9s, o les exigences de disponibilit\xE9\
            , o la r\xE9glementation applicable, o le risque inh\xE9rent et le risque\
            \ att\xE9nu\xE9. \n\u2022 Mettre \xE0 jour et r\xE9viser les classifications\
            \ chaque ann\xE9e ou lorsque des changements importants se produisent.\
            \ Des exemples de cat\xE9gories peuvent \xEAtre :\n    o critique \u2013\
            \ celles qui ont un impact significatif sur les activit\xE9s de l\u2019\
            entit\xE9 ;\n    o strat\xE9gique \u2013 partenaires \xE0 forte valeur\
            \ ajout\xE9e qui contribuent aux actifs informationnels, par exemple les\
            \ fournisseurs de cloud, les fournisseurs d\u2019analyse de donn\xE9es,\
            \ les d\xE9veloppeurs de logiciels et les fournisseurs de t\xE9l\xE9communications\
            \ ;\n    o routine \u2013 celles qui ont un impact minimal sur l\u2019\
            entit\xE9."
          typical_evidence: "\u2022 Registre des fournisseurs directs et des prestataires\
            \ de services. \n\u2022 Preuve de mises \xE0 jour du registre suite \xE0\
            \ des changements directs de fournisseurs et de prestataires de services.\
            \ \n\u2022 Examiner les plans ou les \xE9ch\xE9anciers.\n\n[CONSEILS]\n\
            \n\u2022 Liste des contrats ou SLA pertinents qui sont conformes \xE0\
            \ la politique de cha\xEEne d\u2019approvisionnement document\xE9e. \n\
            \u2022 La preuve que l\u2019entit\xE9 a class\xE9 ses fournisseurs directs\
            \ et prestataires de services sur la base de crit\xE8res. \n\u2022 Une\
            \ description claire de la mani\xE8re dont les fournisseurs directs et\
            \ les prestataires de services sont regroup\xE9s et g\xE9r\xE9s en fonction\
            \ de leur importance et de leur niveau de risque. \n\u2022 La preuve que\
            \ l\u2019entit\xE9 \xE9value les risques associ\xE9s \xE0 chaque fournisseur\
            \ direct et cat\xE9gorie de prestataires de services, et qu\u2019elle\
            \ adapte les mesures en cons\xE9quence. Par exemple, les fournisseurs\
            \ directs et les prestataires de services \xAB critiques \xBB re\xE7oivent\
            \ plus d\u2019attention et des politiques personnalis\xE9es."
        es:
          name: Directorio de proveedores y prestadores de servicios
          annotation: "\u2022 Mantener actualizado el registro para asegurar que toda\
            \ la informaci\xF3n est\xE9 actualizada y sea precisa, es decir, agregar,\
            \ actualizar y eliminar proveedores y prestadores de servicios del registro\
            \ en caso de cambios.  \n\u2022 Llevar a cabo revisiones del registro,\
            \ al menos una vez al a\xF1o o cuando ocurran cambios significativos para\
            \ garantizar que toda la informaci\xF3n est\xE9 actualizada y sea precisa.\n\
            \n[CONSEJOS]\n\n\u2022 Adem\xE1s de los elementos mencionados en el punto\
            \ 5.2 del anexo del reglamento, considere las fechas de inicio y finalizaci\xF3\
            n del contrato y la regi\xF3n de cada proveedor directo y proveedor de\
            \ servicios. \n\u2022 Clasificar a los proveedores directos y prestadores\
            \ de servicios. La clasificaci\xF3n puede incluir una o m\xE1s caracter\xED\
            sticas (lista indicativa, no exhaustiva):\n    o sensibilidad de los activos\
            \ comprados, o volumen de activos comprados, o requisitos de disponibilidad,\
            \ o regulaciones aplicables, o riesgo inherente y riesgo mitigado. \n\u2022\
            \ Actualizar y revisar las clasificaciones anualmente o cuando ocurran\
            \ cambios significativos. Ejemplos de categor\xEDas pueden ser:\n    o\
            \ cr\xEDticos: aquellos con un impacto significativo en las operaciones\
            \ de la entidad;\n    o estrat\xE9gicos: socios de alto valor que contribuyen\
            \ a los activos de informaci\xF3n, por ejemplo, proveedores de nube, proveedores\
            \ de an\xE1lisis de datos, desarrolladores de software y proveedores de\
            \ telecomunicaciones;\n    o Rutina: aquellos con un impacto m\xEDnimo\
            \ en la entidad."
          typical_evidence: "\u2022 Registro de proveedores directos y prestadores\
            \ de servicios. \n\u2022 Evidencia de actualizaciones del registro despu\xE9\
            s de cambios directos de proveedores y proveedores de servicios. \n\u2022\
            \ Revisar planes o horarios.\n\n[CONSEJOS]\n\n\u2022 Lista de contratos\
            \ o SLA relevantes que est\xE1n en l\xEDnea con la pol\xEDtica de cadena\
            \ de suministro documentada. \n\u2022 Evidencia de que la entidad ha categorizado\
            \ a sus proveedores directos y prestadores de servicios en base a criterios.\
            \ \n\u2022 Una descripci\xF3n clara de c\xF3mo se agrupan y gestionan\
            \ los proveedores directos y los prestadores de servicios en funci\xF3\
            n de su importancia y nivel de riesgo. \n\u2022 Evidencia de que la entidad\
            \ eval\xFAa los riesgos asociados con cada categor\xEDa de proveedor directo\
            \ y proveedor de servicios, y que adapta las medidas en consecuencia.\
            \ Por ejemplo, los proveedores directos y los proveedores de servicios\
            \ \"cr\xEDticos\" reciben m\xE1s atenci\xF3n y pol\xEDticas personalizadas."
        cs:
          name: "Seznam dodavatel\u016F a poskytovatel\u016F slu\u017Eeb"
          annotation: "\u2022 Udr\u017Eujte registr aktu\xE1ln\xED, abyste zajistili,\
            \ \u017Ee v\u0161echny informace jsou aktu\xE1ln\xED a p\u0159esn\xE9\
            , to znamen\xE1 p\u0159id\xE1vat, aktualizovat a odeb\xEDrat dodavatele\
            \ a poskytovatele slu\u017Eeb z registru v p\u0159\xEDpad\u011B zm\u011B\
            n.  \n\u2022 Prov\xE1d\u011Bt kontroly registru, alespo\u0148 jednou ro\u010D\
            n\u011B nebo p\u0159i v\xFDznamn\xFDch zm\u011Bn\xE1ch, aby bylo zaji\u0161\
            t\u011Bno, \u017Ee v\u0161echny informace jsou aktu\xE1ln\xED a p\u0159\
            esn\xE9.\n\n[TIPY]\n\n\u2022 Krom\u011B prvk\u016F uveden\xFDch v bod\u011B\
            \ 5.2 p\u0159\xEDlohy na\u0159\xEDzen\xED zva\u017Ete datum zah\xE1jen\xED\
            \ a ukon\u010Den\xED smlouvy a region ka\u017Ed\xE9ho p\u0159\xEDm\xE9\
            ho dodavatele a poskytovatele slu\u017Eeb. \n\u2022 Klasifikovat p\u0159\
            \xEDm\xE9 dodavatele a poskytovatele slu\u017Eeb. Klasifikace m\u016F\u017E\
            e zahrnovat jednu nebo v\xEDce charakteristik (orienta\u010Dn\xED, ne\xFA\
            pln\xFD seznam):\n    o citlivost nakoupen\xFDch aktiv, o objem nakoupen\xFD\
            ch aktiv, o po\u017Eadavky na dostupnost, o platn\xE9 p\u0159edpisy, o\
            \ inherentn\xED riziko a zm\xEDrn\u011Bn\xE9 riziko. \n\u2022 Aktualizujte\
            \ a revidujte klasifikace jednou ro\u010Dn\u011B nebo p\u0159i v\xFDznamn\xFD\
            ch zm\u011Bn\xE1ch. P\u0159\xEDklady kategori\xED mohou b\xFDt:\n    o\
            \ kritick\xE9 \u2013 ty, kter\xE9 maj\xED v\xFDznamn\xFD dopad na \u010D\
            innost subjektu;\n    o strategick\xE9 \u2013 partne\u0159i s vysokou\
            \ hodnotou, kte\u0159\xED p\u0159isp\xEDvaj\xED k informa\u010Dn\xEDm\
            \ aktiv\u016Fm, nap\u0159\xEDklad poskytovatel\xE9 cloudov\xFDch slu\u017E\
            eb, poskytovatel\xE9 anal\xFDzy dat, v\xFDvoj\xE1\u0159i softwaru a poskytovatel\xE9\
            \ telekomunika\u010Dn\xEDch slu\u017Eeb;\n    o rutina \u2013 ty, kter\xE9\
            \ maj\xED minim\xE1ln\xED dopad na entitu."
          typical_evidence: "\u2022 Registr p\u0159\xEDm\xFDch dodavatel\u016F a poskytovatel\u016F\
            \ slu\u017Eeb. \n\u2022 Doklad o aktualizac\xEDch registru po p\u0159\xED\
            m\xFDch zm\u011Bn\xE1ch dodavatele a poskytovatele slu\u017Eeb. \n\u2022\
            \ Zkontrolujte pl\xE1ny nebo pl\xE1ny.\n\n[TIPY]\n\n\u2022 Seznam relevantn\xED\
            ch smluv nebo SLA, kter\xE9 jsou v souladu s dokumentovanou politikou\
            \ dodavatelsk\xE9ho \u0159et\u011Bzce. \n\u2022 D\u016Fkaz, \u017Ee subjekt\
            \ kategorizoval sv\xE9 p\u0159\xEDm\xE9 dodavatele a poskytovatele slu\u017E\
            eb na z\xE1klad\u011B krit\xE9ri\xED. \n\u2022 Jasn\xFD popis toho, jak\
            \ jsou p\u0159\xEDm\xED dodavatel\xE9 a poskytovatel\xE9 slu\u017Eeb seskupeni\
            \ a \u0159\xEDzeni na z\xE1klad\u011B jejich d\u016Fle\u017Eitosti a \xFA\
            rovn\u011B rizika. \n\u2022 D\u016Fkaz, \u017Ee \xFA\u010Detn\xED jednotka\
            \ posuzuje rizika spojen\xE1 s ka\u017Edou kategori\xED p\u0159\xEDm\xFD\
            ch dodavatel\u016F a poskytovatel\u016F slu\u017Eeb a \u017Ee odpov\xED\
            daj\xEDc\xEDm zp\u016Fsobem p\u0159izp\u016Fsobuje opat\u0159en\xED. Nap\u0159\
            \xEDklad \"kritick\xFDm\" p\u0159\xEDm\xFDm dodavatel\u016Fm a poskytovatel\u016F\
            m slu\u017Eeb se dost\xE1v\xE1 v\u011Bt\u0161\xED pozornosti a p\u0159\
            izp\u016Fsoben\xFDm z\xE1sad\xE1m."
        it:
          name: Elenco dei fornitori e dei prestatori di servizi
          annotation: "\u2022 Mantenere aggiornato il registro per garantire che tutte\
            \ le informazioni siano aggiornate e accurate, ovvero aggiungere, aggiornare\
            \ e rimuovere fornitori e fornitori di servizi dal registro in caso di\
            \ modifiche.  \n\u2022 Condurre revisioni del registro, almeno una volta\
            \ all'anno o quando si verificano modifiche significative per garantire\
            \ che tutte le informazioni siano aggiornate e accurate.\n\n[CONSIGLI]\n\
            \n\u2022 Oltre agli elementi di cui al punto 5.2 dell'Allegato al regolamento,\
            \ considerare le date di inizio e fine del contratto e la regione di ciascun\
            \ fornitore diretto e prestatore di servizi. \n\u2022 Classificare i fornitori\
            \ diretti e i fornitori di servizi. La classificazione pu\xF2 comprendere\
            \ una o pi\xF9 caratteristiche (elenco indicativo, non esaustivo):\n \
            \   o Sensibilit\xE0 delle attivit\xE0 acquistate, o Volume delle attivit\xE0\
            \ acquistate, o Requisiti di disponibilit\xE0, o Normative applicabili,\
            \ o Rischio intrinseco e rischio mitigato. \n\u2022 Aggiornare e rivedere\
            \ le classificazioni annualmente o quando si verificano cambiamenti significativi.\
            \ Esempi di categorie possono essere:\n    o critici: quelli che hanno\
            \ un impatto significativo sulle operazioni dell'entit\xE0;\n    o strategici:\
            \ partner di alto valore che contribuiscono al patrimonio informativo,\
            \ ad esempio fornitori di servizi cloud, fornitori di analisi dei dati,\
            \ sviluppatori di software e fornitori di telecomunicazioni;\n    o routine\
            \ \u2013 quelli con un impatto minimo sull'entit\xE0."
          typical_evidence: "\u2022 Registro dei fornitori diretti e dei prestatori\
            \ di servizi. \n\u2022 Prova degli aggiornamenti del registro a seguito\
            \ di modifiche dirette al fornitore e al fornitore di servizi. \n\u2022\
            \ Rivedi piani o programmi.\n\n[CONSIGLI]\n\n\u2022 Elenco dei contratti\
            \ o degli SLA pertinenti che sono in linea con la politica documentata\
            \ della catena di approvvigionamento. \n\u2022 Prova che l'entit\xE0 ha\
            \ classificato i suoi fornitori diretti e fornitori di servizi in base\
            \ a criteri. \n\u2022 Una chiara descrizione di come i fornitori diretti\
            \ e i fornitori di servizi sono raggruppati e gestiti in base alla loro\
            \ importanza e al loro livello di rischio. \n\u2022 Prove che l'entit\xE0\
            \ valuta i rischi associati a ciascuna categoria di fornitori diretti\
            \ e fornitori di servizi e che adatta le misure di conseguenza. Ad esempio,\
            \ i fornitori diretti e i fornitori di servizi \"critici\" ricevono maggiore\
            \ attenzione e politiche personalizzate."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:5.2:1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:5.2
      description: 'The relevant entities shall maintain and keep up to date a registry
        of their direct suppliers and service providers, including:'
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es conservent et tiennent \xE0 jour\
            \ un registre de leurs fournisseurs et prestataires de services directs\
            \ comprenant:"
        es:
          description: "Las entidades pertinentes mantendr\xE1n y actualizar\xE1n\
            \ un registro de sus proveedores y prestadores de servicios directos,\
            \ en el que incluir\xE1n:"
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty vedou a pr\u016Fb\u011B\
            \u017En\u011B aktualizuj\xED registr sv\xFDch p\u0159\xEDm\xFDch dodavatel\u016F\
            \ a poskytovatel\u016F slu\u017Eeb, kter\xFD obsahuje:"
        it:
          description: 'I soggetti pertinenti tengono e tengono aggiornato un registro
            dei loro fornitori diretti e prestatori di servizi, tra cui:'
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:5.2.a
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:5.2:1
      ref_id: 5.2.a
      description: contact points for each direct supplier and service provider;
      translations:
        fr:
          description: les points de contact pour chaque fournisseur et prestataire
            de services direct;
        es:
          description: los puntos de contacto correspondientes a cada proveedor o
            prestador de servicios directo;
        cs:
          description: "kontaktn\xED m\xEDsta pro ka\u017Ed\xE9ho p\u0159\xEDm\xE9\
            ho dodavatele a poskytovatele slu\u017Eeb;"
        it:
          description: punti di contatto per ciascun fornitore diretto e fornitore
            di servizi;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:5.2.b
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:5.2:1
      ref_id: 5.2.b
      description: a list of ICT products, ICT services, and ICT processes provided
        by the direct supplier or service provider to the relevant entities.
      translations:
        fr:
          description: "une liste des produits TIC, services TIC et processus TIC\
            \ fournis aux entit\xE9s concern\xE9es par le fournisseur ou le prestataire\
            \ de services direct."
        es:
          description: una lista de productos TIC, servicios TIC y procesos TIC proporcionados
            por el proveedor o prestador de servicios directo a las entidades pertinentes.
        cs:
          description: "seznam produkt\u016F IKT, slu\u017Eeb IKT a proces\u016F IKT\
            \ poskytovan\xFDch p\u0159\xEDm\xFDm dodavatelem nebo poskytovatelem slu\u017E\
            eb p\u0159\xEDslu\u0161n\xFDm subjekt\u016Fm."
        it:
          description: un elenco dei prodotti TIC, dei servizi TIC e dei processi
            TIC forniti dal fornitore diretto o dal prestatore di servizi ai soggetti
            pertinenti.
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6
      assessable: false
      depth: 1
      ref_id: '6'
      name: SECURITY IN NETWORK AND INFORMATION SYSTEMS ACQUISITION, DEVELOPMENT AND
        MAINTENANCE (ARTICLE 21(2), POINT (E), OF DIRECTIVE (EU) 2022/2555)
      translations:
        fr:
          name: "S\xE9curit\xE9 de l\u2019acquisition, du d\xE9veloppement et de la\
            \ maintenance des r\xE9seaux et des syst\xE8mes d\u2019information [article\
            \ 21, paragraphe 2, point e), de la directive (UE) 2022/2555]"
        es:
          name: "SEGURIDAD EN LA ADQUISICI\xD3N, EL DESARROLLO Y EL MANTENIMIENTO\
            \ DE SISTEMAS DE REDES Y DE INFORMACI\xD3N [Art\xEDculo 21, Apartado 2,\
            \ Letra E), de la directiva (UE) 2022/2555]"
        cs:
          name: "Zabezpe\u010Den\xED po\u0159izov\xE1n\xED, v\xFDvoje a \xFAdr\u017E\
            by s\xEDt\xED a informa\u010Dn\xEDch syst\xE9m\u016F (\u010Dl. 21 odst.\
            \ 2 p\xEDsm. e) sm\u011Brnice (EU) 2022/2555)"
        it:
          name: SICUREZZA NELL'ACQUISIZIONE, NELLO SVILUPPO E NELLA MANUTENZIONE DELLE
            RETI E DEI SISTEMI INFORMATIVI [ARTICOLO 21, PARAGRAFO 2, LETTERA E),
            DELLA DIRETTIVA (UE) 2022/2555]
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.1
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6
      ref_id: '6.1'
      name: Security in acquisition of ICT services or ICT products
      translations:
        fr:
          name: "S\xE9curit\xE9 de l\u2019acquisition des services TIC ou des produits\
            \ TIC"
        es:
          name: "Seguridad en la adquisici\xF3n de servicios TIC o productos TIC"
        cs:
          name: "Zabezpe\u010Den\xED po\u0159izov\xE1n\xED slu\u017Eeb IKT nebo produkt\u016F\
            \ IKT"
        it:
          name: Sicurezza nell'acquisizione di servizi o prodotti TIC
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.1.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.1
      ref_id: 6.1.1
      description: "For the purpose of Article 21(2), point (e) of Directive (EU)\
        \ 2022/2555, the relevant entities shall set and implement processes to manage\
        \ risks stemming from the acquisition of ICT services or ICT products for\
        \ components that are critical for the relevant entities\u2019 security of\
        \ network and information systems, based on the risk assessment carried out\
        \ pursuant to point 2.1, from suppliers or service providers throughout their\
        \ life cycle."
      annotation: "\u2022 Integrate cybersecurity as a permanent component of the\
        \ purchase process by dedicating a specific section to addressing it. This\
        \ includes any acquisition processes for selecting FOSS (48). \n\u2022 Document\
        \ the process for secure acquisition of ICT services, systems or products\
        \ and describe relevant procedures that support the process. \n\u2022 Take\
        \ into account industry-recognised standards when developing the process (49).\n\
        \n(48) See section 5.1 (Tips), for additional guidance on the use of free\
        \ and open source software supply chain.\n(49) In addition, to those mentioned\
        \ in the mapping table at the end of this section, consider the following:\
        \ \n\u2022 https://www.enisa.europa.eu/publications/indispensable-baseline-security-requirements-for-the-procurement-of-secure-ict-products-and\
        \ services; \n\u2022 Department of the Environment, Climate and Communications,\
        \ \u2018Guidelines on cyber security specifications (ICT procurement for public\
        \ service bodies)\u2019, https://www.ncsc.gov.ie/pdfs/Guidelines_on_Cyber_Security_Specifications.pdf."
      typical_evidence: "\u2022 Tender templates for the acquisition of ICT services,\
        \ systems or products which address cybersecurity. \n\u2022 Documented process\
        \ which is based on relevant standards and good practices."
      translations:
        fr:
          description: "Aux fins de l\u2019article 21, paragraphe 2, point e), de\
            \ la directive (UE) 2022/2555, les entit\xE9s concern\xE9es d\xE9finissent\
            \ et utilisent des proc\xE9dures en vue de g\xE9rer, sur la base de l\u2019\
            \xE9valuation des risques effectu\xE9e conform\xE9ment au point 2.1, les\
            \ risques d\xE9coulant de l\u2019acquisition de services TIC ou de produits\
            \ TIC aupr\xE8s de fournisseurs ou de prestataires de services pour des\
            \ composants qui sont critiques pour la s\xE9curit\xE9 des r\xE9seaux\
            \ et des syst\xE8mes d\u2019information des entit\xE9s concern\xE9es tout\
            \ au long de leur cycle de vie."
          annotation: "\u2022 Int\xE9grer la cybers\xE9curit\xE9 comme une composante\
            \ permanente du processus d\u2019achat en consacrant une section sp\xE9\
            cifique \xE0 l\u2019aborder. Cela inclut tous les processus d\u2019acquisition\
            \ permettant de s\xE9lectionner des logiciels libres (48). \n\u2022 Documenter\
            \ le processus d\u2019acquisition s\xE9curis\xE9e de services, de syst\xE8\
            mes ou de produits TIC et d\xE9crire les proc\xE9dures pertinentes \xE0\
            \ l\u2019appui du processus. \n\u2022 Prendre en compte les normes reconnues\
            \ par l\u2019industrie lors de l\u2019\xE9laboration du processus (49).\n\
            \n(48) Voir la section 5.1 (Conseils) pour des conseils suppl\xE9mentaires\
            \ sur l\u2019utilisation de la cha\xEEne d\u2019approvisionnement de logiciels\
            \ libres et open source.\n(49) En plus de ceux mentionn\xE9s dans le tableau\
            \ de correspondance \xE0 la fin de la pr\xE9sente section, il faut tenir\
            \ compte de ce qui suit : \n\u2022 https://www.enisa.europa.eu/publications/indispensable-baseline-security-requirements-for-the-procurement-of-secure-ict-products-and\
            \ services ; \n\u2022 D\xE9partement de l\u2019environnement, du climat\
            \ et de la communication, \xAB Lignes directrices sur les sp\xE9cifications\
            \ de cybers\xE9curit\xE9 (achats de TIC pour les organismes de services\
            \ publics) \xBB, https://www.ncsc.gov.ie/pdfs/Guidelines_on_Cyber_Security_Specifications.pdf."
          typical_evidence: "\u2022 Mod\xE8les d\u2019appel d\u2019offres pour l\u2019\
            acquisition de services, de syst\xE8mes ou de produits TIC li\xE9s \xE0\
            \ la cybers\xE9curit\xE9. \n\u2022 Processus document\xE9 bas\xE9 sur\
            \ les normes pertinentes et les bonnes pratiques."
        es:
          description: "A los efectos del art\xEDculo 21, apartado 2, letra e), de\
            \ la Directiva (UE) 2022/2555, las entidades pertinentes establecer\xE1\
            n y pondr\xE1n en marcha procedimientos para gestionar los riesgos derivados\
            \ de la adquisici\xF3n de servicios o productos TIC para componentes que\
            \ sean cr\xEDticos para la seguridad de los sistemas de redes y de informaci\xF3\
            n de las entidades pertinentes, de acuerdo con la evaluaci\xF3n de riesgos\
            \ realizada con arreglo al punto 2.1, de los proveedores o prestadores\
            \ de servicios a lo largo de su vida \xFAtil."
          annotation: "\u2022 Integrar la ciberseguridad como componente permanente\
            \ del proceso de compra dedicando un apartado espec\xEDfico a abordarla.\
            \ Esto incluye cualquier proceso de adquisici\xF3n para seleccionar software\
            \ libre (48). \n\u2022 Documentar el proceso para la adquisici\xF3n segura\
            \ de servicios, sistemas o productos de TIC y describir los procedimientos\
            \ pertinentes que respaldan el proceso. \n\u2022 Tener en cuenta las normas\
            \ reconocidas por la industria a la hora de desarrollar el proceso (49).\n\
            \n(48) V\xE9ase la secci\xF3n 5.1 (Consejos) para obtener orientaci\xF3\
            n adicional sobre el uso de la cadena de suministro de software libre\
            \ y de c\xF3digo abierto.\n(49) Adem\xE1s de los mencionados en el cuadro\
            \ de correspondencia que figura al final de esta secci\xF3n, se considera\
            \ lo siguiente: \n\u2022 https://www.enisa.europa.eu/publications/indispensable-baseline-security-requirements-for-the-procurement-of-secure-ict-products-and\
            \ servicios; \n\u2022 Departamento de Medio Ambiente, Clima y Comunicaciones,\
            \ \xABDirectrices sobre especificaciones de ciberseguridad (contrataci\xF3\
            n de TIC para organismos de servicio p\xFAblico)\xBB, https://www.ncsc.gov.ie/pdfs/Guidelines_on_Cyber_Security_Specifications.pdf."
          typical_evidence: "\u2022 Modelos de licitaci\xF3n para la adquisici\xF3\
            n de servicios, sistemas o productos TIC que aborden la ciberseguridad.\
            \ \n\u2022 Proceso documentado que se basa en las normas pertinentes y\
            \ las buenas pr\xE1cticas."
        cs:
          description: "Pro \xFA\u010Dely \u010Dl. 21 odst. 2 p\xEDsm. e) sm\u011B\
            rnice (EU) 2022/2555 p\u0159\xEDslu\u0161n\xE9 subjekty stanov\xED a zavedou\
            \ procesy \u0159\xEDzen\xED rizik vypl\xFDvaj\xEDc\xEDch z po\u0159izov\xE1\
            n\xED slu\u017Eeb IKT nebo produkt\u016F IKT pro komponenty, kter\xE9\
            \ jsou kritick\xE9 pro bezpe\u010Dnost s\xEDt\xED a informa\u010Dn\xED\
            ch syst\xE9m\u016F p\u0159\xEDslu\u0161n\xFDch subjekt\u016F a kter\xE9\
            \ poch\xE1zej\xED od dodavatel\u016F nebo poskytovatel\u016F slu\u017E\
            eb, po celou dobu jejich \u017Eivotnosti na z\xE1klad\u011B posouzen\xED\
            \ rizik proveden\xE9ho podle bodu 2.1."
          annotation: "\u2022 Integrovat kybernetickou bezpe\u010Dnost jako trvalou\
            \ sou\u010D\xE1st n\xE1kupn\xEDho procesu t\xEDm, \u017Ee j\xED v\u011B\
            nujete zvl\xE1\u0161tn\xED \u010D\xE1st. To zahrnuje ve\u0161ker\xE9 akvizi\u010D\
            n\xED procesy pro v\xFDb\u011Br FOSS (48). \n\u2022 Zdokumentovat proces\
            \ bezpe\u010Dn\xE9ho po\u0159\xEDzen\xED ICT slu\u017Eeb, syst\xE9m\u016F\
            \ nebo produkt\u016F a popsat p\u0159\xEDslu\u0161n\xE9 postupy, kter\xE9\
            \ tento proces podporuj\xED. \n\u2022 P\u0159i v\xFDvoji procesu zohlednit\
            \ pr\u016Fmyslov\u011B uzn\xE1van\xE9 normy (49).\n\n(48) Viz odd\xED\
            l 5.1 (Tipy), kde jsou uvedeny dal\u0161\xED pokyny k pou\u017E\xEDv\xE1\
            n\xED dodavatelsk\xE9ho \u0159et\u011Bzce bezplatn\xE9ho softwaru a softwaru\
            \ s otev\u0159en\xFDm zdrojov\xFDm k\xF3dem.\n(49) Krom\u011B t\u011B\
            ch, kter\xE9 jsou uvedeny v tabulce mapov\xE1n\xED na konci tohoto odd\xED\
            lu, zva\u017Ete n\xE1sleduj\xEDc\xED: \n\u2022 https://www.enisa.europa.eu/publications/indispensable-baseline-security-requirements-for-the-procurement-of-secure-ict-products-and\
            \ slu\u017Eby; \n\u2022 Ministerstvo \u017Eivotn\xEDho prost\u0159ed\xED\
            , klimatu a komunikac\xED, \"Pokyny ke specifikac\xEDm kybernetick\xE9\
            \ bezpe\u010Dnosti (zad\xE1v\xE1n\xED ve\u0159ejn\xFDch zak\xE1zek v oblasti\
            \ informa\u010Dn\xEDch a komunika\u010Dn\xEDch technologi\xED)\", https://www.ncsc.gov.ie/pdfs/Guidelines_on_Cyber_Security_Specifications.pdf."
          typical_evidence: "\u2022 \u0160ablony v\xFDb\u011Brov\xFDch \u0159\xED\
            zen\xED na po\u0159\xEDzen\xED ICT slu\u017Eeb, syst\xE9m\u016F nebo produkt\u016F\
            , kter\xE9 \u0159e\u0161\xED kybernetickou bezpe\u010Dnost. \n\u2022 Zdokumentovan\xFD\
            \ proces, kter\xFD je zalo\u017Een na p\u0159\xEDslu\u0161n\xFDch norm\xE1\
            ch a osv\u011Bd\u010Den\xFDch postupech."
        it:
          description: Ai fini dell'articolo 21, paragrafo 2, lettera e), della direttiva
            (UE) 2022/2555, i soggetti pertinenti stabiliscono e attuano processi
            per gestire i rischi derivanti dall'acquisizione di servizi TIC o prodotti
            TIC per componenti critici per la sicurezza delle reti e dei sistemi informativi
            dei soggetti pertinenti, sulla base della valutazione dei rischi effettuata
            a norma del punto 2.1,  da fornitori o prestatori di servizi durante tutto
            il loro ciclo di vita.
          annotation: "\u2022 Integrare la sicurezza informatica come componente permanente\
            \ del processo di acquisto dedicando una sezione specifica al suo affronto.\
            \ Ci\xF2 include tutti i processi di acquisizione per la selezione di\
            \ FOSS (48). \n\u2022 Documentare il processo per l'acquisizione sicura\
            \ di servizi, sistemi o prodotti TIC e descrivere le procedure pertinenti\
            \ che supportano il processo. \n\u2022 Tenere conto delle norme riconosciute\
            \ dal settore nello sviluppo del processo (49).\n\n(48) Cfr. la sezione\
            \ 5.1 (Suggerimenti) per ulteriori indicazioni sull'uso della catena di\
            \ fornitura del software libero e open source.\n(49) Oltre a quelli menzionati\
            \ nella tabella di mappatura alla fine della presente sezione, si consideri\
            \ quanto segue: \n\u2022 servizi https://www.enisa.europa.eu/publications/indispensable-baseline-security-requirements-for-the-procurement-of-secure-ict-products-and;\
            \ \n\u2022 Dipartimento dell'Ambiente, del Clima e delle Comunicazioni,\
            \ \"Linee guida sulle specifiche di sicurezza informatica (appalti ICT\
            \ per gli enti di servizio pubblico)\", https://www.ncsc.gov.ie/pdfs/Guidelines_on_Cyber_Security_Specifications.pdf."
          typical_evidence: "\u2022 Modelli di gara per l'acquisizione di servizi,\
            \ sistemi o prodotti TIC che riguardano la cibersicurezza. \n\u2022 Processo\
            \ documentato basato su standard e buone pratiche pertinenti."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.1.2
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.1
      ref_id: 6.1.2
      description: 'For the purpose of point 6.1.1., the processes referred to in
        point 6.1.1. shall include:'
      annotation: "\u2022 The security requirements must include at least the means\
        \ to detect, monitor and protect against unauthorized changes of software\
        \ and information. \n\u2022 Ensure that support contracts cover the system\
        \ life cycle and obsolescence management requirements, including the date\
        \ until which the system must be supported and include continuous alerting.\
        \ \n\u2022 Favour vendors that provide clear end-of-life information and that\
        \ plan to provide separate critical security fixes. \n\u2022 Make sure that\
        \ tenders request that suppliers or service providers provide tested solutions\
        \ for security issues in legacy or new technologies free of charge and as\
        \ soon as a relevant security issue becomes known. \n\u2022 Consider also\
        \ the following information describing implemented cybersecurity functions\
        \ such as (indicative, non-exhaustive list):\n    o the potential risks that\
        \ could arise from acquiring the specific ICT service, system or product.\
        \ This might involve penetration testing to identify threats, vulnerabilities\
        \ and the potential impact on the entity\u2019s operations;\n    o potential\
        \ security tools that already need to be in place, for example a firewall,\
        \ an intrusion detection system, a SIEM or a EDR/XDR;\n    o a specific security\
        \ mechanism that might need to be in place, such as a specific encryption\
        \ algorithm or a particular access control mechanism (e.g. MFA);\n    o cybersecurity\
        \ standards for the ICT service, system or product that the entity needs to\
        \ comply with;\n    o where appropriate, the required assurance level of the\
        \ ICT product, system or service and the existence of a relevant certificate\
        \ following the European Cybersecurity Scheme for ICT products based on Common\
        \ Criteria (EUCC). \n\u2022 Consider evaluating the security of an ICT service,\
        \ system or product before acquisition (50).\n\n(50) Criteria for open source\
        \ components should take into account the voluntary nature of open source\
        \ projects. Acquirers of such components must constructively engage with project\
        \ maintainers in addressing Identified security requirements and introducing\
        \ mitigations and/or improvements. These improvements should be shared with\
        \ the open source project under their license and terms."
      typical_evidence: "\u2022 Past or ongoing tenders for acquiring ICT services,\
        \ systems or products, that address cybersecurity by referring, as a minimum,\
        \ to the elements outlined in point 6.1.2 of the Annex to the regulation.\
        \ \n\u2022 Comparison between selected contracts and the associated tenders\
        \ to check whether the supply chain policy and particularly the elements referred\
        \ to in points 5.1.4 and 5.1.5 of the Annex to the regulation, are taken into\
        \ consideration. \n\u2022 Records from security tests before acquiring an\
        \ ICT system or product. \n\u2022 Certificates, test reports or other supporting\
        \ information for the ICT products or systems from suitably accredited conformity\
        \ assessment bodies."
      translations:
        fr:
          description: "Aux fins du point\_6.1.1, les proc\xE9dures pr\xE9cit\xE9\
            es comprennent:"
          annotation: "\u2022 Les exigences de s\xE9curit\xE9 doivent inclure au moins\
            \ les moyens de d\xE9tecter, de surveiller et de prot\xE9ger contre les\
            \ modifications non autoris\xE9es des logiciels et des informations. \n\
            \u2022 S\u2019assurer que les contrats de support couvrent le cycle de\
            \ vie du syst\xE8me et les exigences de gestion de l\u2019obsolescence,\
            \ y compris la date jusqu\u2019\xE0 laquelle le syst\xE8me doit \xEAtre\
            \ pris en charge et incluent une alerte continue. \n\u2022 Privil\xE9\
            giez les fournisseurs qui fournissent des informations claires sur la\
            \ fin de vie et qui pr\xE9voient de fournir des correctifs de s\xE9curit\xE9\
            \ critiques distincts. \n\u2022 S\u2019assurer que les appels d\u2019\
            offres demandent aux fournisseurs ou aux prestataires de services de fournir\
            \ gratuitement des solutions test\xE9es pour les probl\xE8mes de s\xE9\
            curit\xE9 dans les technologies existantes ou nouvelles et d\xE8s qu\u2019\
            un probl\xE8me de s\xE9curit\xE9 pertinent est connu. \n\u2022 Tenir compte\
            \ \xE9galement des informations suivantes d\xE9crivant les fonctions de\
            \ cybers\xE9curit\xE9 mises en \u0153uvre telles que (liste indicative,\
            \ non exhaustive) :\n    o les risques potentiels qui pourraient d\xE9\
            couler de l\u2019acquisition du service, du syst\xE8me ou du produit TIC\
            \ sp\xE9cifique. Il peut s\u2019agir de tests d\u2019intrusion pour identifier\
            \ les menaces, les vuln\xE9rabilit\xE9s et l\u2019impact potentiel sur\
            \ les op\xE9rations de l\u2019entit\xE9 ;\n    o les outils de s\xE9curit\xE9\
            \ potentiels qui doivent d\xE9j\xE0 \xEAtre mis en place, par exemple\
            \ un pare-feu, un syst\xE8me de d\xE9tection d\u2019intrusion, un SIEM\
            \ ou un EDR/XDR ;\n    o un m\xE9canisme de s\xE9curit\xE9 sp\xE9cifique\
            \ qui pourrait devoir \xEAtre mis en place, tel qu\u2019un algorithme\
            \ de cryptage sp\xE9cifique ou un m\xE9canisme de contr\xF4le d\u2019\
            acc\xE8s particulier (par exemple, MFA) ;\n    o les normes de cybers\xE9\
            curit\xE9 pour le service, le syst\xE8me ou le produit ICT auquel l\u2019\
            entit\xE9 doit se conformer ;\n    o le cas \xE9ch\xE9ant, le niveau d\u2019\
            assurance requis du produit, du syst\xE8me ou du service TIC et l\u2019\
            existence d\u2019un certificat pertinent conform\xE9ment au syst\xE8me\
            \ europ\xE9en de cybers\xE9curit\xE9 pour les produits TIC fond\xE9s sur\
            \ des crit\xE8res communs (EUCC). \n\u2022 Envisager d\u2019\xE9valuer\
            \ la s\xE9curit\xE9 d\u2019un service, d\u2019un syst\xE8me ou d\u2019\
            un produit TIC avant de l\u2019acqu\xE9rir (50).\n\n(50) Les crit\xE8\
            res applicables aux composants open source devraient tenir compte du caract\xE8\
            re volontaire des projets open source. Les acqu\xE9reurs de ces composants\
            \ doivent s\u2019engager de mani\xE8re constructive avec les responsables\
            \ du projet pour r\xE9pondre aux exigences de s\xE9curit\xE9 identifi\xE9\
            es et introduire des mesures d\u2019att\xE9nuation et/ou d\u2019am\xE9\
            lioration. Ces am\xE9liorations doivent \xEAtre partag\xE9es avec le projet\
            \ open source sous leur licence et leurs termes."
          typical_evidence: "\u2022 Les appels d\u2019offres pass\xE9s ou en cours\
            \ pour l\u2019acquisition de services, de syst\xE8mes ou de produits TIC,\
            \ qui abordent la cybers\xE9curit\xE9 en se r\xE9f\xE9rant, au minimum,\
            \ aux \xE9l\xE9ments d\xE9crits au point 6.1.2 de l\u2019annexe du r\xE8\
            glement. \n\u2022 Comparaison entre les march\xE9s retenus et les offres\
            \ associ\xE9es afin de v\xE9rifier si la politique de la cha\xEEne d\u2019\
            approvisionnement et notamment les \xE9l\xE9ments vis\xE9s aux points\
            \ 5.1.4 et 5.1.5 de l\u2019annexe du r\xE8glement, sont pris en consid\xE9\
            ration. \n\u2022 Consigner les tests de s\xE9curit\xE9 avant l\u2019acquisition\
            \ d\u2019un syst\xE8me ou d\u2019un produit TIC. \n\u2022 Certificats,\
            \ rapports d\u2019essai ou autres informations \xE0 l\u2019appui des produits\
            \ ou syst\xE8mes TIC provenant d\u2019organismes d\u2019\xE9valuation\
            \ de la conformit\xE9 d\xFBment accr\xE9dit\xE9s."
        es:
          description: "A los efectos del punto 6.1.1, los procedimientos contemplados\
            \ en el mismo incluir\xE1n:"
          annotation: "\u2022 Los requisitos de seguridad deben incluir al menos los\
            \ medios para detectar, monitorear y proteger contra cambios no autorizados\
            \ de software e informaci\xF3n. \n\u2022 Garantizar que los contratos\
            \ de soporte cubran el ciclo de vida del sistema y los requisitos de gesti\xF3\
            n de la obsolescencia, incluida la fecha hasta la cual el sistema debe\
            \ recibir soporte e incluir alertas continuas. \n\u2022 Favorecer a los\
            \ proveedores que proporcionan informaci\xF3n clara sobre el final de\
            \ su vida \xFAtil y que planean proporcionar correcciones de seguridad\
            \ cr\xEDticas por separado. \n\u2022 Aseg\xFArese de que las licitaciones\
            \ soliciten que los proveedores o prestadores de servicios proporcionen\
            \ soluciones probadas para problemas de seguridad en tecnolog\xEDas heredadas\
            \ o nuevas de forma gratuita y tan pronto como se tenga conocimiento de\
            \ un problema de seguridad relevante. \n\u2022 Considere tambi\xE9n la\
            \ siguiente informaci\xF3n que describe las funciones de ciberseguridad\
            \ implementadas, tales como (lista indicativa y no exhaustiva):\n    o\
            \ los riesgos potenciales que podr\xEDan derivarse de la adquisici\xF3\
            n del servicio, sistema o producto TIC espec\xEDfico. Esto podr\xEDa implicar\
            \ pruebas de penetraci\xF3n para identificar amenazas, vulnerabilidades\
            \ y el impacto potencial en las operaciones de la entidad;\n    o posibles\
            \ herramientas de seguridad que ya deben estar instaladas, por ejemplo,\
            \ un cortafuegos, un sistema de detecci\xF3n de intrusos, un SIEM o un\
            \ EDR/XDR;\n    o un mecanismo de seguridad espec\xEDfico que podr\xED\
            a ser necesario implementar, como un algoritmo de cifrado espec\xEDfico\
            \ o un mecanismo de control de acceso particular (por ejemplo, MFA);\n\
            \    o normas de ciberseguridad para el servicio, sistema o producto de\
            \ TIC que la entidad debe cumplir;\n    o, en su caso, el nivel de garant\xED\
            a requerido del producto, sistema o servicio de TIC y la existencia de\
            \ un certificado pertinente de conformidad con el Esquema Europeo de Ciberseguridad\
            \ para Productos de TIC basado en Criterios Comunes (EUCC). \n\u2022 Considerar\
            \ la posibilidad de evaluar la seguridad de un servicio, sistema o producto\
            \ de TIC antes de su adquisici\xF3n (50).\n\n(50) Los criterios aplicables\
            \ a los componentes de c\xF3digo abierto deben tener en cuenta el car\xE1\
            cter voluntario de los proyectos de c\xF3digo abierto. Los adquirentes\
            \ de dichos componentes deben comprometerse de manera constructiva con\
            \ los mantenedores del proyecto para abordar los requisitos de seguridad\
            \ identificados e introducir mitigaciones y/o mejoras. Estas mejoras deben\
            \ compartirse con el proyecto de c\xF3digo abierto bajo su licencia y\
            \ t\xE9rminos."
          typical_evidence: "\u2022 Licitaciones pasadas o en curso para la adquisici\xF3\
            n de servicios, sistemas o productos TIC, que aborden la ciberseguridad\
            \ haciendo referencia, como m\xEDnimo, a los elementos descritos en el\
            \ punto 6.1.2 del anexo del reglamento. \n\u2022 Comparaci\xF3n entre\
            \ los contratos seleccionados y las ofertas asociadas para comprobar si\
            \ se tienen en cuenta la pol\xEDtica de la cadena de suministro y, en\
            \ particular, los elementos mencionados en los puntos 5.1.4 y 5.1.5 del\
            \ anexo del Reglamento. \n\u2022 Registros de pruebas de seguridad antes\
            \ de adquirir un sistema o producto TIC. \n\u2022 Certificados, informes\
            \ de ensayos u otra informaci\xF3n justificativa de los productos o sistemas\
            \ de TIC expedidos por organismos de evaluaci\xF3n de la conformidad debidamente\
            \ acreditados."
        cs:
          description: "Pro \xFA\u010Dely bodu 6.1.1 procesy uveden\xE9 v bod\u011B\
            \ 6.1.1 zahrnuj\xED:"
          annotation: "\u2022 Bezpe\u010Dnostn\xED po\u017Eadavky mus\xED zahrnovat\
            \ alespo\u0148 prost\u0159edky pro detekci, monitorov\xE1n\xED a ochranu\
            \ p\u0159ed neopr\xE1vn\u011Bn\xFDmi zm\u011Bnami softwaru a informac\xED\
            . \n\u2022 Zajistit, aby smlouvy o podpo\u0159e pokr\xFDvaly \u017Eivotn\xED\
            \ cyklus syst\xE9mu a po\u017Eadavky na \u0159\xEDzen\xED zastar\xE1v\xE1\
            n\xED, v\u010Detn\u011B data, do kter\xE9ho mus\xED b\xFDt syst\xE9m podporov\xE1\
            n, a aby zahrnovaly pr\u016Fb\u011B\u017En\xE9 upozor\u0148ov\xE1n\xED\
            . \n\u2022 Up\u0159ednost\u0148ovat dodavatele, kte\u0159\xED poskytuj\xED\
            \ jasn\xE9 informace o konci \u017Eivotnosti a kte\u0159\xED pl\xE1nuj\xED\
            \ poskytovat samostatn\xE9 kritick\xE9 opravy zabezpe\u010Den\xED. \n\u2022\
            \ Zajistit, aby dodavatel\xE9 nebo poskytovatel\xE9 slu\u017Eeb poskytovali\
            \ ov\u011B\u0159en\xE1 \u0159e\u0161en\xED bezpe\u010Dnostn\xEDch probl\xE9\
            m\u016F ve star\u0161\xEDch nebo nov\xFDch technologi\xEDch bezplatn\u011B\
            , a to co nejd\u0159\xEDve, jakmile se dozv\xEDme o relevantn\xEDm bezpe\u010D\
            nostn\xEDm probl\xE9mu. \n\u2022 Zva\u017Ete tak\xE9 n\xE1sleduj\xEDc\xED\
            \ informace popisuj\xEDc\xED implementovan\xE9 funkce kybernetick\xE9\
            \ bezpe\u010Dnosti, jako jsou (orienta\u010Dn\xED, ne\xFApln\xFD seznam):\n\
            \    o potenci\xE1ln\xEDch rizic\xEDch, kter\xE1 by mohla vzniknout p\u0159\
            i po\u0159\xEDzen\xED konkr\xE9tn\xED ICT slu\u017Eby, syst\xE9mu nebo\
            \ produktu. To m\u016F\u017Ee zahrnovat penetra\u010Dn\xED testov\xE1\
            n\xED za \xFA\u010Delem identifikace hrozeb, zranitelnost\xED a potenci\xE1\
            ln\xEDho dopadu na provoz subjektu;\n    o potenci\xE1ln\xED bezpe\u010D\
            nostn\xED n\xE1stroje, kter\xE9 ji\u017E mus\xED b\xFDt zavedeny, nap\u0159\
            \xEDklad firewall, syst\xE9m detekce naru\u0161en\xED, SIEM nebo EDR/XDR;\n\
            \    o konkr\xE9tn\xED bezpe\u010Dnostn\xED mechanismus, kter\xFD m\u016F\
            \u017Ee b\xFDt nutn\xE9 zav\xE9st, jako je specifick\xFD \u0161ifrovac\xED\
            \ algoritmus nebo konkr\xE9tn\xED mechanismus kontroly p\u0159\xEDstupu\
            \ (nap\u0159. MFA);\n    o normy kybernetick\xE9 bezpe\u010Dnosti pro\
            \ slu\u017Ebu, syst\xE9m nebo produkt IKT, kter\xE9 mus\xED subjekt spl\u0148\
            ovat,\n    o p\u0159\xEDpadn\u011B po\u017Eadovanou \xFArove\u0148 z\xE1\
            ruky produktu, syst\xE9mu nebo slu\u017Eby IKT a existenci p\u0159\xED\
            slu\u0161n\xE9ho certifik\xE1tu v souladu s Evropsk\xFDm programem kybernetick\xE9\
            \ bezpe\u010Dnosti pro produkty IKT zalo\u017Een\xFDm na spole\u010Dn\xFD\
            ch krit\xE9ri\xEDch (EUCC). \n\u2022 Zva\u017Ete vyhodnocen\xED bezpe\u010D\
            nosti slu\u017Eby, syst\xE9mu nebo produktu IKT p\u0159ed jejich po\u0159\
            \xEDzen\xEDm (50).\n\n(50) Krit\xE9ria pro slo\u017Eky s otev\u0159en\xFD\
            m zdrojov\xFDm k\xF3dem by m\u011Bla zohled\u0148ovat dobrovolnou povahu\
            \ projekt\u016F s otev\u0159en\xFDm zdrojov\xFDm k\xF3dem. Nabyvatel\xE9\
            \ t\u011Bchto komponent mus\xED konstruktivn\u011B spolupracovat s administr\xE1\
            tory projektu na \u0159e\u0161en\xED identifikovan\xFDch bezpe\u010Dnostn\xED\
            ch po\u017Eadavk\u016F a zav\xE1d\u011Bn\xED zm\xEDrn\u011Bn\xED a/nebo\
            \ vylep\u0161en\xED. Tato vylep\u0161en\xED by m\u011Bla b\xFDt sd\xED\
            lena s open source projektem pod jejich licenc\xED a podm\xEDnkami."
          typical_evidence: "\u2022 Minul\xE1 nebo prob\xEDhaj\xEDc\xED nab\xEDdkov\xE1\
            \ \u0159\xEDzen\xED na po\u0159\xEDzen\xED slu\u017Eeb, syst\xE9m\u016F\
            \ nebo produkt\u016F IKT, kter\xE1 se zab\xFDvaj\xED kybernetickou bezpe\u010D\
            nost\xED a odkazuj\xED alespo\u0148 na prvky uveden\xE9 v bod\u011B 6.1.2\
            \ p\u0159\xEDlohy na\u0159\xEDzen\xED. \n\u2022 Porovn\xE1n\xED mezi vybran\xFD\
            mi zak\xE1zkami a souvisej\xEDc\xEDmi nab\xEDdkov\xFDmi \u0159\xEDzen\xED\
            mi s c\xEDlem ov\u011B\u0159it, zda je zohledn\u011Bna politika dodavatelsk\xE9\
            ho \u0159et\u011Bzce, a zejm\xE9na prvky uveden\xE9 v bodech 5.1.4 a 5.1.5\
            \ p\u0159\xEDlohy na\u0159\xEDzen\xED. \n\u2022 Z\xE1znamy z bezpe\u010D\
            nostn\xEDch test\u016F p\u0159ed po\u0159\xEDzen\xEDm ICT syst\xE9mu nebo\
            \ produktu. \nCertifik\xE1ty, protokoly o zkou\u0161k\xE1ch nebo jin\xE9\
            \ podp\u016Frn\xE9 informace pro produkty nebo syst\xE9my IKT od vhodn\u011B\
            \ akreditovan\xFDch subjekt\u016F posuzov\xE1n\xED shody."
        it:
          description: 'Ai fini del punto 6.1.1., i processi di cui al punto 6.1.1.
            comprende:'
          annotation: "\u2022 I requisiti di sicurezza devono includere almeno i mezzi\
            \ per rilevare, monitorare e proteggere da modifiche non autorizzate del\
            \ software e delle informazioni. \n\u2022 Assicurarsi che i contratti\
            \ di supporto coprano il ciclo di vita del sistema e i requisiti di gestione\
            \ dell'obsolescenza, inclusa la data fino alla quale il sistema deve essere\
            \ supportato e includano avvisi continui. \n\u2022 Privilegiare i fornitori\
            \ che forniscono informazioni chiare sulla fine del ciclo di vita e che\
            \ prevedono di fornire correzioni di sicurezza critiche separate. \n\u2022\
            \ Assicurarsi che le gare d'appalto richiedano che i fornitori o i fornitori\
            \ di servizi forniscano soluzioni testate per problemi di sicurezza in\
            \ tecnologie legacy o nuove gratuitamente e non appena si viene a conoscenza\
            \ di un problema di sicurezza rilevante. \n\u2022 Considerare anche le\
            \ seguenti informazioni che descrivono le funzioni di sicurezza informatica\
            \ implementate come (elenco indicativo, non esaustivo):\n    o i potenziali\
            \ rischi che potrebbero derivare dall'acquisto di uno specifico servizio,\
            \ sistema o prodotto ICT. Ci\xF2 potrebbe comportare test di penetrazione\
            \ per identificare minacce, vulnerabilit\xE0 e il potenziale impatto sulle\
            \ operazioni dell'entit\xE0;\n    o eventuali strumenti di sicurezza che\
            \ devono gi\xE0 essere predisposti, ad esempio un firewall, un sistema\
            \ di rilevamento delle intrusioni, un SIEM o un EDR/XDR;\n    o un meccanismo\
            \ di sicurezza specifico che potrebbe essere necessario mettere in atto,\
            \ come un algoritmo di crittografia specifico o un particolare meccanismo\
            \ di controllo degli accessi (ad es. MFA);\n    o norme di cibersicurezza\
            \ per il servizio, il sistema o il prodotto TIC che l'entit\xE0 deve rispettare;\n\
            \    o, se del caso, il livello di garanzia richiesto per il prodotto,\
            \ il sistema o il servizio TIC e l'esistenza di un certificato pertinente\
            \ secondo il sistema europeo di cibersicurezza per i prodotti TIC basato\
            \ su criteri comuni (EUCC). \n\u2022 Valutare la possibilit\xE0 di valutare\
            \ la sicurezza di un servizio, di un sistema o di un prodotto TIC prima\
            \ dell'acquisizione (50).\n\n(50) I criteri per le componenti open source\
            \ dovrebbero tenere conto della natura volontaria dei progetti open source.\
            \ Gli acquirenti di tali componenti devono impegnarsi in modo costruttivo\
            \ con i manutentori del progetto per affrontare i requisiti di sicurezza\
            \ identificati e introdurre mitigazioni e/o miglioramenti. Questi miglioramenti\
            \ devono essere condivisi con il progetto open source in base alla licenza\
            \ e ai termini."
          typical_evidence: "\u2022 Gare d'appalto passate o in corso per l'acquisizione\
            \ di servizi, sistemi o prodotti ICT, che affrontano la sicurezza informatica\
            \ facendo riferimento, come minimo, agli elementi delineati al punto 6.1.2\
            \ dell'Allegato al regolamento. \n\u2022 Confronto tra i contratti selezionati\
            \ e le relative gare per verificare se la politica di filiera e in particolare\
            \ gli elementi di cui ai punti 5.1.4 e 5.1.5 dell'Allegato al regolamento,\
            \ sono presi in considerazione. \n\u2022 Registrazioni dei test di sicurezza\
            \ prima dell'acquisto di un sistema o prodotto ICT. \n\u2022 Certificati,\
            \ rapporti di prova o altre informazioni di supporto per i prodotti o\
            \ i sistemi TIC provenienti da organismi di valutazione della conformit\xE0\
            \ adeguatamente accreditati."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.1.2.a
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.1.2
      ref_id: 6.1.2.a
      description: security requirements to apply to the ICT services or ICT products
        to be acquired;
      translations:
        fr:
          description: "les exigences de s\xE9curit\xE9 applicables aux services TIC\
            \ ou produits TIC \xE0 acqu\xE9rir;"
        es:
          description: requisitos de seguridad aplicables a los servicios o productos
            TIC que vayan a adquirirse;
        cs:
          description: "bezpe\u010Dnostn\xED po\u017Eadavky, kter\xE9 se maj\xED vztahovat\
            \ na po\u0159izovan\xE9 slu\u017Eby IKT nebo produkty IKT;"
        it:
          description: requisiti di sicurezza da applicare ai servizi o ai prodotti
            TIC da acquistare;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.1.2.b
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.1.2
      ref_id: 6.1.2.b
      description: requirements regarding security updates throughout the entire lifetime
        of the ICT services or ICT products, or replacement after the end of the support
        period;
      translations:
        fr:
          description: "les exigences concernant les mises \xE0 jour de s\xE9curit\xE9\
            \ pendant toute la dur\xE9e de vie des services TIC ou des produits TIC,\
            \ ou leur remplacement au terme de la p\xE9riode d\u2019assistance;"
        es:
          description: "requisitos relativos a las actualizaciones de seguridad a\
            \ lo largo de toda la vida \xFAtil de los productos o servicios TIC o\
            \ a su sustituci\xF3n tras el final del per\xEDodo de soporte;"
        cs:
          description: "po\u017Eadavky t\xFDkaj\xEDc\xED se bezpe\u010Dnostn\xEDch\
            \ aktualizac\xED po celou dobu \u017Eivotnosti slu\u017Eeb IKT nebo produkt\u016F\
            \ IKT nebo nahrazen\xED po skon\u010Den\xED doby podpory;"
        it:
          description: requisiti relativi agli aggiornamenti di sicurezza per l'intero
            ciclo di vita dei servizi TIC o dei prodotti TIC, o alla sostituzione
            dopo la fine del periodo di supporto;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.1.2.c
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.1.2
      ref_id: 6.1.2.c
      description: information describing the hardware and software components used
        in the ICT services or ICT products;
      translations:
        fr:
          description: "les informations d\xE9crivant les composants mat\xE9riels\
            \ et logiciels utilis\xE9s dans les services TIC ou les produits TIC;"
        es:
          description: "informaci\xF3n que describa los componentes de hardware y\
            \ software utilizados en los servicios y productos TIC;"
        cs:
          description: "informace popisuj\xEDc\xED hardwarov\xE9 a softwarov\xE9 komponenty\
            \ pou\u017E\xEDvan\xE9 ve slu\u017Eb\xE1ch IKT nebo produktech IKT;"
        it:
          description: informazioni che descrivano i componenti hardware e software
            utilizzati nei servizi TIC o nei prodotti TIC;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.1.2.d
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.1.2
      ref_id: 6.1.2.d
      description: information describing the implemented cybersecurity functions
        of the ICT services or ICT products and the configuration required for their
        secure operation;
      translations:
        fr:
          description: "les informations d\xE9crivant les fonctions de cybers\xE9\
            curit\xE9 des services TIC ou des produits TIC mises en \u0153uvre et\
            \ la configuration n\xE9cessaire \xE0 leur fonctionnement s\xE9curis\xE9\
            ;"
        es:
          description: "informaci\xF3n que describa las funciones de ciberseguridad\
            \ de los servicios o productos TIC puestas en marcha o la configuraci\xF3\
            n necesaria para su funcionamiento seguro;"
        cs:
          description: "informace popisuj\xEDc\xED zaveden\xE9 funkce kybernetick\xE9\
            \ bezpe\u010Dnosti ve slu\u017Eb\xE1ch IKT nebo produktech ICT a konfiguraci\
            \ pot\u0159ebnou pro jejich bezpe\u010Dn\xFD provoz;"
        it:
          description: informazioni che descrivano le funzioni di cibersicurezza implementate
            dei servizi TIC o dei prodotti TIC e la configurazione necessaria per
            il loro funzionamento sicuro;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.1.2.e
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.1.2
      ref_id: 6.1.2.e
      description: assurance that the ICT services or ICT products comply with the
        security requirements according to point (a);
      translations:
        fr:
          description: "l\u2019assurance que les services TIC ou les produits TIC\
            \ sont conformes aux exigences de s\xE9curit\xE9 vis\xE9es au point\_\
            a);"
        es:
          description: "garant\xEDas de que los servicios o productos TIC cumplen\
            \ los requisitos de seguridad con arreglo a la letra a);"
        cs:
          description: "uji\u0161t\u011Bn\xED, \u017Ee slu\u017Eby IKT nebo produkty\
            \ IKT spl\u0148uj\xED bezpe\u010Dnostn\xED po\u017Eadavky podle p\xED\
            smene a);"
        it:
          description: la garanzia che i servizi TIC o i prodotti TIC siano conformi
            ai requisiti di sicurezza di cui alla lettera a);
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.1.2.f
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.1.2
      ref_id: 6.1.2.f
      description: methods for validating that the delivered ICT services or ICT products
        are compliant to the stated security requirements, as well as documentation
        of the results of the validation.
      translations:
        fr:
          description: "les m\xE9thodes permettant de valider la conformit\xE9 des\
            \ services TIC ou des produits TIC fournis aux exigences de s\xE9curit\xE9\
            \ \xE9nonc\xE9es, ainsi que la consignation des r\xE9sultats de la validation."
        es:
          description: "m\xE9todos para validar el cumplimiento de los requisitos\
            \ de seguridad declarados por parte de los servicios o productos de TIC\
            \ suministrados, y documentaci\xF3n de los resultados de la validaci\xF3\
            n."
        cs:
          description: "metody ov\u011B\u0159ov\xE1n\xED, zda dodan\xE9 slu\u017E\
            by IKT nebo produkty IKT spl\u0148uj\xED stanoven\xE9 bezpe\u010Dnostn\xED\
            \ po\u017Eadavky, a zdokumentov\xE1n\xED v\xFDsledk\u016F ov\u011B\u0159\
            ov\xE1n\xED."
        it:
          description: "metodi per convalidare che i servizi TIC o i prodotti TIC\
            \ forniti siano conformi ai requisiti di sicurezza dichiarati, nonch\xE9\
            \ la documentazione dei risultati della convalida."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.1.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.1
      ref_id: 6.1.3
      description: The relevant entities shall review and, where appropriate, update
        the processes at planned intervals and when significant incidents occur.
      annotation: "\u2022 Review the processes for secure acquisition of ICT services,\
        \ systems or products, and the procedures based on them, at least annually.\
        \ \n\u2022 Review logs or records of all changes made to the processes for\
        \ secure acquisition of ICT services, systems or products, and the procedures\
        \ based on them, including details of the changes, approvals and implementation\
        \ dates. \n\u2022 Align the tenders and contracts with the entity\u2019s supply\
        \ chain security policy (Annex to the regulation, point 5.1). \n\u2022 For\
        \ ICT services, systems or products that are not provided by a supplier (e.g.\
        \ open source projects), entities should share relevant results from internal\
        \ assessments with them.\n\n[TIPS]\n\n\u2022 Apply the secure acquisition\
        \ of ICT systems or product processes and relevant procedures to both software\
        \ and hardware products, regardless of whether they were developed in-house\
        \ or acquired. \n\u2022 Continuously monitor suppliers or service providers\
        \ with regard to points 5.1.6 and 5.1.7 of the Annex to the regulation so\
        \ that they are aligned with the supply chain security policy. \n\u2022 In\
        \ addition to the elements referred to in point 6.1.2 of the Annex to the\
        \ regulation, consider the following when formulating tenders with cybersecurity\
        \ in mind (indicative, non-exhaustive list):\n    o ensure continuous alerting,\
        \ patching and mitigation proposals if vulnerabilities in the system or the\
        \ product are discovered;\n    o clarify the supplier\u2019s or service provider\u2019\
        s liability in the event of cyber-attacks or incidents relevant to the service,\
        \ system or product; and\n    o consider cybersecurity during project implementation\
        \ and before handover including (indicative, non- exhaustive list):\n    \
        \    * design reviews;\n        * acceptance tests;\n        * commissioning\
        \ tests;\n        * site acceptance tests; and\n        * documentation. \n\
        \u2022 Make sure that secure decommissioning service providers involve considerations\
        \ such as deactivating user and service accounts, terminating data flows and\
        \ ensuring the secure disposal of the entity\u2019s data within supplier or\
        \ service provider systems. \n\u2022 Free and open-source software is often\
        \ obtained free of charge from communities and projects developing, maintaining\
        \ and distributing software, as opposed to purchased from suppliers or service\
        \ providers. When using such software without purchase, relevant entities\
        \ cannot impose obligations for compliance beyond the adherence to the terms\
        \ of the open source software license. Beyond that, it is good practice to\
        \ apply the guidance of section 6.1."
      typical_evidence: "\u2022 Review plans or schedules for processes for secure\
        \ acquisition of ICT services, systems or products, and the procedures based\
        \ on them. \n\u2022 Minutes from reviews or possible changes made to the processes\
        \ for ICT services, system or product acquisition, and the procedures based\
        \ on them, including actions taken to enhance security in future acquisitions.\
        \ \n\u2022 Documented results of possible auditing activities, indicating\
        \ compliance with internal secure acquisition of ICT services, systems or\
        \ products processes and external regulations. \n\u2022 Change management\
        \ records of changes made to the processes for secure acquisition of ICT services,\
        \ systems or products, and the procedures based on them, including documentation\
        \ of the review and approval process. \n\u2022 Incident response records that\
        \ confirm whether the entity takes into account significant incidents when\
        \ reviewing and updating the processes and procedures for secure acquisition\
        \ of ICT services, systems or products.\n\n[TIPS]\n\n\u2022 Evidence that\
        \ internal (in-house) projects consider and prioritize security when acquiring\
        \ ICT services, systems or product processes. \n\u2022 Evidence that points\
        \ 5.1.6 and 5.1.7 of the Annex to the regulation are implemented. \n\u2022\
        \ Tenders that contain elements in addition to those referred to in point\
        \ 6.1.2 of the Annex to the regulation."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es r\xE9examinent et, s\u2019il\
            \ est besoin, mettent \xE0 jour les proc\xE9dures \xE0 intervalles pr\xE9\
            d\xE9finis, ainsi qu\u2019en cas d\u2019incidents importants."
          annotation: "\u2022 Examiner les processus d\u2019acquisition s\xE9curis\xE9\
            e de services, de syst\xE8mes ou de produits TIC, ainsi que les proc\xE9\
            dures fond\xE9es sur ceux-ci, au moins une fois par an. \n\u2022 Examiner\
            \ les registres ou les enregistrements de toutes les modifications apport\xE9\
            es aux processus d\u2019acquisition s\xE9curis\xE9e de services, de syst\xE8\
            mes ou de produits TIC, ainsi que les proc\xE9dures qui en d\xE9coulent,\
            \ y compris les d\xE9tails des modifications, les approbations et les\
            \ dates de mise en \u0153uvre. \n\u2022 Aligner les appels d\u2019offres\
            \ et les contrats sur la politique de s\xE9curit\xE9 de la cha\xEEne d\u2019\
            approvisionnement de l\u2019entit\xE9 (annexe du r\xE8glement, point 5.1).\
            \ \n\u2022 Pour les services, syst\xE8mes ou produits TIC qui ne sont\
            \ pas fournis par un fournisseur (par exemple, les projets open source),\
            \ les entit\xE9s devraient partager avec eux les r\xE9sultats pertinents\
            \ des \xE9valuations internes.\n\n[CONSEILS]\n\n\u2022 Appliquer l\u2019\
            acquisition s\xE9curis\xE9e de syst\xE8mes TIC ou de processus de produits\
            \ et de proc\xE9dures pertinentes aux produits logiciels et mat\xE9riels,\
            \ qu\u2019ils aient \xE9t\xE9 d\xE9velopp\xE9s en interne ou acquis. \n\
            \u2022 Surveiller en permanence les fournisseurs ou prestataires de services\
            \ en ce qui concerne les points 5.1.6 et 5.1.7 de l\u2019annexe du r\xE8\
            glement afin qu\u2019ils soient align\xE9s sur la politique de s\xE9curit\xE9\
            \ de la cha\xEEne d\u2019approvisionnement. \n\u2022 Outre les \xE9l\xE9\
            ments vis\xE9s au point 6.1.2 de l\u2019annexe du r\xE8glement, les \xE9\
            l\xE9ments suivants sont pris en compte lors de la formulation des offres\
            \ en tenant compte de la cybers\xE9curit\xE9 (liste indicative et non\
            \ exhaustive) :\n    o Assurer des propositions continues d\u2019alerte,\
            \ de correctifs et d\u2019att\xE9nuation si des vuln\xE9rabilit\xE9s dans\
            \ le syst\xE8me ou le produit sont d\xE9couvertes\_;\n    o clarifier\
            \ la responsabilit\xE9 du fournisseur ou du prestataire de services en\
            \ cas de cyberattaques ou d\u2019incidents li\xE9s au service, au syst\xE8\
            me ou au produit ; et\n    o Consid\xE9rer la cybers\xE9curit\xE9 lors\
            \ de la mise en \u0153uvre du projet et avant la livraison, y compris\
            \ (liste indicative, non exhaustive) :\n        * revues de conception\_\
            ;\n        * tests d\u2019acceptation ;\n        * essais de mise en service\
            \ ;\n        * essais de r\xE9ception sur site ; et\n        *documentation.\
            \ \n\u2022 Assurez-vous que les fournisseurs de services de mise hors\
            \ service s\xE9curis\xE9e impliquent des consid\xE9rations telles que\
            \ la d\xE9sactivation des comptes d\u2019utilisateurs et de services,\
            \ la fin des flux de donn\xE9es et la s\xE9curisation de l\u2019\xE9limination\
            \ des donn\xE9es de l\u2019entit\xE9 dans les syst\xE8mes des fournisseurs\
            \ ou des prestataires de services. \n\u2022 Les logiciels libres et open\
            \ source sont souvent obtenus gratuitement aupr\xE8s des communaut\xE9\
            s et des projets de d\xE9veloppement, de maintenance et de distribution\
            \ de logiciels, par opposition \xE0 des fournisseurs ou des prestataires\
            \ de services. Lorsqu\u2019elles utilisent un tel logiciel sans l\u2019\
            acheter, les entit\xE9s concern\xE9es ne peuvent pas imposer d\u2019obligations\
            \ de conformit\xE9 au-del\xE0 du respect des conditions de la licence\
            \ de logiciel open source. Au-del\xE0 de cela, il est de bonne pratique\
            \ d\u2019appliquer les orientations de la section 6.1."
          typical_evidence: "\u2022 Examiner les plans ou les calendriers des processus\
            \ d\u2019acquisition s\xE9curis\xE9e de services, de syst\xE8mes ou de\
            \ produits TIC, ainsi que les proc\xE9dures qui en d\xE9coulent. \n\u2022\
            \ Proc\xE8s-verbaux des examens ou des modifications \xE9ventuelles apport\xE9\
            es aux processus d\u2019acquisition de services, de syst\xE8mes ou de\
            \ produits TIC, et les proc\xE9dures qui en d\xE9coulent, y compris les\
            \ mesures prises pour renforcer la s\xE9curit\xE9 lors des acquisitions\
            \ futures. \n\u2022 Documenter les r\xE9sultats d\u2019\xE9ventuelles\
            \ activit\xE9s d\u2019audit, indiquant la conformit\xE9 avec les processus\
            \ internes d\u2019acquisition s\xE9curis\xE9e de services, de syst\xE8\
            mes ou de produits TIC et les r\xE9glementations externes. \n\u2022 Registres\
            \ de gestion des modifications apport\xE9es aux processus d\u2019acquisition\
            \ s\xE9curis\xE9e de services, de syst\xE8mes ou de produits TIC, ainsi\
            \ que les proc\xE9dures fond\xE9es sur ceux-ci, y compris la documentation\
            \ du processus d\u2019examen et d\u2019approbation. \n\u2022 Des registres\
            \ d\u2019intervention en cas d\u2019incident qui confirment si l\u2019\
            entit\xE9 tient compte des incidents importants lors de l\u2019examen\
            \ et de la mise \xE0 jour des processus et proc\xE9dures d\u2019acquisition\
            \ s\xE9curis\xE9e de services, de syst\xE8mes ou de produits TIC.\n\n\
            [CONSEILS]\n\n\u2022 Preuve que les projets internes prennent en compte\
            \ et privil\xE9gient la s\xE9curit\xE9 lors de l\u2019acquisition de services,\
            \ de syst\xE8mes ou de processus de produits TIC. \n\u2022 La preuve que\
            \ les points 5.1.6 et 5.1.7 de l\u2019annexe du r\xE8glement sont mis\
            \ en \u0153uvre. \n\u2022 Les offres qui contiennent des \xE9l\xE9ments\
            \ en plus de ceux vis\xE9s au point 6.1.2 de l\u2019annexe du r\xE8glement."
        es:
          description: "Las entidades pertinentes revisar\xE1n y, cuando proceda,\
            \ actualizar\xE1n los procedimientos a intervalos planificados, as\xED\
            \ como cuando se produzcan incidentes significativos."
          annotation: "\u2022 Revisar los procesos para la adquisici\xF3n segura de\
            \ servicios, sistemas o productos de TIC, y los procedimientos basados\
            \ en ellos, al menos una vez al a\xF1o. \n\u2022 Revisar los registros\
            \ de todos los cambios realizados en los procesos para la adquisici\xF3\
            n segura de servicios, sistemas o productos de TIC, y los procedimientos\
            \ basados en ellos, incluidos los detalles de los cambios, las aprobaciones\
            \ y las fechas de implementaci\xF3n. \n\u2022 Alinear las licitaciones\
            \ y contratos con la pol\xEDtica de seguridad de la cadena de suministro\
            \ de la entidad (Anexo al reglamento, punto 5.1). \n\u2022 En el caso\
            \ de los servicios, sistemas o productos de TIC que no sean suministrados\
            \ por un proveedor (por ejemplo, proyectos de c\xF3digo abierto), las\
            \ entidades deben compartir con ellos los resultados pertinentes de las\
            \ evaluaciones internas.\n\n[CONSEJOS]\n\n\u2022 Aplicar la adquisici\xF3\
            n segura de sistemas de TIC o procesos de productos y procedimientos pertinentes\
            \ tanto a los productos de software como a los de hardware, independientemente\
            \ de si fueron desarrollados internamente o adquiridos. \n\u2022 Realizar\
            \ un seguimiento continuo de los proveedores o prestadores de servicios\
            \ en relaci\xF3n con los puntos 5.1.6 y 5.1.7 del Anexo del Reglamento\
            \ para que est\xE9n alineados con la pol\xEDtica de seguridad de la cadena\
            \ de suministro. \n\u2022 Adem\xE1s de los elementos mencionados en el\
            \ punto 6.1.2 del anexo del Reglamento, se tendr\xE1 en cuenta lo siguiente\
            \ a la hora de formular ofertas teniendo en cuenta la ciberseguridad (lista\
            \ indicativa no exhaustiva):\n    o garantizar alertas continuas, parches\
            \ y propuestas de mitigaci\xF3n si se descubren vulnerabilidades en el\
            \ sistema o en el producto;\n    o aclarar la responsabilidad del proveedor\
            \ o prestador de servicios en caso de ciberataques o incidentes relacionados\
            \ con el servicio, sistema o producto; y\n    o Considerar la ciberseguridad\
            \ durante la ejecuci\xF3n del proyecto y antes de la entrega, incluyendo\
            \ (lista indicativa y no exhaustiva):\n        * Revisiones de dise\xF1\
            o;\n        * pruebas de aceptaci\xF3n;\n        * pruebas de puesta en\
            \ marcha;\n        * Pruebas de aceptaci\xF3n del sitio; y\n        *documentaci\xF3\
            n. \n\u2022 Aseg\xFArese de que los proveedores de servicios de desmantelamiento\
            \ seguro incluyan consideraciones tales como la desactivaci\xF3n de cuentas\
            \ de usuario y servicio, la terminaci\xF3n de los flujos de datos y la\
            \ garant\xEDa de la eliminaci\xF3n segura de los datos de la entidad dentro\
            \ de los sistemas del proveedor o proveedor de servicios. \n\u2022 El\
            \ software libre y de c\xF3digo abierto a menudo se obtiene de forma gratuita\
            \ de las comunidades y proyectos que desarrollan, mantienen y distribuyen\
            \ software, en lugar de comprarlo a proveedores o prestadores de servicios.\
            \ Al utilizar dicho software sin compra, las entidades pertinentes no\
            \ pueden imponer obligaciones de cumplimiento m\xE1s all\xE1 del cumplimiento\
            \ de los t\xE9rminos de la licencia de software de c\xF3digo abierto.\
            \ M\xE1s all\xE1 de eso, es una buena pr\xE1ctica aplicar las directrices\
            \ de la secci\xF3n 6.1."
          typical_evidence: "\u2022 Revisar los planes o cronogramas de los procesos\
            \ para la adquisici\xF3n segura de servicios, sistemas o productos de\
            \ TIC, y los procedimientos basados en ellos. \n\u2022 Actas de revisiones\
            \ o posibles cambios realizados en los procesos de adquisici\xF3n de servicios\
            \ TIC, sistemas o productos, y los procedimientos basados en ellos, incluidas\
            \ las acciones tomadas para mejorar la seguridad en futuras adquisiciones.\
            \ \n\u2022 Resultados documentados de posibles actividades de auditor\xED\
            a, indicando el cumplimiento de los procesos internos de adquisici\xF3\
            n segura de servicios, sistemas o productos de TIC y las regulaciones\
            \ externas. \n\u2022 Registros de gesti\xF3n de cambios de los cambios\
            \ realizados en los procesos de adquisici\xF3n segura de servicios, sistemas\
            \ o productos de TIC, y los procedimientos basados en ellos, incluida\
            \ la documentaci\xF3n del proceso de revisi\xF3n y aprobaci\xF3n. \n\u2022\
            \ Registros de respuesta a incidentes que confirmen si la entidad tiene\
            \ en cuenta los incidentes significativos al revisar y actualizar los\
            \ procesos y procedimientos para la adquisici\xF3n segura de servicios,\
            \ sistemas o productos de TIC.\n\n[CONSEJOS]\n\n\u2022 Evidencia de que\
            \ los proyectos internos (in-house) consideran y priorizan la seguridad\
            \ al adquirir servicios, sistemas o procesos de productos TIC. \n\u2022\
            \ Pruebas de la aplicaci\xF3n de los puntos 5.1.6 y 5.1.7 del anexo del\
            \ Reglamento. \n\u2022 Las ofertas que contengan elementos adicionales\
            \ a los mencionados en el punto 6.1.2 del Anexo del Reglamento."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty procesy p\u0159ezkoum\xE1\
            vaj\xED a v p\u0159\xEDpad\u011B pot\u0159eby aktualizuj\xED v pl\xE1\
            novan\xFDch intervalech a p\u0159i v\xFDskytu v\xFDznamn\xFDch incident\u016F\
            ."
          annotation: "\u2022 Minim\xE1ln\u011B jednou ro\u010Dn\u011B p\u0159ezkoum\xE1\
            vat procesy bezpe\u010Dn\xE9ho po\u0159izov\xE1n\xED ICT slu\u017Eeb,\
            \ syst\xE9m\u016F nebo produkt\u016F a postupy na nich zalo\u017Een\xE9\
            . \nP\u0159ezkoum\xE1vat protokoly nebo z\xE1znamy o v\u0161ech zm\u011B\
            n\xE1ch proveden\xFDch v procesech pro bezpe\u010Dn\xE9 po\u0159izov\xE1\
            n\xED ICT slu\u017Eeb, syst\xE9m\u016F nebo produkt\u016F a postup\u016F\
            \ na nich zalo\u017Een\xFDch, v\u010Detn\u011B podrobnost\xED o zm\u011B\
            n\xE1ch, schv\xE1len\xED a term\xEDnech implementace. \n\u2022 sladit\
            \ nab\xEDdkov\xE1 \u0159\xEDzen\xED a zak\xE1zky s politikou bezpe\u010D\
            nosti dodavatelsk\xE9ho \u0159et\u011Bzce subjektu (p\u0159\xEDloha na\u0159\
            \xEDzen\xED, bod 5.1). \nU ICT slu\u017Eeb, syst\xE9m\u016F nebo produkt\u016F\
            , kter\xE9 nejsou poskytov\xE1ny dodavatelem (nap\u0159. projekty s otev\u0159\
            en\xFDm zdrojov\xFDm k\xF3dem), by subjekty m\u011Bly sd\xEDlet relevantn\xED\
            \ v\xFDsledky z intern\xEDch hodnocen\xED\n\n[TIPY]\n\n\u2022 Aplikovat\
            \ bezpe\u010Dnou akvizici ICT syst\xE9m\u016F nebo produktov\xFDch proces\u016F\
            \ a p\u0159\xEDslu\u0161n\xFDch postup\u016F na softwarov\xE9 i hardwarov\xE9\
            \ produkty bez ohledu na to, zda byly vyvinuty intern\u011B nebo po\u0159\
            \xEDzeny. \n\u2022 Pr\u016Fb\u011B\u017En\u011B sledovat dodavatele nebo\
            \ poskytovatele slu\u017Eeb s ohledem na body 5.1.6 a 5.1.7 p\u0159\xED\
            lohy na\u0159\xEDzen\xED tak, aby byly v souladu s politikou bezpe\u010D\
            nosti dodavatelsk\xE9ho \u0159et\u011Bzce. \n\u2022 Krom\u011B prvk\u016F\
            \ uveden\xFDch v bod\u011B 6.1.2 p\u0159\xEDlohy na\u0159\xEDzen\xED zva\u017E\
            te p\u0159i formulov\xE1n\xED nab\xEDdek s ohledem na kybernetickou bezpe\u010D\
            nost n\xE1sleduj\xEDc\xED skute\u010Dnosti (orienta\u010Dn\xED, ne\xFA\
            pln\xFD seznam):\n    o zajistit pr\u016Fb\u011B\u017En\xE9 upozor\u0148\
            ov\xE1n\xED, z\xE1platov\xE1n\xED a n\xE1vrhy na zm\xEDrn\u011Bn\xED rizik\
            \ v p\u0159\xEDpad\u011B zji\u0161t\u011Bn\xED zranitelnost\xED v syst\xE9\
            mu nebo produktu;\n    o objasnit odpov\u011Bdnost dodavatele nebo poskytovatele\
            \ slu\u017Eeb v p\u0159\xEDpad\u011B kybernetick\xFDch \xFAtok\u016F nebo\
            \ incident\u016F souvisej\xEDc\xEDch se slu\u017Ebou, syst\xE9mem nebo\
            \ produktem; a\n    o zv\xE1\u017Eit kybernetickou bezpe\u010Dnost b\u011B\
            hem realizace projektu a p\u0159ed jeho p\u0159ed\xE1n\xEDm v\u010Detn\u011B\
            \ (orienta\u010Dn\xED, ne\xFApln\xFD seznam):\n        * recenze designu;\n\
            \        * akcepta\u010Dn\xED testy;\n        * zkou\u0161ky p\u0159i\
            \ uv\xE1d\u011Bn\xED do provozu;\n        * p\u0159ej\xEDmac\xED zkou\u0161\
            ky na m\xEDst\u011B; a\n        *dokumentace. \n\u2022 Ujist\u011Bte se,\
            \ \u017Ee poskytovatel\xE9 slu\u017Eeb bezpe\u010Dn\xE9ho vy\u0159azov\xE1\
            n\xED z provozu zahrnuj\xED aspekty, jako je deaktivace u\u017Eivatelsk\xFD\
            ch \xFA\u010Dt\u016F a \xFA\u010Dt\u016F slu\u017Eeb, ukon\u010Den\xED\
            \ datov\xFDch tok\u016F a zaji\u0161t\u011Bn\xED bezpe\u010Dn\xE9 likvidace\
            \ dat subjektu v syst\xE9mech dodavatele nebo poskytovatele slu\u017E\
            eb. \nSvobodn\xFD a open-source software je \u010Dasto z\xEDsk\xE1v\xE1\
            n zdarma od komunit a projekt\u016F, kter\xE9 vyv\xEDjej\xED, udr\u017E\
            uj\xED a distribuuj\xED software, na rozd\xEDl od n\xE1kupu od dodavatel\u016F\
            \ nebo poskytovatel\u016F slu\u017Eeb. P\u0159i pou\u017E\xEDv\xE1n\xED\
            \ takov\xE9ho softwaru bez n\xE1kupu nemohou p\u0159\xEDslu\u0161n\xE9\
            \ subjekty ukl\xE1dat povinnosti k dodr\u017Eov\xE1n\xED p\u0159edpis\u016F\
            \ nad r\xE1mec dodr\u017Eov\xE1n\xED podm\xEDnek licence na software s\
            \ otev\u0159en\xFDm zdrojov\xFDm k\xF3dem. Krom\u011B toho je osv\u011B\
            d\u010Den\xFDm zvykem pou\u017E\xEDvat pokyny uveden\xE9 v odd\xEDle 6.1."
          typical_evidence: "\u2022 P\u0159ezkoum\xE1vat pl\xE1ny nebo harmonogramy\
            \ proces\u016F pro bezpe\u010Dn\xE9 z\xEDsk\xE1v\xE1n\xED ICT slu\u017E\
            eb, syst\xE9m\u016F nebo produkt\u016F a postupy na nich zalo\u017Een\xE9\
            . \n\u2022 Z\xE1pisy z reviz\xED nebo mo\u017En\xFDch zm\u011Bn proveden\xFD\
            ch v procesech pro po\u0159\xEDzen\xED ICT slu\u017Eeb, syst\xE9m\u016F\
            \ nebo produkt\u016F a postup\u016F na nich zalo\u017Een\xFDch, v\u010D\
            etn\u011B opat\u0159en\xED p\u0159ijat\xFDch ke zv\xFD\u0161en\xED bezpe\u010D\
            nosti p\u0159i budouc\xEDch akvizic\xEDch. \n\u2022 Dokumentovan\xE9 v\xFD\
            sledky p\u0159\xEDpadn\xFDch auditorsk\xFDch \u010Dinnost\xED, sv\u011B\
            d\u010D\xEDc\xED o souladu s intern\xEDm zabezpe\u010Den\xEDm proces\u016F\
            \ po\u0159izov\xE1n\xED ICT slu\u017Eeb, syst\xE9m\u016F nebo produkt\u016F\
            \ a extern\xEDch p\u0159edpis\u016F. \n\u2022 Zm\u011Bnov\xE9 \u0159\xED\
            zen\xED evidence zm\u011Bn v procesech pro bezpe\u010Dn\xE9 po\u0159\xED\
            zen\xED ICT slu\u017Eeb, syst\xE9m\u016F nebo produkt\u016F a postup\u016F\
            \ na nich zalo\u017Een\xFDch, v\u010Detn\u011B dokumentace procesu revize\
            \ a schvalov\xE1n\xED. \n\u2022 Z\xE1znamy o reakc\xEDch na incidenty,\
            \ kter\xE9 potvrzuj\xED, zda subjekt bere v \xFAvahu v\xFDznamn\xE9 incidenty\
            \ p\u0159i p\u0159ezkoum\xE1v\xE1n\xED a aktualizaci proces\u016F a postup\u016F\
            \ pro bezpe\u010Dn\xE9 po\u0159izov\xE1n\xED ICT slu\u017Eeb, syst\xE9\
            m\u016F nebo produkt\u016F.\n\n[TIPY]\n\n\u2022 D\u016Fkaz, \u017Ee intern\xED\
            \ (vnitropodnikov\xE9) projekty zva\u017Euj\xED a up\u0159ednost\u0148\
            uj\xED bezpe\u010Dnost p\u0159i po\u0159izov\xE1n\xED ICT slu\u017Eeb,\
            \ syst\xE9m\u016F nebo produktov\xFDch proces\u016F. \n\u2022 D\u016F\
            kaz o tom, \u017Ee jsou prov\xE1d\u011Bny body 5.1.6 a 5.1.7 p\u0159\xED\
            lohy na\u0159\xEDzen\xED. \n\u2022 Nab\xEDdky, kter\xE9 obsahuj\xED dal\u0161\
            \xED prvky ne\u017E ty, kter\xE9 jsou uvedeny v bod\u011B 6.1.2 p\u0159\
            \xEDlohy na\u0159\xEDzen\xED."
        it:
          description: I soggetti pertinenti riesaminano e, se del caso, aggiornano
            le procedure a intervalli pianificati e quando si verificano incidenti
            significativi.
          annotation: "\u2022 Rivedere i processi per l'acquisizione sicura di servizi,\
            \ sistemi o prodotti ICT, e le procedure basate su di essi, almeno una\
            \ volta all'anno. \n\u2022 Esaminare i registri o le registrazioni di\
            \ tutte le modifiche apportate ai processi per l'acquisizione sicura di\
            \ servizi, sistemi o prodotti ICT e le procedure basate su di essi, compresi\
            \ i dettagli delle modifiche, le approvazioni e le date di implementazione.\
            \ \n\u2022 Allineare le gare e i contratti alla politica di sicurezza\
            \ della catena di fornitura dell'ente (Allegato al regolamento, punto\
            \ 5.1). \n\u2022 Per i servizi, i sistemi o i prodotti TIC che non sono\
            \ forniti da un fornitore (ad esempio progetti open source), i soggetti\
            \ dovrebbero condividere con loro i risultati pertinenti delle valutazioni\
            \ interne.\n\n[CONSIGLI]\n\n\u2022 Applicare l'acquisizione sicura di\
            \ sistemi TIC o processi di prodotto e delle relative procedure sia ai\
            \ prodotti software che a quelli hardware, indipendentemente dal fatto\
            \ che siano stati sviluppati internamente o acquisiti. \n\u2022 Monitorare\
            \ costantemente i fornitori o i prestatori di servizi per quanto riguarda\
            \ i punti 5.1.6 e 5.1.7 dell'Allegato al regolamento in modo che siano\
            \ allineati con la politica di sicurezza della catena di fornitura. \n\
            \u2022 Oltre agli elementi di cui al punto 6.1.2 dell'Allegato al regolamento,\
            \ nella formulazione delle offerte in ottica di cybersecurity (elenco\
            \ indicativo e non esaustivo) si considera:\n    o garantire l'invio continuo\
            \ di allarmi, patch e proposte di mitigazione qualora vengano rilevate\
            \ vulnerabilit\xE0 nel sistema o nel prodotto;\n    o chiarire la responsabilit\xE0\
            \ del fornitore o del fornitore di servizi in caso di attacchi informatici\
            \ o incidenti rilevanti per il servizio, il sistema o il prodotto; e\n\
            \    o prendere in considerazione la cibersicurezza durante l'attuazione\
            \ del progetto e prima della consegna, tra cui (elenco indicativo e non\
            \ esaustivo):\n        * revisioni del design;\n        * test di accettazione;\n\
            \        * prove di messa in servizio;\n        * test di accettazione\
            \ in cantiere; e\n        *documentazione. \n\u2022 Assicurarsi che i\
            \ fornitori di servizi di disattivazione sicura includano considerazioni\
            \ quali la disattivazione degli account utente e di servizio, l'interruzione\
            \ dei flussi di dati e la garanzia dello smaltimento sicuro dei dati dell'entit\xE0\
            \ all'interno dei sistemi del fornitore o del fornitore di servizi. \n\
            \u2022 Il software libero e open source \xE8 spesso ottenuto gratuitamente\
            \ da comunit\xE0 e progetti che sviluppano, mantengono e distribuiscono\
            \ software, invece di essere acquistato da fornitori o fornitori di servizi.\
            \ Quando si utilizza tale software senza acquisto, gli enti interessati\
            \ non possono imporre obblighi di conformit\xE0 oltre al rispetto dei\
            \ termini della licenza del software open source. Oltre a ci\xF2, \xE8\
            \ buona norma applicare le linee guida della sezione 6.1."
          typical_evidence: "\u2022 Rivedere i piani o le scadenze dei processi per\
            \ l'acquisizione sicura di servizi, sistemi o prodotti ICT e le procedure\
            \ basate su di essi. \n\u2022 Verbali delle revisioni o delle possibili\
            \ modifiche apportate ai processi per i servizi ICT, l'acquisizione di\
            \ sistemi o prodotti e le procedure basate su di essi, comprese le azioni\
            \ intraprese per migliorare la sicurezza nelle acquisizioni future. \n\
            \u2022 Risultati documentati di eventuali attivit\xE0 di auditing, indicanti\
            \ il rispetto dell'acquisizione sicura interna di servizi, sistemi o processi\
            \ di prodotti ICT e delle normative esterne. \n\u2022 Gestione delle modifiche:\
            \ registri delle modifiche apportate ai processi per l'acquisizione sicura\
            \ di servizi, sistemi o prodotti ICT e alle procedure basate su di essi,\
            \ compresa la documentazione del processo di revisione e approvazione.\
            \ \n\u2022 Registrazioni di risposta agli incidenti che confermano se\
            \ l'entit\xE0 tiene conto degli incidenti significativi nella revisione\
            \ e nell'aggiornamento dei processi e delle procedure per l'acquisizione\
            \ sicura di servizi, sistemi o prodotti ICT.\n\n[CONSIGLI]\n\n\u2022 Prove\
            \ che i progetti interni (interni) considerano e danno priorit\xE0 alla\
            \ sicurezza nell'acquisizione di servizi, sistemi o processi di prodotto\
            \ ICT. \n\u2022 Prove dell'attuazione dei punti 5.1.6 e 5.1.7 dell'allegato\
            \ al regolamento. \n\u2022 Gare che contengano elementi aggiuntivi rispetto\
            \ a quelli di cui al punto 6.1.2 dell'Allegato al regolamento."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.2
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6
      ref_id: '6.2'
      name: Secure development life cycle
      translations:
        fr:
          name: "Cycle de vie du d\xE9veloppement s\xE9curis\xE9"
        es:
          name: Ciclo de vida del desarrollo seguro
        cs:
          name: "\u017Divotn\xED cyklus bezpe\u010Dn\xE9ho v\xFDvoje"
        it:
          name: Ciclo di vita dello sviluppo sicuro
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.2.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.2
      ref_id: 6.2.1
      description: Before developing a network and information system, including software,
        the relevant entities shall lay down rules for the secure development of network
        and information systems and apply them when developing network and information
        systems in-house, or when outsourcing the development of network and information
        systems. The rules shall cover all development phases, including specification,
        design, development, implementation and testing.
      annotation: "\u2022 Take into account the entity\u2019s policies and norms (if\
        \ available) and industry-recognised standards when developing the rules for\
        \ the secure development of network and information systems (51).\n\n(51)\
        \ In addition, to those mentioned in the mapping table at the end of this\
        \ section, consider the following: \n\u2022 \u2018OWASP ASVS (Application\
        \ Security Verification Standard)\u2019, https://owasp.org/www-project-application-security-verification-standard/\
        \ , as updated from time to time. \n\u2022 ISO/IEC 27034 family, Information\
        \ technology - Security techniques - Application security. \n\u2022 NIST SP\
        \ 800-53, https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final, as updated from\
        \ time to time."
      typical_evidence: "\u2022 Documented rules for the secure development of network\
        \ and information systems which align with the entity\u2019s policies and\
        \ norms and are based on relevant standards and good practices."
      translations:
        fr:
          description: "Avant de d\xE9velopper un r\xE9seau et un syst\xE8me d\u2019\
            information, y compris des logiciels, les entit\xE9s concern\xE9es \xE9\
            tablissent des r\xE8gles pour le d\xE9veloppement s\xE9curis\xE9 des r\xE9\
            seaux et des syst\xE8mes d\u2019information et les appliquent lorsqu\u2019\
            elles d\xE9veloppent des r\xE9seaux et des syst\xE8mes d\u2019information\
            \ en interne ou lorsqu\u2019elles externalisent le d\xE9veloppement de\
            \ r\xE9seaux et de syst\xE8mes d\u2019information. Les r\xE8gles couvrent\
            \ toutes les phases du d\xE9veloppement, y compris la sp\xE9cification,\
            \ la conception, le d\xE9veloppement lui-m\xEAme, la mise en \u0153uvre\
            \ et les tests."
          annotation: "\u2022 tenir compte des politiques et normes de l\u2019entit\xE9\
            \ (le cas \xE9ch\xE9ant) et des normes reconnues par l\u2019industrie\
            \ lors de l\u2019\xE9laboration des r\xE8gles pour le d\xE9veloppement\
            \ s\xE9curis\xE9 des r\xE9seaux et des syst\xE8mes d\u2019information\
            \ (51).\n\n(51) En plus de ceux mentionn\xE9s dans le tableau de correspondance\
            \ \xE0 la fin de la pr\xE9sente section, il faut tenir compte de ce qui\
            \ suit : \n\u2022 'OWASP ASVS (Application Security Verification Standard)',\
            \ https://owasp.org/www-project-application-security-verification-standard/,\
            \ tel que mis \xE0 jour de temps \xE0 autre. \n\u2022 Famille ISO/IEC\
            \ 27034, Technologies de l\u2019information - Techniques de s\xE9curit\xE9\
            \ - S\xE9curit\xE9 des applications. \n\u2022 NIST SP 800-53, https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final,\
            \ telle que mise \xE0 jour de temps \xE0 autre."
          typical_evidence: "\u2022 Des r\xE8gles document\xE9es pour le d\xE9veloppement\
            \ s\xE9curis\xE9 du r\xE9seau et des syst\xE8mes d\u2019information qui\
            \ s\u2019alignent sur les politiques et les normes de l\u2019entit\xE9\
            \ et sont bas\xE9es sur les normes et les bonnes pratiques pertinentes."
        es:
          description: "Antes de desarrollar un sistema de redes y de informaci\xF3\
            n, incluidos los programas inform\xE1ticos, las entidades pertinentes\
            \ establecer\xE1n normas para el desarrollo seguro del mismo, y las aplicar\xE1\
            n al desarrollar estos sistemas de redes y de informaci\xF3n internamente\
            \ o cuando externalicen dicho desarrollo. Las normas englobar\xE1n todas\
            \ las fases de desarrollo, como las especificaciones, el dise\xF1o, la\
            \ creaci\xF3n, la implantaci\xF3n y las pruebas."
          annotation: "\u2022 Tener en cuenta las pol\xEDticas y normas de la entidad\
            \ (si est\xE1n disponibles) y los est\xE1ndares reconocidos por la industria\
            \ al desarrollar las reglas para el desarrollo seguro de redes y sistemas\
            \ de informaci\xF3n (51).\n\n(51) Adem\xE1s de los mencionados en el cuadro\
            \ de correspondencia que figura al final de esta secci\xF3n, consid\xE9\
            rese lo siguiente: \n\u2022 'OWASP ASVS (Est\xE1ndar de verificaci\xF3\
            n de seguridad de aplicaciones)', https://owasp.org/www-project-application-security-verification-standard/\
            \ , actualizado de vez en cuando. \n\u2022 Familia ISO/IEC 27034, Tecnolog\xED\
            a de la informaci\xF3n - T\xE9cnicas de seguridad - Seguridad de aplicaciones.\
            \ \n\u2022 NIST SP 800-53, https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final,\
            \ actualizado de vez en cuando."
          typical_evidence: "\u2022 Reglas documentadas para el desarrollo seguro\
            \ de redes y sistemas de informaci\xF3n que se alineen con las pol\xED\
            ticas y normas de la entidad y se basen en est\xE1ndares y buenas pr\xE1\
            cticas relevantes."
        cs:
          description: "P\u0159ed v\xFDvojem s\xEDt\u011B a informa\u010Dn\xEDho syst\xE9\
            mu, v\u010Detn\u011B softwaru, stanov\xED p\u0159\xEDslu\u0161n\xE9 subjekty\
            \ pravidla pro bezpe\u010Dn\xFD v\xFDvoj s\xEDt\xED a informa\u010Dn\xED\
            ch syst\xE9m\u016F a uplat\u0148uj\xED je p\u0159i v\xFDvoji s\xEDt\xED\
            \ a informa\u010Dn\xEDch syst\xE9m\u016F v r\xE1mci podniku nebo p\u0159\
            i zad\xE1v\xE1n\xED v\xFDvoje s\xEDt\xED a informa\u010Dn\xEDch syst\xE9\
            m\u016F extern\xEDm dodavatel\u016Fm. Pravidla se vztahuj\xED na v\u0161\
            echny f\xE1ze v\xFDvoje, v\u010Detn\u011B specifikace, n\xE1vrhu, v\xFD\
            voje, implementace a testov\xE1n\xED."
          annotation: "\u2022 P\u0159i vypracov\xE1v\xE1n\xED pravidel pro bezpe\u010D\
            n\xFD v\xFDvoj s\xEDt\xED a informa\u010Dn\xEDch syst\xE9m\u016F zohlednit\
            \ z\xE1sady a normy subjektu (jsou-li k dispozici) a odv\u011Btvov\u011B\
            \ uzn\xE1van\xE9 normy (51).\n\n(51) Krom\u011B t\u011Bch, kter\xE9 jsou\
            \ uvedeny v tabulce mapov\xE1n\xED na konci tohoto odd\xEDlu, zva\u017E\
            te n\xE1sleduj\xEDc\xED: \n\u2022 \"OWASP ASVS (Application Security Verification\
            \ Standard)\", https://owasp.org/www-project-application-security-verification-standard/\
            \ , kter\xFD je \u010Das od \u010Dasu aktualizov\xE1n. \n\u2022 \u0158\
            ada ISO/IEC 27034, Informa\u010Dn\xED technologie - Bezpe\u010Dnostn\xED\
            \ techniky - Bezpe\u010Dnost aplikac\xED. \n\u2022 NIST SP 800-53, https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final,\
            \ \u010Das od \u010Dasu aktualizovan\xFD."
          typical_evidence: "\u2022 Zdokumentovan\xE1 pravidla pro bezpe\u010Dn\xFD\
            \ v\xFDvoj s\xEDt\xED a informa\u010Dn\xEDch syst\xE9m\u016F, kter\xE1\
            \ jsou v souladu se z\xE1sadami a normami subjektu a jsou zalo\u017Eena\
            \ na p\u0159\xEDslu\u0161n\xFDch standardech a osv\u011Bd\u010Den\xFD\
            ch postupech."
        it:
          description: Prima di sviluppare una rete e un sistema informativo, compreso
            il software, i soggetti pertinenti stabiliscono norme per lo sviluppo
            sicuro delle reti e dei sistemi informativi e le applicano quando sviluppano
            internamente le reti e i sistemi informativi o quando esternalizzano lo
            sviluppo delle reti e dei sistemi informativi. Le norme riguardano tutte
            le fasi di sviluppo, comprese le specifiche, la progettazione, lo sviluppo,
            l'attuazione e il collaudo.
          annotation: "\u2022 Tenere conto delle politiche e delle norme dell'ente\
            \ (se disponibili) e degli standard riconosciuti dal settore nell'elaborazione\
            \ delle norme per lo sviluppo sicuro delle reti e dei sistemi informativi\
            \ (51).\n\n(51) Oltre a quelli menzionati nella tabella di mappatura alla\
            \ fine della presente sezione, si consideri quanto segue: \n\u2022 'OWASP\
            \ ASVS (Application Security Verification Standard)', https://owasp.org/www-project-application-security-verification-standard/\
            \ , come aggiornato di volta in volta. \n\u2022 Famiglia ISO/IEC 27034,\
            \ Informatica - Tecniche di sicurezza - Sicurezza delle applicazioni.\
            \ \n\u2022 NIST SP 800-53, https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final,\
            \ come aggiornato di volta in volta."
          typical_evidence: "\u2022 Regole documentate per lo sviluppo sicuro di reti\
            \ e sistemi informativi che siano in linea con le politiche e le norme\
            \ dell'ente e si basino su standard e buone pratiche pertinenti."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.2.2
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.2
      ref_id: 6.2.2
      description: 'For the purpose of point 6.2.1., the relevant entities shall:'
      annotation: "\u2022 A secure software development life cycle (SSDLC) process\
        \ should be implemented by all entities. However, smaller entities can use\
        \ a less demanding process such as implementing secure-by-design practices\
        \ and security-testing processes. \n\u2022 Depending on the type of requirement,\
        \ the rules for the secure development of software and systems should include\
        \ appropriate software testing methods (e.g. black-box, ad-hoc testing, static\
        \ versus dynamic application security testing). \n\u2022 Test security by\
        \ design at various stages of the secure development of the SSDLC prior to\
        \ go-live, utilising independent tools and a self-service testing platform\
        \ throughout the SSDLC. \n\u2022 When real production data - or derived variations\
        \ of it - is used for testing, ensure that such data is properly sanitised\
        \ or anonymised. An indicative, non-exhaustive list of techniques:\n    o\
        \ masking or pseudonymization on fields like names, emails, IDs;\n    o deletion\
        \ or redaction of identifiers (e.g. personal IDs, birth dates, ZIP codes);\
        \ and\n    o non-irreversible or one-way anonymisation. \n\u2022 When using\
        \ Free and Open Source Software components, entities should take into account\
        \ the voluntary nature of open source projects (see guidance of section 5.1).\
        \ Where possible, entities should assist the open source projects that they\
        \ depend on in adopting secure systems and secure coding principles (such\
        \ as introducing SSDLC processes suited to the project\u2019s way of working)."
      typical_evidence: "\u2022 Evidence that secure development rules have been adopted\
        \ (indicative, non-exhaustive list):\n    o documentation for each phase of\
        \ the life cycle, o process and workflow diagrams, o audit and testing reports,\
        \ o version control, o change management logs, o code reviews, and o project\
        \ management tools. \n\u2022 Evidence of the test results from secure development\
        \ environments, including that measures for protecting test data are maintained.\
        \ \n\u2022 Evidence of the software-testing methods chosen for a particular\
        \ test scenario and an explanation of the choice. \n\u2022 Test results of\
        \ each phase of the SSDLC maintained and up to date. \n\u2022 Test results\
        \ maintained and, where appropriate, approved by management bodies. \n\u2022\
        \ Evidence that a software-testing method is chosen at each stage of the software\
        \ development life cycle."
      translations:
        fr:
          description: "Aux fins du point\_6.2.1, les entit\xE9s concern\xE9es:"
          annotation: "\u2022 Un processus s\xE9curis\xE9 de cycle de vie du d\xE9\
            veloppement logiciel (SSDLC) doit \xEAtre mis en \u0153uvre par toutes\
            \ les entit\xE9s. Cependant, les petites entit\xE9s peuvent utiliser un\
            \ processus moins exigeant, tel que la mise en \u0153uvre de pratiques\
            \ de s\xE9curit\xE9 d\xE8s la conception et de processus de test de s\xE9\
            curit\xE9. \n\u2022 Selon le type d\u2019exigence, les r\xE8gles pour\
            \ le d\xE9veloppement s\xE9curis\xE9 des logiciels et des syst\xE8mes\
            \ doivent inclure des m\xE9thodes de test logicielle appropri\xE9es (par\
            \ exemple, bo\xEEte noire, tests ad hoc, tests de s\xE9curit\xE9 des applications\
            \ statiques ou dynamiques). \n\u2022 Tester la s\xE9curit\xE9 d\xE8s la\
            \ conception \xE0 diff\xE9rentes \xE9tapes du d\xE9veloppement s\xE9curis\xE9\
            \ du SSDLC avant sa mise en service, \xE0 l\u2019aide d\u2019outils ind\xE9\
            pendants et d\u2019une plate-forme de test en libre-service dans l\u2019\
            ensemble du SSDLC. \n\u2022 Lorsque des donn\xE9es de production r\xE9\
            elles - ou des variantes d\xE9riv\xE9es de celles-ci - sont utilis\xE9\
            es pour des tests, assurez-vous que ces donn\xE9es sont correctement nettoy\xE9\
            es ou anonymis\xE9es. Une liste indicative et non exhaustive de techniques\
            \ :\n    o masquage ou pseudonymisation sur des champs tels que les noms,\
            \ emails, identifiants ;\n    o la suppression ou la r\xE9daction d\u2019\
            identifiants (par exemple, les identifiants personnels, les dates de naissance,\
            \ les codes postaux) ; et\n    o l\u2019anonymisation non irr\xE9versible\
            \ ou \xE0 sens unique. \n\u2022 Lorsqu\u2019elles utilisent des composants\
            \ de logiciels libres et open source, les entit\xE9s doivent tenir compte\
            \ de la nature volontaire des projets open source (voir les orientations\
            \ de la section 5.1). Dans la mesure du possible, les entit\xE9s devraient\
            \ aider les projets open source dont elles d\xE9pendent \xE0 adopter des\
            \ syst\xE8mes s\xE9curis\xE9s et des principes de codage s\xE9curis\xE9\
            s (tels que l\u2019introduction de processus SSDLC adapt\xE9s \xE0 la\
            \ m\xE9thode de travail du projet)."
          typical_evidence: "\u2022 Preuve de l\u2019adoption de r\xE8gles d\u2019\
            am\xE9nagement s\xE9curis\xE9es (liste indicative et non exhaustive) :\n\
            \    o Documentation pour chaque phase du cycle de vie, o Diagrammes de\
            \ processus et de flux de travail, o Rapports d\u2019audit et de test,\
            \ o Contr\xF4le de version, o Journaux de gestion des changements, o Revues\
            \ de code et o Outils de gestion de projet. \n\u2022 Preuve des r\xE9\
            sultats des tests provenant d\u2019environnements de d\xE9veloppement\
            \ s\xE9curis\xE9s, y compris le maintien des mesures de protection des\
            \ donn\xE9es de test. \n\u2022 Preuve des m\xE9thodes de test de logiciels\
            \ choisies pour un sc\xE9nario de test particulier et explication du choix.\
            \ \n\u2022 R\xE9sultats des tests de chaque phase du SSDLC maintenus et\
            \ \xE0 jour. \n\u2022 Maintien et, le cas \xE9ch\xE9ant, approbation des\
            \ r\xE9sultats des tests par les organes de gestion. \n\u2022 Preuve qu\u2019\
            une m\xE9thode de test logiciel est choisie \xE0 chaque \xE9tape du cycle\
            \ de vie du d\xE9veloppement logiciel."
        es:
          description: 'A los efectos del punto 6.2.1, las entidades pertinentes:'
          annotation: "\u2022 Todas las entidades deben implementar un proceso seguro\
            \ de ciclo de vida de desarrollo de software (SSDLC). Sin embargo, las\
            \ entidades m\xE1s peque\xF1as pueden utilizar un proceso menos exigente,\
            \ como la implementaci\xF3n de pr\xE1cticas de seguridad por dise\xF1\
            o y procesos de pruebas de seguridad. \n\u2022 Dependiendo del tipo de\
            \ requisito, las reglas para el desarrollo seguro de software y sistemas\
            \ deben incluir m\xE9todos de prueba de software apropiados (por ejemplo,\
            \ caja negra, pruebas ad-hoc, pruebas de seguridad de aplicaciones est\xE1\
            ticas frente a pruebas din\xE1micas). \n\u2022 Probar la seguridad desde\
            \ el dise\xF1o en varias etapas del desarrollo seguro del SSDLC antes\
            \ de la puesta en marcha, utilizando herramientas independientes y una\
            \ plataforma de pruebas de autoservicio en todo el SSDLC. \n\u2022 Cuando\
            \ se utilicen datos de producci\xF3n reales, o variaciones derivadas de\
            \ ellos, para las pruebas, aseg\xFArese de que dichos datos est\xE9n debidamente\
            \ desinfectados o anonimizados. Una lista indicativa y no exhaustiva de\
            \ t\xE9cnicas:\n    o enmascaramiento o seudonimizaci\xF3n en campos como\
            \ nombres, correos electr\xF3nicos, identificaciones;\n    o eliminaci\xF3\
            n o redacci\xF3n de identificadores (por ejemplo, identificaciones personales,\
            \ fechas de nacimiento, c\xF3digos postales); y\n    o Anonimizaci\xF3\
            n no irreversible o unidireccional. \n\u2022 Al utilizar componentes de\
            \ software libre y de c\xF3digo abierto, las entidades deben tener en\
            \ cuenta la naturaleza voluntaria de los proyectos de c\xF3digo abierto\
            \ (consulte la orientaci\xF3n de la secci\xF3n 5.1). Siempre que sea posible,\
            \ las entidades deben ayudar a los proyectos de c\xF3digo abierto de los\
            \ que dependen a adoptar sistemas seguros y principios de codificaci\xF3\
            n segura (como la introducci\xF3n de procesos SSDLC adecuados a la forma\
            \ de trabajo del proyecto)."
          typical_evidence: "\u2022 Pruebas de que se han adoptado normas de desarrollo\
            \ seguro (lista indicativa y no exhaustiva):\n    o Documentaci\xF3n para\
            \ cada fase del ciclo de vida, o Diagramas de procesos y flujos de trabajo,\
            \ o Informes de auditor\xEDa y pruebas, o Control de versiones, o Registros\
            \ de gesti\xF3n de cambios, o Revisiones de c\xF3digo y o Herramientas\
            \ de gesti\xF3n de proyectos. \n\u2022 Evidencia de los resultados de\
            \ las pruebas de entornos de desarrollo seguros, incluyendo que se mantienen\
            \ las medidas para proteger los datos de prueba. \n\u2022 Evidencia de\
            \ los m\xE9todos de prueba de software elegidos para un escenario de prueba\
            \ particular y una explicaci\xF3n de la elecci\xF3n. \n\u2022 Resultados\
            \ de las pruebas de cada fase del SSDLC mantenidos y actualizados. \n\u2022\
            \ Mantenimiento y, en su caso, aprobaci\xF3n de los resultados de los\
            \ ensayos por parte de los \xF3rganos de gesti\xF3n. \n\u2022 Evidencia\
            \ de que se elige un m\xE9todo de prueba de software en cada etapa del\
            \ ciclo de vida del desarrollo de software."
        cs:
          description: "Pro \xFA\u010Dely bodu 6.2.1 p\u0159\xEDslu\u0161n\xE9 subjekty:"
          annotation: "\u2022 V\u0161echny subjekty by m\u011Bly implementovat bezpe\u010D\
            n\xFD proces \u017Eivotn\xEDho cyklu v\xFDvoje softwaru (SSDLC). Men\u0161\
            \xED subjekty v\u0161ak mohou vyu\u017E\xEDt m\xE9n\u011B n\xE1ro\u010D\
            n\xFD proces, jako je implementace postup\u016F secure-by-design a proces\u016F\
            \ testov\xE1n\xED bezpe\u010Dnosti. \n\u2022 V z\xE1vislosti na typu po\u017E\
            adavku by pravidla pro bezpe\u010Dn\xFD v\xFDvoj softwaru a syst\xE9m\u016F\
            \ m\u011Bla zahrnovat vhodn\xE9 metody testov\xE1n\xED softwaru (nap\u0159\
            . black-box, ad-hoc testov\xE1n\xED, statick\xE9 versus dynamick\xE9 testov\xE1\
            n\xED bezpe\u010Dnosti aplikac\xED). \n\u2022 Otestujte zabezpe\u010D\
            en\xED ji\u017E od n\xE1vrhu v r\u016Fzn\xFDch f\xE1z\xEDch bezpe\u010D\
            n\xE9ho v\xFDvoje SSDLC p\u0159ed uveden\xEDm do provozu, s vyu\u017E\
            it\xEDm nez\xE1visl\xFDch n\xE1stroj\u016F a samoobslu\u017En\xE9 testovac\xED\
            \ platformy v cel\xE9m SSDLC. \n\u2022 Pokud se k testov\xE1n\xED pou\u017E\
            \xEDvaj\xED skute\u010Dn\xE1 v\xFDrobn\xED data \u2013 nebo jejich odvozen\xE9\
            \ varianty \u2013 zajist\u011Bte, aby byla tato data \u0159\xE1dn\u011B\
            \ dezinfikov\xE1na nebo anonymizov\xE1na. Orienta\u010Dn\xED, ne\xFApln\xFD\
            \ seznam technik:\n    o maskov\xE1n\xED nebo pseudonymizace v pol\xED\
            ch, jako jsou jm\xE9na, e-maily, ID;\n    o vymaz\xE1n\xED nebo odstran\u011B\
            n\xED identifik\xE1tor\u016F (nap\u0159. osobn\xEDch \xFAdaj\u016F, dat\
            \ narozen\xED, PS\u010C); a\n    o nevratn\xE1 nebo jednosm\u011Brn\xE1\
            \ anonymizace. \n\u2022 P\u0159i pou\u017E\xEDv\xE1n\xED komponent Softwaru\
            \ s otev\u0159en\xFDm zdrojov\xFDm k\xF3dem by subjekty m\u011Bly vz\xED\
            t v \xFAvahu dobrovolnou povahu projekt\u016F s otev\u0159en\xFDm zdrojov\xFD\
            m k\xF3dem (viz pokyny v \u010D\xE1sti 5.1). Pokud je to mo\u017En\xE9\
            , m\u011Bly by subjekty pom\xE1hat projekt\u016Fm s otev\u0159en\xFDm\
            \ zdrojov\xFDm k\xF3dem, na nich\u017E jsou z\xE1visl\xE9, p\u0159i zav\xE1\
            d\u011Bn\xED bezpe\u010Dn\xFDch syst\xE9m\u016F a z\xE1sad bezpe\u010D\
            n\xE9ho k\xF3dov\xE1n\xED (jako je zaveden\xED proces\u016F SSDLC vhodn\xFD\
            ch pro zp\u016Fsob pr\xE1ce projektu)."
          typical_evidence: "\u2022 Doklad o tom, \u017Ee byla p\u0159ijata pravidla\
            \ bezpe\u010Dn\xE9ho rozvoje (orienta\u010Dn\xED, ne\xFApln\xFD seznam):\n\
            \    o Dokumentace pro ka\u017Edou f\xE1zi \u017Eivotn\xEDho cyklu, o\
            \ Diagramy proces\u016F a pracovn\xEDch postup\u016F, o Zpr\xE1vy o auditu\
            \ a testov\xE1n\xED, o Spr\xE1va verz\xED, o Protokoly spr\xE1vy zm\u011B\
            n, o Revize k\xF3du a o N\xE1stroje pro \u0159\xEDzen\xED projekt\u016F\
            . \n\u2022 D\u016Fkaz o v\xFDsledc\xEDch test\u016F ze zabezpe\u010Den\xE9\
            ho v\xFDvojov\xE9ho prost\u0159ed\xED, v\u010Detn\u011B toho, \u017Ee\
            \ jsou zachov\xE1na opat\u0159en\xED na ochranu testovac\xEDch dat. \n\
            \u2022 Doklad o zvolen\xFDch metod\xE1ch testov\xE1n\xED softwaru pro\
            \ konkr\xE9tn\xED testovac\xED sc\xE9n\xE1\u0159 a vysv\u011Btlen\xED\
            \ volby. \n\u2022 V\xFDsledky test\u016F ka\u017Ed\xE9 f\xE1ze SSDLC jsou\
            \ udr\u017Eov\xE1ny a aktualizov\xE1ny. \n\u2022 V\xFDsledky zkou\u0161\
            ek jsou uchov\xE1v\xE1ny a p\u0159\xEDpadn\u011B schv\xE1leny \u0159\xED\
            d\xEDc\xEDmi org\xE1ny. \n\u2022 D\u016Fkaz, \u017Ee metoda testov\xE1\
            n\xED softwaru je zvolena v ka\u017Ed\xE9 f\xE1zi \u017Eivotn\xEDho cyklu\
            \ v\xFDvoje softwaru."
        it:
          description: 'Ai fini del punto 6.2.1, i soggetti interessati:'
          annotation: "\u2022 Un processo sicuro del ciclo di vita dello sviluppo\
            \ del software (SSDLC) dovrebbe essere implementato da tutte le entit\xE0\
            . Tuttavia, le entit\xE0 pi\xF9 piccole possono utilizzare un processo\
            \ meno impegnativo, ad esempio l'implementazione di procedure di sicurezza\
            \ fin dalla progettazione e processi di test di sicurezza. \n\u2022 A\
            \ seconda del tipo di requisito, le regole per lo sviluppo sicuro di software\
            \ e sistemi dovrebbero includere metodi di test del software appropriati\
            \ (ad esempio, black-box, test ad hoc, test di sicurezza delle applicazioni\
            \ statici o dinamici). \n\u2022 Testare la sicurezza fin dalla progettazione\
            \ nelle varie fasi dello sviluppo sicuro dell'SSDLC prima del go-live,\
            \ utilizzando strumenti indipendenti e una piattaforma di test self-service\
            \ in tutto l'SSDLC. \n\u2022 Quando i dati di produzione reali, o le loro\
            \ varianti, vengono utilizzati per i test, assicurarsi che tali dati siano\
            \ adeguatamente sanificati o resi anonimi. Un elenco indicativo e non\
            \ esaustivo delle tecniche:\n    o mascheramento o pseudonimizzazione\
            \ su campi come nomi, e-mail, ID;\n    o cancellazione o oscuramento di\
            \ identificatori (ad es. ID personali, date di nascita, codici postali);\
            \ e\n    o anonimizzazione non irreversibile o unidirezionale. \n\u2022\
            \ Quando si utilizzano componenti di Software Libero e Open Source, le\
            \ entit\xE0 dovrebbero prendere in considerazione la natura volontaria\
            \ dei progetti open source (vedere la guida della sezione 5.1). Ove possibile,\
            \ le entit\xE0 dovrebbero assistere i progetti open source da cui dipendono\
            \ nell'adozione di sistemi sicuri e principi di codifica sicura (come\
            \ l'introduzione di processi SSDLC adatti al modo di lavorare del progetto)."
          typical_evidence: "\u2022 Prove dell'adozione di norme di sviluppo sicuro\
            \ (elenco indicativo e non esaustivo):\n    o documentazione per ogni\
            \ fase del ciclo di vita, o diagrammi di processo e flusso di lavoro,\
            \ o rapporti di audit e test, o controllo delle versioni, o registri di\
            \ gestione delle modifiche, o revisioni del codice e o strumenti di gestione\
            \ dei progetti. \n\u2022 Evidenza dei risultati dei test da ambienti di\
            \ sviluppo sicuri, incluso il mantenimento delle misure per la protezione\
            \ dei dati di test. \n\u2022 Evidenza dei metodi di test del software\
            \ scelti per un particolare scenario di test e una spiegazione della scelta.\
            \ \n\u2022 Risultati dei test di ogni fase dell'SSDLC mantenuti e aggiornati.\
            \ \n\u2022 Risultati dei test mantenuti e, se del caso, approvati dagli\
            \ organi di gestione. \n\u2022 Prova che un metodo di test del software\
            \ viene scelto in ogni fase del ciclo di vita dello sviluppo del software."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.2.2.a
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.2.2
      ref_id: 6.2.2.a
      description: carry out an analysis of security requirements at the specification
        and design phases of any development or acquisition project undertaken by
        the relevant entities or on behalf of those entities;
      translations:
        fr:
          description: "effectuent une analyse des exigences de s\xE9curit\xE9 au\
            \ cours des phases de sp\xE9cification et de conception de tout projet\
            \ de d\xE9veloppement ou d\u2019acquisition men\xE9 par elles-m\xEAmes\
            \ ou pour leur compte;"
        es:
          description: "llevar\xE1n a cabo an\xE1lisis de los requisitos de seguridad\
            \ en las fases de especificaci\xF3n y dise\xF1o de cualquier proyecto\
            \ de desarrollo o adquisici\xF3n emprendido por ellas mismas o en su nombre;"
        cs:
          description: "prov\xE1d\u011Bj\xED anal\xFDzu bezpe\u010Dnostn\xEDch po\u017E\
            adavk\u016F ve f\xE1z\xEDch specifikace a n\xE1vrhu jak\xE9hokoli projektu\
            \ v\xFDvoje nebo po\u0159\xEDzen\xED realizovan\xE9ho p\u0159\xEDslu\u0161\
            n\xFDmi subjekty nebo jejich jm\xE9nem;"
        it:
          description: effettuare un'analisi dei requisiti di sicurezza nelle fasi
            di specificazione e progettazione di qualsiasi progetto di sviluppo o
            acquisizione intrapreso dai soggetti pertinenti o per conto di tali soggetti;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.2.2.b
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.2.2
      ref_id: 6.2.2.b
      description: apply principles for engineering secure systems and secure coding
        principles to any information system development activities such as promoting
        cybersecurity-by-design, zero-trust architectures;
      translations:
        fr:
          description: "appliquent les principes de l\u2019ing\xE9nierie des syst\xE8\
            mes s\xE9curis\xE9s et du codage s\xE9curis\xE9 \xE0 toute activit\xE9\
            \ de d\xE9veloppement de syst\xE8mes d\u2019information, tels que la promotion\
            \ de la cybers\xE9curit\xE9 d\xE8s la conception et les architectures\
            \ \xE0 v\xE9rification syst\xE9matique;"
        es:
          description: "aplicar\xE1n los principios para dise\xF1ar sistemas seguros\
            \ y principios de codificaci\xF3n seguros a toda actividad de desarrollo\
            \ de sistemas de informaci\xF3n, tales como la promoci\xF3n de la ciberseguridad\
            \ desde el dise\xF1o o las arquitecturas de confianza cero;"
        cs:
          description: "uplat\u0148uj\xED z\xE1sady pro in\u017Een\xFDring bezpe\u010D\
            n\xFDch syst\xE9m\u016F a z\xE1sady bezpe\u010Dn\xE9ho k\xF3dov\xE1n\xED\
            \ na v\u0161echny \u010Dinnosti spojen\xE9 s v\xFDvojem informa\u010D\
            n\xEDch syst\xE9m\u016F, jako je podpora kybernetick\xE9 bezpe\u010Dnosti\
            \ ji\u017E od n\xE1vrhu a architektury nulov\xE9 d\u016Fv\u011Bry;"
        it:
          description: "applicare i principi per l'ingegnerizzazione di sistemi sicuri\
            \ e i principi di codifica sicura a qualsiasi attivit\xE0 di sviluppo\
            \ dei sistemi informativi, come la promozione di architetture zero-trust\
            \ basate sulla sicurezza informatica fin dalla progettazione;"
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.2.2.c
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.2.2
      ref_id: 6.2.2.c
      description: lay down security requirements regarding development environments;
      translations:
        fr:
          description: "\xE9noncent des exigences de s\xE9curit\xE9 en ce qui concerne\
            \ les environnements de d\xE9veloppement;"
        es:
          description: "establecer\xE1n requisitos de seguridad en relaci\xF3n con\
            \ los entornos de desarrollo;"
        cs:
          description: "stanov\xED bezpe\u010Dnostn\xED po\u017Eadavky t\xFDkaj\xED\
            c\xED se prost\u0159ed\xED v\xFDvoje;"
        it:
          description: stabilire i requisiti di sicurezza relativi agli ambienti di
            sviluppo;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.2.2.d
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.2.2
      ref_id: 6.2.2.d
      description: establish and implement security testing processes in the development
        life cycle;
      translations:
        fr:
          description: "\xE9tablissent et utilisent des proc\xE9dures de tests de\
            \ s\xE9curit\xE9 au cours du cycle de vie du d\xE9veloppement;"
        es:
          description: "establecer\xE1n y aplicar\xE1n procesos de pruebas de seguridad\
            \ en el ciclo de vida del desarrollo;"
        cs:
          description: "zav\xE1d\u011Bj\xED a implementuj\xED procesy testov\xE1n\xED\
            \ bezpe\u010Dnosti b\u011Bhem \u017Eivotn\xEDho cyklu v\xFDvoje;"
        it:
          description: stabilire e implementare processi di test di sicurezza nel
            ciclo di vita dello sviluppo;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.2.2.e
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.2.2
      ref_id: 6.2.2.e
      description: appropriately select, protect and manage security test data;
      translations:
        fr:
          description: "s\xE9lectionnent, prot\xE8gent et g\xE8rent de mani\xE8re\
            \ appropri\xE9e les donn\xE9es relatives aux tests de s\xE9curit\xE9;"
        es:
          description: "seleccionar\xE1n, proteger\xE1n y gestionar\xE1n adecuadamente\
            \ los datos de las pruebas de seguridad;"
        cs:
          description: "vhodn\xFDm zp\u016Fsobem vyb\xEDraj\xED, chr\xE1n\xED a spravuj\xED\
            \ \xFAdaj\u016F o bezpe\u010Dnostn\xEDch testech;"
        it:
          description: selezionare, proteggere e gestire in modo appropriato i dati
            dei test di sicurezza;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.2.2.f
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.2.2
      ref_id: 6.2.2.f
      description: sanitise and anonymise testing data according to the risk assessment
        carried out pursuant to point 2.1.
      translations:
        fr:
          description: "nettoient et anonymisent les donn\xE9es relatives aux tests\
            \ conform\xE9ment \xE0 l\u2019\xE9valuation des risques effectu\xE9e conform\xE9\
            ment au point 2.1."
        es:
          description: "sanear\xE1n y anonimizar\xE1n los datos de las pruebas con\
            \ arreglo a la evaluaci\xF3n de riesgos realizada de conformidad con el\
            \ punto 2.1."
        cs:
          description: "opravuj\xED a anonymizuj\xED \xFAdaje o testov\xE1n\xED podle\
            \ posouzen\xED rizik proveden\xE9ho podle bodu 2.1."
        it:
          description: sanificare e anonimizzare i dati dei test in base alla valutazione
            dei rischi effettuata ai sensi del punto 2.1.
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.2.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.2
      ref_id: 6.2.3
      description: For outsourced development of network and information systems,
        the relevant entities shall also apply the policies and procedures referred
        to in points 5 and 6.1.
      annotation: "\u2022 Align the secure development rules with the security testing\
        \ policy (Annex to the regulation, point 6.5) and procedures and with the\
        \ secure acquisition of ICT services, systems or product processes (Annex\
        \ to the regulation, point 6.1). \n\u2022 Communicate the internal development\
        \ rules with the relevant personnel from outsourced development. \n\u2022\
        \ Hold regular cross-organisational unit meetings during all phases of the\
        \ development life cycle."
      typical_evidence: "\u2022 Comparison of the secure development rules with the\
        \ security-testing policy and with the secure acquisition of ICT services,\
        \ systems or product processes, checking whether the security requirements\
        \ are set consistently in all these documents. \n\u2022 Evidence of communicating\
        \ the internal development rules with relevant personnel from outsourced development.\
        \ \n\u2022 Records or minutes from cross organisational unit meetings where\
        \ the development of a network and information system, including software,\
        \ was discussed."
      translations:
        fr:
          description: "Lorsque le d\xE9veloppement des r\xE9seaux et des syst\xE8\
            mes d\u2019information est externalis\xE9, les entit\xE9s concern\xE9\
            es appliquent \xE9galement les politiques et proc\xE9dures vis\xE9es aux\
            \ points\_5 et\_6.1."
          annotation: "\u2022 Aligner les r\xE8gles de d\xE9veloppement s\xE9curis\xE9\
            \ sur la politique de test de s\xE9curit\xE9 (annexe du r\xE8glement,\
            \ point 6.5) et les proc\xE9dures, ainsi que sur l\u2019acquisition s\xE9\
            curis\xE9e de services, de syst\xE8mes ou de processus de produits TIC\
            \ (annexe du r\xE8glement, point 6.1). \n\u2022 Communiquer les r\xE8\
            gles de d\xE9veloppement interne avec le personnel concern\xE9 du d\xE9\
            veloppement externalis\xE9. \n\u2022 Organiser r\xE9guli\xE8rement des\
            \ r\xE9unions inter-organisationnelles pendant toutes les phases du cycle\
            \ de vie du d\xE9veloppement."
          typical_evidence: "\u2022 Comparaison des r\xE8gles de d\xE9veloppement\
            \ s\xE9curis\xE9 avec la politique de tests de s\xE9curit\xE9 et avec\
            \ l\u2019acquisition s\xE9curis\xE9e de services, de syst\xE8mes ou de\
            \ processus de produits TIC, en v\xE9rifiant si les exigences de s\xE9\
            curit\xE9 sont fix\xE9es de mani\xE8re coh\xE9rente dans tous ces documents.\
            \ \n\u2022 Preuve de la communication des r\xE8gles de d\xE9veloppement\
            \ interne avec le personnel concern\xE9 du d\xE9veloppement externalis\xE9\
            . \n\u2022 Comptes rendus ou proc\xE8s-verbaux de r\xE9unions interorganisationnelles\
            \ au cours desquelles le d\xE9veloppement d\u2019un r\xE9seau et d\u2019\
            un syst\xE8me d\u2019information, y compris un logiciel, a \xE9t\xE9 discut\xE9\
            ."
        es:
          description: "En cuanto a la externalizaci\xF3n del desarrollo de sistemas\
            \ de redes y de informaci\xF3n, las entidades pertinentes tambi\xE9n aplicar\xE1\
            n las pol\xEDticas y procedimientos a que se refieren los puntos 5 y 6.1."
          annotation: "\u2022 Alinear las normas de desarrollo seguro con la pol\xED\
            tica de pruebas de seguridad (anexo del reglamento, punto 6.5) y con la\
            \ adquisici\xF3n segura de servicios, sistemas o procesos de productos\
            \ TIC (anexo del reglamento, punto 6.1). \n\u2022 Comunicar las normas\
            \ internas de desarrollo con el personal pertinente del desarrollo externalizado.\
            \ \n\u2022 Celebrar reuniones peri\xF3dicas de unidades interorganizativas\
            \ durante todas las fases del ciclo de vida del desarrollo."
          typical_evidence: "\u2022 Comparaci\xF3n de las reglas de desarrollo seguro\
            \ con la pol\xEDtica de pruebas de seguridad y con la adquisici\xF3n segura\
            \ de servicios, sistemas o procesos de productos TIC, comprobando si los\
            \ requisitos de seguridad se establecen de forma coherente en todos estos\
            \ documentos. \n\u2022 Evidencia de comunicaci\xF3n de las reglas internas\
            \ de desarrollo con el personal relevante del desarrollo subcontratado.\
            \ \n\u2022 Actas o actas de reuniones de unidades organizativas en las\
            \ que se discuti\xF3 el desarrollo de una red y un sistema de informaci\xF3\
            n, incluido el software."
        cs:
          description: "P\u0159i extern\u011B zaji\u0161\u0165ovan\xE9m v\xFDvoji\
            \ s\xEDt\xED a informa\u010Dn\xEDch syst\xE9m\u016F p\u0159\xEDslu\u0161\
            n\xE9 subjekty uplat\u0148uj\xED rovn\u011B\u017E z\xE1sady a postupy\
            \ uveden\xE9 v bodech 5 a 6.1."
          annotation: "\u2022 Sladit pravidla bezpe\u010Dn\xE9ho v\xFDvoje s politikou\
            \ testov\xE1n\xED bezpe\u010Dnosti (p\u0159\xEDloha na\u0159\xEDzen\xED\
            , bod 6.5) a postupy a s bezpe\u010Dn\xFDm z\xEDsk\xE1v\xE1n\xEDm slu\u017E\
            eb, syst\xE9m\u016F nebo produktov\xFDch proces\u016F IKT (p\u0159\xED\
            loha na\u0159\xEDzen\xED, bod 6.1). \n\u2022 Komunikovat intern\xED pravidla\
            \ v\xFDvoje s p\u0159\xEDslu\u0161n\xFDmi pracovn\xEDky z outsourcovan\xE9\
            ho v\xFDvoje. \n\u2022 Po\u0159\xE1dat pravideln\xE1 setk\xE1n\xED nap\u0159\
            \xED\u010D organiza\u010Dn\xEDmi jednotkami ve v\u0161ech f\xE1z\xEDch\
            \ \u017Eivotn\xEDho cyklu v\xFDvoje."
          typical_evidence: "\u2022 Porovn\xE1n\xED pravidel bezpe\u010Dn\xE9ho v\xFD\
            voje s politikou bezpe\u010Dnostn\xEDho testov\xE1n\xED a se zabezpe\u010D\
            en\xFDm po\u0159izov\xE1n\xEDm ICT slu\u017Eeb, syst\xE9m\u016F nebo produktov\xFD\
            ch proces\u016F, ov\u011B\u0159en\xED, zda jsou ve v\u0161ech t\u011B\
            chto dokumentech konzistentn\u011B nastaveny bezpe\u010Dnostn\xED po\u017E\
            adavky. \n\u2022 D\u016Fkaz o komunikaci intern\xEDch pravidel v\xFDvoje\
            \ s p\u0159\xEDslu\u0161n\xFDmi pracovn\xEDky z outsourcovan\xE9ho v\xFD\
            voje. \n\u2022 Z\xE1znamy nebo z\xE1pisy z jedn\xE1n\xED nap\u0159\xED\
            \u010D organiza\u010Dn\xEDmi jednotkami, kde se diskutovalo o v\xFDvoji\
            \ s\xEDt\u011B a informa\u010Dn\xEDho syst\xE9mu v\u010Detn\u011B softwaru."
        it:
          description: Per lo sviluppo esternalizzato di reti e sistemi informativi,
            i soggetti pertinenti applicano anche le politiche e le procedure di cui
            ai punti 5 e 6.1.
          annotation: "\u2022 Allineare le regole di sviluppo sicuro con la politica\
            \ e le procedure di test di sicurezza (allegato al regolamento, punto\
            \ 6.5) e con l'acquisizione sicura di servizi, sistemi o processi di prodotto\
            \ TIC (allegato al regolamento, punto 6.1). \n\u2022 Comunicare le regole\
            \ di sviluppo interne con il personale competente dello sviluppo in outsourcing.\
            \ \n\u2022 Tenere riunioni periodiche tra le unit\xE0 organizzative durante\
            \ tutte le fasi del ciclo di vita dello sviluppo."
          typical_evidence: "\u2022 Confronto delle regole di sviluppo sicuro con\
            \ la politica di test di sicurezza e con l'acquisizione sicura di servizi,\
            \ sistemi o processi di prodotto ICT, verificando se i requisiti di sicurezza\
            \ sono stabiliti in modo coerente in tutti questi documenti. \n\u2022\
            \ Prova della comunicazione delle regole di sviluppo interno con il personale\
            \ pertinente dello sviluppo esternalizzato. \n\u2022 Registrazioni o verbali\
            \ di riunioni tra unit\xE0 organizzative in cui \xE8 stato discusso lo\
            \ sviluppo di una rete e di un sistema informativo, compreso il software."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.2.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.2
      ref_id: 6.2.4
      description: The relevant entities shall review and, where necessary, update
        their secure development rules at planned intervals.
      annotation: "\u2022 Review the rules for the secure development of network and\
        \ information systems at least once every two years.\n\n[TIPS]\n\n\u2022 Consider\
        \ threat modelling as part of the security requirements analysis. \n\u2022\
        \ Keep separate environments for development purposes, testing purposes and\
        \ production. \n\u2022 Ensure the use of results of application assessments\
        \ to regularly enhance developer training and the SSDLC process. \n\u2022\
        \ Defined methods and tooling for performing analysis and tracking of usage\
        \ of third party libraries should be in place. \n\u2022 Consider integrating\
        \ root cause analysis results into SSDLC process changes, if any. \n\u2022\
        \ In addition to the regular reviews, the entity should review and, where\
        \ necessary, update its secure development rules when there are significant\
        \ changes to technology, operations or risks or in the event of significant\
        \ incidents."
      typical_evidence: "\u2022 Documentation that outlines the schedule and frequency\
        \ for reviewing secure development rules. \n\u2022 Documented evidence of\
        \ the process for reviewing the patch development process and secure-by design\
        \ software configurations. \n\u2022 Meeting minutes, review findings and actions\
        \ taken to improve the development rules. \n\u2022 Version history or change\
        \ log of secure development procedures showing updates made as a result of\
        \ reviews.\n    o Specific sections in the documents highlighting what changes\
        \ were made and the rationale behind them. \n\u2022 Reports from internal\
        \ and external audits that evaluate the process for reviewing secure development\
        \ rules. \n\u2022 Documentation of change requests related to secure development\
        \ rules, including those arising from review findings. \n\u2022 Logs or records\
        \ tracking the implementation of changes to ensure they are applied throughout\
        \ the development process.  \n\n[TIPS]\n\n\u2022 Evidence of the use of threat\
        \ modelling (indicative, non-exhaustive list):\n    o documentation of the\
        \ process used for example STRIDE or DREAD, o data flow diagrams, and o meeting\
        \ minutes. \n\u2022 Evidence of separate environments for development, testing\
        \ and production, for example different network segments, servers, databases,\
        \ existence of accounts used for this purpose and change management records.\
        \ \n\u2022 Relevant personnel aware of the secure development rules. \n\u2022\
        \ Meeting minutes, logs, reports, etc. showing that the secure development\
        \ rules were reviewed and possibly changed following significant changes to\
        \ technology, operations or risks or in the event of significant incidents."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es r\xE9examinent et, si n\xE9cessaire,\
            \ actualisent \xE0 intervalles pr\xE9d\xE9finis leurs r\xE8gles de d\xE9\
            veloppement s\xE9curis\xE9."
          annotation: "\u2022 Revoir les r\xE8gles de d\xE9veloppement s\xE9curis\xE9\
            \ des r\xE9seaux et des syst\xE8mes d\u2019information au moins une fois\
            \ tous les deux ans.\n\n[CONSEILS]\n\n\u2022 Envisager la mod\xE9lisation\
            \ des menaces dans le cadre de l\u2019analyse des exigences de s\xE9curit\xE9\
            . \n\u2022 Conservez des environnements s\xE9par\xE9s \xE0 des fins de\
            \ d\xE9veloppement, de test et de production. \n\u2022 Assurer l\u2019\
            utilisation des r\xE9sultats des \xE9valuations d\u2019applications pour\
            \ am\xE9liorer r\xE9guli\xE8rement la formation des d\xE9veloppeurs et\
            \ le processus SSDLC. \n\u2022 Des m\xE9thodes et des outils d\xE9finis\
            \ pour effectuer l\u2019analyse et le suivi de l\u2019utilisation des\
            \ biblioth\xE8ques tierces doivent \xEAtre mis en place. \n\u2022 Envisagez\
            \ d\u2019int\xE9grer les r\xE9sultats de l\u2019analyse des causes profondes\
            \ dans les modifications du processus SSDLC, le cas \xE9ch\xE9ant. \n\u2022\
            \ En plus des examens r\xE9guliers, l\u2019entit\xE9 devrait revoir et,\
            \ le cas \xE9ch\xE9ant, mettre \xE0 jour ses r\xE8gles de d\xE9veloppement\
            \ s\xE9curis\xE9 en cas de changements importants apport\xE9s \xE0 la\
            \ technologie, aux op\xE9rations ou aux risques ou en cas d\u2019incidents\
            \ importants."
          typical_evidence: "\u2022 Documentation d\xE9crivant le calendrier et la\
            \ fr\xE9quence de l\u2019examen des r\xE8gles d\u2019am\xE9nagement s\xE9\
            curis\xE9. \n\u2022 Preuve document\xE9e du processus d\u2019examen du\
            \ processus de d\xE9veloppement des correctifs et des configurations logicielles\
            \ s\xE9curis\xE9es d\xE8s la conception. \n\u2022 Proc\xE8s-verbaux de\
            \ r\xE9unions, examen des r\xE9sultats et des actions prises pour am\xE9\
            liorer les r\xE8gles de d\xE9veloppement. \n\u2022 Historique des versions\
            \ ou journal des modifications des proc\xE9dures de d\xE9veloppement s\xE9\
            curis\xE9es montrant les mises \xE0 jour effectu\xE9es \xE0 la suite des\
            \ r\xE9visions.\n    o Des sections sp\xE9cifiques des documents mettant\
            \ en \xE9vidence les changements qui ont \xE9t\xE9 apport\xE9s et les\
            \ raisons qui les sous-tendent. \n\u2022 Rapports d\u2019audits internes\
            \ et externes qui \xE9valuent le processus de r\xE9vision des r\xE8gles\
            \ d\u2019am\xE9nagement s\xE9curis\xE9es. \n\u2022 Documentation des demandes\
            \ de changement li\xE9es aux r\xE8gles de d\xE9veloppement s\xE9curis\xE9\
            , y compris celles d\xE9coulant des conclusions de l\u2019examen. \n\u2022\
            \ Consigner ou consigner le suivi de la mise en \u0153uvre des changements\
            \ afin de s\u2019assurer qu\u2019ils sont appliqu\xE9s tout au long du\
            \ processus de d\xE9veloppement.  \n\n[CONSEILS]\n\n\u2022 Preuves de\
            \ l\u2019utilisation de la mod\xE9lisation des menaces (liste indicative\
            \ et non exhaustive) :\n    o documentation du processus utilis\xE9 par\
            \ exemple STRIDE ou DREAD, o diagrammes de flux de donn\xE9es, et o comptes\
            \ rendus de r\xE9unions. \n\u2022 Preuve de l\u2019existence d\u2019environnements\
            \ distincts pour le d\xE9veloppement, les tests et la production, par\
            \ exemple diff\xE9rents segments de r\xE9seau, serveurs, bases de donn\xE9\
            es, existence de comptes utilis\xE9s \xE0 cette fin et registres de gestion\
            \ des modifications. \n\u2022 Personnel comp\xE9tent et conscient des\
            \ r\xE8gles de d\xE9veloppement s\xE9curis\xE9. \n\u2022 Proc\xE8s-verbaux\
            \ de r\xE9unions, registres, rapports, etc. montrant que les r\xE8gles\
            \ de d\xE9veloppement s\xE9curis\xE9 ont \xE9t\xE9 revues et \xE9ventuellement\
            \ modifi\xE9es \xE0 la suite de changements importants apport\xE9s \xE0\
            \ la technologie, aux op\xE9rations ou aux risques ou en cas d\u2019incidents\
            \ importants."
        es:
          description: "Las entidades pertinentes revisar\xE1n y, cuando proceda,\
            \ actualizar\xE1n las normas de desarrollo seguro a intervalos planificados."
          annotation: "\u2022 Revisar las normas para el desarrollo seguro de redes\
            \ y sistemas de informaci\xF3n al menos una vez cada dos a\xF1os.\n\n\
            [CONSEJOS]\n\n\u2022 Considere el modelado de amenazas como parte del\
            \ an\xE1lisis de requisitos de seguridad. \n\u2022 Mantenga entornos separados\
            \ para fines de desarrollo, pruebas y producci\xF3n. \n\u2022 Garantizar\
            \ el uso de los resultados de las evaluaciones de aplicaciones para mejorar\
            \ regularmente la capacitaci\xF3n de los desarrolladores y el proceso\
            \ de SSDLC. \n\u2022 Deben existir m\xE9todos y herramientas definidos\
            \ para realizar an\xE1lisis y seguimiento del uso de bibliotecas de terceros.\
            \ \n\u2022 Considere la posibilidad de integrar los resultados del an\xE1\
            lisis de causa ra\xEDz en los cambios en el proceso de SSDLC, si los hubiera.\
            \ \n\u2022 Adem\xE1s de las revisiones peri\xF3dicas, la entidad debe\
            \ revisar y, cuando sea necesario, actualizar sus reglas de desarrollo\
            \ seguro cuando se produzcan cambios significativos en la tecnolog\xED\
            a, las operaciones o los riesgos, o en caso de incidentes significativos."
          typical_evidence: "\u2022 Documentaci\xF3n que describa el cronograma y\
            \ la frecuencia para revisar las reglas de desarrollo seguro. \n\u2022\
            \ Evidencia documentada del proceso de revisi\xF3n del proceso de desarrollo\
            \ de parches y configuraciones de software de dise\xF1o seguro. \n\u2022\
            \ Actas de reuniones, revisi\xF3n de hallazgos y acciones tomadas para\
            \ mejorar las reglas de desarrollo. \n\u2022 Historial de versiones o\
            \ registro de cambios de procedimientos de desarrollo seguro que muestra\
            \ las actualizaciones realizadas como resultado de las revisiones.\n \
            \   o Secciones espec\xEDficas en los documentos que destacan los cambios\
            \ que se realizaron y la justificaci\xF3n detr\xE1s de ellos. \n\u2022\
            \ Informes de auditor\xEDas internas y externas que eval\xFAan el proceso\
            \ de revisi\xF3n de reglas de desarrollo seguro. \n\u2022 Documentaci\xF3\
            n de las solicitudes de cambio relacionadas con las reglas de desarrollo\
            \ seguro, incluidas las que surjan de los resultados de las revisiones.\
            \ \n\u2022 Registros o registros que rastrean la implementaci\xF3n de\
            \ los cambios para garantizar que se apliquen a lo largo del proceso de\
            \ desarrollo.  \n\n[CONSEJOS]\n\n\u2022 Pruebas del uso de modelos de\
            \ amenazas (lista indicativa y no exhaustiva):\n    o documentaci\xF3\
            n del proceso utilizado, por ejemplo, STRIDE o DREAD, o diagramas de flujo\
            \ de datos, y o actas de reuniones. \n\u2022 Evidencia de entornos separados\
            \ para desarrollo, pruebas y producci\xF3n, por ejemplo, diferentes segmentos\
            \ de red, servidores, bases de datos, existencia de cuentas utilizadas\
            \ para este fin y registros de gesti\xF3n de cambios. \n\u2022 Personal\
            \ relevante consciente de las reglas de desarrollo seguro. \n\u2022 Actas\
            \ de reuniones, registros, informes, etc. que muestren que las reglas\
            \ de desarrollo seguro se revisaron y posiblemente se modificaron despu\xE9\
            s de cambios significativos en la tecnolog\xEDa, las operaciones o los\
            \ riesgos o en caso de incidentes significativos."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty v pl\xE1novan\xFDch intervalech\
            \ p\u0159ezkoumaj\xED a, je-li to nutn\xE9, aktualizuj\xED sv\xE1 pravidla\
            \ bezpe\u010Dn\xE9ho v\xFDvoje."
          annotation: "\u2022 Alespo\u0148 jednou za dva roky p\u0159ezkoumat pravidla\
            \ pro bezpe\u010Dn\xFD rozvoj s\xEDt\xED a informa\u010Dn\xEDch syst\xE9\
            m\u016F.\n\n[TIPY]\n\n\u2022 Zva\u017Ete modelov\xE1n\xED hrozeb jako\
            \ sou\u010D\xE1st anal\xFDzy bezpe\u010Dnostn\xEDch po\u017Eadavk\u016F\
            . \n\u2022 Udr\u017Eovat odd\u011Blen\xE1 prost\u0159ed\xED pro \xFA\u010D\
            ely v\xFDvoje, testov\xE1n\xED a produkce. \n\u2022 Zajistit vyu\u017E\
            it\xED v\xFDsledk\u016F hodnocen\xED aplikac\xED k pravideln\xE9mu zlep\u0161\
            ov\xE1n\xED \u0161kolen\xED v\xFDvoj\xE1\u0159\u016F a procesu SSDLC.\
            \ \n\u2022 M\u011Bly by b\xFDt zavedeny definovan\xE9 metody a n\xE1stroje\
            \ pro prov\xE1d\u011Bn\xED anal\xFDzy a sledov\xE1n\xED vyu\u017Eit\xED\
            \ knihoven t\u0159et\xEDch stran. \n\u2022 Zva\u017Ete integraci v\xFD\
            sledk\u016F anal\xFDzy hlavn\xEDch p\u0159\xED\u010Din do p\u0159\xED\
            padn\xFDch zm\u011Bn procesu SSDLC. \nKrom\u011B pravideln\xFDch kontrol\
            \ by m\u011Bl subjekt p\u0159ezkoumat a v p\u0159\xEDpad\u011B pot\u0159\
            eby aktualizovat sv\xE1 pravidla bezpe\u010Dn\xE9ho v\xFDvoje, pokud dojde\
            \ k v\xFDznamn\xFDm zm\u011Bn\xE1m v technologii, provozu nebo rizic\xED\
            ch nebo v p\u0159\xEDpad\u011B v\xFDznamn\xFDch incident\u016F."
          typical_evidence: "\u2022 Dokumentace, kter\xE1 popisuje harmonogram a frekvenci\
            \ p\u0159ezkoum\xE1v\xE1n\xED pravidel bezpe\u010Dn\xE9ho v\xFDvoje. \n\
            \u2022 Zdokumentovan\xE9 d\u016Fkazy o procesu p\u0159ezkoum\xE1n\xED\
            \ procesu v\xFDvoje z\xE1plat a konfigurac\xED softwaru secure-by design.\
            \ \n\u2022 Z\xE1pisy ze sch\u016Fz\xED, p\u0159ezkoum\xE1n\xED zji\u0161\
            t\u011Bn\xED a opat\u0159en\xED p\u0159ijat\xFDch ke zlep\u0161en\xED\
            \ pravidel rozvoje. \n\u2022 Historie verz\xED nebo protokol zm\u011B\
            n postup\u016F bezpe\u010Dn\xE9ho v\xFDvoje zobrazuj\xEDc\xED aktualizace\
            \ proveden\xE9 na z\xE1klad\u011B recenz\xED.\n    o Specifick\xE9 \u010D\
            \xE1sti v dokumentech zd\u016Fraz\u0148uj\xEDc\xED, jak\xE9 zm\u011Bny\
            \ byly provedeny a jak\xE9 jsou jejich zd\u016Fvodn\u011Bn\xED. \n\u2022\
            \ Zpr\xE1vy z intern\xEDch a extern\xEDch audit\u016F, kter\xE9 hodnot\xED\
            \ proces p\u0159ezkoum\xE1n\xED pravidel bezpe\u010Dn\xE9ho v\xFDvoje.\
            \ \n\u2022 Dokumentace po\u017Eadavk\u016F na zm\u011Bny souvisej\xED\
            c\xEDch s pravidly bezpe\u010Dn\xE9ho v\xFDvoje, v\u010Detn\u011B t\u011B\
            ch, kter\xE9 vypl\xFDvaj\xED z recen\u010Dn\xEDch zji\u0161t\u011Bn\xED\
            . \n\u2022 Logy nebo z\xE1znamy sleduj\xEDc\xED implementaci zm\u011B\
            n pro zaji\u0161t\u011Bn\xED jejich aplikace v cel\xE9m procesu v\xFD\
            voje.  \n\n[TIPY]\n\n\u2022 D\u016Fkazy o pou\u017Eit\xED modelov\xE1\
            n\xED hrozeb (orienta\u010Dn\xED, ne\xFApln\xFD seznam):\n    o dokumentace\
            \ pou\u017Eit\xE9ho procesu nap\u0159\xEDklad STRIDE nebo DREAD, o diagramy\
            \ toku dat a o z\xE1pisy z jedn\xE1n\xED. \n\u2022 Evidence odd\u011B\
            len\xFDch prost\u0159ed\xED pro v\xFDvoj, testov\xE1n\xED a produkci,\
            \ nap\u0159\xEDklad r\u016Fzn\xE9 segmenty s\xEDt\u011B, servery, datab\xE1\
            ze, existence \xFA\u010Dt\u016F pou\u017E\xEDvan\xFDch k tomuto \xFA\u010D\
            elu a z\xE1znamy o spr\xE1v\u011B zm\u011Bn. \n\u2022 P\u0159\xEDslu\u0161\
            n\xED pracovn\xEDci obezn\xE1men\xED s pravidly bezpe\u010Dn\xE9ho v\xFD\
            voje. \n\u2022 Z\xE1pisy z jedn\xE1n\xED, protokoly, zpr\xE1vy atd., kter\xE9\
            \ ukazuj\xED, \u017Ee pravidla bezpe\u010Dn\xE9ho v\xFDvoje byla p\u0159\
            ezkoum\xE1na a p\u0159\xEDpadn\u011B zm\u011Bn\u011Bna v n\xE1vaznosti\
            \ na v\xFDznamn\xE9 zm\u011Bny technologi\xED, operac\xED nebo rizik nebo\
            \ v p\u0159\xEDpad\u011B v\xFDznamn\xFDch incident\u016F."
        it:
          description: I soggetti pertinenti riesaminano e, se necessario, aggiornano
            le loro norme in materia di sviluppo sicuro a intervalli programmati.
          annotation: "\u2022 Riesaminare le regole per lo sviluppo sicuro delle reti\
            \ e dei sistemi informativi almeno una volta ogni due anni.\n\n[CONSIGLI]\n\
            \n\u2022 Considerare la modellazione delle minacce come parte dell'analisi\
            \ dei requisiti di sicurezza. \n\u2022 Mantenere ambienti separati per\
            \ scopi di sviluppo, test e produzione. \n\u2022 Garantire l'uso dei risultati\
            \ delle valutazioni delle applicazioni per migliorare regolarmente la\
            \ formazione degli sviluppatori e il processo SSDLC. \n\u2022 Dovrebbero\
            \ essere in atto metodi e strumenti definiti per eseguire l'analisi e\
            \ il monitoraggio dell'utilizzo di librerie di terze parti. \n\u2022 Prendere\
            \ in considerazione l'integrazione dei risultati dell'analisi della causa\
            \ principale nelle modifiche al processo SSDLC, se presenti. \n\u2022\
            \ Oltre alle revisioni periodiche, l'entit\xE0 dovrebbe rivedere e, se\
            \ necessario, aggiornare le proprie regole di sviluppo sicuro in caso\
            \ di modifiche significative alla tecnologia, alle operazioni o ai rischi\
            \ o in caso di incidenti significativi."
          typical_evidence: "\u2022 Documentazione che delinea il programma e la frequenza\
            \ per la revisione delle regole di sviluppo sicuro. \n\u2022 Prove documentate\
            \ del processo di revisione del processo di sviluppo delle patch e delle\
            \ configurazioni software di progettazione sicura. \n\u2022 Verbali delle\
            \ riunioni, revisione dei risultati e azioni intraprese per migliorare\
            \ le regole di sviluppo. \n\u2022 Cronologia delle versioni o registro\
            \ delle modifiche delle procedure di sviluppo sicure che mostrano gli\
            \ aggiornamenti effettuati a seguito delle revisioni.\n    o Sezioni specifiche\
            \ dei documenti che evidenziano quali modifiche sono state apportate e\
            \ la logica alla base di esse. \n\u2022 Rapporti da audit interni ed esterni\
            \ che valutano il processo di revisione delle regole di sviluppo sicuro.\
            \ \n\u2022 Documentazione delle richieste di modifica relative alle regole\
            \ di sviluppo sicuro, comprese quelle derivanti dai risultati della revisione.\
            \ \n\u2022 Registri o registrazioni che tracciano l'implementazione delle\
            \ modifiche per garantire che vengano applicate durante tutto il processo\
            \ di sviluppo.  \n\n[CONSIGLI]\n\n\u2022 Prove dell'uso della modellizzazione\
            \ delle minacce (elenco indicativo e non esaustivo):\n    o documentazione\
            \ del processo utilizzato, ad esempio STRIDE o DREAD, o diagrammi di flusso\
            \ dei dati e o verbali di riunioni. \n\u2022 Prova dell'esistenza di ambienti\
            \ separati per lo sviluppo, il test e la produzione, ad esempio diversi\
            \ segmenti di rete, server, database, esistenza di account utilizzati\
            \ a tale scopo e record di gestione delle modifiche. \n\u2022 Personale\
            \ competente a conoscenza delle regole di sviluppo sicuro. \n\u2022 Verbali\
            \ di riunioni, registri, rapporti, ecc. che dimostrino che le regole di\
            \ sviluppo sicuro sono state riviste ed eventualmente modificate a seguito\
            \ di modifiche significative alla tecnologia, alle operazioni o ai rischi\
            \ o in caso di incidenti significativi."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.3
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6
      ref_id: '6.3'
      name: Configuration management
      translations:
        fr:
          name: Gestion des configurations
        es:
          name: "Gesti\xF3n de configuraciones"
        cs:
          name: "Spr\xE1va konfigurace"
        it:
          name: Gestione della configurazione
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.3.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.3
      ref_id: 6.3.1
      description: The relevant entities shall take the appropriate measures to establish,
        document, implement, and monitor configurations, including security configurations
        of hardware, software, services and networks.
      annotation: "\u2022 Establish documented processes based on best practices and\
        \ information security standards (52). \n\u2022 Maintain and document detailed\
        \ configuration settings for the following operating procedures (indicative,\
        \ non- exhaustive list):\n    o processing and handling of information, o\
        \ backup, o scheduling requirements, including interdependencies with other\
        \ systems, o handling errors or other exceptional conditions, o system restart\
        \ and recovery procedures,  o cryptographic mechanisms and settings, and o\
        \ audit trail and system log information. \n\u2022 Consider the following\
        \ security-related parameters for the configuration settings (indicative,\
        \ non-exhaustive list):\n    o registry settings, o account, file and directory\
        \ permission settings, and o settings for functions, ports, protocols, services\
        \ and remote connections. \n\u2022 Employ automated mechanisms to centrally\
        \ manage, apply and verify configuration settings for software and hardware,\
        \ including mobile devices and the entity\u2019s connected vehicles.\n   \
        \ o Where appropriate, implement a configuration management database to catalogue\
        \ and classify all configuration items (CIs), including their security attributes\
        \ (e.g. patch level, firewall rules and encryption status) \n\u2022 Ensure\
        \ that all network, software and system configurations adhere to established\
        \ security and operational standards for functions, ports, protocols and services.\
        \ \n\u2022 Monitor and control changes to the configuration settings in accordance\
        \ with the entity\u2019s policy on the security of network and information\
        \ systems and topic-specific policies and procedures. \n\u2022 Identify software\
        \ not authorised to run on the information systems. \n\u2022 Where appropriate,\
        \ regularly review and update software configurations. \n\u2022 Where appropriate,\
        \ identify software programs authorised to run on the information system.\
        \ \n\u2022 Employ a deny-all, permit-by-exception policy to allow authorised\
        \ software to run. \n\u2022 Set up procedures for network service usage to\
        \ restrict access to necessary services or applications only. \n\u2022 Manage\
        \ a secure baseline configuration for development and test environments separately\
        \ from the operational baseline configuration, where appropriate. \n\u2022\
        \ Identify, document and approve any deviations from established configuration\
        \ settings based on defined exceptions on operational requirements.\n\n(52)\
        \ In addition to the standards in the mapping table, consider the following:\
        \ \n\u2022 ISO/IEC 20000, which is the international standard for IT service\
        \ management and consists of 17 parts; \n\u2022 Information Technology Infrastructure\
        \ Library; \n\u2022 Institute of Electrical and Electronics Engineers 828,\
        \ Standard for configuration management in systems and software engineering."
      typical_evidence: "\u2022 System configuration process, based on good practices\
        \ and standards, in place and maintained. \n\u2022 System configuration tables\
        \ containing configurations of hardware, software, services and networks.\
        \ \n\u2022 Documented secure baseline configuration containing at least (indicative,\
        \ non-exhaustive list):\n    o essential capabilities of operation;\n    o\
        \ restricted use of functions;\n    o security by default;\n    o ports, protocols\
        \ and/or services allowed. \n\u2022 Documented and approved exceptions to\
        \ the configuration baseline containing the alternative measures in place\
        \ to ensure the confidentiality, availability and integrity of the CI. \n\u2022\
        \ Documented secure baseline configuration for development and test environments."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es prennent les mesures appropri\xE9\
            es pour \xE9tablir, documenter, mettre en \u0153uvre et surveiller les\
            \ configurations, y compris les configurations de s\xE9curit\xE9 du mat\xE9\
            riel, des logiciels, des services et des r\xE9seaux."
          annotation: "\u2022 Mettre en place des processus document\xE9s fond\xE9\
            s sur les meilleures pratiques et les normes de s\xE9curit\xE9 de l\u2019\
            information (52). \n\u2022 Maintenir et documenter les param\xE8tres de\
            \ configuration d\xE9taill\xE9s des proc\xE9dures d\u2019exploitation\
            \ suivantes (liste indicative, non exhaustive) :\n    o Traitement et\
            \ traitement de l\u2019information, o sauvegarde, o exigences de planification,\
            \ y compris les interd\xE9pendances avec d\u2019autres syst\xE8mes, o\
            \ gestion des erreurs ou autres conditions exceptionnelles, o proc\xE9\
            dures de red\xE9marrage et de r\xE9cup\xE9ration du syst\xE8me, o m\xE9\
            canismes et param\xE8tres cryptographiques, et o piste d\u2019audit et\
            \ informations de journal du syst\xE8me. \n\u2022 Tenez compte des param\xE8\
            tres de s\xE9curit\xE9 suivants pour les param\xE8tres de configuration\
            \ (liste indicative et non exhaustive) :\n    o Param\xE8tres de registre,\
            \ o Param\xE8tres d\u2019autorisation de compte, de fichier et de r\xE9\
            pertoire, et o Param\xE8tres pour les fonctions, les ports, les protocoles,\
            \ les services et les connexions \xE0 distance. \n\u2022 Utiliser des\
            \ m\xE9canismes automatis\xE9s pour g\xE9rer, appliquer et v\xE9rifier\
            \ de mani\xE8re centralis\xE9e les param\xE8tres de configuration des\
            \ logiciels et du mat\xE9riel, y compris les appareils mobiles et les\
            \ v\xE9hicules connect\xE9s de l\u2019entit\xE9.\n    o Le cas \xE9ch\xE9\
            ant, mettre en place une base de donn\xE9es de gestion de configuration\
            \ pour cataloguer et classifier tous les \xE9l\xE9ments de configuration\
            \ (CI), y compris leurs attributs de s\xE9curit\xE9 (par exemple, le niveau\
            \ de correctif, les r\xE8gles de pare-feu et l\u2019\xE9tat de cryptage)\
            \ \n\u2022 S\u2019assurer que toutes les configurations de r\xE9seau,\
            \ de logiciels et de syst\xE8mes respectent les normes de s\xE9curit\xE9\
            \ et op\xE9rationnelles \xE9tablies pour les fonctions, les ports, les\
            \ protocoles et les services. \n\u2022 Surveiller et contr\xF4ler les\
            \ modifications apport\xE9es aux param\xE8tres de configuration conform\xE9\
            ment \xE0 la politique de l\u2019entit\xE9 en mati\xE8re de s\xE9curit\xE9\
            \ des r\xE9seaux et des syst\xE8mes d\u2019information et aux politiques\
            \ et proc\xE9dures sp\xE9cifiques \xE0 chaque sujet. \n\u2022 Identifier\
            \ les logiciels non autoris\xE9s \xE0 fonctionner sur les syst\xE8mes\
            \ d\u2019information. \n\u2022 Le cas \xE9ch\xE9ant, examiner et mettre\
            \ \xE0 jour r\xE9guli\xE8rement les configurations logicielles. \n\u2022\
            \ Le cas \xE9ch\xE9ant, identifier les logiciels autoris\xE9s \xE0 fonctionner\
            \ sur le syst\xE8me d\u2019information. \n\u2022 Appliquer une politique\
            \ de refus et d\u2019autorisation par exception pour permettre aux logiciels\
            \ autoris\xE9s de s\u2019ex\xE9cuter. \n\u2022 Mettre en place des proc\xE9\
            dures d\u2019utilisation des services r\xE9seau afin de restreindre l\u2019\
            acc\xE8s aux services ou applications n\xE9cessaires uniquement. \n\u2022\
            \ G\xE9rer une configuration de base s\xE9curis\xE9e pour les environnements\
            \ de d\xE9veloppement et de test s\xE9par\xE9ment de la configuration\
            \ de base op\xE9rationnelle, le cas \xE9ch\xE9ant. \n\u2022 Identifier,\
            \ documenter et approuver tout \xE9cart par rapport aux param\xE8tres\
            \ de configuration \xE9tablis en fonction des exceptions d\xE9finies sur\
            \ les exigences op\xE9rationnelles.\n\n(52) En plus des normes figurant\
            \ dans le tableau de correspondance, il faut tenir compte des \xE9l\xE9\
            ments suivants : \n\u2022 ISO/IEC 20000, qui est la norme internationale\
            \ pour la gestion des services informatiques et se compose de 17 parties\
            \ ; \n\u2022 Biblioth\xE8que sur l\u2019infrastructure de la technologie\
            \ de l\u2019information\_; \n\u2022 Institute of Electrical and Electronics\
            \ Engineers 828, Norme pour la gestion de la configuration en g\xE9nie\
            \ des syst\xE8mes et des logiciels."
          typical_evidence: "\u2022 Processus de configuration du syst\xE8me, bas\xE9\
            \ sur les bonnes pratiques et les normes, en place et maintenu. \n\u2022\
            \ Tableaux de configuration du syst\xE8me contenant les configurations\
            \ du mat\xE9riel, des logiciels, des services et des r\xE9seaux. \n\u2022\
            \ Configuration de base s\xE9curis\xE9e document\xE9e contenant au moins\
            \ (liste indicative, non exhaustive) :\n    o les capacit\xE9s essentielles\
            \ de fonctionnement ;\n    o l\u2019utilisation restreinte des fonctions\
            \ ;\n    o la s\xE9curit\xE9 par d\xE9faut ;\n    o Ports, protocoles\
            \ et/ou services autoris\xE9s. \n\u2022 Documentation et approbation des\
            \ exceptions \xE0 la base de configuration contenant les mesures alternatives\
            \ en place pour assurer la confidentialit\xE9, la disponibilit\xE9 et\
            \ l\u2019int\xE9grit\xE9 du CI. \n\u2022 Configuration de base s\xE9curis\xE9\
            e document\xE9e pour les environnements de d\xE9veloppement et de test."
        es:
          description: "Las entidades pertinentes adoptar\xE1n las medidas adecuadas\
            \ para establecer, documentar, poner en marcha y supervisar las configuraciones,\
            \ incluidas las configuraciones de seguridad del hardware de los equipos\
            \ y programas inform\xE1ticos, los servicios y las redes."
          annotation: "\u2022 Establecer procesos documentados basados en las mejores\
            \ pr\xE1cticas y normas de seguridad de la informaci\xF3n (52). \n\u2022\
            \ Mantener y documentar los ajustes de configuraci\xF3n detallados para\
            \ los siguientes procedimientos operativos (lista indicativa, no exhaustiva):\n\
            \    o procesamiento y manejo de informaci\xF3n, o copia de seguridad,\
            \ o requisitos de programaci\xF3n, incluidas las interdependencias con\
            \ otros sistemas, o manejo de errores u otras condiciones excepcionales,\
            \ o procedimientos de reinicio y recuperaci\xF3n del sistema, o mecanismos\
            \ y configuraciones criptogr\xE1ficas, y o seguimiento de auditor\xED\
            a e informaci\xF3n de registro del sistema. \n\u2022 Tenga en cuenta los\
            \ siguientes par\xE1metros relacionados con la seguridad para los ajustes\
            \ de configuraci\xF3n (lista indicativa y no exhaustiva):\n    o Configuraci\xF3\
            n del registro, o Configuraci\xF3n de permisos de cuentas, archivos y\
            \ directorios, y o Configuraci\xF3n de funciones, puertos, protocolos,\
            \ servicios y conexiones remotas. \n\u2022 Emplear mecanismos automatizados\
            \ para gestionar, aplicar y verificar de forma centralizada los ajustes\
            \ de configuraci\xF3n de software y hardware, incluidos los dispositivos\
            \ m\xF3viles y los veh\xEDculos conectados de la entidad.\n    o Cuando\
            \ proceda, implementar una base de datos de gesti\xF3n de la configuraci\xF3\
            n para catalogar y clasificar todos los elementos de configuraci\xF3n\
            \ (CI), incluidos sus atributos de seguridad (por ejemplo, nivel de parche,\
            \ reglas de firewall y estado de cifrado) \n\u2022 Garantizar que todas\
            \ las configuraciones de red, software y sistema se adhieran a los est\xE1\
            ndares operativos y de seguridad establecidos para funciones, puertos,\
            \ protocolos y servicios. \n\u2022 Supervisar y controlar los cambios\
            \ en los ajustes de configuraci\xF3n de acuerdo con la pol\xEDtica de\
            \ la entidad sobre la seguridad de los sistemas de red e informaci\xF3\
            n y las pol\xEDticas y procedimientos espec\xEDficos del tema. \n\u2022\
            \ Identificar el software no autorizado para ejecutarse en los sistemas\
            \ de informaci\xF3n. \n\u2022 Cuando corresponda, revise y actualice peri\xF3\
            dicamente las configuraciones de software. \n\u2022 En su caso, identificar\
            \ los programas inform\xE1ticos autorizados a ejecutarse en el sistema\
            \ de informaci\xF3n. \n\u2022 Emplear una pol\xEDtica de denegaci\xF3\
            n de todo, permiso por excepci\xF3n para permitir que se ejecute el software\
            \ autorizado. \n\u2022 Establezca procedimientos para el uso de servicios\
            \ de red para restringir el acceso solo a los servicios o aplicaciones\
            \ necesarios. \n\u2022 Administrar una configuraci\xF3n de l\xEDnea de\
            \ base segura para entornos de desarrollo y prueba por separado de la\
            \ configuraci\xF3n de l\xEDnea de base operativa, cuando corresponda.\
            \ \n\u2022 Identificar, documentar y aprobar cualquier desviaci\xF3n de\
            \ los ajustes de configuraci\xF3n establecidos en funci\xF3n de las excepciones\
            \ definidas en los requisitos operativos.\n\n(52) Adem\xE1s de las normas\
            \ que figuran en el cuadro de correspondencia, consid\xE9rese lo siguiente:\
            \ \n\u2022 ISO/IEC 20000, que es la norma internacional para la gesti\xF3\
            n de servicios de TI y consta de 17 partes; \n\u2022 Biblioteca de Infraestructura\
            \ de Tecnolog\xEDa de la Informaci\xF3n; \n\u2022 Instituto de Ingenieros\
            \ El\xE9ctricos y Electr\xF3nicos 828, Norma para la gesti\xF3n de la\
            \ configuraci\xF3n en ingenier\xEDa de sistemas y software."
          typical_evidence: "\u2022 Proceso de configuraci\xF3n del sistema, basado\
            \ en buenas pr\xE1cticas y est\xE1ndares, implementado y mantenido. \n\
            \u2022 Tablas de configuraci\xF3n del sistema que contienen configuraciones\
            \ de hardware, software, servicios y redes. \n\u2022 Configuraci\xF3n\
            \ de l\xEDnea base segura documentada que contenga al menos (lista indicativa\
            \ y no exhaustiva):\n    o capacidades esenciales de operaci\xF3n;\n \
            \   o uso restringido de funciones;\n    o seguridad por defecto;\n  \
            \  o Puertos, protocolos y/o servicios permitidos. \n\u2022 Excepciones\
            \ documentadas y aprobadas a la l\xEDnea de base de configuraci\xF3n que\
            \ contienen las medidas alternativas implementadas para garantizar la\
            \ confidencialidad, disponibilidad e integridad de la CI. \n\u2022 Configuraci\xF3\
            n de l\xEDnea de base segura documentada para entornos de desarrollo y\
            \ prueba."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty p\u0159ijmou vhodn\xE1\
            \ opat\u0159en\xED k vytvo\u0159en\xED, zdokumentov\xE1n\xED, zaveden\xED\
            \ a monitorov\xE1n\xED konfigurac\xED, v\u010Detn\u011B bezpe\u010Dnostn\xED\
            ch konfigurac\xED hardwaru, softwaru, slu\u017Eeb a s\xEDt\xED."
          annotation: "\u2022 Zav\xE9st zdokumentovan\xE9 procesy zalo\u017Een\xE9\
            \ na osv\u011Bd\u010Den\xFDch postupech a norm\xE1ch bezpe\u010Dnosti\
            \ informac\xED (52). \n\u2022 Udr\u017Eujte a dokumentujte podrobn\xE1\
            \ nastaven\xED konfigurace pro n\xE1sleduj\xEDc\xED provozn\xED postupy\
            \ (orienta\u010Dn\xED, ne\xFApln\xFD seznam):\n    o zpracov\xE1n\xED\
            \ a manipulaci s informacemi, o z\xE1lohov\xE1n\xED, o po\u017Eadavky\
            \ na pl\xE1nov\xE1n\xED, v\u010Detn\u011B vz\xE1jemn\xFDch z\xE1vislost\xED\
            \ s jin\xFDmi syst\xE9my, o zpracov\xE1n\xED chyb nebo jin\xFDch v\xFD\
            jime\u010Dn\xFDch podm\xEDnek, o postupy restartu a obnovy syst\xE9mu,\
            \ o kryptografick\xE9 mechanismy a nastaven\xED a o informace o auditn\xED\
            \ stopa a informace o syst\xE9mov\xFD protokol. \n\u2022 Pro nastaven\xED\
            \ konfigurace zva\u017Ete n\xE1sleduj\xEDc\xED parametry souvisej\xED\
            c\xED se zabezpe\u010Den\xEDm (orienta\u010Dn\xED, ne\xFApln\xFD seznam):\n\
            \    o Nastaven\xED registru, o Nastaven\xED \xFA\u010Dtu, soubor\u016F\
            \ a adres\xE1\u0159\u016F a o Nastaven\xED funkc\xED, port\u016F, protokol\u016F\
            , slu\u017Eeb a vzd\xE1len\xFDch p\u0159ipojen\xED. \n\u2022 Vyu\u017E\
            \xEDvat automatizovan\xE9 mechanismy k centr\xE1ln\xED spr\xE1v\u011B\
            , aplikaci a ov\u011B\u0159ov\xE1n\xED konfigura\u010Dn\xEDch nastaven\xED\
            \ pro software a hardware, v\u010Detn\u011B mobiln\xEDch za\u0159\xED\
            zen\xED a propojen\xFDch vozidel subjektu.\n    o Tam, kde je to vhodn\xE9\
            , implementujte datab\xE1zi pro spr\xE1vu konfigurace pro katalogizaci\
            \ a klasifikaci v\u0161ech konfigura\u010Dn\xEDch polo\u017Eek (CI), v\u010D\
            etn\u011B jejich atribut\u016F zabezpe\u010Den\xED (nap\u0159. \xFArove\u0148\
            \ z\xE1plat, pravidla br\xE1ny firewall a stav \u0161ifrov\xE1n\xED).\
            \ \n\u2022 Zajist\u011Bte, aby v\u0161echny konfigurace s\xEDt\u011B,\
            \ softwaru a syst\xE9mu byly v souladu se zaveden\xFDmi bezpe\u010Dnostn\xED\
            mi a provozn\xEDmi standardy pro funkce, porty, protokoly a slu\u017E\
            by. \n\u2022 Sledovat a kontrolovat zm\u011Bny konfigura\u010Dn\xEDch\
            \ nastaven\xED v souladu s politikou subjektu v oblasti bezpe\u010Dnosti\
            \ s\xEDt\xED a informa\u010Dn\xEDch syst\xE9m\u016F a se z\xE1sadami a\
            \ postupy specifick\xFDmi pro dan\xE9 t\xE9ma. \n\u2022 Identifikovat\
            \ software, kter\xFD nen\xED opr\xE1vn\u011Bn b\u011B\u017Eet na informa\u010D\
            n\xEDch syst\xE9mech. \n\u2022 V p\u0159\xEDpad\u011B pot\u0159eby pravideln\u011B\
            \ kontrolujte a aktualizujte konfigurace softwaru. \n\u2022 p\u0159\xED\
            padn\u011B identifikovat softwarov\xE9 programy opr\xE1vn\u011Bn\xE9 ke\
            \ spu\u0161t\u011Bn\xED v informa\u010Dn\xEDm syst\xE9mu. \n\u2022 Pou\u017E\
            \xEDvat z\xE1sadu odep\u0159en\xED v\u0161eho, povolen\xED po v\xFDjimce,\
            \ kter\xE1 umo\u017En\xED spu\u0161t\u011Bn\xED autorizovan\xE9ho softwaru.\
            \ \n\u2022 Nastavte postupy pro pou\u017E\xEDv\xE1n\xED s\xED\u0165ov\xFD\
            ch slu\u017Eeb tak, aby byl omezen p\u0159\xEDstup pouze k nezbytn\xFD\
            m slu\u017Eb\xE1m nebo aplikac\xEDm. \n\u2022 V p\u0159\xEDpad\u011B pot\u0159\
            eby spravujte bezpe\u010Dnou z\xE1kladn\xED konfiguraci pro v\xFDvojov\xE1\
            \ a testovac\xED prost\u0159ed\xED odd\u011Blen\u011B od z\xE1kladn\xED\
            \ konfigurace provozu. \n\u2022 Identifikovat, dokumentovat a schvalovat\
            \ jak\xE9koli odchylky od zaveden\xE9ho nastaven\xED konfigurace na z\xE1\
            klad\u011B definovan\xFDch v\xFDjimek z provozn\xEDch po\u017Eadavk\u016F\
            .\n\n(52) Krom\u011B norem uveden\xFDch v mapovac\xED tabulce je t\u0159\
            eba vz\xEDt v \xFAvahu n\xE1sleduj\xEDc\xED skute\u010Dnosti: \n\u2022\
            \ ISO/IEC 20000, co\u017E je mezin\xE1rodn\xED norma pro \u0159\xEDzen\xED\
            \ IT slu\u017Eeb a skl\xE1d\xE1 se ze 17 \u010D\xE1st\xED; \n\u2022 Knihovna\
            \ infrastruktury informa\u010Dn\xEDch technologi\xED; \n\u2022 Institute\
            \ of Electrical and Electronics Engineers 828, Standard pro spr\xE1vu\
            \ konfigurac\xED v syst\xE9mov\xE9m a softwarov\xE9m in\u017Een\xFDrstv\xED\
            ."
          typical_evidence: "\u2022 Proces konfigurace syst\xE9mu, zalo\u017Een\xFD\
            \ na osv\u011Bd\u010Den\xFDch postupech a standardech, zaveden\xFD a udr\u017E\
            ovan\xFD. \n\u2022 Konfigura\u010Dn\xED tabulky syst\xE9mu obsahuj\xED\
            c\xED konfigurace hardwaru, softwaru, slu\u017Eeb a s\xEDt\xED. \n\u2022\
            \ Zdokumentovan\xE1 bezpe\u010Dn\xE1 z\xE1kladn\xED konfigurace obsahuj\xED\
            c\xED alespo\u0148 (orienta\u010Dn\xED, ne\xFApln\xFD seznam):\n    o\
            \ z\xE1kladn\xED provozn\xED schopnosti;\n    o omezen\xE9 pou\u017E\xED\
            v\xE1n\xED funkc\xED;\n    o zabezpe\u010Den\xED ve v\xFDchoz\xEDm nastaven\xED\
            ;\n    o povolen\xFDch portech, protokolech a/nebo slu\u017Eb\xE1ch. \n\
            \u2022 Zdokumentovan\xE9 a schv\xE1len\xE9 v\xFDjimky ze z\xE1kladn\xED\
            ho stavu konfigurace obsahuj\xEDc\xED alternativn\xED opat\u0159en\xED\
            \ k zaji\u0161t\u011Bn\xED d\u016Fv\u011Brnosti, dostupnosti a integrity\
            \ CI. \n\u2022 Zdokumentovan\xE1 bezpe\u010Dn\xE1 z\xE1kladn\xED konfigurace\
            \ pro v\xFDvojov\xE1 a testovac\xED prost\u0159ed\xED."
        it:
          description: I soggetti pertinenti adottano le misure appropriate per stabilire,
            documentare, attuare e monitorare le configurazioni, comprese le configurazioni
            di sicurezza di hardware, software, servizi e reti.
          annotation: "\u2022 Stabilire processi documentati basati sulle migliori\
            \ pratiche e sugli standard di sicurezza delle informazioni (52). \n\u2022\
            \ Mantenere e documentare le impostazioni di configurazione dettagliate\
            \ per le seguenti procedure operative (elenco indicativo e non esaustivo):\n\
            \    o elaborazione e gestione delle informazioni, o backup, o requisiti\
            \ di pianificazione, comprese le interdipendenze con altri sistemi, o\
            \ gestione di errori o altre condizioni eccezionali, o procedure di riavvio\
            \ e ripristino del sistema, o meccanismi e impostazioni crittografiche\
            \ e o audit trail e informazioni di registro del sistema. \n\u2022 Considerare\
            \ i seguenti parametri relativi alla sicurezza per le impostazioni di\
            \ configurazione (elenco indicativo e non esaustivo):\n    o impostazioni\
            \ del registro, o impostazioni dell'account, dei permessi di file e directory\
            \ e o impostazioni per funzioni, porte, protocolli, servizi e connessioni\
            \ remote. \n\u2022 Utilizzare meccanismi automatizzati per gestire, applicare\
            \ e verificare centralmente le impostazioni di configurazione per software\
            \ e hardware, inclusi i dispositivi mobili e i veicoli connessi dell'entit\xE0\
            .\n    o, se del caso, implementare un database di gestione della configurazione\
            \ per catalogare e classificare tutti gli elementi di configurazione (CI),\
            \ inclusi i loro attributi di sicurezza (ad es. livello di patch, regole\
            \ del firewall e stato di crittografia) \n\u2022 Assicurarsi che tutte\
            \ le configurazioni di rete, software e sistema siano conformi agli standard\
            \ operativi e di sicurezza stabiliti per funzioni, porte, protocolli e\
            \ servizi. \n\u2022 Monitorare e controllare le modifiche alle impostazioni\
            \ di configurazione in conformit\xE0 con la politica dell'entit\xE0 sulla\
            \ sicurezza della rete e dei sistemi informativi e con le politiche e\
            \ le procedure specifiche per argomento. \n\u2022 Identificare i software\
            \ non autorizzati a funzionare sui sistemi informativi. \n\u2022 Se necessario,\
            \ rivedere e aggiornare regolarmente le configurazioni software. \n\u2022\
            \ Se del caso, identificare i programmi software autorizzati a funzionare\
            \ sul sistema informativo. \n\u2022 Adottare una politica di negazione\
            \ di tutto, permesso per eccezione, per consentire l'esecuzione del software\
            \ autorizzato. \n\u2022 Impostare procedure per l'utilizzo dei servizi\
            \ di rete in modo da limitare l'accesso solo ai servizi o alle applicazioni\
            \ necessarie. \n\u2022 Gestire una configurazione di base sicura per gli\
            \ ambienti di sviluppo e test separatamente dalla configurazione di base\
            \ operativa, se appropriato. \n\u2022 Identificare, documentare e approvare\
            \ eventuali deviazioni dalle impostazioni di configurazione stabilite\
            \ in base a eccezioni definite sui requisiti operativi.\n\n(52) Oltre\
            \ alle norme contenute nella tavola di mappatura, si consideri quanto\
            \ segue: \n\u2022 ISO/IEC 20000, che \xE8 lo standard internazionale per\
            \ la gestione dei servizi IT e si compone di 17 parti; \n\u2022 Biblioteca\
            \ dell'infrastruttura informatica; \n\u2022 Institute of Electrical and\
            \ Electronics Engineers 828, Standard per la gestione della configurazione\
            \ nell'ingegneria dei sistemi e del software."
          typical_evidence: "\u2022 Processo di configurazione del sistema, basato\
            \ su buone pratiche e standard, in atto e mantenuto. \n\u2022 Tabelle\
            \ di configurazione del sistema contenenti configurazioni di hardware,\
            \ software, servizi e reti. \n\u2022 Configurazione di base sicura documentata\
            \ contenente almeno (elenco indicativo e non esaustivo):\n    o capacit\xE0\
            \ operative essenziali;\n    o uso limitato delle funzioni;\n    o sicurezza\
            \ per impostazione predefinita;\n    o porte, protocolli e/o servizi consentiti.\
            \ \n\u2022 Eccezioni documentate e approvate alla linea di base della\
            \ configurazione contenente le misure alternative in atto per garantire\
            \ la riservatezza, la disponibilit\xE0 e l'integrit\xE0 dell'IC. \n\u2022\
            \ Configurazione di base sicura documentata per ambienti di sviluppo e\
            \ test."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.3.2
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.3
      ref_id: 6.3.2
      description: 'For the purpose of point 6.3.1., the relevant entities shall:'
      annotation: "\u2022 Consider hardening guides/best practices and general cybersecurity\
        \ principles (e.g. least functionality and least privilege) as a basis for\
        \ deriving the defined security configurations. \n\u2022 Establish, document\
        \ and maintain configuration settings respecting the access control policy.\
        \ \n\u2022 Where applicable, test the configuration before implementation.\
        \ \n\u2022 Employ security safeguards to detect and respond to unauthorised\
        \ changes to defined configuration settings. \n\u2022 Establish a configuration\
        \ management plan containing:\n    o roles, responsibilities and configuration\
        \ management processes and procedures;\n    o a process for identifying CIs\
        \ throughout the system development life cycle; and\n    o a process for managing\
        \ the configuration of the CIs throughout their life cycle. \n\u2022 Protect\
        \ the configuration management plan from unauthorised disclosure and modification.\
        \ \n\u2022 Implement enhanced controls, including regular vulnerability scanning,\
        \ strict configuration hardening, isolation where feasible and continuous\
        \ monitoring to compensate for products which lack official updates after\
        \ the end of supplier support."
      typical_evidence: "\u2022 Configuration management plan. \n\u2022 Comparison\
        \ of the configuration plan with the access control lists. \n\u2022 Mechanisms,\
        \ for example logical and physical access controls, encryption and audit logs\
        \ in place. \n\u2022 Documented and approved exceptions to the configuration\
        \ baseline containing the alternative measures in place to ensure the confidentiality,\
        \ availability and integrity of the CI."
      translations:
        fr:
          description: "Aux fins du point 6.3.1, les entit\xE9s concern\xE9es:"
          annotation: "\u2022 Tenir compte des guides/meilleures pratiques de renforcement\
            \ et des principes g\xE9n\xE9raux de cybers\xE9curit\xE9 (par exemple,\
            \ la moindre fonctionnalit\xE9 et le moindre privil\xE8ge) comme base\
            \ pour d\xE9river les configurations de s\xE9curit\xE9 d\xE9finies. \n\
            \u2022 Etablir, documenter et maintenir les param\xE8tres de configuration\
            \ en respectant la politique de contr\xF4le d\u2019acc\xE8s. \n\u2022\
            \ Le cas \xE9ch\xE9ant, testez la configuration avant la mise en \u0153\
            uvre. \n\u2022 Utilisez des mesures de s\xE9curit\xE9 pour d\xE9tecter\
            \ et r\xE9pondre aux modifications non autoris\xE9es des param\xE8tres\
            \ de configuration d\xE9finis. \n\u2022 Etablir un plan de gestion de\
            \ configuration contenant :\n    o R\xF4les, responsabilit\xE9s et processus\
            \ et proc\xE9dures de gestion de la configuration\_;\n    o un processus\
            \ d\u2019identification des CI tout au long du cycle de vie du d\xE9veloppement\
            \ du syst\xE8me ; et\n    o un processus de gestion de la configuration\
            \ des CI tout au long de leur cycle de vie. \n\u2022 Prot\xE9ger le plan\
            \ de gestion de la configuration contre la divulgation et la modification\
            \ non autoris\xE9es. \n\u2022 Mettre en \u0153uvre des contr\xF4les renforc\xE9\
            s, y compris une analyse r\xE9guli\xE8re des vuln\xE9rabilit\xE9s, un\
            \ renforcement strict de la configuration, l\u2019isolement lorsque cela\
            \ est possible et une surveillance continue pour compenser les produits\
            \ qui manquent de mises \xE0 jour officielles apr\xE8s la fin du support\
            \ fournisseur."
          typical_evidence: "\u2022 Plan de gestion de la configuration. \n\u2022\
            \ Comparaison du plan de configuration avec les listes de contr\xF4le\
            \ d\u2019acc\xE8s. \n\u2022 M\xE9canismes, par exemple contr\xF4les d\u2019\
            acc\xE8s logiques et physiques, cryptage et journaux d\u2019audit en place.\
            \ \n\u2022 Documentation et approbation des exceptions \xE0 la base de\
            \ configuration contenant les mesures alternatives en place pour assurer\
            \ la confidentialit\xE9, la disponibilit\xE9 et l\u2019int\xE9grit\xE9\
            \ du CI."
        es:
          description: 'A los efectos del punto 6.3.1, las entidades pertinentes:'
          annotation: "\u2022 Considere la posibilidad de endurecer las gu\xEDas/mejores\
            \ pr\xE1cticas y los principios generales de ciberseguridad (por ejemplo,\
            \ m\xEDnima funcionalidad y m\xEDnimo privilegio) como base para derivar\
            \ las configuraciones de seguridad definidas. \n\u2022 Establecer, documentar\
            \ y mantener los ajustes de configuraci\xF3n respetando la pol\xEDtica\
            \ de control de acceso. \n\u2022 Cuando corresponda, pruebe la configuraci\xF3\
            n antes de la implementaci\xF3n. \n\u2022 Emplee medidas de seguridad\
            \ para detectar y responder a cambios no autorizados en los ajustes de\
            \ configuraci\xF3n definidos. \n\u2022 Establecer un plan de gesti\xF3\
            n de la configuraci\xF3n que contenga:\n    o roles, responsabilidades\
            \ y procesos y procedimientos de gesti\xF3n de la configuraci\xF3n;\n\
            \    o un proceso para identificar los IC a lo largo del ciclo de vida\
            \ del desarrollo del sistema; y\n    o un proceso para gestionar la configuraci\xF3\
            n de los IC a lo largo de su ciclo de vida. \n\u2022 Proteger el plan\
            \ de gesti\xF3n de la configuraci\xF3n de la divulgaci\xF3n y modificaci\xF3\
            n no autorizadas. \n\u2022 Implementar controles mejorados, incluido el\
            \ escaneo regular de vulnerabilidades, el endurecimiento estricto de la\
            \ configuraci\xF3n, el aislamiento cuando sea posible y el monitoreo continuo\
            \ para compensar los productos que carecen de actualizaciones oficiales\
            \ despu\xE9s del final del soporte del proveedor."
          typical_evidence: "\u2022 Plan de gesti\xF3n de la configuraci\xF3n. \n\u2022\
            \ Comparaci\xF3n del plan de configuraci\xF3n con las listas de control\
            \ de acceso. \n\u2022 Mecanismos, por ejemplo, controles de acceso l\xF3\
            gicos y f\xEDsicos, cifrado y registros de auditor\xEDa. \n\u2022 Excepciones\
            \ documentadas y aprobadas a la l\xEDnea de base de configuraci\xF3n que\
            \ contienen las medidas alternativas implementadas para garantizar la\
            \ confidencialidad, disponibilidad e integridad de la CI."
        cs:
          description: "Pro \xFA\u010Dely bodu 6.3.1 p\u0159\xEDslu\u0161n\xE9 subjekty:"
          annotation: "\u2022 Zva\u017Ete p\u0159\xEDru\u010Dky/osv\u011Bd\u010Den\xE9\
            \ postupy pro pos\xEDlen\xED zabezpe\u010Den\xED a obecn\xE9 principy\
            \ kybernetick\xE9 bezpe\u010Dnosti (nap\u0159. nejmen\u0161\xED funk\u010D\
            nost a nejni\u017E\u0161\xED opr\xE1vn\u011Bn\xED) jako z\xE1klad pro\
            \ odvozen\xED definovan\xFDch konfigurac\xED zabezpe\u010Den\xED. \n\u2022\
            \ Nastavte, zdokumentujte a udr\u017Eujte konfigura\u010Dn\xED nastaven\xED\
            \ respektuj\xEDc\xED z\xE1sady \u0159\xEDzen\xED p\u0159\xEDstupu. \n\u2022\
            \ Pokud je to mo\u017En\xE9, otestujte konfiguraci p\u0159ed implementac\xED\
            . \n\u2022 Vyu\u017E\xEDvat bezpe\u010Dnostn\xED opat\u0159en\xED k detekci\
            \ a reakci na neopr\xE1vn\u011Bn\xE9 zm\u011Bny definovan\xFDch konfigura\u010D\
            n\xEDch nastaven\xED. \n\u2022 Vytvo\u0159te pl\xE1n spr\xE1vy konfigurace,\
            \ kter\xFD obsahuje:\n    o role, odpov\u011Bdnosti a procesy a postupy\
            \ \u0159\xEDzen\xED konfigurace;\n    o proces identifikace CI v pr\u016F\
            b\u011Bhu \u017Eivotn\xEDho cyklu v\xFDvoje syst\xE9mu; a\n    o proces\
            \ \u0159\xEDzen\xED konfigurace CI v pr\u016Fb\u011Bhu jejich \u017Eivotn\xED\
            ho cyklu. \n\u2022 Chra\u0148te pl\xE1n spr\xE1vy konfigurace p\u0159\
            ed neopr\xE1vn\u011Bn\xFDm zve\u0159ejn\u011Bn\xEDm a \xFApravami. \n\u2022\
            \ Implementujte vylep\u0161en\xE9 kontroly, v\u010Detn\u011B pravideln\xE9\
            ho skenov\xE1n\xED zranitelnost\xED, p\u0159\xEDsn\xE9ho pos\xEDlen\xED\
            \ konfigurace, izolace tam, kde je to mo\u017En\xE9, a nep\u0159etr\u017E\
            it\xE9ho monitorov\xE1n\xED, aby se kompenzovaly produkty, kter\xE9 po\
            \ ukon\u010Den\xED podpory dodavatele postr\xE1daj\xED ofici\xE1ln\xED\
            \ aktualizace."
          typical_evidence: "\u2022 Pl\xE1n \u0159\xEDzen\xED konfigurace. \n\u2022\
            \ Porovn\xE1n\xED konfigura\u010Dn\xEDho pl\xE1nu se seznamy \u0159\xED\
            zen\xED p\u0159\xEDstupu. \n\u2022 Mechanismy, nap\u0159\xEDklad logick\xE9\
            \ a fyzick\xE9 kontroly p\u0159\xEDstupu, \u0161ifrov\xE1n\xED a protokoly\
            \ auditu. \n\u2022 Zdokumentovan\xE9 a schv\xE1len\xE9 v\xFDjimky ze z\xE1\
            kladn\xEDho stavu konfigurace obsahuj\xEDc\xED alternativn\xED opat\u0159\
            en\xED k zaji\u0161t\u011Bn\xED d\u016Fv\u011Brnosti, dostupnosti a integrity\
            \ CI."
        it:
          description: 'Ai fini del punto 6.3.1, i soggetti interessati:'
          annotation: "\u2022 Prendere in considerazione le guide/best practice di\
            \ hardening e i principi generali di sicurezza informatica (ad es. funzionalit\xE0\
            \ minima e privilegio minimo) come base per derivare le configurazioni\
            \ di sicurezza definite. \n\u2022 Stabilire, documentare e mantenere le\
            \ impostazioni di configurazione rispettando la politica di controllo\
            \ degli accessi. \n\u2022 Se applicabile, testare la configurazione prima\
            \ dell'implementazione. \n\u2022 Utilizzare misure di sicurezza per rilevare\
            \ e rispondere a modifiche non autorizzate alle impostazioni di configurazione\
            \ definite. \n\u2022 Stabilire un piano di gestione della configurazione\
            \ contenente:\n    o ruoli, responsabilit\xE0 e processi e procedure di\
            \ gestione della configurazione;\n    o un processo per l'identificazione\
            \ degli CI durante l'intero ciclo di vita dello sviluppo del sistema;\
            \ e\n    o un processo per la gestione della configurazione degli CI durante\
            \ tutto il loro ciclo di vita. \n\u2022 Proteggere il piano di gestione\
            \ della configurazione da divulgazioni e modifiche non autorizzate. \n\
            \u2022 Implementare controlli avanzati, tra cui la scansione regolare\
            \ delle vulnerabilit\xE0, il rigoroso rafforzamento della configurazione,\
            \ l'isolamento ove possibile e il monitoraggio continuo per compensare\
            \ i prodotti che mancano di aggiornamenti ufficiali dopo la fine del supporto\
            \ ai fornitori."
          typical_evidence: "\u2022 Piano di gestione della configurazione. \n\u2022\
            \ Confronto del piano di configurazione con le liste di controllo accessi.\
            \ \n\u2022 Meccanismi, ad esempio controlli di accesso logici e fisici,\
            \ crittografia e registri di controllo. \n\u2022 Eccezioni documentate\
            \ e approvate alla linea di base della configurazione contenente le misure\
            \ alternative in atto per garantire la riservatezza, la disponibilit\xE0\
            \ e l'integrit\xE0 dell'IC."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.3.2.a
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.3.2
      ref_id: 6.3.2.a
      description: lay down and ensure security in configurations for their hardware,
        software, services and networks;
      translations:
        fr:
          description: "d\xE9finissent et appliquent des configurations de s\xE9curit\xE9\
            \ pour leur mat\xE9riel, leurs logiciels, leurs services et leurs r\xE9\
            seaux;"
        es:
          description: "crear\xE1n un entorno seguro en las configuraciones de sus\
            \ equipos y programas inform\xE1ticos, servicios y redes y lo mantendr\xE1\
            n;"
        cs:
          description: "stanov\xED a zajist\xED bezpe\u010Dnost konfigurac\xED pro\
            \ sv\u016Fj hardware, software, slu\u017Eby a s\xEDt\u011B;"
        it:
          description: stabilire e garantire la sicurezza delle configurazioni dell'hardware,
            del software, dei servizi e delle reti;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.3.2.b
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.3.2
      ref_id: 6.3.2.b
      description: lay down and implement processes and tools to enforce the laid
        down secure configurations for hardware, software, services and networks,
        for newly installed systems as well as for systems in operation over their
        lifetime.
      translations:
        fr:
          description: "d\xE9finissent et utilisent des proc\xE9dures et des outils\
            \ pour assurer le respect des configurations s\xE9curis\xE9es d\xE9finies\
            \ pour le mat\xE9riel, les logiciels, les services et les r\xE9seaux,\
            \ pour les syst\xE8mes r\xE9cemment install\xE9s ainsi que pour les syst\xE8\
            mes d\xE9j\xE0 en exploitation, pendant toute leur dur\xE9e de vie."
        es:
          description: "establecer\xE1n y pondr\xE1n en marcha procesos y herramientas\
            \ para dar cumplimiento a las configuraciones seguras establecidas para\
            \ los equipos y programas inform\xE1ticos, servicios y redes, para los\
            \ sistemas de nueva instalaci\xF3n y los sistemas en funcionamiento a\
            \ lo largo de todo su ciclo de vida."
        cs:
          description: "stanov\xED a zavedou procesy a n\xE1stroje pro vynucov\xE1\
            n\xED stanoven\xFDch bezpe\u010Dn\xFDch konfigurac\xED pro hardware, software,\
            \ slu\u017Eby a s\xEDt\u011B, pro nov\u011B instalovan\xE9 syst\xE9my\
            \ i pro syst\xE9my v provozu, a to po celou dobu jejich \u017Eivotnosti."
        it:
          description: stabilire e attuare processi e strumenti per far rispettare
            le configurazioni sicure stabilite per l'hardware, il software, i servizi
            e le reti, per i sistemi di nuova installazione e per i sistemi in funzione
            nel corso del loro ciclo di vita.
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.3.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.3
      ref_id: 6.3.3
      description: The relevant entities shall review and, where appropriate, update
        configurations at planned intervals or when significant incidents or significant
        changes to operations or risks occur.
      annotation: "\u2022 Review and, where appropriate update (53) configurations\
        \ at least monthly to ensure that patches have been applied, that the backup\
        \ has been executed according to the plan and that monitoring is in place\
        \ to identify and alert to fatal server/device/disk errors without delay.\
        \ \n\u2022 Regularly produce, keep and review change logs regarding the security\
        \ configuration of information systems. \n\u2022 Review and update the configurations\
        \ after major changes (e.g. software updates) and past incidents. \n\u2022\
        \ Where feasible, obtain baseline configuration files for key systems and\
        \ devices to compare against current configurations.\n\n(53) The decision\
        \ about the update should be based on the actual technical capabilities and\
        \ specific needs of the entity, taking into account the results of a risk\
        \ assessment before implementing the update."
      typical_evidence: "\u2022 Up-to-date configuration management plan, review comments\
        \ and/or change logs.  \n\u2022 Documented results of the review activities.\
        \ \n\u2022 Configuration snapshots taken before and after changes or at regular\
        \ intervals to verify that reviews are conducted and documented. \n\u2022\
        \ Audit logs from systems and devices that track configuration changes and\
        \ reviews. \n\u2022 Alerts from monitoring systems that notify administrators\
        \ of unexpected configurations or changes or deviations from the baseline\
        \ in critical systems. \n\u2022 Audit trails and compliance records from internal\
        \ and external audits. \n\u2022 Minutes from team meetings where configuration\
        \ reviews and changes are discussed and documented. \n\u2022 Records of notifications\
        \ or reminders sent to relevant employees about upcoming configuration reviews.\
        \ \n\u2022 Records from the configuration management tools to ensure they\
        \ are kept up to date with accurate configuration information. \n\u2022 Incident\
        \ response records that confirm whether the entity takes into account incidents\
        \ related the configurations."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es r\xE9examinent et, s\u2019il\
            \ est besoin, mettent \xE0 jour les configurations \xE0 intervalles pr\xE9\
            d\xE9finis, ou en cas d\u2019incidents importants ou lorsque des changements\
            \ majeurs concernant les op\xE9rations ou les risques se produisent."
          annotation: "\u2022 Examiner et, le cas \xE9ch\xE9ant, mettre \xE0 jour\
            \ (53) les configurations au moins une fois par mois pour s\u2019assurer\
            \ que les correctifs ont \xE9t\xE9 appliqu\xE9s, que la sauvegarde a \xE9\
            t\xE9 ex\xE9cut\xE9e conform\xE9ment au plan et qu\u2019une surveillance\
            \ est en place pour identifier et alerter sans d\xE9lai en cas d\u2019\
            erreurs fatales de serveur, de p\xE9riph\xE9rique ou de disque. \n\u2022\
            \ Produire, tenir et r\xE9viser r\xE9guli\xE8rement des registres de modifications\
            \ concernant la configuration de la s\xE9curit\xE9 des syst\xE8mes d\u2019\
            information. \n\u2022 Examiner et mettre \xE0 jour les configurations\
            \ apr\xE8s des changements majeurs (par exemple, des mises \xE0 jour logicielles)\
            \ et des incidents pass\xE9s. \n\u2022 Dans la mesure du possible, obtenez\
            \ des fichiers de configuration de base pour les syst\xE8mes et appareils\
            \ cl\xE9s afin de les comparer aux configurations actuelles.\n\n(53) La\
            \ d\xE9cision relative \xE0 la mise \xE0 jour devrait \xEAtre fond\xE9\
            e sur les capacit\xE9s techniques r\xE9elles et les besoins sp\xE9cifiques\
            \ de l\u2019entit\xE9, en tenant compte des r\xE9sultats d\u2019une \xE9\
            valuation des risques avant la mise en \u0153uvre de la mise \xE0 jour."
          typical_evidence: "\u2022 Plan de gestion de la configuration \xE0 jour,\
            \ examen des commentaires et/ou journaux des modifications.  \n\u2022\
            \ Documentation des r\xE9sultats des activit\xE9s d\u2019examen. \n\u2022\
            \ Instantan\xE9s de configuration pris avant et apr\xE8s les modifications\
            \ ou \xE0 intervalles r\xE9guliers pour v\xE9rifier que les r\xE9visions\
            \ sont effectu\xE9es et document\xE9es. \n\u2022 Journaux d\u2019audit\
            \ des syst\xE8mes et des appareils qui suivent les modifications et les\
            \ r\xE9visions de configuration. \n\u2022 Alertes des syst\xE8mes de surveillance\
            \ qui informent les administrateurs des configurations inattendues, des\
            \ modifications ou des \xE9carts par rapport \xE0 la base de r\xE9f\xE9\
            rence dans les syst\xE8mes critiques. \n\u2022 Pistes d\u2019audit et\
            \ dossiers de conformit\xE9 issus d\u2019audits internes et externes.\
            \ \n\u2022 Proc\xE8s-verbaux des r\xE9unions d\u2019\xE9quipe o\xF9 les\
            \ r\xE9visions et les modifications de configuration sont discut\xE9es\
            \ et document\xE9es. \n\u2022 Enregistrements des notifications ou rappels\
            \ envoy\xE9s aux employ\xE9s concern\xE9s concernant les revues de configuration\
            \ \xE0 venir. \n\u2022 Enregistrer les outils de gestion de la configuration\
            \ pour s\u2019assurer qu\u2019ils sont tenus \xE0 jour avec des informations\
            \ de configuration pr\xE9cises. \n\u2022 Des enregistrements de r\xE9\
            ponse aux incidents qui confirment si l\u2019entit\xE9 prend en compte\
            \ les incidents li\xE9s aux configurations."
        es:
          description: "Las entidades pertinentes revisar\xE1n y, cuando proceda,\
            \ actualizar\xE1n las configuraciones a intervalos planificados, as\xED\
            \ como cuando se produzcan incidentes significativos o cambios significativos\
            \ en las operaciones o los riesgos."
          annotation: "\u2022 Revisar y, en su caso, actualizar las configuraciones\
            \ (53) al menos una vez al mes para asegurarse de que se han aplicado\
            \ los parches, de que la copia de seguridad se ha ejecutado de acuerdo\
            \ con el plan y de que se ha realizado una supervisi\xF3n para identificar\
            \ y alertar sin demora de errores fatales del servidor/dispositivo/disco.\
            \ \n\u2022 Producir, mantener y revisar peri\xF3dicamente los registros\
            \ de cambios relativos a la configuraci\xF3n de seguridad de los sistemas\
            \ de informaci\xF3n. \n\u2022 Revisar y actualizar las configuraciones\
            \ despu\xE9s de cambios importantes (por ejemplo, actualizaciones de software)\
            \ e incidentes pasados. \n\u2022 Cuando sea posible, obtenga archivos\
            \ de configuraci\xF3n de referencia para sistemas y dispositivos clave\
            \ para compararlos con las configuraciones actuales.\n\n(53) La decisi\xF3\
            n sobre la actualizaci\xF3n debe basarse en las capacidades t\xE9cnicas\
            \ reales y las necesidades espec\xEDficas de la entidad, teniendo en cuenta\
            \ los resultados de una evaluaci\xF3n de riesgos antes de aplicar la actualizaci\xF3\
            n."
          typical_evidence: "\u2022 Plan de gesti\xF3n de configuraci\xF3n actualizado,\
            \ revisi\xF3n de comentarios y/o registros de cambios.  \n\u2022 Resultados\
            \ documentados de las actividades de revisi\xF3n. \n\u2022 Instant\xE1\
            neas de configuraci\xF3n tomadas antes y despu\xE9s de los cambios o a\
            \ intervalos regulares para verificar que las revisiones se realizan y\
            \ documentan. \n\u2022 Registros de auditor\xEDa de sistemas y dispositivos\
            \ que realizan un seguimiento de los cambios de configuraci\xF3n y las\
            \ revisiones. \n\u2022 Alertas de sistemas de monitoreo que notifican\
            \ a los administradores de configuraciones inesperadas o cambios o desviaciones\
            \ de la l\xEDnea de base en sistemas cr\xEDticos. \n\u2022 Pistas de auditor\xED\
            a y registros de cumplimiento de auditor\xEDas internas y externas. \n\
            \u2022 Actas de reuniones de equipo donde se discuten y documentan las\
            \ revisiones y cambios de configuraci\xF3n. \n\u2022 Registros de notificaciones\
            \ o recordatorios enviados a los empleados relevantes sobre las pr\xF3\
            ximas revisiones de configuraci\xF3n. \n\u2022 Registros de las herramientas\
            \ de gesti\xF3n de la configuraci\xF3n para garantizar que se mantengan\
            \ actualizados con informaci\xF3n de configuraci\xF3n precisa. \n\u2022\
            \ Registros de respuesta a incidentes que confirmen si la entidad tiene\
            \ en cuenta las incidencias relacionadas con las configuraciones."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty konfigurace p\u0159ezkoum\xE1\
            vaj\xED a v p\u0159\xEDpad\u011B pot\u0159eby aktualizuj\xED v pl\xE1\
            novan\xFDch intervalech nebo p\u0159i v\xFDskytu v\xFDznamn\xFDch incident\u016F\
            \ nebo v\xFDznamn\xFDch zm\u011Bn operac\xED \u010Di rizik."
          annotation: "\u2022 Alespo\u0148 jednou m\u011Bs\xED\u010Dn\u011B zkontrolovat\
            \ a p\u0159\xEDpadn\u011B aktualizovat (53) konfigurace, aby se zajistilo,\
            \ \u017Ee byly pou\u017Eity z\xE1platy, \u017Ee z\xE1lohov\xE1n\xED bylo\
            \ provedeno podle pl\xE1nu a \u017Ee je zavedeno monitorov\xE1n\xED, kter\xE9\
            \ neprodlen\u011B identifikuje a upozorn\xED na z\xE1va\u017En\xE9 chyby\
            \ serveru/za\u0159\xEDzen\xED/disku. \n\u2022 Pravideln\u011B vytv\xE1\
            \u0159et, v\xE9st a kontrolovat zm\u011Bnov\xE9 logy t\xFDkaj\xEDc\xED\
            \ se bezpe\u010Dnostn\xED konfigurace informa\u010Dn\xEDch syst\xE9m\u016F\
            . \n\u2022 Zkontrolujte a aktualizujte konfigurace po velk\xFDch zm\u011B\
            n\xE1ch (nap\u0159. aktualizace softwaru) a minul\xFDch incidentech. \n\
            \u2022 Pokud je to mo\u017En\xE9, z\xEDskejte z\xE1kladn\xED konfigura\u010D\
            n\xED soubory pro kl\xED\u010Dov\xE9 syst\xE9my a za\u0159\xEDzen\xED\
            , abyste je mohli porovnat se sou\u010Dasn\xFDmi konfiguracemi.\n\n(53)\
            \ Rozhodnut\xED o aktualizaci by m\u011Blo b\xFDt zalo\u017Eeno na skute\u010D\
            n\xFDch technick\xFDch schopnostech a specifick\xFDch pot\u0159eb\xE1\
            ch subjektu a m\u011Blo by zohlednit v\xFDsledky posouzen\xED rizik p\u0159\
            ed proveden\xEDm aktualizace."
          typical_evidence: "\u2022 Aktu\xE1ln\xED pl\xE1n spr\xE1vy konfigurace,\
            \ kontrola koment\xE1\u0159\u016F a/nebo protokol\u016F zm\u011Bn.  \n\
            \u2022 Zdokumentovan\xE9 v\xFDsledky p\u0159ezkumn\xFDch \u010Dinnost\xED\
            . \n\u2022 Sn\xEDmky konfigurace po\u0159\xEDzen\xE9 p\u0159ed a po zm\u011B\
            n\xE1ch nebo v pravideln\xFDch intervalech pro ov\u011B\u0159en\xED, zda\
            \ jsou prov\xE1d\u011Bny a dokumentov\xE1ny kontroly. \n\u2022 Protokoly\
            \ auditu ze syst\xE9m\u016F a za\u0159\xEDzen\xED, kter\xE9 sleduj\xED\
            \ zm\u011Bny a kontroly konfigurace. \n\u2022 V\xFDstrahy z monitorovac\xED\
            ch syst\xE9m\u016F, kter\xE9 upozor\u0148uj\xED spr\xE1vce na neo\u010D\
            ek\xE1van\xE9 konfigurace nebo zm\u011Bny \u010Di odchylky od v\xFDchoz\xED\
            \ hodnoty v kritick\xFDch syst\xE9mech. \n\u2022 Auditn\xED stopy a z\xE1\
            znamy o dodr\u017Eov\xE1n\xED p\u0159edpis\u016F z intern\xEDch a extern\xED\
            ch audit\u016F. \n\u2022 Z\xE1pisy z t\xFDmov\xFDch porad, kde se diskutuje\
            \ a dokumentuje kontrola konfigurace a zm\u011Bny. \n\u2022 Evidence notifikac\xED\
            \ nebo upom\xEDnek zaslan\xFDch p\u0159\xEDslu\u0161n\xFDm zam\u011Bstnanc\u016F\
            m o bl\xED\u017E\xEDc\xEDch se reviz\xEDch konfigurace. \n\u2022 Z\xE1\
            znamy z n\xE1stroj\u016F pro spr\xE1vu konfigurace, aby bylo zaji\u0161\
            t\u011Bno, \u017Ee jsou aktualizov\xE1ny s p\u0159esn\xFDmi informacemi\
            \ o konfiguraci. \n\u2022 Z\xE1znamy o reakc\xEDch na incidenty, kter\xE9\
            \ potvrzuj\xED, zda entita bere v \xFAvahu incidenty souvisej\xEDc\xED\
            \ s konfiguracemi."
        it:
          description: I soggetti pertinenti riesaminano e, se del caso, aggiornano
            le configurazioni a intervalli pianificati o quando si verificano incidenti
            significativi o modifiche significative delle operazioni o dei rischi.
          annotation: "\u2022 Rivedere e, se del caso, aggiornare le configurazioni\
            \ (53) almeno una volta al mese per assicurarsi che le patch siano state\
            \ applicate, che il backup sia stato eseguito secondo il piano e che sia\
            \ in atto un monitoraggio per identificare e avvisare tempestivamente\
            \ eventuali errori irreversibili del server/dispositivo/disco. \n\u2022\
            \ Produrre, conservare e rivedere regolarmente i registri delle modifiche\
            \ riguardanti la configurazione di sicurezza dei sistemi informativi.\
            \ \n\u2022 Rivedere e aggiornare le configurazioni dopo modifiche importanti\
            \ (ad es. aggiornamenti software) e incidenti passati. \n\u2022 Ove possibile,\
            \ ottenere i file di configurazione di base per i sistemi e i dispositivi\
            \ chiave da confrontare con le configurazioni correnti.\n\n(53) La decisione\
            \ in merito all'aggiornamento dovrebbe basarsi sulle effettive capacit\xE0\
            \ tecniche e sulle esigenze specifiche del soggetto, tenendo conto dei\
            \ risultati di una valutazione dei rischi prima di attuare l'aggiornamento."
          typical_evidence: "\u2022 Piano di gestione della configurazione aggiornato,\
            \ revisione dei commenti e/o dei registri delle modifiche.  \n\u2022 Risultati\
            \ documentati delle attivit\xE0 di revisione. \n\u2022 Istantanee di configurazione\
            \ scattate prima e dopo le modifiche o a intervalli regolari per verificare\
            \ che le revisioni siano condotte e documentate. \n\u2022 Registri di\
            \ controllo da sistemi e dispositivi che tengono traccia delle modifiche\
            \ e delle revisioni della configurazione. \n\u2022 Avvisi dai sistemi\
            \ di monitoraggio che notificano agli amministratori configurazioni impreviste\
            \ o modifiche o deviazioni dalla linea di base nei sistemi critici. \n\
            \u2022 Audit trail e registri di conformit\xE0 da audit interni ed esterni.\
            \ \n\u2022 Verbali delle riunioni del team in cui vengono discusse e documentate\
            \ le revisioni e le modifiche alla configurazione. \n\u2022 Registrazioni\
            \ di notifiche o promemoria inviati ai dipendenti interessati sulle prossime\
            \ revisioni della configurazione. \n\u2022 Registra dagli strumenti di\
            \ gestione della configurazione per garantire che siano aggiornati con\
            \ informazioni di configurazione accurate. \n\u2022 Record di risposta\
            \ agli incidenti che confermano se l'entit\xE0 prende in considerazione\
            \ gli incidenti correlati alle configurazioni."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.4
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6
      ref_id: '6.4'
      name: Change management, repairs and maintenance
      translations:
        fr:
          name: "Gestion des changements, r\xE9parations et entretien"
        es:
          name: "Gesti\xF3n de cambios, reparaciones y mantenimiento"
        cs:
          name: "\u0158\xEDzen\xED zm\u011Bn, opravy a \xFAdr\u017Eba"
        it:
          name: Gestione delle modifiche, riparazioni e manutenzione
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.4.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.4
      ref_id: 6.4.1
      description: "The relevant entities shall apply change management procedures\
        \ to control changes of network and information systems. Where applicable,\
        \ the procedures shall be consistent with the relevant entities\u2019 general\
        \ policies concerning change management."
      annotation: "\u2022 Take into account industry-recognised and national standards\
        \ when developing the change management procedures (54). \n\u2022 Consider\
        \ the following elements for the procedures (indicative, non-exhaustive list):\n\
        \    o request for change, o risk assessment, o criteria for categorisation\
        \ and prioritisation of changes:\n        * associated requirements for the\
        \ type and scope of the tests to be carried out and \uF0A7 the approvals to\
        \ be obtained;\n    o requirements for performing rollbacks; and\n    o documentation\
        \ of the changes and approval of changes. \n\u2022 The change management procedures\
        \ may allow different workflows depending on the criticality of the system,\
        \ the scope of the change and the urgency (e.g. put in place an \u2018emergency\
        \ intervention workflow\u2019). \n\u2022 For each change, record the steps\
        \ of the procedure followed. \n\u2022 Review and approve changes following\
        \ the change management procedures, prior to implementing them. \n\u2022 Implement\
        \ and test change management procedures to make sure that changes to networks\
        \ and information systems are always done in a predefined way. \n\u2022 Where\
        \ appropriate, establish a change advisory board (CAB) to oversee and approve\
        \ changes. The CAB should evaluate change requests based on risk, impact,\
        \ resource requirements and alignment with business objectives.\n\n(54) In\
        \ addition to those mentioned in the mapping table at the end of this section,\
        \ consider the following: \n\u2022 ISO 21500:2021, Project, programme and\
        \ portfolio management - Context and concepts; \n\u2022 ISO 21502:2020, Project,\
        \ programme and portfolio management - Guidance on project management."
      typical_evidence: "\u2022 Documented change management procedures for network\
        \ and information systems that are based on standards or good practices. \n\
        \u2022 For each relevant change, a record describing the steps and the result\
        \ of the change. \n\u2022 A system maintenance procedure that addresses:\n\
        \    o purpose;\n    o scope;\n    o roles;\n    o responsibilities;\n   \
        \ o management commitment, if applicable;\n    o coordination among different\
        \ organisational units; and\n    o compliance. \n\u2022 Logs that record the\
        \ dates and outcomes of the periodic reviews of the change, repair and maintenance\
        \ procedures."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es appliquent des proc\xE9dures\
            \ de gestion des changements pour encadrer les changements de r\xE9seaux\
            \ et de syst\xE8mes d\u2019information. S\u2019il y a lieu, les proc\xE9\
            dures sont compatibles avec la politique g\xE9n\xE9rale des entit\xE9\
            s concern\xE9es en mati\xE8re de gestion des changements."
          annotation: "\u2022 Tenir compte des normes nationales et reconnues par\
            \ l\u2019industrie lors de l\u2019\xE9laboration des proc\xE9dures de\
            \ gestion du changement (54). \n\u2022 Prendre en compte les \xE9l\xE9\
            ments suivants pour les proc\xE9dures (liste indicative, non exhaustive)\
            \ :\n    o demande de changement, o \xE9valuation des risques, o crit\xE8\
            res de cat\xE9gorisation et de hi\xE9rarchisation des changements :\n\
            \        * les prescriptions associ\xE9es relatives au type et \xE0 l\u2019\
            \xE9tendue des essais \xE0 effectuer et \uF0A7 les homologations \xE0\
            \ obtenir\_;\n    o les exigences relatives \xE0 la r\xE9alisation de\
            \ d\xE9mant\xE8lements ; et\n    o Documentation des modifications et\
            \ approbation des modifications. \n\u2022 Les proc\xE9dures de gestion\
            \ du changement peuvent permettre diff\xE9rents flux de travail en fonction\
            \ de la criticit\xE9 du syst\xE8me, de l\u2019ampleur du changement et\
            \ de l\u2019urgence (par exemple, mettre en place un \xAB flux de travail\
            \ d\u2019intervention d\u2019urgence \xBB). \n\u2022 Pour chaque changement,\
            \ notez les \xE9tapes de la proc\xE9dure suivie. \n\u2022 Examiner et\
            \ approuver les changements en suivant les proc\xE9dures de gestion du\
            \ changement, avant de les mettre en \u0153uvre. \n\u2022 Mettre en place\
            \ et tester des proc\xE9dures de gestion du changement pour s\u2019assurer\
            \ que les changements aux r\xE9seaux et aux syst\xE8mes d\u2019information\
            \ sont toujours effectu\xE9s de mani\xE8re pr\xE9d\xE9finie. \n\u2022\
            \ Le cas \xE9ch\xE9ant, \xE9tablir un conseil consultatif sur les changements\
            \ (CCC) pour superviser et approuver les changements. Le CCC devrait \xE9\
            valuer les demandes de changement en fonction du risque, de l\u2019impact,\
            \ des besoins en ressources et de l\u2019alignement avec les objectifs\
            \ op\xE9rationnels.\n\n(54) En plus de ceux mentionn\xE9s dans le tableau\
            \ de correspondance \xE0 la fin de la pr\xE9sente section, il faut tenir\
            \ compte de ce qui suit : \n\u2022 ISO 21500:2021, Gestion de projets,\
            \ de programmes et de portefeuilles - Contexte et concepts\_; \n\u2022\
            \ ISO 21502:2020, Gestion de projets, de programmes et de portefeuilles\
            \ - Lignes directrices pour la gestion de projet."
          typical_evidence: "\u2022 Des proc\xE9dures document\xE9es de gestion du\
            \ changement pour les r\xE9seaux et les syst\xE8mes d\u2019information\
            \ qui sont bas\xE9es sur des normes ou des bonnes pratiques. \n\u2022\
            \ Pour chaque changement pertinent, un enregistrement d\xE9crivant les\
            \ \xE9tapes et le r\xE9sultat du changement. \n\u2022 Une proc\xE9dure\
            \ de maintenance du syst\xE8me qui aborde :\n    o l\u2019objet ;\n  \
            \  o champ d\u2019application\_;\n    o r\xF4les\_;\n    o les responsabilit\xE9\
            s\_;\n    o l\u2019engagement de la direction, le cas \xE9ch\xE9ant\_\
            ;\n    o coordination entre les diff\xE9rentes unit\xE9s organisationnelles\
            \ ; et\n    o conformit\xE9. \n\u2022 Registres qui enregistrent les dates\
            \ et les r\xE9sultats des examens p\xE9riodiques des proc\xE9dures de\
            \ changement, de r\xE9paration et d\u2019entretien."
        es:
          description: "Las entidades pertinentes aplicar\xE1n procedimientos de gesti\xF3\
            n de cambios para controlar aquellos que se produzcan en los sistemas\
            \ de redes y de informaci\xF3n. Los procedimientos ser\xE1n, seg\xFAn\
            \ proceda, coherentes con las pol\xEDticas generales de las entidades\
            \ pertinentes relativas a la gesti\xF3n de cambios."
          annotation: "\u2022 Tener en cuenta las normas nacionales y reconocidas\
            \ por la industria a la hora de desarrollar los procedimientos de gesti\xF3\
            n del cambio (54). \n\u2022 Considerar los siguientes elementos para los\
            \ procedimientos (lista indicativa, no exhaustiva):\n    o Solicitud de\
            \ cambio, o Evaluaci\xF3n de riesgos, o Criterios de categorizaci\xF3\
            n y priorizaci\xF3n de cambios:\n        * requisitos asociados para el\
            \ tipo y el alcance de los ensayos que deben realizarse y \uF0A7 las homologaciones\
            \ que deben obtenerse;\n    o requisitos para realizar reversiones; y\n\
            \    o Documentaci\xF3n de los cambios y aprobaci\xF3n de los mismos.\
            \ \n\u2022 Los procedimientos de gesti\xF3n del cambio pueden permitir\
            \ diferentes flujos de trabajo en funci\xF3n de la criticidad del sistema,\
            \ el alcance del cambio y la urgencia (por ejemplo, poner en marcha un\
            \ \"flujo de trabajo de intervenci\xF3n de emergencia\"). \n\u2022 Para\
            \ cada cambio, registre los pasos del procedimiento seguido. \n\u2022\
            \ Revisar y aprobar los cambios siguiendo los procedimientos de gesti\xF3\
            n del cambio, antes de implementarlos. \n\u2022 Implementar y probar procedimientos\
            \ de gesti\xF3n de cambios para asegurarse de que los cambios en las redes\
            \ y sistemas de informaci\xF3n se realicen siempre de una manera predefinida.\
            \ \n\u2022 Cuando corresponda, establecer una junta asesora de cambios\
            \ (CAB, por sus siglas en ingl\xE9s) para supervisar y aprobar los cambios.\
            \ El CAB debe evaluar las solicitudes de cambio en funci\xF3n del riesgo,\
            \ el impacto, los requisitos de recursos y la alineaci\xF3n con los objetivos\
            \ empresariales.\n\n(54) Adem\xE1s de los mencionados en el cuadro de\
            \ correspondencia que figura al final de esta secci\xF3n, consid\xE9rese\
            \ lo siguiente: \n\u2022 ISO 21500:2021, Gesti\xF3n de proyectos, programas\
            \ y carteras - Contexto y conceptos; \n\u2022 ISO 21502:2020, Gesti\xF3\
            n de proyectos, programas y carteras - Orientaci\xF3n sobre la gesti\xF3\
            n de proyectos."
          typical_evidence: "\u2022 Procedimientos documentados de gesti\xF3n de cambios\
            \ para redes y sistemas de informaci\xF3n que se basan en est\xE1ndares\
            \ o buenas pr\xE1cticas. \n\u2022 Para cada cambio relevante, un registro\
            \ que describa los pasos y el resultado del cambio. \n\u2022 Un procedimiento\
            \ de mantenimiento del sistema que aborda:\n    o finalidad;\n    o \xE1\
            mbito de aplicaci\xF3n;\n    o roles;\n    o responsabilidades;\n    o\
            \ compromiso de gesti\xF3n, en su caso;\n    o la coordinaci\xF3n entre\
            \ las diferentes unidades organizativas; y\n    o Cumplimiento. \n\u2022\
            \ Bit\xE1coras que registran las fechas y resultados de las revisiones\
            \ peri\xF3dicas de los procedimientos de cambio, reparaci\xF3n y mantenimiento."
        cs:
          description: "P\u0159i \u0159\xEDzen\xED zm\u011Bn v s\xEDt\xEDch a informa\u010D\
            n\xEDch syst\xE9mech p\u0159\xEDslu\u0161n\xE9 subjekty uplat\u0148uj\xED\
            \ postupy \u0159\xEDzen\xED zm\u011Bn. V p\u0159\xEDslu\u0161n\xFDch p\u0159\
            \xEDpadech mus\xED b\xFDt takov\xE9 postupy v souladu s obecn\xFDmi politikami\
            \ \u0159\xEDzen\xED zm\u011Bn p\u0159\xEDslu\u0161n\xFDch subjekt\u016F\
            ."
          annotation: "\u2022 P\u0159i vypracov\xE1v\xE1n\xED postup\u016F \u0159\xED\
            zen\xED zm\u011Bn zohlednit pr\u016Fmyslov\u011B uzn\xE1van\xE9 a vnitrost\xE1\
            tn\xED normy (54). \n\u2022 Zva\u017Ete n\xE1sleduj\xEDc\xED prvky postup\u016F\
            \ (orienta\u010Dn\xED, ne\xFApln\xFD seznam):\n    o \u017E\xE1dost o\
            \ zm\u011Bnu, o hodnocen\xED rizik, o krit\xE9ria pro kategorizaci a prioritizaci\
            \ zm\u011Bn:\n        * souvisej\xEDc\xED po\u017Eadavky na typ a rozsah\
            \ zkou\u0161ek, kter\xE9 maj\xED b\xFDt provedeny, a \uF0A7 schv\xE1len\xED\
            , kter\xE1 maj\xED b\xFDt z\xEDsk\xE1na;\n    o po\u017Eadavky na prov\xE1\
            d\u011Bn\xED revert\u016F; a\n    o dokumentace zm\u011Bn a schvalov\xE1\
            n\xED zm\u011Bn. \n\u2022 Postupy \u0159\xEDzen\xED zm\u011Bn mohou umo\u017E\
            \u0148ovat r\u016Fzn\xE9 pracovn\xED postupy v z\xE1vislosti na kriti\u010D\
            nosti syst\xE9mu, rozsahu zm\u011Bny a nal\xE9havosti (nap\u0159. zaveden\xED\
            \ \"pracovn\xEDho postupu nouzov\xE9ho z\xE1sahu\"). \n\u2022 P\u0159\
            i ka\u017Ed\xE9 zm\u011Bn\u011B zaznamenejte kroky pou\u017Eit\xE9ho postupu.\
            \ \n\u2022 Kontrolovat a schvalovat zm\u011Bny podle postup\u016F \u0159\
            \xEDzen\xED zm\u011Bn p\u0159ed jejich implementac\xED. \n\u2022 Implementujte\
            \ a testujte postupy \u0159\xEDzen\xED zm\u011Bn, abyste zajistili, \u017E\
            e zm\u011Bny v s\xEDt\xEDch a informa\u010Dn\xEDch syst\xE9mech budou\
            \ v\u017Edy prov\xE1d\u011Bny p\u0159edem definovan\xFDm zp\u016Fsobem.\
            \ \n\u2022 Tam, kde je to vhodn\xE9, z\u0159\xEDdit poradn\xED v\xFDbor\
            \ pro zm\u011Bny (CAB), kter\xFD bude dohl\xED\u017Eet na zm\u011Bny a\
            \ schvalovat je. CAB by m\u011Bl vyhodnocovat po\u017Eadavky na zm\u011B\
            ny na z\xE1klad\u011B rizik, dopadu, po\u017Eadavk\u016F na zdroje a souladu\
            \ s obchodn\xEDmi c\xEDli.\n\n(54) Krom\u011B t\u011Bch, kter\xE9 jsou\
            \ uvedeny v tabulce mapov\xE1n\xED na konci tohoto odd\xEDlu, zva\u017E\
            te n\xE1sleduj\xEDc\xED: \n\u2022 ISO 21500:2021, \u0158\xEDzen\xED projekt\u016F\
            , program\u016F a portfoli\xED - Kontext a koncepty; \n\u2022 ISO 21502:2020,\
            \ \u0158\xEDzen\xED projekt\u016F, program\u016F a portfoli\xED - Pokyny\
            \ pro \u0159\xEDzen\xED projekt\u016F."
          typical_evidence: "\u2022 Zdokumentovan\xE9 postupy \u0159\xEDzen\xED zm\u011B\
            n pro s\xED\u0165ov\xE9 a informa\u010Dn\xED syst\xE9my, kter\xE9 jsou\
            \ zalo\u017Eeny na standardech nebo osv\u011Bd\u010Den\xFDch postupech.\
            \ \n\u2022 Ke ka\u017Ed\xE9 relevantn\xED zm\u011Bn\u011B z\xE1znam popisuj\xED\
            c\xED kroky a v\xFDsledek zm\u011Bny. \n\u2022 Postup \xFAdr\u017Eby syst\xE9\
            mu, kter\xFD \u0159e\u0161\xED:\n    \xF3 \xFA\u010Del;\n    o rozsah;\n\
            \    o role;\n    o odpov\u011Bdnosti;\n    o z\xE1vazek managementu,\
            \ pokud je to relevantn\xED;\n    o koordinaci mezi r\u016Fzn\xFDmi organiza\u010D\
            n\xEDmi jednotkami, a\n    o souladu. \n\u2022 Protokoly, kter\xE9 zaznamen\xE1\
            vaj\xED data a v\xFDsledky pravideln\xFDch kontrol postup\u016F zm\u011B\
            n, oprav a \xFAdr\u017Eby."
        it:
          description: I soggetti pertinenti applicano procedure di gestione delle
            modifiche per controllare le modifiche della rete e dei sistemi informativi.
            Se del caso, le procedure devono essere coerenti con le politiche generali
            dei soggetti pertinenti in materia di gestione del cambiamento.
          annotation: "\u2022 Tenere conto delle norme nazionali e riconosciute dal\
            \ settore nell'elaborazione delle procedure di gestione del cambiamento\
            \ (54). \n\u2022 Considerare i seguenti elementi per le procedure (elenco\
            \ indicativo, non esaustivo):\n    o richiesta di modifica, o valutazione\
            \ dei rischi, o criteri per la categorizzazione e la definizione delle\
            \ priorit\xE0 delle modifiche:\n        * i requisiti associati per il\
            \ tipo e la portata delle prove da effettuare e le approvazioni da ottenere;\n\
            \    o requisiti per l'esecuzione dei rollback; e\n    o Documentazione\
            \ delle modifiche e approvazione delle modifiche. \n\u2022 Le procedure\
            \ di gestione delle modifiche possono consentire flussi di lavoro diversi\
            \ a seconda della criticit\xE0 del sistema, della portata della modifica\
            \ e dell'urgenza (ad esempio, mettere in atto un \"flusso di lavoro di\
            \ intervento di emergenza\"). \n\u2022 Per ogni modifica, registrare i\
            \ passaggi della procedura seguita. \n\u2022 Rivedere e approvare le modifiche\
            \ seguendo le procedure di gestione delle modifiche, prima di implementarle.\
            \ \n\u2022 Implementare e testare le procedure di gestione delle modifiche\
            \ per assicurarsi che le modifiche alle reti e ai sistemi informativi\
            \ siano sempre eseguite in modo predefinito. \n\u2022 Se del caso, istituire\
            \ un comitato consultivo per le modifiche (CAB) per supervisionare e approvare\
            \ le modifiche. Il CAB dovrebbe valutare le richieste di modifica in base\
            \ al rischio, all'impatto, ai requisiti di risorse e all'allineamento\
            \ con gli obiettivi aziendali.\n\n(54) Oltre a quelli menzionati nella\
            \ tabella di mappatura alla fine della presente sezione, si consideri\
            \ quanto segue: \n\u2022 ISO 21500:2021, Gestione di progetti, programmi\
            \ e portfolio - Contesto e concetti; \n\u2022 ISO 21502:2020, Gestione\
            \ di progetti, programmi e portfolio - Guida alla gestione dei progetti."
          typical_evidence: "\u2022 Procedure documentate di gestione delle modifiche\
            \ per reti e sistemi informativi basati su standard o buone pratiche.\
            \ \n\u2022 Per ogni modifica rilevante, una registrazione che descriva\
            \ i passaggi e il risultato della modifica. \n\u2022 Una procedura di\
            \ manutenzione del sistema che riguarda:\n    o scopo;\n    o ambito di\
            \ applicazione;\n    o ruoli;\n    o responsabilit\xE0;\n    o impegno\
            \ della direzione, se applicabile;\n    o coordinamento tra le diverse\
            \ unit\xE0 organizzative; e\n    o conformit\xE0. \n\u2022 Log che registrano\
            \ le date e gli esiti delle revisioni periodiche delle procedure di cambio,\
            \ riparazione e manutenzione."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.4.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.4
      ref_id: 6.4.2
      description: The procedures referred to in point 6.4.1. shall be applied for
        releases, modifications and emergency changes of any software and hardware
        in operation and changes to the configuration. The procedures shall ensure
        that those changes are documented and, based on the risk assessment carried
        out pursuant to point 2.1, tested and assessed in view of the potential impact
        before being implemented.
      annotation: "\u2022 Consider a mandatory integrity check before installing and\
        \ deploying new software. \n\u2022 Ensure, where appropriate, that changes\
        \ are done in an authenticated, authorised and non-repudiating manner. \n\u2022\
        \ Test and validate changes before they are implemented in operational systems,\
        \ where applicable. Where appropriate, a security impact analysis may be performed\
        \ in a separate test environment before implementation in an operational environment.\
        \ \n\u2022 Take all necessary precautions before making changes (back up images,\
        \ for instance). \n\u2022 Schedule, perform, document and review records of\
        \ maintenance and repairs on system components in accordance with the supplier\u2019\
        s specifications and/or the entity\u2019s requirements. \n\u2022 Ensure that\
        \ changes are only allowed with approved tools and that their execution is\
        \ documented. \n\u2022 Restrict the use of maintenance tools to authorised\
        \ personnel only."
      typical_evidence: "\u2022 Logs and records of past (new) software installations.\
        \ \n\u2022 Evidence that MFA is in place for activating change, repair and\
        \ maintenance procedures, where applicable. \n\u2022 Test plans and results\
        \ that demonstrate the implementation and effectiveness of the change, repair\
        \ and maintenance procedures. \n\u2022 If the entity utilises change management\
        \ tools, evidence that these tools enforce the use of approved resources only\
        \ and mandate documentation for each change. \n\u2022 Access control lists\
        \ (ACLs) to verify that access to the tools is in line with the access control\
        \ policy."
      translations:
        fr:
          description: "Les proc\xE9dures vis\xE9es au point 6.4.1 doivent \xEAtre\
            \ appliqu\xE9es pour les nouvelles versions, les modifications et les\
            \ changements urgents apport\xE9s \xE0 tout logiciel et mat\xE9riel en\
            \ exploitation, ainsi que pour toute modification de la configuration.\
            \ Les proc\xE9dures garantissent que ces changements sont consign\xE9\
            s et, sur la base de l\u2019\xE9valuation des risques effectu\xE9e conform\xE9\
            ment au point 2.1, qu\u2019ils vont \xEAtre test\xE9s et \xE9valu\xE9\
            s au regard de leur impact potentiel avant d\u2019\xEAtre mis en \u0153\
            uvre."
          annotation: "\u2022 Envisagez une v\xE9rification d\u2019int\xE9grit\xE9\
            \ obligatoire avant d\u2019installer et de d\xE9ployer un nouveau logiciel.\
            \ \n\u2022 S\u2019assurer, le cas \xE9ch\xE9ant, que les modifications\
            \ sont effectu\xE9es de mani\xE8re authentifi\xE9e, autoris\xE9e et non\
            \ r\xE9pudiante. \n\u2022 Tester et valider les changements avant qu\u2019\
            ils ne soient mis en \u0153uvre dans les syst\xE8mes op\xE9rationnels,\
            \ le cas \xE9ch\xE9ant. Le cas \xE9ch\xE9ant, une analyse d\u2019impact\
            \ sur la s\xE9curit\xE9 peut \xEAtre effectu\xE9e dans un environnement\
            \ d\u2019essai distinct avant d\u2019\xEAtre mise en \u0153uvre dans un\
            \ environnement op\xE9rationnel. \n\u2022 Prenez toutes les pr\xE9cautions\
            \ n\xE9cessaires avant d\u2019apporter des modifications (sauvegardez\
            \ les images, par exemple). \n\u2022 Planifier, ex\xE9cuter, documenter\
            \ et examiner les registres d\u2019entretien et de r\xE9paration des composantes\
            \ du syst\xE8me conform\xE9ment aux sp\xE9cifications du fournisseur et/ou\
            \ aux exigences de l\u2019entit\xE9. \n\u2022 S\u2019assurer que les modifications\
            \ ne sont autoris\xE9es qu\u2019avec des outils approuv\xE9s et que leur\
            \ ex\xE9cution est document\xE9e. \n\u2022 Limitez l\u2019utilisation\
            \ des outils d\u2019entretien au personnel autoris\xE9 uniquement."
          typical_evidence: "\u2022 Journaux et enregistrements des (nouvelles) installations\
            \ logicielles pass\xE9es. \n\u2022 Preuve que l\u2019authentification\
            \ multifacteur est en place pour activer les proc\xE9dures de changement,\
            \ de r\xE9paration et d\u2019entretien, le cas \xE9ch\xE9ant. \n\u2022\
            \ Mettre \xE0 l\u2019essai les plans et les r\xE9sultats qui d\xE9montrent\
            \ la mise en \u0153uvre et l\u2019efficacit\xE9 des proc\xE9dures de changement,\
            \ de r\xE9paration et d\u2019entretien. \n\u2022 Si l\u2019entit\xE9 utilise\
            \ des outils de gestion du changement, la preuve que ces outils imposent\
            \ l\u2019utilisation de ressources approuv\xE9es uniquement et la documentation\
            \ obligatoire pour chaque changement. \n\u2022 Listes de contr\xF4le d\u2019\
            acc\xE8s (ACL) pour v\xE9rifier que l\u2019acc\xE8s aux outils est conforme\
            \ \xE0 la politique de contr\xF4le d\u2019acc\xE8s."
        es:
          description: "Los procedimientos contemplados en el punto 6.4.1 se aplicar\xE1\
            n en el caso de lanzamientos, modificaciones y cambios de emergencia de\
            \ cualquier equipo o programa inform\xE1tico en funcionamiento o de cambios\
            \ en la configuraci\xF3n. Los procedimientos garantizar\xE1n que dichos\
            \ cambios se documenten y, a partir de la evaluaci\xF3n de riesgos realizada\
            \ de acuerdo con el punto 2.1, se prueben y eval\xFAen teniendo en cuenta\
            \ el impacto potencial antes de su aplicaci\xF3n."
          annotation: "\u2022 Considere la posibilidad de realizar una comprobaci\xF3\
            n de integridad obligatoria antes de instalar e implementar un nuevo software.\
            \ \n\u2022 Asegurarse, en su caso, de que los cambios se realicen de forma\
            \ autenticada, autorizada y no repudiable. \n\u2022 Probar y validar los\
            \ cambios antes de que se implementen en los sistemas operativos, cuando\
            \ corresponda. Cuando proceda, se podr\xE1 realizar un an\xE1lisis de\
            \ impacto sobre la seguridad en un entorno de prueba separado antes de\
            \ su implementaci\xF3n en un entorno operativo. \n\u2022 Tome todas las\
            \ precauciones necesarias antes de realizar cambios (por ejemplo, hacer\
            \ una copia de seguridad de las im\xE1genes). \n\u2022 Programar, realizar,\
            \ documentar y revisar los registros de mantenimiento y reparaciones de\
            \ los componentes del sistema de acuerdo con las especificaciones del\
            \ proveedor y/o los requisitos de la entidad. \n\u2022 Aseg\xFArese de\
            \ que los cambios solo se permitan con herramientas aprobadas y que su\
            \ ejecuci\xF3n est\xE9 documentada. \n\u2022 Restrinja el uso de las herramientas\
            \ de mantenimiento \xFAnicamente al personal autorizado."
          typical_evidence: "\u2022 Registros y registros de instalaciones de software\
            \ pasadas (nuevas). \n\u2022 Evidencia de que MFA est\xE1 en funcionamiento\
            \ para activar los procedimientos de cambio, reparaci\xF3n y mantenimiento,\
            \ cuando corresponda. \n\u2022 Planes de prueba y resultados que demuestren\
            \ la implementaci\xF3n y efectividad de los procedimientos de cambio,\
            \ reparaci\xF3n y mantenimiento. \n\u2022 Si la entidad utiliza herramientas\
            \ de gesti\xF3n de cambios, evidencia de que estas herramientas imponen\
            \ el uso de recursos aprobados \xFAnicamente y documentaci\xF3n obligatoria\
            \ para cada cambio. \n\u2022 Listas de control de acceso (ACL) para verificar\
            \ que el acceso a las herramientas est\xE9 en l\xEDnea con la pol\xED\
            tica de control de acceso."
        cs:
          description: "Postupy uveden\xE9 v bod\u011B 6.4.1. se uplatn\xED na vyd\xE1\
            n\xED, \xFApravy a mimo\u0159\xE1dn\xE9 zm\u011Bny jak\xE9hokoli softwaru\
            \ a hardwaru p\u0159i provozu a zm\u011Bn\xE1ch konfigurace. Postupy zajist\xED\
            , aby tyto zm\u011Bny byly zdokumentov\xE1ny a na z\xE1klad\u011B posouzen\xED\
            \ rizik proveden\xE9ho podle bodu 2.1 byly p\u0159ed proveden\xEDm testov\xE1\
            ny a posouzeny z hlediska mo\u017En\xE9ho dopadu."
          annotation: "\u2022 P\u0159ed instalac\xED a nasazen\xEDm nov\xE9ho softwaru\
            \ zva\u017Ete povinnou kontrolu integrity. \n\u2022 Zajist\u011Bte, kde\
            \ je to vhodn\xE9, aby zm\u011Bny byly prov\xE1d\u011Bny ov\u011B\u0159\
            en\xFDm, autorizovan\xFDm a neodvolateln\xFDm zp\u016Fsobem. \n\u2022\
            \ Testovat a ov\u011B\u0159ovat zm\u011Bny p\u0159ed jejich implementac\xED\
            \ do provozn\xEDch syst\xE9m\u016F, pokud je to mo\u017En\xE9. Tam, kde\
            \ je to vhodn\xE9, m\u016F\u017Ee b\xFDt anal\xFDza dopad\u016F na bezpe\u010D\
            nost provedena v samostatn\xE9m testovac\xEDm prost\u0159ed\xED p\u0159\
            ed implementac\xED do provozn\xEDho prost\u0159ed\xED. \n\u2022 P\u0159\
            ed prov\xE1d\u011Bn\xEDm zm\u011Bn (nap\u0159\xEDklad z\xE1lohov\xE1n\xED\
            m sn\xEDmk\u016F) prove\u010Fte ve\u0161ker\xE1 nezbytn\xE1 opat\u0159\
            en\xED. \n\u2022 Pl\xE1novat, prov\xE1d\u011Bt, dokumentovat a p\u0159\
            ezkoum\xE1vat z\xE1znamy o \xFAdr\u017Eb\u011B a oprav\xE1ch komponent\
            \ syst\xE9mu v souladu se specifikacemi dodavatele a/nebo po\u017Eadavky\
            \ subjektu. \n\u2022 Zajist\u011Bte, aby byly zm\u011Bny povoleny pouze\
            \ se schv\xE1len\xFDmi n\xE1stroji a aby bylo jejich proveden\xED zdokumentov\xE1\
            no. \n\u2022 Omezte pou\u017E\xEDv\xE1n\xED n\xE1stroj\u016F pro \xFA\
            dr\u017Ebu pouze na opr\xE1vn\u011Bn\xFD person\xE1l."
          typical_evidence: "\u2022 Protokoly a z\xE1znamy o minul\xFDch (nov\xFD\
            ch) instalac\xEDch softwaru. \n\u2022 D\u016Fkaz, \u017Ee MFA je k dispozici\
            \ pro aktivaci postup\u016F zm\u011Bn, oprav a \xFAdr\u017Eby, pokud je\
            \ to mo\u017En\xE9. \n\u2022 Testovac\xED pl\xE1ny a v\xFDsledky, kter\xE9\
            \ prokazuj\xED implementaci a \xFA\u010Dinnost postup\u016F zm\u011Bn,\
            \ oprav a \xFAdr\u017Eby. \n\u2022 Pokud subjekt vyu\u017E\xEDv\xE1 n\xE1\
            stroje pro \u0159\xEDzen\xED zm\u011Bn, proka\u017Ete, \u017Ee tyto n\xE1\
            stroje vynucuj\xED pou\u017E\xEDv\xE1n\xED pouze schv\xE1len\xFDch zdroj\u016F\
            \ a vy\u017Eaduj\xED dokumentaci pro ka\u017Edou zm\u011Bnu. \n\u2022\
            \ Seznamy \u0159\xEDzen\xED p\u0159\xEDstupu (ACL) pro ov\u011B\u0159\
            en\xED, zda je p\u0159\xEDstup k n\xE1stroj\u016Fm v souladu se z\xE1\
            sadami \u0159\xEDzen\xED p\u0159\xEDstupu."
        it:
          description: Le procedure di cui al punto 6.4.1. si applica alle versioni,
            alle modifiche e ai cambiamenti di emergenza di qualsiasi software e hardware
            in funzione e alle modifiche alla configurazione. Le procedure garantiscono
            che tali modifiche siano documentate e, sulla base della valutazione dei
            rischi effettuata a norma del punto 2.1, testate e valutate in vista del
            potenziale impatto prima di essere attuate.
          annotation: "\u2022 Prendere in considerazione un controllo di integrit\xE0\
            \ obbligatorio prima di installare e distribuire nuovo software. \n\u2022\
            \ Garantire, se del caso, che le modifiche siano apportate in modo autenticato,\
            \ autorizzato e non ripudiante. \n\u2022 Testare e convalidare le modifiche\
            \ prima che vengano implementate nei sistemi operativi, ove applicabile.\
            \ Se del caso, un'analisi dell'impatto sulla sicurezza pu\xF2 essere effettuata\
            \ in un ambiente di prova separato prima dell'implementazione in un ambiente\
            \ operativo. \n\u2022 Adottare tutte le precauzioni necessarie prima di\
            \ apportare modifiche (ad esempio eseguire il backup delle immagini).\
            \ \n\u2022 Programmare, eseguire, documentare e rivedere i registri di\
            \ manutenzione e riparazione sui componenti del sistema in conformit\xE0\
            \ con le specifiche del fornitore e/o i requisiti dell'entit\xE0. \n\u2022\
            \ Assicurarsi che le modifiche siano consentite solo con strumenti approvati\
            \ e che la loro esecuzione sia documentata. \n\u2022 Limitare l'uso degli\
            \ strumenti di manutenzione solo al personale autorizzato."
          typical_evidence: "\u2022 Registri e registrazioni di (nuove) installazioni\
            \ software passate. \n\u2022 Prova dell'esistenza di una MFA per l'attivazione\
            \ di procedure di modifica, riparazione e manutenzione, ove applicabile.\
            \ \n\u2022 Piani di test e risultati che dimostrino l'implementazione\
            \ e l'efficacia delle procedure di modifica, riparazione e manutenzione.\
            \ \n\u2022 Se l'entit\xE0 utilizza strumenti di gestione del cambiamento,\
            \ dimostrare che tali strumenti impongono l'uso solo di risorse approvate\
            \ e imporre la documentazione per ogni modifica. \n\u2022 Elenchi di controllo\
            \ degli accessi (ACL) per verificare che l'accesso agli strumenti sia\
            \ in linea con la politica di controllo degli accessi."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.4.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.4
      ref_id: 6.4.3
      description: In the event that the regular change management procedures could
        not be followed due to an emergency, the relevant entities shall document
        the result of the change, and the explanation for why the procedures could
        not be followed.
      annotation: "\u2022 Where appropriate, integrate the pullback scenario (55)\
        \ into the change management procedures. \n\u2022 Assess the risks from legacy\
        \ systems and upgrade existing legacy systems to include security mitigating\
        \ measures in case appropriate security cannot be achieved. \n\u2022 Make\
        \ sure that regular change control procedures that could not be followed due\
        \ to an emergency change are applied immediately after the emergency change.\n\
        \n(55) Also known as a roll-back or backout plan, it refers to a set of pre-planned\
        \ actions or procedures designed to revert a system or a service to a previous,\
        \ stable, state in case the change does not work as expected."
      typical_evidence: "\u2022 Documentation with specific pullback plans. \n\u2022\
        \ Logs and records of past change requests with details of (indicative, non-exhaustive\
        \ list):\n    o the change, o reason for emergency, o approval, o reason for\
        \ delay, o follow up actions and o how to revert the system to a previous\
        \ stage if the change fails. \n\u2022 Logs and records from past legacy system\
        \ upgrade that contain risk assessments and the reasoning for the change."
      translations:
        fr:
          description: "Dans le cas o\xF9 les proc\xE9dures habituelles de gestion\
            \ des changements n\u2019ont pas pu \xEAtre suivies en raison d\u2019\
            une urgence, les entit\xE9s concern\xE9es consignent le r\xE9sultat des\
            \ changements et les raisons pour lesquelles les proc\xE9dures n\u2019\
            ont pas pu \xEAtre suivies."
          annotation: "\u2022 Le cas \xE9ch\xE9ant, int\xE9grer le sc\xE9nario de\
            \ retrait (55) dans les proc\xE9dures de gestion du changement. \n\u2022\
            \ \xC9valuer les risques li\xE9s aux syst\xE8mes existants et mettre \xE0\
            \ niveau les syst\xE8mes existants pour inclure des mesures d\u2019att\xE9\
            nuation de la s\xE9curit\xE9 au cas o\xF9 une s\xE9curit\xE9 appropri\xE9\
            e ne pourrait \xEAtre atteinte. \n\u2022 Assurez-vous que les proc\xE9\
            dures habituelles de contr\xF4le des changements qui n\u2019ont pas pu\
            \ \xEAtre suivies en raison d\u2019un changement d\u2019urgence sont appliqu\xE9\
            es imm\xE9diatement apr\xE8s le changement d\u2019urgence.\n\n(55) \xC9\
            galement connu sous le nom de plan de retour en arri\xE8re ou de plan\
            \ de retrait, il s\u2019agit d\u2019un ensemble d\u2019actions ou de proc\xE9\
            dures pr\xE9-planifi\xE9es con\xE7ues pour ramener un syst\xE8me ou un\
            \ service \xE0 un \xE9tat ant\xE9rieur et stable au cas o\xF9 le changement\
            \ ne fonctionnerait pas comme pr\xE9vu."
          typical_evidence: "\u2022 Documentation avec des plans de retrait sp\xE9\
            cifiques. \n\u2022 Journaux et enregistrements des demandes de changement\
            \ pass\xE9es avec d\xE9tails (liste indicative, non exhaustive) :\n  \
            \  o le changement, o la raison de l\u2019urgence, o l\u2019approbation,\
            \ o la raison du retard, o les actions de suivi et o comment r\xE9tablir\
            \ le syst\xE8me \xE0 une \xE9tape pr\xE9c\xE9dente si le changement \xE9\
            choue. \n\u2022 Journaux et enregistrements des mises \xE0 niveau pr\xE9\
            c\xE9dentes du syst\xE8me h\xE9rit\xE9 qui contiennent des \xE9valuations\
            \ des risques et les raisons du changement."
        es:
          description: "En caso de que los procedimientos habituales de gesti\xF3\
            n de cambios no puedan seguirse debido a una emergencia, las entidades\
            \ pertinentes documentar\xE1n el resultado del cambio y explicar\xE1n\
            \ por qu\xE9 no pudieron seguirse dichos procedimientos."
          annotation: "\u2022 Cuando proceda, integrar la hip\xF3tesis de retroceso\
            \ (55) en los procedimientos de gesti\xF3n del cambio. \n\u2022 Evaluar\
            \ los riesgos de los sistemas heredados y actualizar los sistemas heredados\
            \ existentes para incluir medidas de mitigaci\xF3n de la seguridad en\
            \ caso de que no se pueda lograr la seguridad adecuada. \n\u2022 Aseg\xFA\
            rese de que los procedimientos regulares de control de cambios que no\
            \ se pudieron seguir debido a un cambio de emergencia se apliquen inmediatamente\
            \ despu\xE9s del cambio de emergencia.\n\n(55) Tambi\xE9n conocido como\
            \ plan de reversi\xF3n o retroceso, se refiere a un conjunto de acciones\
            \ o procedimientos planificados previamente dise\xF1ados para revertir\
            \ un sistema o un servicio a un estado anterior y estable en caso de que\
            \ el cambio no funcione como se esperaba."
          typical_evidence: "\u2022 Documentaci\xF3n con planes espec\xEDficos de\
            \ retroceso. \n\u2022 Registros y registros de solicitudes de cambio anteriores\
            \ con detalles de (lista indicativa, no exhaustiva):\n    o el cambio,\
            \ o el motivo de la emergencia, o la aprobaci\xF3n, o el motivo del retraso,\
            \ o las acciones de seguimiento y o c\xF3mo revertir el sistema a una\
            \ etapa anterior si el cambio falla. \n\u2022 Registros y registros de\
            \ actualizaciones anteriores del sistema heredado que contienen evaluaciones\
            \ de riesgos y el razonamiento para el cambio."
        cs:
          description: "V p\u0159\xEDpad\u011B, \u017Ee nebylo mo\u017En\xE9 dodr\u017E\
            et standardn\xED postupy \u0159\xEDzen\xED zm\u011Bn z d\u016Fvodu mimo\u0159\
            \xE1dn\xE9 ud\xE1losti, p\u0159\xEDslu\u0161n\xE9 subjekty zdokumentuj\xED\
            \ v\xFDsledek zm\u011Bny a vysv\u011Btlen\xED, pro\u010D nebylo mo\u017E\
            n\xE9 postupy dodr\u017Eet."
          annotation: "\u2022 Tam, kde je to vhodn\xE9, za\u010Dlenit sc\xE9n\xE1\u0159\
            \ zp\u011Btn\xE9ho tahu (55) do postup\u016F \u0159\xEDzen\xED zm\u011B\
            n. \n\u2022 Vyhodno\u0165te rizika vypl\xFDvaj\xEDc\xED ze star\u0161\xED\
            ch syst\xE9m\u016F a upgradujte st\xE1vaj\xEDc\xED star\u0161\xED syst\xE9\
            my tak, aby zahrnovaly opat\u0159en\xED ke zm\xEDrn\u011Bn\xED zabezpe\u010D\
            en\xED v p\u0159\xEDpad\u011B, \u017Ee nelze dos\xE1hnout odpov\xEDdaj\xED\
            c\xEDho zabezpe\u010Den\xED. \n\u2022 Zajist\u011Bte, aby byly okam\u017E\
            it\u011B po nouzov\xE9 zm\u011Bn\u011B aplikov\xE1ny pravideln\xE9 postupy\
            \ \u0159\xEDzen\xED zm\u011Bn, kter\xE9 nebylo mo\u017En\xE9 dodr\u017E\
            et z d\u016Fvodu nouzov\xE9 zm\u011Bny.\n\n(55) Ozna\u010Duje se tak\xE9\
            \ jako pl\xE1n vr\xE1cen\xED zp\u011Bt nebo pl\xE1nu \xFAstupu a odkazuje\
            \ na soubor p\u0159edem napl\xE1novan\xFDch akc\xED nebo postup\u016F\
            , jejich\u017E c\xEDlem je vr\xE1tit syst\xE9m nebo slu\u017Ebu do p\u0159\
            edchoz\xEDho, stabiln\xEDho stavu v p\u0159\xEDpad\u011B, \u017Ee zm\u011B\
            na nebude fungovat podle o\u010Dek\xE1v\xE1n\xED."
          typical_evidence: "\u2022 Dokumentace s konkr\xE9tn\xEDmi pl\xE1ny zp\u011B\
            tn\xE9ho tahu. \n\u2022 Protokoly a z\xE1znamy o minul\xFDch zm\u011B\
            nov\xFDch po\u017Eadavc\xEDch s podrobnostmi (orienta\u010Dn\xED, ne\xFA\
            pln\xFD seznam):\n    o zm\u011Bnu, o d\u016Fvod nouze, o schv\xE1len\xED\
            , o d\u016Fvod zpo\u017Ed\u011Bn\xED, o n\xE1sledn\xE9 akce a o jak vr\xE1\
            tit syst\xE9m do p\u0159edchoz\xED f\xE1ze, pokud se zm\u011Bna nezda\u0159\
            \xED. \n\u2022 Protokoly a z\xE1znamy z minul\xFDch upgrad\u016F star\u0161\
            \xEDho syst\xE9mu, kter\xE9 obsahuj\xED hodnocen\xED rizik a zd\u016F\
            vodn\u011Bn\xED zm\u011Bny."
        it:
          description: "Nel caso in cui non sia stato possibile seguire le normali\
            \ procedure di gestione delle modifiche a causa di un'emergenza, gli enti\
            \ competenti documenteranno il risultato della modifica e la spiegazione\
            \ del motivo per cui non \xE8 stato possibile seguire le procedure."
          annotation: "\u2022 Se del caso, integrare lo scenario di pullback (55)\
            \ nelle procedure di gestione delle modifiche. \n\u2022 Valutare i rischi\
            \ derivanti dai sistemi legacy e aggiornare i sistemi legacy esistenti\
            \ per includere misure di mitigazione della sicurezza nel caso in cui\
            \ non sia possibile ottenere una sicurezza adeguata. \n\u2022 Assicurarsi\
            \ che le normali procedure di controllo delle modifiche che non possono\
            \ essere seguite a causa di una modifica di emergenza vengano applicate\
            \ immediatamente dopo la modifica di emergenza.\n\n(55) Noto anche come\
            \ piano di rollback o backout, si riferisce a una serie di azioni o procedure\
            \ pre-pianificate volte a riportare un sistema o un servizio a uno stato\
            \ precedente e stabile nel caso in cui la modifica non funzioni come previsto."
          typical_evidence: "\u2022 Documentazione con piani di pullback specifici.\
            \ \n\u2022 Registri e registrazioni delle richieste di modifica passate\
            \ con il dettaglio (elenco indicativo, non esaustivo):\n    o la modifica,\
            \ o il motivo dell'emergenza, o l'approvazione, o il motivo del ritardo,\
            \ o le azioni di follow-up e o come ripristinare il sistema a una fase\
            \ precedente se la modifica non riesce. \n\u2022 Registri e registrazioni\
            \ di precedenti aggiornamenti del sistema legacy che contengono valutazioni\
            \ dei rischi e il motivo della modifica."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.4.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.4
      ref_id: 6.4.4
      description: The relevant entities shall review and, where appropriate, update
        the procedures at planned intervals and when significant incidents or significant
        changes to operations or risks.
      annotation: "\u2022 Review the change management procedures at least once every\
        \ two years. \n\u2022 Make sure that the management procedures cover planned\
        \ and unplanned changes and the development phase, when applicable. \n\u2022\
        \ Ensure that the process is not bypassed.\n\n[TIPS]\n\n\u2022 Perform and\
        \ log: (a) changes to, (b) maintenance of and (c) repairs to network and information\
        \ systems, with approved and controlled tools. \n\u2022 Put change management\
        \ procedures in place according to licensing agreements. \n\u2022 Upon changes\
        \ to assets, update the asset inventory (Annex to the regulation, point 12.4)\
        \ and documentation. \n\u2022 Upon changes to risk management measures, update\
        \ the risk treatment plan (Annex to the regulation, point 2.1.1). \n\u2022\
        \ Inform the customer of significant changes to network and information systems\
        \ that affect the services offered. This information only needs to be provided\
        \ if it is beneficial for customers. \n\u2022 Ensure availability of the required\
        \ maintenance skills, resources and spare parts, including external support.\
        \ \n\u2022 Prevent the unauthorised removal of maintenance equipment containing\
        \ information related to the entity by (indicative, non-exhaustive list):\n\
        \    o verifying that no information related to the entity is contained in\
        \ the equipment;\n    o sanitising or destroying the equipment;\n    o retaining\
        \ the equipment within the facility; or o obtaining an exemption from authorised\
        \ personnel or roles explicitly authorising removal of the equipment from\
        \ the facility. \n\u2022 Provide remote access via out-of-band (OOB) connection\
        \ in the event that the standard connection does not work. \n\u2022 Regularly\
        \ test OOB connections to ensure they function as expected during an outage.\
        \ \n\u2022 If an incident, in the sense of Article 23 of the NIS2 Directive,\
        \ involves subsequent actions that entail system changes, then notify the\
        \ competent authorities of these changes in accordance with the national reporting\
        \ procedure."
      typical_evidence: "\u2022 Review plans or schedules. \n\u2022 Up to date change\
        \ management procedures, review comments and/or change logs. \n\u2022 Evidence\
        \ of approval and monitoring of maintenance activities, whether performed\
        \ on site or remotely and whether the equipment is serviced on site or removed\
        \ to another location. \n\u2022 Logs of all changes made to the procedures,\
        \ including details, approvals and implementation dates. \n\u2022 Audit trails\
        \ and compliance records from internal and external audits. \n\u2022 Logs\
        \ of significant incidents to confirm whether they include documentation of\
        \ reviews and updates to the change, repair and maintenance procedures.  \n\
        \u2022 Reports from post-incident reviews that document any necessary adjustments\
        \ to the procedures following significant incidents. \n\u2022 Records showing\
        \ how changes and updates to the procedures were implemented and reviewed.\n\
        \n[TIPS]\n\n\u2022 Evidence that MFA is in place for remote change, repair\
        \ and maintenance procedures. \n\u2022 Logs and records that prove the use\
        \ of approved tools. \n\u2022 Evidence that the procedures mention the licencing\
        \ agreement. \n\u2022 Up-to-date asset inventory. \n\u2022 Up-to-date risk-treatment\
        \ plan. \n\u2022 Documentation of a customer update on significant changes.\
        \ \n\u2022 Evidence of previous training on change management and system maintenance.\
        \ \n\u2022 Evidence of sanitisation procedures. \n\u2022 Evidence that the\
        \ entity maintains a spare parts for key components of its network and information\
        \ system. \n\u2022 Notifications to defined personnel or roles of the date\
        \ and time of planned maintenance. \n\u2022 Network architecture diagram that\
        \ proves the existence of OOB connections."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es r\xE9examinent et, s\u2019il\
            \ est besoin, mettent \xE0 jour les proc\xE9dures \xE0 intervalles pr\xE9\
            d\xE9finis, ainsi qu\u2019en cas d\u2019incidents importants ou lorsque\
            \ des changements majeurs concernant les op\xE9rations ou les risques\
            \ se produisent."
          annotation: "\u2022 Revoir les proc\xE9dures de gestion du changement au\
            \ moins une fois tous les deux ans. \n\u2022 S\u2019assurer que les proc\xE9\
            dures de gestion couvrent les changements pr\xE9vus et non planifi\xE9\
            s ainsi que la phase de d\xE9veloppement, le cas \xE9ch\xE9ant. \n\u2022\
            \ Assurez-vous que le processus n\u2019est pas contourn\xE9.\n\n[CONSEILS]\n\
            \n\u2022 Effectuer et consigner : (a) les modifications, (b) l\u2019entretien\
            \ et (c) les r\xE9parations des r\xE9seaux et des syst\xE8mes d\u2019\
            information, avec des outils approuv\xE9s et contr\xF4l\xE9s. \n\u2022\
            \ Mettre en place des proc\xE9dures de gestion du changement selon les\
            \ contrats de licence. \n\u2022 En cas de modification des actifs, mettre\
            \ \xE0 jour l\u2019inventaire des actifs (annexe du r\xE8glement, point\
            \ 12.4) et la documentation. \n\u2022 En cas de modification des mesures\
            \ de gestion des risques, mettre \xE0 jour le plan de traitement des risques\
            \ (annexe du r\xE8glement, point 2.1.1). \n\u2022 Informer le client des\
            \ modifications importantes apport\xE9es au r\xE9seau et aux syst\xE8\
            mes d\u2019information qui affectent les services offerts. Ces informations\
            \ ne doivent \xEAtre fournies que si elles sont b\xE9n\xE9fiques pour\
            \ les clients. \n\u2022 Assurer la disponibilit\xE9 des comp\xE9tences\
            \ de maintenance, des ressources et des pi\xE8ces de rechange requises,\
            \ y compris le soutien externe. \n\u2022 Pr\xE9venir l\u2019enl\xE8vement\
            \ non autoris\xE9 d\u2019\xE9quipements de maintenance contenant des informations\
            \ relatives \xE0 l\u2019entit\xE9 (liste indicative et non exhaustive)\
            \ :\n    o v\xE9rifier qu\u2019aucune information relative \xE0 l\u2019\
            entit\xE9 n\u2019est contenue dans l\u2019\xE9quipement ;\n    o d\xE9\
            sinfecter ou d\xE9truire l\u2019\xE9quipement ;\n    o conserver l\u2019\
            \xE9quipement dans l\u2019installation\_; ou o l\u2019obtention d\u2019\
            une exemption de la part du personnel autoris\xE9 ou des r\xF4les autorisant\
            \ explicitement le retrait de l\u2019\xE9quipement de l\u2019installation.\
            \ \n\u2022 Fournir un acc\xE8s \xE0 distance via une connexion hors bande\
            \ (OOB) dans le cas o\xF9 la connexion standard ne fonctionne pas. \n\u2022\
            \ Testez r\xE9guli\xE8rement les connexions OOB pour vous assurer qu\u2019\
            elles fonctionnent comme pr\xE9vu lors d\u2019une panne. \n\u2022 Si un\
            \ incident, au sens de l\u2019article 23 de la directive NIS2, implique\
            \ des actions ult\xE9rieures qui entra\xEEnent des modifications du syst\xE8\
            me, notifier ces modifications aux autorit\xE9s comp\xE9tentes conform\xE9\
            ment \xE0 la proc\xE9dure nationale de d\xE9claration."
          typical_evidence: "\u2022 Examiner les plans ou les \xE9ch\xE9anciers. \n\
            \u2022 Mettre \xE0 jour les proc\xE9dures de gestion des changements,\
            \ examiner les commentaires et/ou les journaux des modifications. \n\u2022\
            \ Preuve de l\u2019approbation et de la surveillance des activit\xE9s\
            \ de maintenance, qu\u2019elles soient effectu\xE9es sur site ou \xE0\
            \ distance, et que l\u2019\xE9quipement soit entretenu sur place ou d\xE9\
            plac\xE9 \xE0 un autre endroit. \n\u2022 Registres de toutes les modifications\
            \ apport\xE9es aux proc\xE9dures, y compris les d\xE9tails, les approbations\
            \ et les dates de mise en \u0153uvre. \n\u2022 Pistes d\u2019audit et\
            \ dossiers de conformit\xE9 issus d\u2019audits internes et externes.\
            \ \n\u2022 Registres des incidents importants pour confirmer s\u2019ils\
            \ comprennent de la documentation sur les examens et les mises \xE0 jour\
            \ des proc\xE9dures de changement, de r\xE9paration et d\u2019entretien.\
            \  \n\u2022 Rapports d\u2019examens post-incident qui documentent les\
            \ ajustements n\xE9cessaires aux proc\xE9dures \xE0 la suite d\u2019incidents\
            \ importants. \n\u2022 Des documents montrant comment les modifications\
            \ et les mises \xE0 jour apport\xE9es aux proc\xE9dures ont \xE9t\xE9\
            \ mises en \u0153uvre et examin\xE9es.\n\n[CONSEILS]\n\n\u2022 Preuve\
            \ que l\u2019authentification multifacteur est en place pour les proc\xE9\
            dures de changement, de r\xE9paration et de maintenance \xE0 distance.\
            \ \n\u2022 Journaux et enregistrements prouvant l\u2019utilisation d\u2019\
            outils approuv\xE9s. \n\u2022 La preuve que les proc\xE9dures mentionnent\
            \ l\u2019accord de licence. \n\u2022 Inventaire des actifs \xE0 jour.\
            \ \n\u2022 Plan de traitement des risques \xE0 jour. \n\u2022 Documentation\
            \ d\u2019une mise \xE0 jour client sur les changements significatifs.\
            \ \n\u2022 Preuve d\u2019une formation ant\xE9rieure sur la gestion du\
            \ changement et la maintenance du syst\xE8me. \n\u2022 Preuve des proc\xE9\
            dures de d\xE9sinfection. \n\u2022 La preuve que l\u2019entit\xE9 dispose\
            \ d\u2019une pi\xE8ce de rechange pour les composants cl\xE9s de son r\xE9\
            seau et de son syst\xE8me d\u2019information. \n\u2022 Notifications au\
            \ personnel ou aux r\xF4les d\xE9finis de la date et de l\u2019heure de\
            \ la maintenance planifi\xE9e. \n\u2022 Sch\xE9ma d\u2019architecture\
            \ r\xE9seau qui prouve l\u2019existence de connexions OOB."
        es:
          description: "Las entidades pertinentes revisar\xE1n y, cuando proceda,\
            \ actualizar\xE1n los procedimientos a intervalos planificados, as\xED\
            \ como cuando se produzcan incidentes significativos o cambios significativos\
            \ en las operaciones o los riesgos."
          annotation: "\u2022 Revisar los procedimientos de gesti\xF3n del cambio\
            \ al menos una vez cada dos a\xF1os. \n\u2022 Asegurarse de que los procedimientos\
            \ de gesti\xF3n cubran los cambios planificados y no planificados y la\
            \ fase de desarrollo, cuando corresponda. \n\u2022 Aseg\xFArese de que\
            \ no se omita el proceso.\n\n[CONSEJOS]\n\n\u2022 Realizar y registrar:\
            \ (a) cambios, (b) mantenimiento y (c) reparaciones de sistemas de informaci\xF3\
            n y redes, con herramientas aprobadas y controladas. \n\u2022 Poner en\
            \ marcha procedimientos de gesti\xF3n del cambio de acuerdo con los acuerdos\
            \ de licencia. \n\u2022 En caso de cambios en los activos, actualizar\
            \ el inventario de activos (Anexo del reglamento, punto 12.4) y la documentaci\xF3\
            n. \n\u2022 En caso de cambios en las medidas de gesti\xF3n de riesgos,\
            \ actualizar el plan de tratamiento de riesgos (Anexo del reglamento,\
            \ punto 2.1.1). \n\u2022 Informar al cliente de cambios significativos\
            \ en la red y en los sistemas de informaci\xF3n que afecten a los servicios\
            \ ofrecidos. Esta informaci\xF3n solo debe proporcionarse si es beneficiosa\
            \ para los clientes. \n\u2022 Garantizar la disponibilidad de las habilidades\
            \ de mantenimiento, los recursos y las piezas de repuesto necesarios,\
            \ incluido el apoyo externo. \n\u2022 Impedir la retirada no autorizada\
            \ de los equipos de mantenimiento que contengan informaci\xF3n relacionada\
            \ con la entidad (lista indicativa y no exhaustiva):\n    o verificar\
            \ que el equipo no contenga informaci\xF3n relacionada con la entidad;\n\
            \    o higienizar o destruir el equipo;\n    o mantener el equipo dentro\
            \ de la instalaci\xF3n; o bien la obtenci\xF3n de una exenci\xF3n del\
            \ personal o las funciones autorizadas que autoricen expl\xEDcitamente\
            \ la retirada del equipo de la instalaci\xF3n. \n\u2022 Proporcionar acceso\
            \ remoto a trav\xE9s de una conexi\xF3n fuera de banda (OOB) en caso de\
            \ que la conexi\xF3n est\xE1ndar no funcione. \n\u2022 Pruebe regularmente\
            \ las conexiones OOB para asegurarse de que funcionen como se espera durante\
            \ una interrupci\xF3n. \n\u2022 Si un incidente, en el sentido del art\xED\
            culo 23 de la Directiva SRI 2, implica acciones posteriores que impliquen\
            \ cambios en el sistema, notif\xEDquelo a las autoridades competentes\
            \ de conformidad con el procedimiento nacional de notificaci\xF3n."
          typical_evidence: "\u2022 Revisar planes o horarios. \n\u2022 Actualizar\
            \ los procedimientos de gesti\xF3n de cambios, revisar comentarios y/o\
            \ registros de cambios. \n\u2022 Evidencia de aprobaci\xF3n y monitoreo\
            \ de las actividades de mantenimiento, ya sea que se realicen en el sitio\
            \ o de forma remota y si el equipo se revisa en el sitio o se traslada\
            \ a otro lugar. \n\u2022 Registros de todos los cambios realizados en\
            \ los procedimientos, incluidos detalles, aprobaciones y fechas de implementaci\xF3\
            n. \n\u2022 Pistas de auditor\xEDa y registros de cumplimiento de auditor\xED\
            as internas y externas. \n\u2022 Registros de incidencias significativas\
            \ para confirmar si incluyen documentaci\xF3n de revisiones y actualizaciones\
            \ de los procedimientos de cambio, reparaci\xF3n y mantenimiento.  \n\u2022\
            \ Informes de revisiones posteriores a incidentes que documentan cualquier\
            \ ajuste necesario a los procedimientos despu\xE9s de incidentes significativos.\
            \ \n\u2022 Registros que muestren c\xF3mo se implementaron y revisaron\
            \ los cambios y actualizaciones de los procedimientos.\n\n[CONSEJOS]\n\
            \n\u2022 Evidencia de que MFA est\xE1 en su lugar para los procedimientos\
            \ de cambio, reparaci\xF3n y mantenimiento remotos. \n\u2022 Registros\
            \ y registros que acrediten el uso de herramientas aprobadas. \n\u2022\
            \ Evidencia de que los procedimientos mencionan el acuerdo de licencia.\
            \ \n\u2022 Inventario de activos actualizado. \n\u2022 Plan de tratamiento\
            \ de riesgos actualizado. \n\u2022 Documentaci\xF3n de una actualizaci\xF3\
            n del cliente sobre cambios significativos. \n\u2022 Evidencia de capacitaci\xF3\
            n previa en gesti\xF3n de cambios y mantenimiento de sistemas. \n\u2022\
            \ Evidencia de los procedimientos de higienizaci\xF3n. \n\u2022 Evidencia\
            \ de que la entidad mantiene piezas de repuesto para componentes clave\
            \ de su red y sistema de informaci\xF3n. \n\u2022 Notificaciones al personal\
            \ o roles definidos de la fecha y hora del mantenimiento planificado.\
            \ \n\u2022 Diagrama de arquitectura de red que acredite la existencia\
            \ de conexiones OOB."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty postupy p\u0159ezkoum\xE1\
            vaj\xED a v p\u0159\xEDpad\u011B pot\u0159eby aktualizuj\xED v pl\xE1\
            novan\xFDch intervalech a p\u0159i v\xFDznamn\xFDch incidentech nebo v\xFD\
            znamn\xFDch zm\u011Bn\xE1ch operac\xED \u010Di rizik."
          annotation: "\u2022 Alespo\u0148 jednou za dva roky p\u0159ezkoumat postupy\
            \ \u0159\xEDzen\xED zm\u011Bn. \n\u2022 Ujist\u011Bte se, \u017Ee postupy\
            \ \u0159\xEDzen\xED pokr\xFDvaj\xED pl\xE1novan\xE9 i nepl\xE1novan\xE9\
            \ zm\u011Bny a p\u0159\xEDpadn\u011B v\xFDvojovou f\xE1zi. \n\u2022 Ujist\u011B\
            te se, \u017Ee proces nen\xED vynech\xE1n.\n\n[TIPY]\n\n\u2022 Prov\xE1\
            d\u011Bt a zaznamen\xE1vat: (a) zm\u011Bny, (b) \xFAdr\u017Ebu a (c) opravy\
            \ s\xEDt\xED a informa\u010Dn\xEDch syst\xE9m\u016F pomoc\xED schv\xE1\
            len\xFDch a kontrolovan\xFDch n\xE1stroj\u016F. \n\u2022 Zave\u010Fte\
            \ postupy \u0159\xEDzen\xED zm\u011Bn v souladu s licen\u010Dn\xEDmi smlouvami.\
            \ \n\u2022 P\u0159i zm\u011Bn\xE1ch majetku aktualizovat inventarizaci\
            \ majetku (p\u0159\xEDloha na\u0159\xEDzen\xED, bod 12.4) a dokumentaci.\
            \ \n\u2022 P\u0159i zm\u011Bn\xE1ch opat\u0159en\xED k \u0159\xEDzen\xED\
            \ rizik aktualizovat pl\xE1n l\xE9\u010Dby rizik (p\u0159\xEDloha na\u0159\
            \xEDzen\xED, bod 2.1.1). \n\u2022 Informovat z\xE1kazn\xEDka o v\xFDznamn\xFD\
            ch zm\u011Bn\xE1ch v s\xEDt\xEDch a informa\u010Dn\xEDch syst\xE9mech,\
            \ kter\xE9 maj\xED vliv na nab\xEDzen\xE9 slu\u017Eby. Tyto informace\
            \ je nutn\xE9 poskytnout pouze v p\u0159\xEDpad\u011B, \u017Ee je to pro\
            \ z\xE1kazn\xEDky v\xFDhodn\xE9. \n\u2022 Zajistit dostupnost po\u017E\
            adovan\xFDch dovednost\xED v oblasti \xFAdr\u017Eby, zdroj\u016F a n\xE1\
            hradn\xEDch d\xEDl\u016F, v\u010Detn\u011B extern\xED podpory. \n\u2022\
            \ Zabr\xE1nit neopr\xE1vn\u011Bn\xE9mu odstran\u011Bn\xED za\u0159\xED\
            zen\xED pro \xFAdr\u017Ebu obsahuj\xEDc\xEDho informace t\xFDkaj\xEDc\xED\
            \ se subjektu pomoc\xED (orienta\u010Dn\xED, demonstrativn\xED seznam):\n\
            \    o ov\u011B\u0159en\xED, \u017Ee v za\u0159\xEDzen\xED nejsou obsa\u017E\
            eny \u017E\xE1dn\xE9 informace t\xFDkaj\xEDc\xED se subjektu;\n    o dezinfekci\
            \ nebo zni\u010Den\xED za\u0159\xEDzen\xED;\n    o ponech\xE1n\xED za\u0159\
            \xEDzen\xED v za\u0159\xEDzen\xED; nebo o z\xEDsk\xE1n\xED v\xFDjimky\
            \ z opr\xE1vn\u011Bn\xFDch pracovn\xEDk\u016F nebo rol\xED, kter\xE9 v\xFD\
            slovn\u011B oprav\u0148uj\xED k odstran\u011Bn\xED za\u0159\xEDzen\xED\
            \ ze za\u0159\xEDzen\xED. \n\u2022 Poskytnout vzd\xE1len\xFD p\u0159\xED\
            stup prost\u0159ednictv\xEDm out-of-band (OOB) p\u0159ipojen\xED v p\u0159\
            \xEDpad\u011B, \u017Ee standardn\xED p\u0159ipojen\xED nefunguje. \n\u2022\
            \ Pravideln\u011B testujte p\u0159ipojen\xED OOB, abyste se ujistili,\
            \ \u017Ee b\u011Bhem v\xFDpadku funguj\xED podle o\u010Dek\xE1v\xE1n\xED\
            . \n\u2022 Pokud incident ve smyslu \u010Dl\xE1nku 23 Sm\u011Brnice NIS2\
            \ zahrnuje n\xE1sledn\xE9 akce, kter\xE9 maj\xED za n\xE1sledek zm\u011B\
            ny syst\xE9mu, pak tyto zm\u011Bny ozn\xE1mit p\u0159\xEDslu\u0161n\xFD\
            m org\xE1n\u016Fm v souladu s n\xE1rodn\xEDm postupem pro oznamov\xE1\
            n\xED."
          typical_evidence: "\u2022 Zkontrolujte pl\xE1ny nebo pl\xE1ny. \n\u2022\
            \ Aktu\xE1ln\xED postupy \u0159\xEDzen\xED zm\u011Bn, kontrola koment\xE1\
            \u0159\u016F a/nebo protokol\u016F zm\u011Bn. \n\u2022 Doklad o schv\xE1\
            len\xED a sledov\xE1n\xED \u010Dinnost\xED \xFAdr\u017Eby, a\u0165 u\u017E\
            \ prov\xE1d\u011Bn\xFDch na m\xEDst\u011B nebo na d\xE1lku, a bez ohledu\
            \ na to, zda je za\u0159\xEDzen\xED servisov\xE1no na m\xEDst\u011B nebo\
            \ p\u0159emis\u0165ov\xE1no na jin\xE9 m\xEDsto. \n\u2022 Protokoly v\u0161\
            ech zm\u011Bn proveden\xFDch v postupech, v\u010Detn\u011B podrobnost\xED\
            , schv\xE1len\xED a dat implementace. \n\u2022 Auditn\xED stopy a z\xE1\
            znamy o dodr\u017Eov\xE1n\xED p\u0159edpis\u016F z intern\xEDch a extern\xED\
            ch audit\u016F. \n\u2022 Protokoly v\xFDznamn\xFDch incident\u016F pro\
            \ potvrzen\xED, zda obsahuj\xED dokumentaci kontrol a aktualizac\xED postup\u016F\
            \ zm\u011Bn, oprav a \xFAdr\u017Eby.  \n\u2022 Zpr\xE1vy z kontrol po\
            \ incidentu, kter\xE9 dokumentuj\xED ve\u0161ker\xE9 nezbytn\xE9 \xFA\
            pravy postup\u016F po v\xFDznamn\xFDch incidentech. \n\u2022 Z\xE1znamy\
            \ ukazuj\xEDc\xED, jak byly zm\u011Bny a aktualizace postup\u016F implementov\xE1\
            ny a p\u0159ezkoum\xE1ny.\n\n[TIPY]\n\n\u2022 D\u016Fkaz, \u017Ee MFA\
            \ je zavedeno pro vzd\xE1len\xE9 postupy zm\u011Bny, opravy a \xFAdr\u017E\
            by. \n\u2022 Protokoly a z\xE1znamy, kter\xE9 prokazuj\xED pou\u017Eit\xED\
            \ schv\xE1len\xFDch n\xE1stroj\u016F. \n\u2022 D\u016Fkaz, \u017Ee postupy\
            \ zmi\u0148uj\xED licen\u010Dn\xED smlouvu. \n\u2022 Aktu\xE1ln\xED invent\xE1\
            \u0159 aktiv. \n\u2022 Aktu\xE1ln\xED pl\xE1n l\xE9\u010Dby rizik. \n\u2022\
            \ Dokumentace aktu\xE1ln\xEDch informac\xED z\xE1kazn\xEDka o v\xFDznamn\xFD\
            ch zm\u011Bn\xE1ch. \n\u2022 Doklad o p\u0159edchoz\xEDm \u0161kolen\xED\
            \ v oblasti \u0159\xEDzen\xED zm\u011Bn a \xFAdr\u017Eby syst\xE9mu. \n\
            \u2022 Doklad o sanita\u010Dn\xEDch postupech. \n\u2022 D\u016Fkaz, \u017E\
            e subjekt udr\u017Euje n\xE1hradn\xED d\xEDly pro kl\xED\u010Dov\xE9 komponenty\
            \ sv\xE9 s\xEDt\u011B a informa\u010Dn\xEDho syst\xE9mu. \n\u2022 Notifikace\
            \ definovan\xFDm pracovn\xEDk\u016Fm nebo rol\xEDm o datu a \u010Dase\
            \ pl\xE1novan\xE9 \xFAdr\u017Eby. \n\u2022 Diagram s\xED\u0165ov\xE9 architektury,\
            \ kter\xFD dokazuje existenci OOB spojen\xED."
        it:
          description: I soggetti pertinenti riesaminano e, se del caso, aggiornano
            le procedure a intervalli pianificati e in caso di incidenti significativi
            o modifiche significative delle operazioni o dei rischi.
          annotation: "\u2022 Rivedere le procedure di gestione del cambiamento almeno\
            \ una volta ogni due anni. \n\u2022 Assicurarsi che le procedure di gestione\
            \ coprano le modifiche pianificate e non pianificate e la fase di sviluppo,\
            \ se applicabile. \n\u2022 Assicurarsi che il processo non venga ignorato.\n\
            \n[CONSIGLI]\n\n\u2022 Eseguire e registrare: (a) modifiche, (b) manutenzione\
            \ e (c) riparazioni di reti e sistemi informativi, con strumenti approvati\
            \ e controllati. \n\u2022 Mettere in atto procedure di gestione delle\
            \ modifiche in base agli accordi di licenza. \n\u2022 In caso di modifiche\
            \ ai cespiti, aggiornare l'inventario dei beni (Allegato al regolamento,\
            \ punto 12.4) e la documentazione. \n\u2022 In caso di modifiche alle\
            \ misure di gestione dei rischi, aggiornare il piano di trattamento dei\
            \ rischi (Allegato al regolamento, punto 2.1.1). \n\u2022 Informare il\
            \ cliente di modifiche significative alla rete e ai sistemi informativi\
            \ che influiscono sui servizi offerti. Queste informazioni devono essere\
            \ fornite solo se sono vantaggiose per i clienti. \n\u2022 Garantire la\
            \ disponibilit\xE0 delle competenze di manutenzione, delle risorse e dei\
            \ pezzi di ricambio necessari, compreso il supporto esterno. \n\u2022\
            \ Impedire la rimozione non autorizzata di apparecchiature di manutenzione\
            \ contenenti informazioni relative all'ente (elenco indicativo e non esaustivo):\n\
            \    o verificare che nessuna informazione relativa all'entit\xE0 sia\
            \ contenuta nell'apparecchiatura;\n    o sanificazione o distruzione dell'attrezzatura;\n\
            \    o trattenere l'attrezzatura all'interno della struttura; o o ottenere\
            \ un'esenzione dal personale o dai ruoli autorizzati che autorizzano esplicitamente\
            \ la rimozione dell'attrezzatura dall'impianto. \n\u2022 Fornire l'accesso\
            \ remoto tramite connessione fuori banda (OOB) nel caso in cui la connessione\
            \ standard non funzioni. \n\u2022 Testare regolarmente le connessioni\
            \ OOB per assicurarsi che funzionino come previsto durante un'interruzione.\
            \ \n\u2022 Se un incidente, ai sensi dell'articolo 23 della direttiva\
            \ NIS2, comporta azioni successive che comportano modifiche del sistema,\
            \ notificare tali modifiche alle autorit\xE0 competenti in conformit\xE0\
            \ con la procedura nazionale di segnalazione."
          typical_evidence: "\u2022 Rivedi piani o programmi. \n\u2022 Procedure aggiornate\
            \ di gestione delle modifiche, revisione dei commenti e/o registri delle\
            \ modifiche. \n\u2022 Prova dell'approvazione e del monitoraggio delle\
            \ attivit\xE0 di manutenzione, eseguite in loco o da remoto, indipendentemente\
            \ dal fatto che l'apparecchiatura venga sottoposta a manutenzione in loco\
            \ o rimossa in un altro luogo. \n\u2022 Registri di tutte le modifiche\
            \ apportate alle procedure, inclusi dettagli, approvazioni e date di implementazione.\
            \ \n\u2022 Audit trail e registri di conformit\xE0 da audit interni ed\
            \ esterni. \n\u2022 Registri degli incidenti significativi per confermare\
            \ se includono la documentazione delle revisioni e degli aggiornamenti\
            \ delle procedure di modifica, riparazione e manutenzione.  \n\u2022 Rapporti\
            \ provenienti da revisioni post-incidente che documentano eventuali adeguamenti\
            \ necessari alle procedure a seguito di incidenti significativi. \n\u2022\
            \ Registrazioni che mostrano come sono state implementate e riviste le\
            \ modifiche e gli aggiornamenti delle procedure.\n\n[CONSIGLI]\n\n\u2022\
            \ Prova dell'esistenza di un MFA per le procedure di modifica, riparazione\
            \ e manutenzione da remoto. \n\u2022 Registri e registrazioni che dimostrano\
            \ l'uso di strumenti approvati. \n\u2022 Prova che le procedure menzionano\
            \ l'accordo di licenza. \n\u2022 Inventario aggiornato dei cespiti. \n\
            \u2022 Piano di trattamento del rischio aggiornato. \n\u2022 Documentazione\
            \ di un aggiornamento del cliente su modifiche significative. \n\u2022\
            \ Evidenza di una formazione precedente sulla gestione del cambiamento\
            \ e sulla manutenzione del sistema. \n\u2022 Prova delle procedure di\
            \ sanificazione. \n\u2022 Prova che l'ente mantiene pezzi di ricambio\
            \ per i componenti chiave della sua rete e del suo sistema informativo.\
            \ \n\u2022 Notifiche al personale o ai ruoli definiti della data e dell'ora\
            \ della manutenzione programmata. \n\u2022 Diagramma dell'architettura\
            \ di rete che dimostra l'esistenza di connessioni OOB."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.5
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6
      ref_id: '6.5'
      name: Security testing
      translations:
        fr:
          name: "Tests de s\xE9curit\xE9"
        es:
          name: Pruebas de seguridad
        cs:
          name: "estov\xE1n\xED bezpe\u010Dnosti"
        it:
          name: Test di sicurezza
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.5.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.5
      ref_id: 6.5.1
      description: The relevant entities shall establish, implement and apply a policy
        and procedures for security testing.
      annotation: "\u2022 Take into account industry-recognised standards when developing\
        \ the testing policy (56). \n\u2022 Establish and maintain a testing programme\
        \ appropriate to the entity\u2019s size, complexity and maturity (57).\n\n\
        (56) In addition to the standards in the mapping table, consider the following:\
        \ \n\u2022 ISO/IEC 27034 series of standards on application security. \n\u2022\
        \ OWASP Web Security Testing Guide, https://owasp.org/www-project-web-security-testing-guide/.\
        \ \n\u2022 Open Source Security Testing Methodology Manual (OSSTMM), https://www.isecom.org/OSSTMM.3.pdf.\n\
        (57) CyberFundamentals, ID.RA-1, Centre for Cyber Security Belgium, https://atwork.safeonweb.be/sites/default/files/2024-12/cyfun_basic_v2023-03-\
        \ 01_e_update_2024.pdf."
      typical_evidence: "\u2022 Documented security testing and procedures based on\
        \ relevant standards and good practices. \n\u2022 Guidelines and standards\
        \ that the entity adheres to for conducting security tests."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es \xE9tablissent, mettent en \u0153\
            uvre et appliquent une politique et des proc\xE9dures en mati\xE8re de\
            \ tests de s\xE9curit\xE9."
          annotation: "\u2022 Tenir compte des normes reconnues par l\u2019industrie\
            \ lors de l\u2019\xE9laboration de la politique d\u2019essai (56). \n\u2022\
            \ Mettre en place et tenir \xE0 jour un programme d\u2019essais adapt\xE9\
            \ \xE0 la taille, \xE0 la complexit\xE9 et \xE0 la maturit\xE9 de l\u2019\
            entit\xE9 (57).\n\n(56) En plus des normes figurant dans le tableau de\
            \ correspondance, il faut tenir compte de ce qui suit : \n\u2022 S\xE9\
            rie de normes ISO/IEC 27034 sur la s\xE9curit\xE9 des applications. \n\
            \u2022 Guide de test de s\xE9curit\xE9 Web OWASP, https://owasp.org/www-project-web-security-testing-guide/.\
            \ \n\u2022 Open Source Security Testing Methodology Manual (OSSTMM), https://www.isecom.org/OSSTMM.3.pdf.\n\
            (57) CyberFundamentals, ID.RA-1, Centre pour la cybers\xE9curit\xE9 (Belgique),\
            \ https://atwork.safeonweb.be/sites/default/files/2024-12/cyfun_basic_v2023-03-01_e_update_2024.pdf."
          typical_evidence: "\u2022 Tests et proc\xE9dures de s\xE9curit\xE9 document\xE9\
            s bas\xE9s sur les normes et les bonnes pratiques pertinentes. \n\u2022\
            \ Les directives et les normes auxquelles l\u2019entit\xE9 adh\xE8re pour\
            \ effectuer des tests de s\xE9curit\xE9."
        es:
          description: "Las entidades pertinentes establecer\xE1n, pondr\xE1n en marcha\
            \ y aplicar\xE1n orientaciones y procedimientos para las pruebas de seguridad."
          annotation: "\u2022 Tener en cuenta las normas reconocidas por la industria\
            \ a la hora de elaborar la pol\xEDtica de ensayos (56). \n\u2022 Establecer\
            \ y mantener un programa de pruebas adecuado al tama\xF1o, complejidad\
            \ y madurez de la entidad (57).\n\n(56) Adem\xE1s de las normas del cuadro\
            \ de cartograf\xEDa, consid\xE9rese lo siguiente: \n\u2022 Serie de normas\
            \ ISO/IEC 27034 sobre seguridad de aplicaciones. \n\u2022 Gu\xEDa de pruebas\
            \ de seguridad web de OWASP, https://owasp.org/www-project-web-security-testing-guide/.\
            \ \n\u2022 Manual de Metodolog\xEDa de Pruebas de Seguridad de C\xF3digo\
            \ Abierto (OSSTMM), https://www.isecom.org/OSSTMM.3.pdf.\n(57) CyberFundamentals,\
            \ ID.RA-1, Centro de Seguridad Cibern\xE9tica de B\xE9lgica, https://atwork.safeonweb.be/sites/default/files/2024-12/cyfun_basic_v2023-03-01_e_update_2024.pdf."
          typical_evidence: "\u2022 Pruebas y procedimientos de seguridad documentados\
            \ basados en est\xE1ndares relevantes y buenas pr\xE1cticas. \n\u2022\
            \ Lineamientos y est\xE1ndares a los que se adhiere la entidad para la\
            \ realizaci\xF3n de pruebas de seguridad."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty stanov\xED, zavedou a uplat\u0148\
            uj\xED politiku a postupy pro testov\xE1n\xED bezpe\u010Dnosti."
          annotation: "\u2022 P\u0159i vypracov\xE1v\xE1n\xED politiky zkou\u0161\
            en\xED zohlednit pr\u016Fmyslov\u011B uzn\xE1van\xE9 normy (56). \n\u2022\
            \ zav\xE9st a udr\u017Eovat program zkou\u0161ek odpov\xEDdaj\xEDc\xED\
            \ velikosti, slo\u017Eitosti a vysp\u011Blosti subjektu (57).\n\n(56)\
            \ Krom\u011B norem uveden\xFDch v mapovac\xED tabulce je t\u0159eba vz\xED\
            t v \xFAvahu n\xE1sleduj\xEDc\xED skute\u010Dnosti: \n\u2022 \u0158ada\
            \ norem ISO/IEC 27034 pro bezpe\u010Dnost aplikac\xED. \n\u2022 Pr\u016F\
            vodce testov\xE1n\xEDm zabezpe\u010Den\xED webu OWASP, https://owasp.org/www-project-web-security-testing-guide/.\
            \ \n\u2022 Manu\xE1l metodiky testov\xE1n\xED bezpe\u010Dnosti s otev\u0159\
            en\xFDm zdrojov\xFDm k\xF3dem (OSSTMM), https://www.isecom.org/OSSTMM.3.pdf.\n\
            (57) CyberFundamentals, ID.RA-1, Centrum pro kybernetickou bezpe\u010D\
            nost Belgie, https://atwork.safeonweb.be/sites/default/files/2024-12/cyfun_basic_v2023-03-01_e_update_2024.pdf."
          typical_evidence: "\u2022 Zdokumentovan\xE9 bezpe\u010Dnostn\xED testy a\
            \ postupy zalo\u017Een\xE9 na p\u0159\xEDslu\u0161n\xFDch norm\xE1ch a\
            \ osv\u011Bd\u010Den\xFDch postupech. \n\u2022 Pokyny a standardy, kter\xE9\
            \ subjekt dodr\u017Euje p\u0159i prov\xE1d\u011Bn\xED bezpe\u010Dnostn\xED\
            ch test\u016F."
        it:
          description: I soggetti pertinenti stabiliscono, attuano e applicano una
            politica e procedure per i test di sicurezza.
          annotation: "\u2022 Tenere conto delle norme riconosciute dal settore nell'elaborazione\
            \ della politica in materia di prove (56). \n\u2022 Stabilire e mantenere\
            \ un programma di test adeguato alle dimensioni, alla complessit\xE0 e\
            \ alla maturit\xE0 dell'entit\xE0 (57).\n\n(56) Oltre alle norme contenute\
            \ nella tavola di mappatura, si consideri quanto segue: \n\u2022 Serie\
            \ di norme ISO/IEC 27034 sulla sicurezza delle applicazioni. \n\u2022\
            \ Guida ai test di sicurezza Web OWASP, https://owasp.org/www-project-web-security-testing-guide/.\
            \ \n\u2022 Manuale della metodologia di test di sicurezza open source\
            \ (OSSTMM), https://www.isecom.org/OSSTMM.3.pdf.\n(57) CyberFundamentals,\
            \ ID.RA-1, Centro per la sicurezza informatica del Belgio, https://atwork.safeonweb.be/sites/default/files/2024-12/cyfun_basic_v2023-03-01_e_update_2024.pdf."
          typical_evidence: "\u2022 Test e procedure di sicurezza documentati basati\
            \ su standard e buone pratiche pertinenti. \n\u2022 Linee guida e standard\
            \ a cui l'entit\xE0 aderisce per l'esecuzione di test di sicurezza."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.5.2
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.5
      ref_id: 6.5.2
      description: 'The relevant entities shall:'
      annotation: "\u2022 Make sure that network and information systems undergo continuous\
        \ testing, particularly in environments utilizing continuous integration /\
        \ continuous deployment practices. Regular testing should be conducted at\
        \ set- up, after significant upgrades or modifications and following maintenance,\
        \ to maintain robust security and performance. \n\u2022 Consider a range of\
        \ security tests (e.g. vulnerability assessments, penetration testing, code\
        \ review, ethical hacking, bug bounty programmes, cyber attack simulations,\
        \ red teaming, protocol conformance testing or cyber response exercises) and\
        \ select the most appropriate one (or more) to test the specific procedure,\
        \ service or tool over time. \n\u2022 Entity-wide scoped tests should be carried\
        \ out at planned intervals or when significant incidents or changes occur.\
        \ \n\u2022 Conduct internal and/or external audits throughout the entity\u2019\
        s networks, systems and processes in an ad-hoc manner. \n\u2022 Record evidence\
        \ while testing. The need, scope, frequency, type and results are to be documented\
        \ in a manner that is comprehensible to an expert third party. \n\u2022 Use\
        \ criteria to assess the results of the tests similar to the criteria for\
        \ performing cybersecurity risk assessments (guidance on point 2.1.2 of the\
        \ Annex to the regulation). \n\u2022 Assess, follow up and remediate high-criticality\
        \ findings with respect to the confidentiality, integrity, authenticity or\
        \ availability of the service provided.  \n\u2022 Document the assessment\
        \ of criticality and mitigating actions for each finding. Ensure that risk\
        \ assessment results and risk treatment plans are updated accordingly (Annex\
        \ to the regulation, point 2.1). \n\u2022 When testing reveals an underlying\
        \ security issue in a free and open source component, these findings must\
        \ be shared with the relevant open source project. If a patch is developed\
        \ to address the issue, the relevant code should also be shared with the relevant\
        \ open source project, in a manner suitable for integration. \n\u2022 Where\
        \ appropriate, any automated security tests written by entities for open source\
        \ components that they use, should be shared with the relevant open source\
        \ projects."
      typical_evidence: "\u2022 Documented security testing policy and procedures\
        \ that include the elements referred to in point 5.2 (a) of the Annex to the\
        \ regulation. \n\u2022 Documentation defining the roles and responsibilities\
        \ of personnel involved in security testing. \n\u2022 Plans or schedules for\
        \ upcoming or completed regular or ad hoc tests. \n\u2022 List of reports\
        \ from past security tests This should cover various types of testing (e.g.\
        \ vulnerability assessments, penetration testing and code reviews). \n\u2022\
        \ Internal or external audit reports."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es :"
          annotation: "\u2022 S\u2019assurer que les r\xE9seaux et les syst\xE8mes\
            \ d\u2019information sont soumis \xE0 des tests continus, en particulier\
            \ dans les environnements utilisant des pratiques d\u2019int\xE9gration\
            \ et de d\xE9ploiement continus. Des tests r\xE9guliers doivent \xEAtre\
            \ effectu\xE9s lors de l\u2019installation, apr\xE8s des mises \xE0 niveau\
            \ ou des modifications importantes et apr\xE8s la maintenance, afin de\
            \ maintenir une s\xE9curit\xE9 et des performances robustes. \n\u2022\
            \ Envisagez une s\xE9rie de tests de s\xE9curit\xE9 (par exemple, \xE9\
            valuations de vuln\xE9rabilit\xE9, tests d\u2019intrusion, revue de code,\
            \ piratage \xE9thique, programmes de bug bounty, simulations de cyberattaques,\
            \ red teaming, tests de conformit\xE9 de protocole ou exercices de cyberr\xE9\
            ponse) et s\xE9lectionnez le plus appropri\xE9 (ou plusieurs) pour tester\
            \ la proc\xE9dure, le service ou l\u2019outil sp\xE9cifique au fil du\
            \ temps. \n\u2022 Des tests \xE0 l\u2019\xE9chelle de l\u2019entit\xE9\
            \ doivent \xEAtre effectu\xE9s \xE0 des intervalles planifi\xE9s ou lorsque\
            \ des incidents ou des changements importants se produisent. \n\u2022\
            \ Effectuer des audits internes et/ou externes dans l\u2019ensemble des\
            \ r\xE9seaux, syst\xE8mes et processus de l\u2019entit\xE9 de mani\xE8\
            re ad hoc. \n\u2022 Enregistrez les preuves pendant les tests. Le besoin,\
            \ l\u2019\xE9tendue, la fr\xE9quence, le type et les r\xE9sultats doivent\
            \ \xEAtre document\xE9s de mani\xE8re \xE0 ce qu\u2019un tiers expert\
            \ puisse les comprendre. \n\u2022 Utiliser des crit\xE8res d\u2019\xE9\
            valuation des r\xE9sultats des tests similaires aux crit\xE8res d\u2019\
            \xE9valuation des risques de cybers\xE9curit\xE9 (orientations au point\
            \ 2.1.2 de l\u2019annexe du r\xE8glement). \n\u2022 \xC9valuer, suivre\
            \ et corriger les constatations de criticit\xE9 \xE9lev\xE9e en ce qui\
            \ a trait \xE0 la confidentialit\xE9, \xE0 l\u2019int\xE9grit\xE9, \xE0\
            \ l\u2019authenticit\xE9 ou \xE0 la disponibilit\xE9 du service fourni.\
            \  \n\u2022 Documenter l\u2019\xE9valuation de la criticit\xE9 et les\
            \ mesures d\u2019att\xE9nuation pour chaque constatation. Veiller \xE0\
            \ ce que les r\xE9sultats de l\u2019\xE9valuation des risques et les plans\
            \ de traitement des risques soient mis \xE0 jour en cons\xE9quence (annexe\
            \ du r\xE8glement, point 2.1). \n\u2022 Lorsque les tests r\xE9v\xE8lent\
            \ un probl\xE8me de s\xE9curit\xE9 sous-jacent dans un composant libre\
            \ et open source, ces r\xE9sultats doivent \xEAtre partag\xE9s avec le\
            \ projet open source concern\xE9. Si un correctif est d\xE9velopp\xE9\
            \ pour r\xE9soudre le probl\xE8me, le code pertinent doit \xE9galement\
            \ \xEAtre partag\xE9 avec le projet open source concern\xE9, d\u2019une\
            \ mani\xE8re adapt\xE9e \xE0 l\u2019int\xE9gration. \n\u2022 Le cas \xE9\
            ch\xE9ant, tous les tests de s\xE9curit\xE9 automatis\xE9s \xE9crits par\
            \ les entit\xE9s pour les composants open source qu\u2019elles utilisent\
            \ doivent \xEAtre partag\xE9s avec les projets open source concern\xE9\
            s."
          typical_evidence: "\u2022 Une politique et des proc\xE9dures d\u2019essais\
            \ de s\xE9curit\xE9 document\xE9es qui incluent les \xE9l\xE9ments vis\xE9\
            s au point 5.2 (a) de l\u2019annexe du r\xE8glement. \n\u2022 Documentation\
            \ d\xE9finissant les r\xF4les et responsabilit\xE9s du personnel impliqu\xE9\
            \ dans les tests de s\xE9curit\xE9. \n\u2022 Plans ou calendriers pour\
            \ les tests r\xE9guliers ou ponctuels \xE0 venir ou termin\xE9s. \n\u2022\
            \ Liste des rapports des tests de s\xE9curit\xE9 ant\xE9rieurs Cette liste\
            \ doit couvrir diff\xE9rents types de tests (par exemple, les \xE9valuations\
            \ de vuln\xE9rabilit\xE9, les tests d\u2019intrusion et les revues de\
            \ code). \n\u2022 Rapports d\u2019audit interne ou externe."
        es:
          description: 'Las entidades pertinentes:'
          annotation: "\u2022 Aseg\xFArese de que los sistemas de red e informaci\xF3\
            n se sometan a pruebas continuas, especialmente en entornos que utilizan\
            \ pr\xE1cticas de integraci\xF3n continua / implementaci\xF3n continua.\
            \ Se deben realizar pruebas peri\xF3dicas en la configuraci\xF3n, despu\xE9\
            s de actualizaciones o modificaciones significativas y despu\xE9s del\
            \ mantenimiento, para mantener una seguridad y un rendimiento s\xF3lidos.\
            \ \n\u2022 Considerar una serie de pruebas de seguridad (por ejemplo,\
            \ evaluaciones de vulnerabilidad, pruebas de penetraci\xF3n, revisi\xF3\
            n de c\xF3digo, hacking \xE9tico, programas de recompensas por errores,\
            \ simulaciones de ataques cibern\xE9ticos, red teaming, pruebas de conformidad\
            \ de protocolos o ejercicios de respuesta cibern\xE9tica) y seleccionar\
            \ la m\xE1s adecuada (o m\xE1s) para probar el procedimiento, servicio\
            \ o herramienta espec\xEDfica a lo largo del tiempo. \n\u2022 Las pruebas\
            \ de alcance en toda la entidad deben llevarse a cabo a intervalos planificados\
            \ o cuando ocurran incidentes o cambios significativos. \n\u2022 Realizar\
            \ auditor\xEDas internas y/o externas en todas las redes, sistemas y procesos\
            \ de la entidad de manera ad-hoc. \n\u2022 Registre las pruebas durante\
            \ las pruebas. La necesidad, el alcance, la frecuencia, el tipo y los\
            \ resultados deben documentarse de manera que sea comprensible para un\
            \ tercero experto. \n\u2022 Utilizar criterios para evaluar los resultados\
            \ de las pruebas similares a los criterios para realizar evaluaciones\
            \ de riesgos de ciberseguridad (orientaciones sobre el punto 2.1.2 del\
            \ anexo del Reglamento). \n\u2022 Evaluar, dar seguimiento y remediar\
            \ los hallazgos de alta criticidad con respecto a la confidencialidad,\
            \ integridad, autenticidad o disponibilidad del servicio prestado.  \n\
            \u2022 Documentar la evaluaci\xF3n de la criticidad y las acciones atenuantes\
            \ para cada hallazgo. Garantizar que los resultados de la evaluaci\xF3\
            n de riesgos y los planes de tratamiento de riesgos se actualicen en consecuencia\
            \ (anexo del Reglamento, punto 2.1). \n\u2022 Cuando las pruebas revelan\
            \ un problema de seguridad subyacente en un componente de c\xF3digo abierto\
            \ y gratuito, estos hallazgos deben compartirse con el proyecto de c\xF3\
            digo abierto correspondiente. Si se desarrolla un parche para abordar\
            \ el problema, el c\xF3digo relevante tambi\xE9n debe compartirse con\
            \ el proyecto de c\xF3digo abierto relevante, de una manera adecuada para\
            \ la integraci\xF3n. \n\u2022 Cuando proceda, las pruebas de seguridad\
            \ automatizadas escritas por las entidades para los componentes de c\xF3\
            digo abierto que utilizan deben compartirse con los proyectos de c\xF3\
            digo abierto pertinentes."
          typical_evidence: "\u2022 Pol\xEDtica y procedimientos documentados de pruebas\
            \ de seguridad que incluyan los elementos mencionados en el punto 5.2\
            \ (a) del anexo del reglamento. \n\u2022 Documentaci\xF3n que defina las\
            \ funciones y responsabilidades del personal involucrado en las pruebas\
            \ de seguridad. \n\u2022 Planes o horarios para las pruebas regulares\
            \ o ad hoc pr\xF3ximas o completadas. \n\u2022 Lista de informes de pruebas\
            \ de seguridad anteriores Esto debe cubrir varios tipos de pruebas (por\
            \ ejemplo, evaluaciones de vulnerabilidad, pruebas de penetraci\xF3n y\
            \ revisiones de c\xF3digo). \n\u2022 Informes de auditor\xEDa interna\
            \ o externa."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty:"
          annotation: "\u2022 Zajist\u011Bte, aby s\xED\u0165ov\xE9 a informa\u010D\
            n\xED syst\xE9my proch\xE1zely pr\u016Fb\u011B\u017En\xFDm testov\xE1\
            n\xEDm, zejm\xE9na v prost\u0159ed\xEDch vyu\u017E\xEDvaj\xEDc\xEDch postupy\
            \ kontinu\xE1ln\xED integrace / pr\u016Fb\u011B\u017En\xE9ho nasazov\xE1\
            n\xED. Pravideln\xE9 testov\xE1n\xED by m\u011Blo b\xFDt prov\xE1d\u011B\
            no p\u0159i nastaven\xED, po v\xFDznamn\xFDch modernizac\xEDch nebo \xFA\
            prav\xE1ch a n\xE1sledn\xE9 \xFAdr\u017Eb\u011B, aby byla zachov\xE1na\
            \ robustn\xED bezpe\u010Dnost a v\xFDkon. \n\u2022 Zva\u017Ete \u0159\
            adu bezpe\u010Dnostn\xEDch test\u016F (nap\u0159. hodnocen\xED zranitelnosti,\
            \ penetra\u010Dn\xED testov\xE1n\xED, kontrolu k\xF3du, etick\xE9 hackov\xE1\
            n\xED, programy odm\u011Bn za chyby, simulace kybernetick\xFDch \xFAtok\u016F\
            , red teaming, testov\xE1n\xED shody s protokolem nebo cvi\u010Den\xED\
            \ kybernetick\xE9 reakce) a vyberte ten nejvhodn\u011Bj\u0161\xED (nebo\
            \ v\xEDce) pro testov\xE1n\xED konkr\xE9tn\xEDho postupu, slu\u017Eby\
            \ nebo n\xE1stroje v pr\u016Fb\u011Bhu \u010Dasu. \n\u2022 Testy v r\xE1\
            mci cel\xE9 entity by m\u011Bly b\xFDt prov\xE1d\u011Bny v pl\xE1novan\xFD\
            ch intervalech nebo v p\u0159\xEDpad\u011B, \u017Ee dojde k v\xFDznamn\xFD\
            m incident\u016Fm nebo zm\u011Bn\xE1m. \n\u2022 Prov\xE1d\u011Bt intern\xED\
            \ a/nebo extern\xED audity v r\xE1mci s\xEDt\xED, syst\xE9m\u016F a proces\u016F\
            \ subjektu ad hoc. \n\u2022 Zaznamen\xE1vejte d\u016Fkazy b\u011Bhem testov\xE1\
            n\xED. Pot\u0159eba, rozsah, \u010Detnost, typ a v\xFDsledky mus\xED b\xFD\
            t zdokumentov\xE1ny zp\u016Fsobem, kter\xFD je srozumiteln\xFD odborn\xE9\
            \ t\u0159et\xED stran\u011B. \n\u2022 Pou\u017E\xEDvat krit\xE9ria pro\
            \ posouzen\xED v\xFDsledk\u016F test\u016F podobn\xE1 krit\xE9ri\xEDm\
            \ pro prov\xE1d\u011Bn\xED hodnocen\xED kybernetick\xFDch bezpe\u010D\
            nostn\xEDch rizik (pokyny k bodu 2.1.2 p\u0159\xEDlohy na\u0159\xEDzen\xED\
            ). \n\u2022 Posuzovat, sledovat a napravovat vysoce kritick\xE1 zji\u0161\
            t\u011Bn\xED s ohledem na d\u016Fv\u011Brnost, integritu, autenticitu\
            \ nebo dostupnost poskytovan\xE9 slu\u017Eby.  \n\u2022 Zdokumentovat\
            \ posouzen\xED kriti\u010Dnosti a zm\xEDr\u0148uj\xEDc\xEDch opat\u0159\
            en\xED pro ka\u017Ed\xE9 zji\u0161t\u011Bn\xED. Zajist\u011Bte, aby v\xFD\
            sledky posouzen\xED rizik a pl\xE1ny \u0159e\u0161en\xED rizik byly odpov\xED\
            daj\xEDc\xEDm zp\u016Fsobem aktualizov\xE1ny (p\u0159\xEDloha na\u0159\
            \xEDzen\xED, bod 2.1). \n\u2022 Kdy\u017E testov\xE1n\xED odhal\xED z\xE1\
            kladn\xED bezpe\u010Dnostn\xED probl\xE9m ve svobodn\xE9 a open source\
            \ komponent\u011B, mus\xED b\xFDt tato zji\u0161t\u011Bn\xED sd\xEDlena\
            \ s p\u0159\xEDslu\u0161n\xFDm open source projektem. Pokud je vyvinuta\
            \ oprava, kter\xE1 probl\xE9m \u0159e\u0161\xED, m\u011Bl by b\xFDt p\u0159\
            \xEDslu\u0161n\xFD k\xF3d tak\xE9 sd\xEDlen s p\u0159\xEDslu\u0161n\xFD\
            m open source projektem, a to zp\u016Fsobem vhodn\xFDm pro integraci.\
            \ \nTam, kde je to vhodn\xE9, by m\u011Bly b\xFDt ve\u0161ker\xE9 automatizovan\xE9\
            \ bezpe\u010Dnostn\xED testy napsan\xE9 subjekty pro open source komponenty,\
            \ kter\xE9 pou\u017E\xEDvaj\xED, sd\xEDleny s p\u0159\xEDslu\u0161n\xFD\
            mi open source projekty."
          typical_evidence: "\u2022 Zdokumentovan\xE9 z\xE1sady a postupy testov\xE1\
            n\xED bezpe\u010Dnosti, kter\xE9 zahrnuj\xED prvky uveden\xE9 v bod\u011B\
            \ 5.2 p\xEDsm. a) p\u0159\xEDlohy na\u0159\xEDzen\xED. \n\u2022 Dokumentace\
            \ definuj\xEDc\xED role a odpov\u011Bdnosti pracovn\xEDk\u016F zapojen\xFD\
            ch do testov\xE1n\xED bezpe\u010Dnosti. \n\u2022 Pl\xE1ny nebo harmonogramy\
            \ nadch\xE1zej\xEDc\xEDch nebo dokon\u010Den\xFDch pravideln\xFDch nebo\
            \ ad hoc test\u016F. \n\u2022 Seznam report\u016F z minul\xFDch bezpe\u010D\
            nostn\xEDch test\u016F M\u011Blo by se jednat o r\u016Fzn\xE9 typy testov\xE1\
            n\xED (nap\u0159. vulnerability assessment, penetra\u010Dn\xED testov\xE1\
            n\xED a code review). \n\u2022 Zpr\xE1vy o intern\xEDm nebo extern\xED\
            m auditu."
        it:
          description: 'I soggetti interessati:'
          annotation: "\u2022 Assicurarsi che la rete e i sistemi informativi siano\
            \ sottoposti a test continui, in particolare negli ambienti che utilizzano\
            \ pratiche di integrazione continua / distribuzione continua. \xC8 necessario\
            \ eseguire test regolari al momento dell'installazione, dopo aggiornamenti\
            \ o modifiche significativi e dopo la manutenzione, per mantenere una\
            \ sicurezza e prestazioni robuste. \n\u2022 Prendere in considerazione\
            \ una serie di test di sicurezza (ad es. valutazioni delle vulnerabilit\xE0\
            , test di penetrazione, revisione del codice, hacking etico, programmi\
            \ di bug bounty, simulazioni di attacchi informatici, red teaming, test\
            \ di conformit\xE0 al protocollo o esercizi di risposta informatica) e\
            \ selezionare quello (o pi\xF9) pi\xF9 appropriato per testare la procedura,\
            \ il servizio o lo strumento specifico nel tempo. \n\u2022 I test su vasta\
            \ scala dovrebbero essere eseguiti a intervalli pianificati o quando si\
            \ verificano incidenti o modifiche significative. \n\u2022 Condurre audit\
            \ interni e/o esterni in tutte le reti, i sistemi e i processi dell'entit\xE0\
            \ in modo ad hoc. \n\u2022 Registrare le prove durante i test. La necessit\xE0\
            , l'ambito, la frequenza, il tipo e i risultati devono essere documentati\
            \ in modo comprensibile da un terzo esperto. \n\u2022 Utilizzare criteri\
            \ per valutare i risultati dei test analogamente ai criteri per l'esecuzione\
            \ delle valutazioni dei rischi per la cibersicurezza (orientamento al\
            \ punto 2.1.2 dell'allegato al regolamento). \n\u2022 Valutare, seguire\
            \ e rimediare ai risultati di elevata criticit\xE0 in relazione alla riservatezza,\
            \ all'integrit\xE0, all'autenticit\xE0 o alla disponibilit\xE0 del servizio\
            \ fornito.  \n\u2022 Documentare la valutazione della criticit\xE0 e le\
            \ azioni di mitigazione per ogni reperto. Garantire che i risultati della\
            \ valutazione dei rischi e i piani di trattamento dei rischi siano aggiornati\
            \ di conseguenza (allegato al regolamento, punto 2.1). \n\u2022 Quando\
            \ i test rivelano un problema di sicurezza sottostante in un componente\
            \ libero e open source, questi risultati devono essere condivisi con il\
            \ progetto open source pertinente. Se viene sviluppata una patch per risolvere\
            \ il problema, il codice pertinente dovrebbe essere condiviso anche con\
            \ il progetto open source pertinente, in modo adatto all'integrazione.\
            \ \n\u2022 Se del caso, tutti i test di sicurezza automatizzati scritti\
            \ dalle entit\xE0 per i componenti open source che utilizzano, dovrebbero\
            \ essere condivisi con i progetti open source pertinenti."
          typical_evidence: "\u2022 Politica e procedure documentate per i test di\
            \ sicurezza che includano gli elementi di cui al punto 5.2 (a) dell'Allegato\
            \ al regolamento. \n\u2022 Documentazione che definisce i ruoli e le responsabilit\xE0\
            \ del personale coinvolto nei test di sicurezza. \n\u2022 Piani o programmi\
            \ per test regolari o ad hoc imminenti o completati. \n\u2022 Elenco dei\
            \ rapporti dei test di sicurezza passati Questo dovrebbe coprire vari\
            \ tipi di test (ad es. valutazioni delle vulnerabilit\xE0, test di penetrazione\
            \ e revisioni del codice). \n\u2022 Rapporti di audit interni o esterni."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.5.2.a
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.5.2
      ref_id: 6.5.2.a
      description: establish, based on the risk assessment carried out pursuant to
        point 2.1, the need, scope, frequency and type of security tests;
      translations:
        fr:
          description: "d\xE9terminent, sur la base de l\u2019\xE9valuation des risques\
            \ effectu\xE9e conform\xE9ment au point 2.1, la n\xE9cessit\xE9, la port\xE9\
            e, la fr\xE9quence et le type de tests de s\xE9curit\xE9;"
        es:
          description: "establecer\xE1n, a partir de la evaluaci\xF3n de riesgos realizada\
            \ de acuerdo con el punto 2.1, la necesidad, el alcance, la frecuencia\
            \ y el tipo de pruebas de seguridad;"
        cs:
          description: "na z\xE1klad\u011B posouzen\xED rizik proveden\xE9ho podle\
            \ bodu 2.1 stanov\xED pot\u0159ebu, rozsah, \u010Detnost a typ bezpe\u010D\
            nostn\xEDch test\u016F;"
        it:
          description: "stabilire, sulla base della valutazione dei rischi effettuata\
            \ a norma del punto 2.1, la necessit\xE0, la portata, la frequenza e il\
            \ tipo di prove di sicurezza;"
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.5.2.b
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.5.2
      ref_id: 6.5.2.b
      description: carry out security tests according to a documented test methodology,
        covering the components identified as relevant for secure operation in a risk
        analysis;
      translations:
        fr:
          description: "effectuent, selon une m\xE9thode de test document\xE9e, des\
            \ tests de s\xE9curit\xE9 couvrant les composants identifi\xE9s dans le\
            \ cadre d\u2019une analyse des risques comme \xE9tant importants pour\
            \ une exploitation s\xFBre;"
        es:
          description: "realizar\xE1n pruebas de seguridad de acuerdo con una metodolog\xED\
            a de prueba documentada, que englobe los elementos se\xF1alados como relevantes\
            \ para el funcionamiento seguro en un an\xE1lisis de riesgos;"
        cs:
          description: "prov\xE1d\u011Bj\xED bezpe\u010Dnostn\xED testy podle zdokumentovan\xE9\
            \ metodiky testov\xE1n\xED, kter\xE1 se vztahuje na slo\u017Eky identifikovan\xE9\
            \ v anal\xFDze rizik jako d\u016Fle\u017Eit\xE9 pro bezpe\u010Dn\xFD provoz;"
        it:
          description: effettuare prove di sicurezza secondo una metodologia di prova
            documentata, che copra i componenti identificati come pertinenti per il
            funzionamento sicuro in un'analisi dei rischi;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.5.2.c
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.5.2
      ref_id: 6.5.2.c
      description: document the type, scope, time and results of the tests, including
        assessment of criticality and mitigating actions for each finding;
      translations:
        fr:
          description: "consignent le type, la port\xE9e, la date et les r\xE9sultats\
            \ des tests, y compris l\u2019\xE9valuation de la criticit\xE9 et des\
            \ mesures d\u2019att\xE9nuation pour chaque constat;"
        es:
          description: "documentar\xE1n el tipo, el alcance, la fecha y los resultados\
            \ de las pruebas, incluidas la evaluaci\xF3n del car\xE1cter esencial\
            \ y las medidas de mitigaci\xF3n correspondientes a cada hallazgo;"
        cs:
          description: "dokumentuj\xED typ, rozsah, \u010Das a v\xFDsledky test\u016F\
            , v\u010Detn\u011B posouzen\xED kriti\u010Dnosti a zm\xEDr\u0148uj\xED\
            c\xEDch opat\u0159en\xED pro ka\u017Ed\xE9 zji\u0161t\u011Bn\xED;"
        it:
          description: "documentare il tipo, l'ambito, il tempo e i risultati delle\
            \ prove, compresa la valutazione della criticit\xE0 e le azioni di mitigazione\
            \ per ciascun reperto;"
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.5.2.d
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.5.2
      ref_id: 6.5.2.d
      description: apply mitigating actions in case of critical findings.
      translations:
        fr:
          description: "appliquent des mesures d\u2019att\xE9nuation en cas de constats\
            \ critiques."
        es:
          description: "aplicar\xE1n medidas de mitigaci\xF3n en caso de que se produzcan\
            \ hallazgos cr\xEDticos."
        cs:
          description: "v p\u0159\xEDpad\u011B kritick\xFDch zji\u0161t\u011Bn\xED\
            \ uplatn\xED zm\xEDr\u0148uj\xEDc\xED opat\u0159en\xED."
        it:
          description: applicare azioni di mitigazione in caso di rilievi critici.
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.5.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.5
      ref_id: 6.5.3
      description: The relevant entities shall review and, where appropriate, update
        their security testing policies at planned intervals.
      annotation: "\u2022 Review the security testing policy and procedures at least\
        \ once every two years.\n\n[TIPS]\n\n\u2022 For systems with external integrations\
        \ (e.g. cloud services) beyond the organization\u2019s control, ensure that\
        \ all external application programming interface endpoints are thoroughly\
        \ tested. \n\u2022 Determine the auditable security events that are adequate\
        \ for supporting investigations of security incidents. \n\u2022 Implement\
        \ tools for automated testing, such as code analysis tools or vulnerability\
        \ scanners. \n\u2022 Ensure the policy is approved by, communicated to and\
        \ acknowledged by relevant personnel and third parties. \n\u2022 Ensure that\
        \ the development and testing environment(s) is/are separate from the production\
        \ environment. \n\u2022 Review the security-testing policy and procedures\
        \ when significant incidents or major changes to the network and information\
        \ system occur."
      typical_evidence: "\u2022 Updated security-testing policy and procedures, review\
        \ comments, and/or change logs. \n\u2022 Security-testing policy and procedures,\
        \ including when tests must be carried out, test plans, test cases and test\
        \ report templates.\n\n[TIPS]\n\n\u2022 In addition to the elements referred\
        \ to in point 6.5.2 (c) of the Annex to the regulation, documented policy\
        \ that includes at least (indicative, non-exhaustive list):\n    o approved\
        \ parties (internal or third);\n    o confidentiality levels for assessment;\
        \ and   o test results and the objectives of security assessments and tests.\
        \ \n\u2022 Relevant staff aware of the security-testing procedures and tools.\
        \ \n\u2022 Documented audit requirements. \n\u2022 A list of tools used for\
        \ security testing, including their purpose and how they are maintained and\
        \ updated. \n\u2022 Valid licences for commercial testing tools or subscriptions\
        \ to security services. \n\u2022 Review showing  that the security tools are\
        \ in use and configured to perform the actions intended. \n\u2022 Records\
        \ showing updates to the security policy and procedures based on lessons learnt\
        \ and new threats."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es r\xE9examinent et, s\u2019il\
            \ est besoin, mettent \xE0 jour \xE0 intervalles pr\xE9d\xE9finis leur\
            \ politique en mati\xE8re de tests de s\xE9curit\xE9."
          annotation: "\u2022 Examiner la politique et les proc\xE9dures de test de\
            \ s\xE9curit\xE9 au moins une fois tous les deux ans.\n\n[CONSEILS]\n\n\
            \u2022 Pour les syst\xE8mes avec des int\xE9grations externes (par exemple,\
            \ des services cloud) hors du contr\xF4le de l\u2019organisation, assurez-vous\
            \ que tous les points de terminaison de l\u2019interface de programmation\
            \ d\u2019applications externes sont test\xE9s de mani\xE8re approfondie.\
            \ \n\u2022 D\xE9terminer les \xE9v\xE9nements de s\xE9curit\xE9 v\xE9\
            rifiables qui sont ad\xE9quats pour appuyer les enqu\xEAtes sur les incidents\
            \ de s\xE9curit\xE9. \n\u2022 Mettre en place des outils de tests automatis\xE9\
            s, tels que des outils d\u2019analyse de code ou des scanners de vuln\xE9\
            rabilit\xE9. \n\u2022 S\u2019assurer que la politique est approuv\xE9\
            e, communiqu\xE9e et reconnue par le personnel concern\xE9 et les tiers.\
            \ \n\u2022 S\u2019assurer que le(s) environnement(s) de d\xE9veloppement\
            \ et de test est/sont s\xE9par\xE9(s) de l\u2019environnement de production.\
            \ \n\u2022 Revoir la politique et les proc\xE9dures de tests de s\xE9\
            curit\xE9 en cas d\u2019incidents importants ou de modifications majeures\
            \ au r\xE9seau et au syst\xE8me d\u2019information."
          typical_evidence: "\u2022 Mise \xE0 jour de la politique et des proc\xE9\
            dures de test de s\xE9curit\xE9, examen des commentaires et/ou journaux\
            \ des modifications. \n\u2022 Politique et proc\xE9dures de tests de s\xE9\
            curit\xE9, y compris le moment o\xF9 les tests doivent \xEAtre effectu\xE9\
            s, les plans de test, les cas de test et les mod\xE8les de rapport de\
            \ test.\n\n[CONSEILS]\n\n\u2022 Outre les \xE9l\xE9ments vis\xE9s au point\
            \ 6.5.2 (c) de l\u2019annexe du r\xE8glement, une politique document\xE9\
            e qui comprend au moins (liste indicative et non exhaustive) :\n    o\
            \ parties agr\xE9\xE9es (internes ou tierces) ;\n    o les niveaux de\
            \ confidentialit\xE9 pour l\u2019\xE9valuation ; et o les r\xE9sultats\
            \ des tests et les objectifs des \xE9valuations et des tests de s\xE9\
            curit\xE9. \n\u2022 Le personnel concern\xE9 conna\xEEt les proc\xE9dures\
            \ et les outils de test de s\xE9curit\xE9. \n\u2022 Exigences d\u2019\
            audit document\xE9es. \n\u2022 Une liste des outils utilis\xE9s pour les\
            \ tests de s\xE9curit\xE9, y compris leur objectif et la mani\xE8re dont\
            \ ils sont maintenus et mis \xE0 jour. \n\u2022 Licences valides pour\
            \ des outils de test commerciaux ou abonnements \xE0 des services de s\xE9\
            curit\xE9. \n\u2022 Examen montrant que les outils de s\xE9curit\xE9 sont\
            \ utilis\xE9s et configur\xE9s pour effectuer les actions pr\xE9vues.\
            \ \n\u2022 Dossiers montrant les mises \xE0 jour de la politique et des\
            \ proc\xE9dures de s\xE9curit\xE9 en fonction des le\xE7ons apprises et\
            \ des nouvelles menaces."
        es:
          description: "Las entidades pertinentes revisar\xE1n y, cuando proceda,\
            \ actualizar\xE1n las pol\xEDticas de pruebas de seguridad a intervalos\
            \ planificados."
          annotation: "\u2022 Revisar la pol\xEDtica y los procedimientos de pruebas\
            \ de seguridad al menos una vez cada dos a\xF1os.\n\n[CONSEJOS]\n\n\u2022\
            \ Para sistemas con integraciones externas (por ejemplo, servicios en\
            \ la nube) fuera del control de la organizaci\xF3n, aseg\xFArese de que\
            \ todos los puntos finales de la interfaz de programaci\xF3n de aplicaciones\
            \ externas se prueben exhaustivamente. \n\u2022 Determinar los eventos\
            \ de seguridad auditables que son adecuados para respaldar las investigaciones\
            \ de incidentes de seguridad. \n\u2022 Implementar herramientas para pruebas\
            \ automatizadas, como herramientas de an\xE1lisis de c\xF3digo o esc\xE1\
            neres de vulnerabilidades. \n\u2022 Asegurarse de que la pol\xEDtica sea\
            \ aprobada, comunicada y reconocida por el personal pertinente y terceros.\
            \ \n\u2022 Aseg\xFArese de que los entornos de desarrollo y pruebas est\xE9\
            n separados del entorno de producci\xF3n. \n\u2022 Revisar la pol\xED\
            tica y los procedimientos de pruebas de seguridad cuando ocurran incidentes\
            \ significativos o cambios importantes en la red y el sistema de informaci\xF3\
            n."
          typical_evidence: "\u2022 Pol\xEDtica y procedimientos de pruebas de seguridad\
            \ actualizados, comentarios de revisi\xF3n y / o registros de cambios.\
            \ \n\u2022 Pol\xEDtica y procedimientos de pruebas de seguridad, incluidos\
            \ cu\xE1ndo se deben llevar a cabo las pruebas, planes de pruebas, casos\
            \ de prueba y plantillas de informes de pruebas.\n\n[CONSEJOS]\n\n\u2022\
            \ Adem\xE1s de los elementos mencionados en el punto 6.5.2 c) del anexo\
            \ del Reglamento, una pol\xEDtica documentada que incluya al menos (lista\
            \ indicativa y no exhaustiva):\n    o partes aprobadas (internas o de\
            \ terceros);\n    o niveles de confidencialidad para la evaluaci\xF3n;\
            \ y o los resultados de las pruebas y los objetivos de las evaluaciones\
            \ y pruebas de seguridad. \n\u2022 Personal pertinente que conozca los\
            \ procedimientos y herramientas de pruebas de seguridad. \n\u2022 Requisitos\
            \ de auditor\xEDa documentados. \n\u2022 Una lista de herramientas utilizadas\
            \ para las pruebas de seguridad, incluyendo su prop\xF3sito y c\xF3mo\
            \ se mantienen y actualizan. \n\u2022 Licencias v\xE1lidas para herramientas\
            \ de prueba comerciales o suscripciones a servicios de seguridad. \n\u2022\
            \ Revisi\xF3n que muestra que las herramientas de seguridad est\xE1n en\
            \ uso y configuradas para realizar las acciones previstas. \n\u2022 Registros\
            \ que muestren las actualizaciones de la pol\xEDtica y los procedimientos\
            \ de seguridad en funci\xF3n de las lecciones aprendidas y las nuevas\
            \ amenazas."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty sv\xE9 politiky testov\xE1\
            n\xED bezpe\u010Dnosti p\u0159ezkoumaj\xED a v p\u0159\xEDpad\u011B pot\u0159\
            eby aktualizuj\xED v pl\xE1novan\xFDch intervalech."
          annotation: "\u2022 P\u0159ezkoumat z\xE1sady a postupy testov\xE1n\xED\
            \ zabezpe\u010Den\xED alespo\u0148 jednou za dva roky.\n\n[TIPY]\n\n\u2022\
            \ U syst\xE9m\u016F s extern\xEDmi integracemi (nap\u0159. cloudov\xFD\
            mi slu\u017Ebami) mimo kontrolu organizace zajist\u011Bte, aby byly d\u016F\
            kladn\u011B otestov\xE1ny v\u0161echny koncov\xE9 body rozhran\xED extern\xED\
            ho aplika\u010Dn\xEDho programovac\xEDho rozhran\xED. \n\u2022 Ur\u010D\
            ete auditovateln\xE9 bezpe\u010Dnostn\xED ud\xE1losti, kter\xE9 jsou adekv\xE1\
            tn\xED pro podporu vy\u0161et\u0159ov\xE1n\xED bezpe\u010Dnostn\xEDch\
            \ incident\u016F. \n\u2022 Implementujte n\xE1stroje pro automatizovan\xE9\
            \ testov\xE1n\xED, jako jsou n\xE1stroje pro anal\xFDzu k\xF3du nebo skenery\
            \ zranitelnost\xED. \n\u2022 Zajistit, aby z\xE1sady byly schv\xE1leny,\
            \ sd\u011Bleny a potvrzeny p\u0159\xEDslu\u0161n\xFDmi pracovn\xEDky a\
            \ t\u0159et\xEDmi stranami. \n\u2022 Zajist\u011Bte, aby v\xFDvojov\xE9\
            \ a testovac\xED prost\u0159ed\xED bylo odd\u011Blen\xE9 od produk\u010D\
            n\xEDho prost\u0159ed\xED. \n\u2022 P\u0159ezkoumat z\xE1sady a postupy\
            \ testov\xE1n\xED bezpe\u010Dnosti v p\u0159\xEDpad\u011B, \u017Ee dojde\
            \ k v\xFDznamn\xFDm incident\u016Fm nebo v\xFDznamn\xFDm zm\u011Bn\xE1\
            m v s\xEDti a informa\u010Dn\xEDm syst\xE9mu."
          typical_evidence: "\u2022 Aktualizovan\xE9 z\xE1sady a postupy testov\xE1\
            n\xED zabezpe\u010Den\xED, kontrola koment\xE1\u0159\u016F a/nebo protokol\u016F\
            \ zm\u011Bn. \nZ\xE1sady a postupy testov\xE1n\xED zabezpe\u010Den\xED\
            , v\u010Detn\u011B p\u0159\xEDpad\u016F, kdy je nutn\xE9 prov\xE9st testy,\
            \ testovac\xED pl\xE1ny, testovac\xED p\u0159\xEDpady a \u0161ablony zku\u0161\
            ebn\xEDch protokol\u016F.\n\n[TIPY]\n\n\u2022 Krom\u011B prvk\u016F uveden\xFD\
            ch v bod\u011B 6.5.2 p\xEDsm. c) p\u0159\xEDlohy na\u0159\xEDzen\xED zdokumentovan\xE1\
            \ politika, kter\xE1 obsahuje alespo\u0148 (orienta\u010Dn\xED, demonstrativn\xED\
            \ seznam):\n    o schv\xE1len\xE9 strany (intern\xED nebo t\u0159et\xED\
            );\n    o \xFArovn\xEDch d\u016Fv\u011Brnosti pro posouzen\xED; a o v\xFD\
            sledky test\u016F a c\xEDle bezpe\u010Dnostn\xEDch hodnocen\xED a test\u016F\
            . \n\u2022 P\u0159\xEDslu\u0161n\xED pracovn\xEDci obezn\xE1men\xED s\
            \ postupy a n\xE1stroji bezpe\u010Dnostn\xEDho testov\xE1n\xED. \n\u2022\
            \ Zdokumentovan\xE9 po\u017Eadavky na audit. \n\u2022 Seznam n\xE1stroj\u016F\
            \ pou\u017E\xEDvan\xFDch pro testov\xE1n\xED zabezpe\u010Den\xED, v\u010D\
            etn\u011B jejich \xFA\u010Delu a zp\u016Fsobu jejich \xFAdr\u017Eby a\
            \ aktualizace. \n\u2022 Platn\xE9 licence pro komer\u010Dn\xED testovac\xED\
            \ n\xE1stroje nebo p\u0159edplatn\xE9 bezpe\u010Dnostn\xEDch slu\u017E\
            eb. \n\u2022 Zkontrolujte, zda jsou n\xE1stroje zabezpe\u010Den\xED pou\u017E\
            \xEDv\xE1ny a nakonfigurov\xE1ny k prov\xE1d\u011Bn\xED zam\xFD\u0161\
            len\xFDch akc\xED. \n\u2022 Z\xE1znamy zobrazuj\xEDc\xED aktualizace bezpe\u010D\
            nostn\xEDch z\xE1sad a postup\u016F na z\xE1klad\u011B z\xEDskan\xFDch\
            \ zku\u0161enost\xED a nov\xFDch hrozeb."
        it:
          description: I soggetti pertinenti riesaminano e, se del caso, aggiornano
            le loro politiche in materia di prove di sicurezza a intervalli programmati.
          annotation: "\u2022 Rivedere la politica e le procedure dei test di sicurezza\
            \ almeno una volta ogni due anni.\n\n[CONSIGLI]\n\n\u2022 Per i sistemi\
            \ con integrazioni esterne (ad es. servizi cloud) al di fuori del controllo\
            \ dell'organizzazione, assicurarsi che tutti gli endpoint dell'interfaccia\
            \ di programmazione delle applicazioni esterne siano accuratamente testati.\
            \ \n\u2022 Determinare gli eventi di sicurezza verificabili che sono adeguati\
            \ per supportare le indagini sugli incidenti di sicurezza. \n\u2022 Implementare\
            \ strumenti per test automatizzati, come strumenti di analisi del codice\
            \ o scanner di vulnerabilit\xE0. \n\u2022 Assicurarsi che la politica\
            \ sia approvata, comunicata e riconosciuta dal personale competente e\
            \ da terze parti. \n\u2022 Assicurarsi che gli ambienti di sviluppo e\
            \ test siano separati dall'ambiente di produzione. \n\u2022 Rivedere la\
            \ politica e le procedure di test di sicurezza quando si verificano incidenti\
            \ significativi o modifiche importanti alla rete e al sistema informativo."
          typical_evidence: "\u2022 Aggiornamento delle politiche e delle procedure\
            \ di test di sicurezza, revisione dei commenti e/o dei registri delle\
            \ modifiche. \n\u2022 Politica e procedure per i test di sicurezza, inclusi\
            \ i casi in cui devono essere eseguiti i test, i piani di test, i casi\
            \ di test e i modelli di report di test.\n\n[CONSIGLI]\n\n\u2022 Oltre\
            \ agli elementi di cui al punto 6.5.2 (c) dell'Allegato al regolamento,\
            \ si applica una politica documentata che includa almeno (elenco indicativo,\
            \ non esaustivo):\n    o soggetti autorizzati (interni o terzi);\n   \
            \ o livelli di riservatezza per la valutazione; e o i risultati dei test\
            \ e gli obiettivi delle valutazioni e dei test di sicurezza. \n\u2022\
            \ Personale addetto alla sicurezza a conoscenza delle procedure e degli\
            \ strumenti di verifica della sicurezza. \n\u2022 Requisiti di audit documentati.\
            \ \n\u2022 Un elenco di strumenti utilizzati per i test di sicurezza,\
            \ incluso il loro scopo e il modo in cui vengono mantenuti e aggiornati.\
            \ \n\u2022 Licenze valide per strumenti di test commerciali o abbonamenti\
            \ a servizi di sicurezza. \n\u2022 Revisione che dimostri che gli strumenti\
            \ di sicurezza sono in uso e configurati per eseguire le azioni previste.\
            \ \n\u2022 Registrazioni che mostrano gli aggiornamenti della politica\
            \ e delle procedure di sicurezza in base alle lezioni apprese e alle nuove\
            \ minacce."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.6
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6
      ref_id: '6.6'
      name: Security patch management
      translations:
        fr:
          name: "Gestion des correctifs de s\xE9curit\xE9"
        es:
          name: "Gesti\xF3n de parches de seguridad"
        cs:
          name: "\u0158\xEDzen\xED bezpe\u010Dnostn\xEDch z\xE1plat"
        it:
          name: Gestione delle patch di sicurezza
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.6.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.6
      ref_id: 6.6.1
      description: 'The relevant entities shall specify and apply procedures, coherent
        with the change management procedures referred to in point 6.4.1. as well
        as with vulnerability management, risk management and other relevant management
        procedures, for ensuring that:'
      annotation: "\u2022 Take into account well known standards when developing the\
        \ security patch management procedures (58). \n\u2022 Actions may vary, depending\
        \ on the network and information system (e.g. mandatory patching for all exposed\
        \ systems or internet-connected devices such as firewalls or routers, and\
        \ limited patching only in specific circumstances, for instance in isolated\
        \ or legacy systems where regular patching may not be feasible or available).\
        \ \n\u2022 Establish a process, in combination with the asset inventory, for\
        \ being informed when a new security patch is published and schedule patch\
        \ roll-outs accordingly. \n\u2022 Patching should be a standard activity in\
        \ normal maintenance and outage planning of services. Nonetheless, some failures\
        \ may require immediate patching depending on their criticality. \n\u2022\
        \ Prioritise and apply patches based on risk. Evaluate the severity of the\
        \ vulnerability, exposure of the affected system and likelihood of exploitation.\
        \ \n\u2022 Deploy vulnerability management technologies to identify unpatched\
        \ and misconfigured software. \n\u2022 Define your relevant security information\
        \ sources considering your assets and continuously monitor them for patch\
        \ announcements, patch and non-patch remediation, and general threats. \n\u2022\
        \ Verify the patch sources through (indicative, non-exhaustive list):\n  \
        \  o digital certificates to verify the vendor;\n    o digital signatures\
        \ of the patches o change logs provided by the vendor; and\n    o feedback\
        \ from the community concerning the reliability of the vendor. \n\u2022 Consider\
        \ a strategy for applying patches after approval or testing following the\
        \ change management procedure (indicative, non exhaustive list):\n    o Blue/green\
        \ allows the patches to be applied first in an isolated environment identical\
        \ to the production environment, and then in the production environment. This\
        \ ensures zero downtime and an immediate rollback option.\n    o Rolling (59)\
        \ deployment allows gradual updates of parts of the production environment,\
        \ one set of servers or instances at a time, rather than deploying a patch\
        \ all at once. It is ideal for large and distributed environments.\n    o\
        \ Feature toggles allow new features or patches to be deployed to production\
        \ but keep them disabled until they are ready to be used. They are suitable\
        \ for control over new features or patches when they are turned on, making\
        \ it easy to test and release.\n    o Shadow deployment allows new code or\
        \ patches to be deployed directly to production but it shadows live traffic\
        \ by mirroring user requests to both the current and new systems to observe\
        \ how the new version behaves without affecting the user experience. It is\
        \ ideal for testing new features in production without affecting users.\n\
        \    o Hotfix deployments are used for critical patches that need to be applied\
        \ immediately to address severe issues. \n\u2022 Where appropriate and to\
        \ reduce risks related to significant updates in important dependencies, consider\
        \ performing a trial using release candidates (60) of these components, to\
        \ get an early indication of incompatibilities or breaking changes, so they\
        \ may be remedied. If any of these components are open source software, offer\
        \ feedback about any issues found during this trial.\n\n(58) NIST SP 800-40\
        \ Rev. 4, \u2018Guide to enterprise patch management planning: preventive\
        \ maintenance for technology\u2019, https://csrc.nist.gov/pubs/sp/800/40/r4/final.\
        \ \n(59) \u2018Canary deployment\u2019 is an example of this and refers to\
        \ a gradual rollout strategy for software updates or patches. To minimise\
        \ the risk of the patch introducing new problems, the entity might apply the\
        \ patch to a small number (e.g. 5%) of servers or systems and then gradually\
        \ apply it to the entire system. It is ideal for rolling out changes slowly\
        \ and monitoring for problems without affecting many users.\n(60) A release\
        \ candidate is a \u2018pre-publication\u2019 or \u2018trial publication\u2019\
        \ of a software component, usually done in preparation before the publication\
        \ of a software update with significant changes."
      typical_evidence: "\u2022 Detailed procedures and guidelines for how patches\
        \ are identified, evaluated, tested, deployed and verified. \n\u2022 Logs\
        \ or records showing the history of patch deployments across various systems.\
        \ These may include (indicative, non-exhaustive list):\n    o timestamps;\n\
        \    o responsible personnel; and\n    o affected systems. \n\u2022 Evidence\
        \ that the asset inventory (Annex to the regulation, point 12.4) is updated\
        \ after a new security patch is announced, if possible accompanied by the\
        \ time plan for applying it. \n\u2022 Evidence of testing patches before deployment\
        \ in a controlled environment. This should include results of testing and\
        \ any issues encountered and resolved. \n\u2022 Documentation of test plans\
        \ and results for patches before deployment to production environments. \n\
        \u2022 Documentation of change requests for deploying patches, including approvals\
        \ and impact assessments. \n\u2022 Detailed audit trails showing the steps\
        \ taken from patch identification to deployment. \n\u2022 Checks for the latest\
        \ patches. \n\u2022 Approved documented actions for applying patches. \n\u2022\
        \ Records of changes logged, reviewed and approved. \n\u2022 Evidence of vendor\
        \ verification mechanisms for example digital certificates and digital signatures.\
        \ \n\u2022 Reports from internal and external audits evaluating the effectiveness\
        \ of the patch management processes."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es pr\xE9cisent et appliquent des\
            \ proc\xE9dures compatibles avec les proc\xE9dures de gestion des changements\
            \ vis\xE9es au point 6.4.1, ainsi qu\u2019avec la gestion des vuln\xE9\
            rabilit\xE9s, la gestion des risques et d\u2019autres proc\xE9dures de\
            \ gestion pertinentes, pour garantir que:"
          annotation: "\u2022 Tenir compte des normes bien connues lors de l'\xE9\
            laboration des proc\xE9dures de gestion des correctifs de s\xE9curit\xE9\
            \ (58). \n\u2022 Les actions peuvent varier en fonction du r\xE9seau et\
            \ du syst\xE8me d'information (par exemple, patches obligatoires pour\
            \ tous les syst\xE8mes expos\xE9s ou les dispositifs connect\xE9s \xE0\
            \ l'internet tels que les pare-feu ou les routeurs, et patches limit\xE9\
            s uniquement dans des circonstances sp\xE9cifiques, par exemple dans des\
            \ syst\xE8mes isol\xE9s ou anciens o\xF9 des patches r\xE9guliers peuvent\
            \ ne pas \xEAtre r\xE9alisables ou disponibles). \n\u2022 \xC9tablir un\
            \ processus, en combinaison avec l'inventaire des actifs, pour \xEAtre\
            \ inform\xE9 de la publication d'un nouveau correctif de s\xE9curit\xE9\
            \ et programmer le d\xE9ploiement des correctifs en cons\xE9quence. \n\
            \u2022 L'application de correctifs devrait \xEAtre une activit\xE9 standard\
            \ dans le cadre de la maintenance normale et de la planification des interruptions\
            \ de service. N\xE9anmoins, certaines d\xE9faillances peuvent n\xE9cessiter\
            \ un correctif imm\xE9diat en fonction de leur criticit\xE9. \n\u2022\
            \ \xC9tablissez des priorit\xE9s et appliquez les correctifs en fonction\
            \ des risques. \xC9valuer la gravit\xE9 de la vuln\xE9rabilit\xE9, l'exposition\
            \ du syst\xE8me affect\xE9 et la probabilit\xE9 d'exploitation. \n\u2022\
            \ D\xE9ployer des technologies de gestion des vuln\xE9rabilit\xE9s pour\
            \ identifier les logiciels non corrig\xE9s et mal configur\xE9s. \n\u2022\
            \ D\xE9finir les sources d'information pertinentes en mati\xE8re de s\xE9\
            curit\xE9 en tenant compte de vos actifs et les surveiller en permanence\
            \ pour conna\xEEtre les annonces de correctifs, les mesures correctives\
            \ et non correctives, ainsi que les menaces g\xE9n\xE9rales. \n\u2022\
            \ V\xE9rifier les sources des correctifs par (liste indicative non exhaustive)\
            \ :\n    o des certificats num\xE9riques pour v\xE9rifier le fournisseur\
            \ ;\n    o des signatures num\xE9riques des correctifs ; o des journaux\
            \ des modifications fournis par le fournisseur ; et\n    o le retour d'information\
            \ de la communaut\xE9 concernant la fiabilit\xE9 du fournisseur.\n\u2022\
            \ Envisager une strat\xE9gie d'application des correctifs apr\xE8s approbation\
            \ ou test selon la proc\xE9dure de gestion des changements (liste indicative\
            \ et non exhaustive) :\n    o Le bleu/vert permet d'appliquer les correctifs\
            \ d'abord dans un environnement isol\xE9 identique \xE0 l'environnement\
            \ de production, puis dans l'environnement de production. Cela garantit\
            \ un temps d'arr\xEAt nul et une possibilit\xE9 de retour en arri\xE8\
            re imm\xE9diat.\n    o Le d\xE9ploiement en continu (59) permet de mettre\
            \ \xE0 jour progressivement des parties de l'environnement de production,\
            \ un ensemble de serveurs ou d'instances \xE0 la fois, plut\xF4t que de\
            \ d\xE9ployer un correctif en une seule fois. Il est id\xE9al pour les\
            \ environnements \xE9tendus et distribu\xE9s.\n    o Les bascules de fonctionnalit\xE9\
            s permettent de d\xE9ployer de nouvelles fonctionnalit\xE9s ou de nouveaux\
            \ correctifs dans l'environnement de production, tout en les d\xE9sactivant\
            \ jusqu'\xE0 ce qu'ils soient pr\xEAts \xE0 \xEAtre utilis\xE9s. Ils conviennent\
            \ pour contr\xF4ler les nouvelles fonctionnalit\xE9s ou les correctifs\
            \ lorsqu'ils sont activ\xE9s, ce qui facilite les tests et la publication.\n\
            \    o Le d\xE9ploiement fictif permet de d\xE9ployer un nouveau code\
            \ ou des correctifs directement dans la production, mais il occulte le\
            \ trafic r\xE9el en reproduisant les demandes des utilisateurs sur le\
            \ syst\xE8me actuel et le nouveau syst\xE8me, afin d'observer le comportement\
            \ de la nouvelle version sans affecter l'exp\xE9rience de l'utilisateur.\
            \ Il est id\xE9al pour tester de nouvelles fonctionnalit\xE9s en production\
            \ sans affecter les utilisateurs.\n    o Les d\xE9ploiements de correctifs\
            \ sont utilis\xE9s pour les correctifs critiques qui doivent \xEAtre appliqu\xE9\
            s imm\xE9diatement pour r\xE9soudre des probl\xE8mes graves.\n\u2022 Le\
            \ cas \xE9ch\xE9ant, et pour r\xE9duire les risques li\xE9s \xE0 des mises\
            \ \xE0 jour significatives dans des d\xE9pendances importantes, envisagez\
            \ d'effectuer un essai en utilisant des versions candidates (60) de ces\
            \ composants, afin d'obtenir une indication pr\xE9coce des incompatibilit\xE9\
            s ou des changements radicaux, de sorte qu'il puisse y \xEAtre rem\xE9\
            di\xE9. Si l'un de ces composants est un logiciel libre, proposez un retour\
            \ d'information sur les probl\xE8mes constat\xE9s au cours de cet essai.\n\
            \n(58) NIST SP 800-40 Rev. 4, \xAB Guide to enterprise patch management\
            \ planning : preventive maintenance for technology \xBB, https://csrc.nist.gov/pubs/sp/800/40/r4/final.\
            \ \n(59) Le \xAB d\xE9ploiement canari \xBB en est un exemple et fait\
            \ r\xE9f\xE9rence \xE0 une strat\xE9gie de d\xE9ploiement progressif des\
            \ mises \xE0 jour logicielles ou des correctifs. Pour minimiser le risque\
            \ que le correctif introduise de nouveaux probl\xE8mes, l'entit\xE9 peut\
            \ appliquer le correctif \xE0 un petit nombre (par exemple 5 %) de serveurs\
            \ ou de syst\xE8mes, puis l'appliquer progressivement \xE0 l'ensemble\
            \ du syst\xE8me. Cette m\xE9thode est id\xE9ale pour d\xE9ployer lentement\
            \ les changements et surveiller les probl\xE8mes sans affecter un grand\
            \ nombre d'utilisateurs.\n(60) Une version candidate est une \xAB pr\xE9\
            -publication \xBB ou une \xAB publication d'essai \xBB d'un composant\
            \ logiciel, g\xE9n\xE9ralement effectu\xE9e en pr\xE9paration de la publication\
            \ d'une mise \xE0 jour logicielle comportant des changements significatifs."
          typical_evidence: "\u2022 Des proc\xE9dures et des directives d\xE9taill\xE9\
            es sur la fa\xE7on dont les correctifs sont identifi\xE9s, \xE9valu\xE9\
            s, test\xE9s, d\xE9ploy\xE9s et v\xE9rifi\xE9s. \n\u2022 Journaux ou enregistrements\
            \ montrant l\u2019historique des d\xE9ploiements de correctifs sur divers\
            \ syst\xE8mes. Il peut s\u2019agir (liste indicative et non exhaustive)\
            \ :\n    o horodatages ;\n    o le personnel responsable ; et\n    o Syst\xE8\
            mes affect\xE9s. \n\u2022 La preuve que l\u2019inventaire des actifs (annexe\
            \ du r\xE8glement, point 12.4) est mis \xE0 jour apr\xE8s l\u2019annonce\
            \ d\u2019un nouveau correctif de s\xE9curit\xE9, si possible accompagn\xE9\
            \ du calendrier d\u2019application de celui-ci. \n\u2022 Preuve de test\
            \ des correctifs avant d\xE9ploiement dans un environnement contr\xF4\
            l\xE9. Cela devrait inclure les r\xE9sultats des tests et tous les probl\xE8\
            mes rencontr\xE9s et r\xE9solus. \n\u2022 Documentation des plans de test\
            \ et des r\xE9sultats des correctifs avant d\xE9ploiement dans les environnements\
            \ de production. \n\u2022 Documentation des demandes de changement pour\
            \ le d\xE9ploiement des correctifs, y compris les approbations et les\
            \ \xE9valuations d\u2019impact. \n\u2022 Pistes d\u2019audit d\xE9taill\xE9\
            es montrant les \xE9tapes franchies de l\u2019identification des correctifs\
            \ au d\xE9ploiement. \n\u2022 V\xE9rifie les derniers correctifs. \n\u2022\
            \ Approbation des actions document\xE9es pour l\u2019application des correctifs.\
            \ \n\u2022 Enregistrement des modifications enregistr\xE9es, examin\xE9\
            es et approuv\xE9es. \n\u2022 Preuve de m\xE9canismes de v\xE9rification\
            \ des fournisseurs, par exemple des certificats num\xE9riques et des signatures\
            \ num\xE9riques. \n\u2022 Rapports d\u2019audits internes et externes\
            \ \xE9valuant l\u2019efficacit\xE9 des processus de gestion des correctifs."
        es:
          description: "Las entidades pertinentes detallar\xE1n y aplicar\xE1n procedimientos\
            \ coherentes con los procedimientos de gesti\xF3n de cambios a que se\
            \ refiere el punto 6.4.1, de gesti\xF3n de vulnerabilidades, de gesti\xF3\
            n del riesgo y otros procedimientos de gesti\xF3n pertinentes para garantizar\
            \ que:"
          annotation: "\u2022 Ten en cuenta normas bien conocidas a la hora de desarrollar\
            \ los procedimientos de gesti\xF3n de parches de seguridad (58). \n\u2022\
            \ Las acciones pueden variar, dependiendo de la red y del sistema de informaci\xF3\
            n (por ejemplo, parches obligatorios para todos los sistemas expuestos\
            \ o dispositivos conectados a Internet, como cortafuegos o enrutadores,\
            \ y parches limitados s\xF3lo en circunstancias espec\xEDficas, por ejemplo,\
            \ en sistemas aislados o heredados en los que los parches regulares pueden\
            \ no ser factibles o no estar disponibles). \n\u2022 Establezca un proceso,\
            \ en combinaci\xF3n con el inventario de activos, para ser informado cuando\
            \ se publique un nuevo parche de seguridad y programe los despliegues\
            \ de parches en consecuencia. \n\u2022 La aplicaci\xF3n de parches debe\
            \ ser una actividad est\xE1ndar en el mantenimiento normal y la planificaci\xF3\
            n de interrupciones de los servicios. No obstante, algunos fallos pueden\
            \ requerir la aplicaci\xF3n inmediata de parches en funci\xF3n de su criticidad.\
            \ \n\u2022 Priorice y aplique los parches en funci\xF3n del riesgo. Eval\xFA\
            e la gravedad de la vulnerabilidad, la exposici\xF3n del sistema afectado\
            \ y la probabilidad de explotaci\xF3n. \n\u2022 Implemente tecnolog\xED\
            as de gesti\xF3n de vulnerabilidades para identificar software sin parches\
            \ y mal configurado. \n\u2022 Defina sus fuentes de informaci\xF3n de\
            \ seguridad pertinentes teniendo en cuenta sus activos y monitor\xEDcelas\
            \ continuamente para conocer los anuncios de parches, la correcci\xF3\
            n de parches y no parches, y las amenazas generales.\n\u2022 Verificar\
            \ las fuentes de los parches mediante (lista indicativa, no exhaustiva):\n\
            \    o certificados digitales para verificar el proveedor;\n    o firmas\
            \ digitales de los parches o registros de cambios proporcionados por el\
            \ proveedor; y\n    o comentarios de la comunidad sobre la fiabilidad\
            \ del proveedor.\n\u2022 Considere una estrategia para aplicar los parches\
            \ tras su aprobaci\xF3n o prueba siguiendo el procedimiento de gesti\xF3\
            n de cambios (lista indicativa, no exhaustiva):\n    o El azul/verde permite\
            \ aplicar los parches primero en un entorno aislado id\xE9ntico al de\
            \ producci\xF3n y, a continuaci\xF3n, en el entorno de producci\xF3n.\
            \ Esto garantiza un tiempo de inactividad cero y una opci\xF3n de reversi\xF3\
            n inmediata.\n    o El despliegue progresivo (59) permite actualizar gradualmente\
            \ partes del entorno de producci\xF3n, un conjunto de servidores o instancias\
            \ cada vez, en lugar de desplegar un parche de una vez. Es ideal para\
            \ entornos grandes y distribuidos.\n    o Los conmutadores de funciones\
            \ permiten desplegar nuevas funciones o parches en producci\xF3n pero\
            \ mantenerlos desactivados hasta que est\xE9n listos para su uso. Son\
            \ adecuados para controlar las nuevas funciones o parches cuando est\xE1\
            n activados, lo que facilita las pruebas y el lanzamiento.\n    o El despliegue\
            \ en la sombra permite desplegar nuevo c\xF3digo o parches directamente\
            \ en producci\xF3n, pero ensombrece el tr\xE1fico en directo reflejando\
            \ las peticiones de los usuarios tanto en el sistema actual como en el\
            \ nuevo para observar c\xF3mo se comporta la nueva versi\xF3n sin afectar\
            \ a la experiencia del usuario. Es ideal para probar nuevas funcionalidades\
            \ en producci\xF3n sin afectar a los usuarios.\n    o Los despliegues\
            \ Hotfix se utilizan para parches cr\xEDticos que deben aplicarse inmediatamente\
            \ para solucionar problemas graves. \n\u2022 Cuando proceda y para reducir\
            \ los riesgos relacionados con actualizaciones significativas en dependencias\
            \ importantes, considere la posibilidad de realizar una prueba utilizando\
            \ versiones candidatas (60) de estos componentes, para obtener una indicaci\xF3\
            n temprana de incompatibilidades o cambios de ruptura, de modo que puedan\
            \ remediarse. Si alguno de estos componentes es software de c\xF3digo\
            \ abierto, ofrezca informaci\xF3n sobre cualquier problema detectado durante\
            \ esta prueba.\n\n(58) NIST SP 800-40 Rev. 4, \xABGuide to enterprise\
            \ patch management planning: preventive maintenance for technology\xBB\
            , https://csrc.nist.gov/pubs/sp/800/40/r4/final. \n(59) El \xABdespliegue\
            \ canario\xBB es un ejemplo de ello y se refiere a una estrategia de despliegue\
            \ gradual de actualizaciones o parches de software. Para minimizar el\
            \ riesgo de que el parche introduzca nuevos problemas, la entidad podr\xED\
            a aplicar el parche a un peque\xF1o n\xFAmero (por ejemplo, el 5%) de\
            \ servidores o sistemas y luego aplicarlo gradualmente a todo el sistema.\
            \ Es ideal para desplegar los cambios lentamente y controlar los problemas\
            \ sin afectar a muchos usuarios.\n(60) Una versi\xF3n candidata es una\
            \ \xABprepublicaci\xF3n\xBB o \xABpublicaci\xF3n de prueba\xBB de un componente\
            \ de software, que suele realizarse como preparaci\xF3n antes de la publicaci\xF3\
            n de una actualizaci\xF3n de software con cambios significativos."
          typical_evidence: "\u2022 Procedimientos y directrices detallados sobre\
            \ c\xF3mo se identifican, eval\xFAan, prueban, implementan y verifican\
            \ los parches. \n\u2022 Registros o registros que muestran el historial\
            \ de implementaciones de parches en varios sistemas. Estos pueden incluir\
            \ (lista indicativa y no exhaustiva):\n    o marcas de tiempo;\n    o\
            \ personal responsable; y\n    o Sistemas afectados. \n\u2022 Evidencia\
            \ de que el inventario de activos (Anexo del reglamento, punto 12.4) se\
            \ actualiza despu\xE9s de que se anuncie un nuevo parche de seguridad,\
            \ si es posible acompa\xF1ado del plan de tiempo para su aplicaci\xF3\
            n. \n\u2022 Evidencia de pruebas de parches antes de la implementaci\xF3\
            n en un entorno controlado. Esto debe incluir los resultados de las pruebas\
            \ y cualquier problema encontrado y resuelto. \n\u2022 Documentaci\xF3\
            n de los planes de prueba y los resultados de los parches antes de la\
            \ implementaci\xF3n en entornos de producci\xF3n. \n\u2022 Documentaci\xF3\
            n de las solicitudes de cambio para la implementaci\xF3n de parches, incluidas\
            \ las aprobaciones y las evaluaciones de impacto. \n\u2022 Registros de\
            \ auditor\xEDa detallados que muestran los pasos realizados desde la identificaci\xF3\
            n del parche hasta la implementaci\xF3n. \n\u2022 Busca los parches m\xE1\
            s recientes. \n\u2022 Acciones documentadas aprobadas para la aplicaci\xF3\
            n de parches. \n\u2022 Registros de cambios registrados, revisados y aprobados.\
            \ \n\u2022 Evidencia de mecanismos de verificaci\xF3n de proveedores,\
            \ por ejemplo, certificados digitales y firmas digitales. \n\u2022 Informes\
            \ de auditor\xEDas internas y externas que eval\xFAan la efectividad de\
            \ los procesos de gesti\xF3n de parches."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty stanov\xED a uplat\u0148\
            uj\xED postupy, kter\xE9 jsou v souladu s postupy \u0159\xEDzen\xED zm\u011B\
            n uveden\xFDmi v bod\u011B 6.4.1, jako\u017E i s postupy \u0159\xEDzen\xED\
            \ zranitelnost\xED, \u0159\xEDzen\xED rizik a dal\u0161\xEDmi p\u0159\xED\
            slu\u0161n\xFDmi postupy., a to s c\xEDlem zajistit, \u017Ee:"
          annotation: "\u2022 P\u0159i vytv\xE1\u0159en\xED postup\u016F spr\xE1vy\
            \ bezpe\u010Dnostn\xEDch z\xE1plat zohledn\u011Bte zn\xE1m\xE9 standardy\
            \ (58). \n\u2022 Opat\u0159en\xED se mohou li\u0161it v z\xE1vislosti\
            \ na s\xEDti a informa\u010Dn\xEDm syst\xE9mu (nap\u0159. povinn\xE9 z\xE1\
            platov\xE1n\xED v\u0161ech exponovan\xFDch syst\xE9m\u016F nebo za\u0159\
            \xEDzen\xED p\u0159ipojen\xFDch k internetu, jako jsou firewally nebo\
            \ sm\u011Brova\u010De, a omezen\xE9 z\xE1platov\xE1n\xED pouze za ur\u010D\
            it\xFDch okolnost\xED, nap\u0159\xEDklad v izolovan\xFDch nebo star\u0161\
            \xEDch syst\xE9mech, kde pravideln\xE9 z\xE1platov\xE1n\xED nemus\xED\
            \ b\xFDt provediteln\xE9 nebo dostupn\xE9). \n\u2022 V kombinaci s invent\xE1\
            \u0159em aktiv vytvo\u0159te proces, kter\xFD v\xE1s bude informovat o\
            \ zve\u0159ejn\u011Bn\xED nov\xE9 bezpe\u010Dnostn\xED z\xE1platy, a podle\
            \ toho napl\xE1nujte jej\xED zaveden\xED. \n\u2022 Z\xE1platov\xE1n\xED\
            \ by m\u011Blo b\xFDt standardn\xED \u010Dinnost\xED v r\xE1mci b\u011B\
            \u017En\xE9 \xFAdr\u017Eby a pl\xE1nov\xE1n\xED odst\xE1vek slu\u017E\
            eb. Nicm\xE9n\u011B n\u011Bkter\xE9 poruchy mohou vy\u017Eadovat okam\u017E\
            it\xE9 z\xE1platov\xE1n\xED v z\xE1vislosti na jejich kriti\u010Dnosti.\
            \ \n\u2022 Stanovte priority a aplikujte z\xE1platy na z\xE1klad\u011B\
            \ rizika. Vyhodno\u0165te z\xE1va\u017Enost zranitelnosti, expozici posti\u017E\
            en\xE9ho syst\xE9mu a pravd\u011Bpodobnost zneu\u017Eit\xED. \n\u2022\
            \ Nasa\u010Fte technologie pro spr\xE1vu zranitelnost\xED, abyste identifikovali\
            \ neopraven\xFD a chybn\u011B nakonfigurovan\xFD software. \n\u2022 Definujte\
            \ relevantn\xED zdroje bezpe\u010Dnostn\xEDch informac\xED s ohledem na\
            \ sv\xE1 aktiva a pr\u016Fb\u011B\u017En\u011B je monitorujte z hlediska\
            \ ozn\xE1men\xED o z\xE1plat\xE1ch, oprav\xE1ch a neoprav\xE1ch a obecn\xFD\
            ch hrozb\xE1ch.\n\u2022 Ov\u011B\u0159te zdroje z\xE1plat pomoc\xED (orienta\u010D\
            n\xED, ne\xFApln\xFD seznam):\n    o digit\xE1ln\xEDch certifik\xE1t\u016F\
            \ k ov\u011B\u0159en\xED dodavatele;\n    o digit\xE1ln\xEDch podpis\u016F\
            \ z\xE1plat o protokol\u016F zm\u011Bn poskytnut\xFDch dodavatelem; a\n\
            \    o zp\u011Btn\xE9 vazby od komunity t\xFDkaj\xEDc\xED se spolehlivosti\
            \ dodavatele.\n\u2022 Zva\u017Ete strategii pro aplikaci z\xE1plat po\
            \ schv\xE1len\xED nebo testov\xE1n\xED podle postupu \u0159\xEDzen\xED\
            \ zm\u011Bn (orienta\u010Dn\xED, nevy\u010Derp\xE1vaj\xEDc\xED seznam):\n\
            \    o Modr\xE1/zelen\xE1 umo\u017E\u0148uje aplikovat z\xE1platy nejprve\
            \ v izolovan\xE9m prost\u0159ed\xED shodn\xE9m s produk\u010Dn\xEDm prost\u0159\
            ed\xEDm a pot\xE9 v produk\u010Dn\xEDm prost\u0159ed\xED. To zaji\u0161\
            \u0165uje nulov\xE9 prostoje a mo\u017Enost okam\u017Eit\xE9ho vr\xE1\
            cen\xED.\n    o Rolling (59) nasazen\xED umo\u017E\u0148uje postupn\xE9\
            \ aktualizace \u010D\xE1st\xED produk\u010Dn\xEDho prost\u0159ed\xED,\
            \ po jedn\xE9 sad\u011B server\u016F nebo instanc\xED, nam\xEDsto nasazen\xED\
            \ z\xE1platy najednou. Je ide\xE1ln\xED pro rozs\xE1hl\xE1 a distribuovan\xE1\
            \ prost\u0159ed\xED.\n    o P\u0159ep\xEDn\xE1n\xED funkc\xED umo\u017E\
            \u0148uje nasazen\xED nov\xFDch funkc\xED nebo z\xE1plat do produk\u010D\
            n\xEDho prost\u0159ed\xED, ale ponech\xE1v\xE1 je vypnut\xE9, dokud nejsou\
            \ p\u0159ipraveny k pou\u017Eit\xED. Jsou vhodn\xE9 pro kontrolu nov\xFD\
            ch funkc\xED nebo z\xE1plat p\u0159i jejich zapnut\xED, co\u017E usnad\u0148\
            uje testov\xE1n\xED a uvoln\u011Bn\xED.\n    o St\xEDnov\xE9 nasazen\xED\
            \ umo\u017E\u0148uje nasadit nov\xFD k\xF3d nebo z\xE1platy p\u0159\xED\
            mo do produkce, ale st\xEDn\xED ostr\xFD provoz t\xEDm, \u017Ee zrcadl\xED\
            \ po\u017Eadavky u\u017Eivatel\u016F na sou\u010Dasn\xFD i nov\xFD syst\xE9\
            m, aby bylo mo\u017En\xE9 sledovat, jak se nov\xE1 verze chov\xE1, ani\u017E\
            \ by to ovlivnilo u\u017Eivatelsk\xE9 prost\u0159ed\xED. Je ide\xE1ln\xED\
            \ pro testov\xE1n\xED nov\xFDch funkc\xED v produk\u010Dn\xEDm prost\u0159\
            ed\xED bez vlivu na u\u017Eivatele.\n    o Nasazen\xED opravy Hotfix se\
            \ pou\u017E\xEDv\xE1 pro kritick\xE9 z\xE1platy, kter\xE9 je t\u0159eba\
            \ aplikovat okam\u017Eit\u011B a \u0159e\u0161it tak z\xE1va\u017En\xE9\
            \ probl\xE9my. \n\u2022 V p\u0159\xEDpad\u011B pot\u0159eby a za \xFA\u010D\
            elem sn\xED\u017Een\xED rizik spojen\xFDch s v\xFDznamn\xFDmi aktualizacemi\
            \ d\u016Fle\u017Eit\xFDch z\xE1vislost\xED zva\u017Ete proveden\xED zku\u0161\
            ebn\xEDho provozu pomoc\xED kandid\xE1t\u016F na vyd\xE1n\xED (60) t\u011B\
            chto komponent, abyste z\xEDskali v\u010Dasnou informaci o nekompatibilit\u011B\
            \ nebo rozb\xEDjej\xEDc\xEDch zm\u011Bn\xE1ch a mohli je odstranit. Pokud\
            \ je n\u011Bkter\xE1 z t\u011Bchto sou\u010D\xE1st\xED softwarem s otev\u0159\
            en\xFDm zdrojov\xFDm k\xF3dem, nab\xEDdn\u011Bte zp\u011Btnou vazbu o\
            \ p\u0159\xEDpadn\xFDch probl\xE9mech zji\u0161t\u011Bn\xFDch b\u011B\
            hem t\xE9to zkou\u0161ky.\n\n(58) NIST SP 800-40 Rev. 4, \u201EGuide to\
            \ enterprise patch management planning: Preventive maintenance for technology\u201C\
            \ (Pr\u016Fvodce pl\xE1nov\xE1n\xEDm spr\xE1vy oprav v podniku: preventivn\xED\
            \ \xFAdr\u017Eba technologi\xED), https://csrc.nist.gov/pubs/sp/800/40/r4/final.\
            \ \n(59) P\u0159\xEDkladem je \u201Enasazen\xED kan\xE1rk\u016F\u201C\
            , kter\xE9 ozna\u010Duje strategii postupn\xE9ho zav\xE1d\u011Bn\xED aktualizac\xED\
            \ nebo z\xE1plat softwaru. Aby se minimalizovalo riziko, \u017Ee z\xE1\
            plata p\u0159inese nov\xE9 probl\xE9my, m\u016F\u017Ee subjekt aplikovat\
            \ z\xE1platu na mal\xFD po\u010Det (nap\u0159. 5 %) server\u016F nebo\
            \ syst\xE9m\u016F a pot\xE9 ji postupn\u011B aplikovat na cel\xFD syst\xE9\
            m. To je ide\xE1ln\xED pro pomal\xE9 zav\xE1d\u011Bn\xED zm\u011Bn a sledov\xE1\
            n\xED probl\xE9m\u016F, ani\u017E by to ovlivnilo mnoho u\u017Eivatel\u016F\
            .\n(60) Release candidate je \u201Ep\u0159edvyd\xE1n\xED\u201C nebo \u201E\
            zku\u0161ebn\xED vyd\xE1n\xED\u201C softwarov\xE9 komponenty, kter\xE9\
            \ se obvykle prov\xE1d\xED v r\xE1mci p\u0159\xEDpravy p\u0159ed vyd\xE1\
            n\xEDm aktualizace softwaru s v\xFDznamn\xFDmi zm\u011Bnami."
          typical_evidence: "\u2022 Podrobn\xE9 postupy a pokyny pro identifikaci,\
            \ hodnocen\xED, testov\xE1n\xED, nasazov\xE1n\xED a ov\u011B\u0159ov\xE1\
            n\xED z\xE1plat. \n\u2022 Logy nebo z\xE1znamy zobrazuj\xEDc\xED historii\
            \ nasazen\xED patch\u016F nap\u0159\xED\u010D r\u016Fzn\xFDmi syst\xE9\
            my. Ty mohou zahrnovat (orienta\u010Dn\xED, ne\xFApln\xFD seznam):\n \
            \   o \u010Dasov\xE1 raz\xEDtka;\n    o odpov\u011Bdn\xFD person\xE1l;\
            \ a\n    o posti\u017Een\xFDch syst\xE9mech. \n\u2022 Doklad o tom, \u017E\
            e inventarizace majetku (p\u0159\xEDloha na\u0159\xEDzen\xED, bod 12.4)\
            \ je aktualizov\xE1n po vyhl\xE1\u0161en\xED nov\xE9 bezpe\u010Dnostn\xED\
            \ z\xE1platy, pokud mo\u017Eno dopln\u011Bn\xE9 o \u010Dasov\xFD pl\xE1\
            n jej\xEDho uplat\u0148ov\xE1n\xED. \n\u2022 D\u016Fkaz o testov\xE1n\xED\
            \ z\xE1plat p\u0159ed nasazen\xEDm v kontrolovan\xE9m prost\u0159ed\xED\
            . To by m\u011Blo zahrnovat v\xFDsledky testov\xE1n\xED a ve\u0161ker\xE9\
            \ zji\u0161t\u011Bn\xE9 a vy\u0159e\u0161en\xE9 probl\xE9my. \n\u2022\
            \ Dokumentace testovac\xEDch pl\xE1n\u016F a v\xFDsledk\u016F oprav p\u0159\
            ed nasazen\xEDm do produk\u010Dn\xEDch prost\u0159ed\xED. \n\u2022 Dokumentace\
            \ po\u017Eadavk\u016F na zm\u011Bny pro nasazen\xED z\xE1plat, v\u010D\
            etn\u011B schv\xE1len\xED a posouzen\xED dopad\u016F. \n\u2022 Podrobn\xE9\
            \ auditn\xED stopy ukazuj\xEDc\xED kroky proveden\xE9 od identifikace\
            \ opravy a\u017E po nasazen\xED. \n\u2022 Zkontroluje nejnov\u011Bj\u0161\
            \xED opravy. \n\u2022 Schv\xE1len\xE9 zdokumentovan\xE9 akce pro aplikaci\
            \ z\xE1plat. \n\u2022 Z\xE1znamy o zaznamenan\xFDch, zkontrolovan\xFD\
            ch a schv\xE1len\xFDch zm\u011Bn\xE1ch. \n\u2022 D\u016Fkazy o mechanismech\
            \ ov\u011B\u0159ov\xE1n\xED dodavatel\u016F, nap\u0159\xEDklad digit\xE1\
            ln\xEDch certifik\xE1t\u016F a digit\xE1ln\xEDch podpis\u016F. \n\u2022\
            \ Zpr\xE1vy z intern\xEDch a extern\xEDch audit\u016F hodnot\xEDc\xED\
            ch efektivitu proces\u016F patch managementu."
        it:
          description: "I soggetti pertinenti specificano e applicano procedure coerenti\
            \ con le procedure di gestione delle modifiche di cui al punto 6.4.1.\
            \ nonch\xE9 con la gestione delle vulnerabilit\xE0, la gestione dei rischi\
            \ e altre procedure di gestione pertinenti, per garantire che:"
          annotation: "\u2022 Nello sviluppo delle procedure di gestione delle patch\
            \ di sicurezza, tenere conto degli standard noti (58). \n\u2022 Le azioni\
            \ possono variare a seconda della rete e del sistema informativo (ad esempio,\
            \ patch obbligatorie per tutti i sistemi esposti o per i dispositivi connessi\
            \ a Internet, come firewall o router, e patch limitate solo in circostanze\
            \ specifiche, ad esempio in sistemi isolati o legacy in cui le patch regolari\
            \ potrebbero non essere fattibili o disponibili). \n\u2022 Stabilire un\
            \ processo, in combinazione con l'inventario degli asset, per essere informati\
            \ quando viene pubblicata una nuova patch di sicurezza e programmare di\
            \ conseguenza il roll-out delle patch. \n\u2022 Le patch dovrebbero essere\
            \ un'attivit\xE0 standard nella normale manutenzione e nella pianificazione\
            \ delle interruzioni dei servizi. Tuttavia, alcuni guasti possono richiedere\
            \ una patch immediata, a seconda della loro criticit\xE0. \n\u2022 Date\
            \ la priorit\xE0 e applicate le patch in base al rischio. Valutare la\
            \ gravit\xE0 della vulnerabilit\xE0, l'esposizione del sistema interessato\
            \ e la probabilit\xE0 di sfruttamento. \n\u2022 Implementare le tecnologie\
            \ di gestione delle vulnerabilit\xE0 per identificare il software non\
            \ patchato e mal configurato. \n\u2022 Definire le fonti di informazioni\
            \ di sicurezza rilevanti per i vostri asset e monitorarle continuamente\
            \ per gli annunci di patch, la correzione di patch e non patch e le minacce\
            \ generali. \n\u2022 Verificare le fonti delle patch attraverso (elenco\
            \ indicativo e non esaustivo):\n    o certificati digitali per verificare\
            \ il fornitore;\n    o firme digitali delle patch o registri delle modifiche\
            \ forniti dal fornitore; e\n    o feedback della comunit\xE0 sull'affidabilit\xE0\
            \ del fornitore.\n\u2022 Considerare una strategia per l'applicazione\
            \ delle patch dopo l'approvazione o il test seguendo la procedura di gestione\
            \ delle modifiche (elenco indicativo e non esaustivo):\n    o Il blu/verde\
            \ consente di applicare le patch prima in un ambiente isolato identico\
            \ all'ambiente di produzione e poi nell'ambiente di produzione. Questo\
            \ garantisce zero tempi di inattivit\xE0 e un'opzione di rollback immediato.\n\
            \    o L'implementazione in modalit\xE0 rolling (59) consente di aggiornare\
            \ gradualmente parti dell'ambiente di produzione, un gruppo di server\
            \ o istanze alla volta, piuttosto che distribuire una patch tutta in una\
            \ volta. \xC8 ideale per ambienti grandi e distribuiti.\n    o I toggle\
            \ delle funzionalit\xE0 consentono di distribuire nuove funzionalit\xE0\
            \ o patch in produzione, ma di mantenerle disabilitate finch\xE9 non sono\
            \ pronte per essere utilizzate. Sono adatti per controllare le nuove funzionalit\xE0\
            \ o le patch quando sono attivate, facilitando i test e il rilascio.\n\
            \    o La distribuzione ombra consente di distribuire il nuovo codice\
            \ o le nuove patch direttamente in produzione, ma ombreggiando il traffico\
            \ in tempo reale con il mirroring delle richieste degli utenti sia al\
            \ sistema attuale che a quello nuovo, per osservare come si comporta la\
            \ nuova versione senza influire sull'esperienza dell'utente. \xC8 ideale\
            \ per testare nuove funzionalit\xE0 in produzione senza influenzare gli\
            \ utenti.\n    o Le distribuzioni di hotfix sono utilizzate per le patch\
            \ critiche che devono essere applicate immediatamente per risolvere problemi\
            \ gravi. \n\u2022 Se opportuno e per ridurre i rischi legati ad aggiornamenti\
            \ significativi in dipendenze importanti, considerate la possibilit\xE0\
            \ di eseguire una prova utilizzando le release candidate (60) di questi\
            \ componenti, per ottenere un'indicazione precoce di incompatibilit\xE0\
            \ o modifiche di rottura, in modo da potervi porre rimedio. Se uno di\
            \ questi componenti \xE8 un software open source, offrite un feedback\
            \ su eventuali problemi riscontrati durante la prova.\n\n(58) NIST SP\
            \ 800-40 Rev. 4, \u201CGuide to enterprise patch management planning:\
            \ preventive maintenance for technology\u201D, https://csrc.nist.gov/pubs/sp/800/40/r4/final.\
            \ \n(59) Il \u201CCanary deployment\u201D \xE8 un esempio di questo tipo\
            \ e si riferisce a una strategia di rollout graduale per gli aggiornamenti\
            \ o le patch del software. Per ridurre al minimo il rischio che la patch\
            \ introduca nuovi problemi, l'ente potrebbe applicare la patch a un numero\
            \ ridotto (ad esempio il 5%) di server o sistemi e poi applicarla gradualmente\
            \ all'intero sistema. Si tratta di una soluzione ideale per introdurre\
            \ lentamente le modifiche e monitorare i problemi senza influenzare molti\
            \ utenti.\n(60) Una release candidate \xE8 una \u201Cpre-pubblicazione\u201D\
            \ o \u201Cpubblicazione di prova\u201D di un componente software, solitamente\
            \ effettuata in preparazione alla pubblicazione di un aggiornamento del\
            \ software con modifiche significative."
          typical_evidence: "\u2022 Procedure dettagliate e linee guida per l'identificazione,\
            \ la valutazione, il test, l'implementazione e la verifica delle patch.\
            \ \n\u2022 Registri o registrazioni che mostrano la cronologia delle distribuzioni\
            \ di patch su vari sistemi. Questi possono includere (elenco indicativo,\
            \ non esaustivo):\n    o timestamp;\n    o personale responsabile; e\n\
            \    o sistemi interessati. \n\u2022 Evidenza che l'inventario dei beni\
            \ (Allegato al regolamento, punto 12.4) sia aggiornato dopo l'annuncio\
            \ di una nuova patch di sicurezza, se possibile corredata dal piano temporale\
            \ per la sua applicazione. \n\u2022 Prova del test delle patch prima della\
            \ distribuzione in un ambiente controllato. Ci\xF2 dovrebbe includere\
            \ i risultati dei test e gli eventuali problemi riscontrati e risolti.\
            \ \n\u2022 Documentazione dei piani di test e dei risultati delle patch\
            \ prima della distribuzione negli ambienti di produzione. \n\u2022 Documentazione\
            \ delle richieste di modifica per la distribuzione delle patch, comprese\
            \ le approvazioni e le valutazioni d'impatto. \n\u2022 Audit trail dettagliati\
            \ che mostrano i passaggi eseguiti dall'identificazione delle patch alla\
            \ distribuzione. \n\u2022 Verifica la presenza delle patch pi\xF9 recenti.\
            \ \n\u2022 Azioni documentate approvate per l'applicazione dei cerotti.\
            \ \n\u2022 Registrazioni delle modifiche registrate, riviste e approvate.\
            \ \n\u2022 Prova dei meccanismi di verifica del fornitore, ad esempio\
            \ certificati digitali e firme digitali. \n\u2022 Rapporti da audit interni\
            \ ed esterni che valutano l'efficacia dei processi di gestione delle patch."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.6.1.a
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.6.1
      ref_id: 6.6.1.a
      description: security patches are applied within a reasonable time after they
        become available;
      translations:
        fr:
          description: "les correctifs de s\xE9curit\xE9 sont appliqu\xE9s dans un\
            \ d\xE9lai raisonnable apr\xE8s leur mise \xE0 disposition;"
        es:
          description: "los parches de seguridad se apliquen en un plazo razonable\
            \ desde el momento en que est\xE9n disponibles;"
        cs:
          description: "bezpe\u010Dnostn\xED z\xE1platy se pou\u017Eij\xED v p\u0159\
            im\u011B\u0159en\xE9 dob\u011B pot\xE9, co za\u010Daly b\xFDt k dispozici;"
        it:
          description: le patch di sicurezza siano applicate entro un termine ragionevole
            dal momento in cui sono disponibili;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.6.1.b
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.6.1
      ref_id: 6.6.1.b
      description: security patches are tested before being applied in production
        systems;
      translations:
        fr:
          description: "les correctifs de s\xE9curit\xE9 sont test\xE9s avant d\u2019\
            \xEAtre appliqu\xE9s dans les syst\xE8mes de production;"
        es:
          description: "los parches de seguridad se sometan a ensayo antes de ponerlos\
            \ en marcha en los sistemas de producci\xF3n;"
        cs:
          description: "bezpe\u010Dnostn\xED z\xE1platy se p\u0159ed pou\u017Eit\xED\
            m v produk\u010Dn\xEDch syst\xE9mech otestuj\xED;"
        it:
          description: le patch di sicurezza vengono testate prima di essere applicate
            nei sistemi di produzione;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.6.1.c
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.6.1
      ref_id: 6.6.1.c
      description: security patches come from trusted sources and are checked for
        integrity;
      translations:
        fr:
          description: "les correctifs de s\xE9curit\xE9 proviennent de sources fiables\
            \ et font l\u2019objet d\u2019un contr\xF4le d\u2019int\xE9grit\xE9;"
        es:
          description: los parches de seguridad procedan de fuentes de confianza y
            se compruebe su integridad;
        cs:
          description: "bezpe\u010Dnostn\xED z\xE1platy poch\xE1zej\xED z d\u016F\
            v\u011Bryhodn\xFDch zdroj\u016F a jejich integrita je kontrolov\xE1na;"
        it:
          description: "le patch di sicurezza provengono da fonti attendibili e ne\
            \ vengono controllate l'integrit\xE0;"
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.6.1.d
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.6.1
      ref_id: 6.6.1.d
      description: additional measures are implemented and residual risks are accepted
        in cases where a patch is not available or not applied pursuant to point 6.6.2.
      translations:
        fr:
          description: "des mesures suppl\xE9mentaires sont mises en \u0153uvre et\
            \ que les risques r\xE9siduels sont accept\xE9s lorsqu\u2019un correctif\
            \ n\u2019est pas disponible ou n\u2019est pas appliqu\xE9 conform\xE9\
            ment au point 6.6.2."
        es:
          description: se adopten medidas adicionales y se acepten los riesgos residuales
            en aquellos casos en que no haya un parche disponible o no pueda aplicarse
            conforme al punto 6.6.2.
        cs:
          description: "v p\u0159\xEDpadech, kdy z\xE1plata nen\xED k dispozici nebo\
            \ kdy nen\xED nepou\u017Eita podle bodu 6.6.2, jsou zavedena dal\u0161\
            \xED opat\u0159en\xED a akceptov\xE1na zbytkov\xE1 rizika."
        it:
          description: Sono attuate misure supplementari e sono accettati i rischi
            residui nei casi in cui non sia disponibile una patch o non sia applicata
            ai sensi del punto 6.6.2.
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.6.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.6
      ref_id: 6.6.2
      description: By way of derogation from point 6.6.1.(a), the relevant entities
        may choose not to apply security patches when the disadvantages of applying
        the security patches outweigh the cybersecurity benefits. The relevant entities
        shall duly document and substantiate the reasons for any such decision.
      annotation: "\u2022 Make an effort, proportionate to the entity\u2019s size\
        \ and importance, to ensure that security patches do not introduce additional\
        \ vulnerabilities or instabilities. Examples of information supporting such\
        \ a decision may include (indicative, non-exhaustive list):\n    o vendor\
        \ documentation on the patch:\n        * what specific vulnerabilities or\
        \ bugs are addressed, \uF0A7 whether the patch fixes a security issue, improves\
        \ performance, adds features or resolves stability concerns, \uF0A7 system\
        \ requirements or any specific configurations required or changes to system\
        \ settings, \uF0A7 installation instructions on How to apply the patch and\
        \ whether it requires a restart or additional configuration;\n    o severity\
        \ rating - patches that address critical vulnerabilities are more likely to\
        \ apply; and\n    o security blogs, forums and mailing lists for any known\
        \ issues or incompatibilities introduced by the patch. \n\u2022 If patching\
        \ is not feasible, consider alternative measures such as strict configuration\
        \ hardening, intrusion detection systems, regular vulnerability scanning,\
        \ network segmentation or isolation where feasible, access control and monitoring.\n\
        \n[TIPS]\n\n\u2022 Patch management procedures should indicate scope, roles\
        \ and responsibilities. \n\u2022 Perform operating system and application\
        \ updates on enterprise assets through automated patch management. \n\u2022\
        \ Use appropriate patch management tools to fulfil the elements referred to\
        \ in point 6.6.1 of the Annex to the regulation. \n\u2022 Since patches can\
        \ sometimes cause issues, it is recommended to back up the system before applying\
        \ them. \n\u2022 Have a rollback plan to ensure that the system reverts to\
        \ a safe previous state if patching does not work or fixing the problem is\
        \ not feasible.   \n\u2022 Remove unsupported hardware and software from the\
        \ network in a reasonable and accepted time in line with the entity\u2019\
        s risk assessment. \n\u2022 Include patch and update requirements in the supply\
        \ chain policy (Annex to the regulation, point 5.1) and in the contracts,\
        \ bid evaluation and selection criteria for new ICT services, systems or products\
        \ (section 6.1), considering the system life span among other aspects."
      typical_evidence: "\u2022 Evidence of patch prioritisation for example emphasis\
        \ is placed on patches assessed as critical. \n\u2022 Evidence that residual\
        \ risks resulting from non-patching are listed and mitigated. \n\u2022 Incident\
        \ reports related to unpatched vulnerabilities to check the effectiveness\
        \ of the mitigation measures during the entity\u2019s response. \n\u2022 Logs\
        \ of changes made to systems, including patches applied, rollback procedures\
        \ and any issues encountered. \n\u2022 Documented decisions no to patch accompanied\
        \ by relevant alternative measures. \n\u2022 Up-to-date risk-treatment plan.\n\
        \n[TIPS]\n\n\u2022 Documentation of regular meetings where patch management\
        \ processes are reviewed. This should include agendas, attendance records,\
        \ actions taken to improve the process and minutes from the meetings. \n\u2022\
        \ Checks of the latest patches for evidence of who performed each step and\
        \ when and for documentation outlining the roles and responsibilities of staff\
        \ involved in the patch management process. \n\u2022 Patch management tools.\
        \ \n\u2022 Configuration and logs from these tools demonstrating regular use.\
        \ \n\u2022 Rollback plan. \n\u2022 Contract, bid and documented evaluation\
        \ and selection criteria for new systems which consider the patch management\
        \ requirements and the system life span."
      translations:
        fr:
          description: "Par d\xE9rogation au point 6.6.1 a), les entit\xE9s concern\xE9\
            es peuvent choisir de ne pas appliquer de correctifs de s\xE9curit\xE9\
            \ lorsque les inconv\xE9nients de leur application l\u2019emportent sur\
            \ les avantages en mati\xE8re de cybers\xE9curit\xE9. Les entit\xE9s concern\xE9\
            es documentent et justifient d\xFBment les motifs d\u2019un tel choix."
          annotation: "\u2022 Faire un effort, proportionn\xE9 \xE0 la taille et \xE0\
            \ l\u2019importance de l\u2019entit\xE9, pour s\u2019assurer que les correctifs\
            \ de s\xE9curit\xE9 n\u2019introduisent pas de vuln\xE9rabilit\xE9s ou\
            \ d\u2019instabilit\xE9s suppl\xE9mentaires. Des exemples d\u2019informations\
            \ \xE0 l\u2019appui d\u2019une telle d\xE9cision peuvent inclure (liste\
            \ indicative, non exhaustive) :\n    o Documentation du fournisseur sur\
            \ le correctif :\n        * quelles vuln\xE9rabilit\xE9s ou bogues sp\xE9\
            cifiques sont corrig\xE9s, \uF0A7 si le correctif corrige un probl\xE8\
            me de s\xE9curit\xE9, am\xE9liore les performances, ajoute des fonctionnalit\xE9\
            s ou r\xE9sout des probl\xE8mes de stabilit\xE9, \uF0A7 configuration\
            \ syst\xE8me requise ou modifications sp\xE9cifiques requises ou modifications\
            \ des param\xE8tres syst\xE8me, \uF0A7 instructions d\u2019installation\
            \ sur la fa\xE7on d\u2019appliquer le correctif et s\u2019il n\xE9cessite\
            \ un red\xE9marrage ou une configuration suppl\xE9mentaire ;\n    o Indice\
            \ de gravit\xE9 - les correctifs qui corrigent les vuln\xE9rabilit\xE9\
            s critiques sont plus susceptibles de s\u2019appliquer ; et\n    o Blogs,\
            \ forums et listes de diffusion sur la s\xE9curit\xE9 pour tout probl\xE8\
            me connu ou incompatibilit\xE9s introduits par le correctif. \n\u2022\
            \ Si l\u2019application de correctifs n\u2019est pas possible, envisagez\
            \ d\u2019autres mesures telles qu\u2019un renforcement strict de la configuration,\
            \ des syst\xE8mes de d\xE9tection d\u2019intrusion, une analyse r\xE9\
            guli\xE8re des vuln\xE9rabilit\xE9s, une segmentation ou une isolation\
            \ du r\xE9seau lorsque cela est possible, un contr\xF4le d\u2019acc\xE8\
            s et une surveillance.\n\n[CONSEILS]\n\n\u2022 Les proc\xE9dures de gestion\
            \ des correctifs doivent indiquer la port\xE9e, les r\xF4les et les responsabilit\xE9\
            s. \n\u2022 Effectuer des mises \xE0 jour du syst\xE8me d\u2019exploitation\
            \ et des applications sur les actifs de l\u2019entreprise gr\xE2ce \xE0\
            \ la gestion automatis\xE9e des correctifs. \n\u2022 Utiliser des outils\
            \ de gestion des correctifs appropri\xE9s pour satisfaire aux \xE9l\xE9\
            ments vis\xE9s au point 6.6.1 de l\u2019annexe du r\xE8glement. \n\u2022\
            \ \xC9tant donn\xE9 que les correctifs peuvent parfois causer des probl\xE8\
            mes, il est recommand\xE9 de sauvegarder le syst\xE8me avant de les appliquer.\
            \ \n\u2022 Ayez un plan de retour en arri\xE8re pour vous assurer que\
            \ le syst\xE8me revient \xE0 un \xE9tat pr\xE9c\xE9dent s\xFBr si la correction\
            \ ne fonctionne pas ou si la r\xE9solution du probl\xE8me n\u2019est pas\
            \ r\xE9alisable.   \n\u2022 Retirer du r\xE9seau le mat\xE9riel et les\
            \ logiciels non pris en charge dans un d\xE9lai raisonnable et acceptable,\
            \ conform\xE9ment \xE0 l\u2019\xE9valuation des risques de l\u2019entit\xE9\
            . \n\u2022 Inclure des exigences de mise \xE0 jour et de mise \xE0 jour\
            \ dans la politique de la cha\xEEne d\u2019approvisionnement (annexe du\
            \ r\xE8glement, point 5.1) et dans les contrats, l\u2019\xE9valuation\
            \ des offres et les crit\xE8res de s\xE9lection pour les nouveaux services,\
            \ syst\xE8mes ou produits TIC (section 6.1), en tenant compte, entre autres,\
            \ de la dur\xE9e de vie du syst\xE8me."
          typical_evidence: "\u2022 Preuve de la hi\xE9rarchisation des correctifs\
            \ : par exemple, l\u2019accent est mis sur les correctifs jug\xE9s critiques.\
            \ \n\u2022 Preuve que les risques r\xE9siduels r\xE9sultant de l\u2019\
            absence de correctifs sont r\xE9pertori\xE9s et att\xE9nu\xE9s. \n\u2022\
            \ Rapports d\u2019incidents li\xE9s aux vuln\xE9rabilit\xE9s non corrig\xE9\
            es pour v\xE9rifier l\u2019efficacit\xE9 des mesures d\u2019att\xE9nuation\
            \ lors de la r\xE9ponse de l\u2019entit\xE9. \n\u2022 Journaux des modifications\
            \ apport\xE9es aux syst\xE8mes, y compris les correctifs appliqu\xE9s,\
            \ les proc\xE9dures de retour en arri\xE8re et les probl\xE8mes rencontr\xE9\
            s. \n\u2022 D\xE9cisions document\xE9es de refus de patch accompagn\xE9\
            es de mesures alternatives pertinentes. \n\u2022 Plan de traitement des\
            \ risques \xE0 jour.\n\n[CONSEILS]\n\n\u2022 Documentation des r\xE9unions\
            \ r\xE9guli\xE8res o\xF9 les processus de gestion des correctifs sont\
            \ examin\xE9s. Cela devrait inclure les ordres du jour, les registres\
            \ de pr\xE9sence, les mesures prises pour am\xE9liorer le processus et\
            \ les proc\xE8s-verbaux des r\xE9unions. \n\u2022 V\xE9rification des\
            \ derniers correctifs pour trouver des preuves de qui a effectu\xE9 chaque\
            \ \xE9tape et quand, ainsi que pour la documentation d\xE9crivant les\
            \ r\xF4les et les responsabilit\xE9s du personnel impliqu\xE9 dans le\
            \ processus de gestion des correctifs. \n\u2022 Outils de gestion des\
            \ correctifs. \n\u2022 Configuration et logs de ces outils d\xE9montrant\
            \ une utilisation r\xE9guli\xE8re. \n\u2022 Plan de retour en arri\xE8\
            re. \n\u2022 \xC9tablir des contrats, des soumissions et des crit\xE8\
            res d\u2019\xE9valuation et de s\xE9lection document\xE9s pour les nouveaux\
            \ syst\xE8mes qui tiennent compte des exigences de gestion des correctifs\
            \ et de la dur\xE9e de vie du syst\xE8me."
        es:
          description: "Como excepci\xF3n al punto 6.6.1, letra a), las entidades\
            \ pertinentes podr\xE1n optar por no aplicar parches de seguridad cuando\
            \ las desventajas de aplicarlos superen los beneficios de ciberseguridad.\
            \ Las entidades pertinentes documentar\xE1n y justificar\xE1n debidamente\
            \ los motivos de tal decisi\xF3n."
          annotation: "\u2022 Hacer un esfuerzo, proporcional al tama\xF1o e importancia\
            \ de la entidad, para garantizar que los parches de seguridad no introduzcan\
            \ vulnerabilidades o inestabilidades adicionales. Entre los ejemplos de\
            \ informaci\xF3n que respalda una decisi\xF3n de este tipo figuran (lista\
            \ indicativa y no exhaustiva):\n    o Documentaci\xF3n del proveedor sobre\
            \ el parche:\n        * qu\xE9 vulnerabilidades o errores espec\xEDficos\
            \ se abordan, \uF0A7 si el parche soluciona un problema de seguridad,\
            \ mejora el rendimiento, agrega funciones o resuelve problemas de estabilidad,\
            \ \uF0A7 requisitos del sistema o cualquier configuraci\xF3n espec\xED\
            fica requerida o cambios en la configuraci\xF3n del sistema, \uF0A7 instrucciones\
            \ de instalaci\xF3n sobre c\xF3mo aplicar el parche y si requiere un reinicio\
            \ o una configuraci\xF3n adicional;\n    o Calificaci\xF3n de gravedad:\
            \ es m\xE1s probable que se apliquen parches que abordan vulnerabilidades\
            \ cr\xEDticas; y\n    o Blogs, foros y listas de correo de seguridad para\
            \ cualquier problema conocido o incompatibilidades introducidas por el\
            \ parche. \n\u2022 Si la aplicaci\xF3n de parches no es factible, considere\
            \ medidas alternativas como el endurecimiento estricto de la configuraci\xF3\
            n, los sistemas de detecci\xF3n de intrusos, el an\xE1lisis regular de\
            \ vulnerabilidades, la segmentaci\xF3n o el aislamiento de la red cuando\
            \ sea posible, el control de acceso y la supervisi\xF3n.\n\n[CONSEJOS]\n\
            \n\u2022 Los procedimientos de gesti\xF3n de parches deben indicar el\
            \ alcance, las funciones y las responsabilidades. \n\u2022 Realizar actualizaciones\
            \ del sistema operativo y de las aplicaciones en los activos de la empresa\
            \ mediante la gesti\xF3n automatizada de parches. \n\u2022 Utilizar herramientas\
            \ adecuadas de gesti\xF3n de parches para cumplir los elementos mencionados\
            \ en el punto 6.6.1 del anexo del Reglamento. \n\u2022 Dado que los parches\
            \ a veces pueden causar problemas, se recomienda hacer una copia de seguridad\
            \ del sistema antes de aplicarlos. \n\u2022 Tenga un plan de reversi\xF3\
            n para garantizar que el sistema vuelva a un estado anterior seguro si\
            \ la aplicaci\xF3n de parches no funciona o si no es factible solucionar\
            \ el problema.   \n\u2022 Eliminar el hardware y software no soportado\
            \ de la red en un tiempo razonable y aceptado, de acuerdo con la evaluaci\xF3\
            n de riesgos de la entidad. \n\u2022 Incluir requisitos de parches y actualizaciones\
            \ en la pol\xEDtica de la cadena de suministro (Anexo del reglamento,\
            \ punto 5.1) y en los contratos, evaluaci\xF3n de ofertas y criterios\
            \ de selecci\xF3n de nuevos servicios, sistemas o productos TIC (apartado\
            \ 6.1), considerando la vida \xFAtil del sistema, entre otros aspectos."
          typical_evidence: "\u2022 Evidencia de priorizaci\xF3n de parches, por ejemplo,\
            \ se hace hincapi\xE9 en los parches evaluados como cr\xEDticos. \n\u2022\
            \ Evidencia de que se enumeran y mitigan los riesgos residuales resultantes\
            \ de la falta de aplicaci\xF3n de parches. \n\u2022 Reportes de incidentes\
            \ relacionados con vulnerabilidades no parcheadas para verificar la efectividad\
            \ de las medidas de mitigaci\xF3n durante la respuesta de la entidad.\
            \ \n\u2022 Registros de los cambios realizados en los sistemas, incluidos\
            \ los parches aplicados, los procedimientos de reversi\xF3n y cualquier\
            \ problema encontrado. \n\u2022 Decisiones documentadas de no parchear\
            \ acompa\xF1adas de medidas alternativas relevantes. \n\u2022 Plan de\
            \ tratamiento de riesgos actualizado.\n\n[CONSEJOS]\n\n\u2022 Documentaci\xF3\
            n de reuniones peri\xF3dicas en las que se revisan los procesos de gesti\xF3\
            n de parches. Esto debe incluir agendas, registros de asistencia, acciones\
            \ tomadas para mejorar el proceso y actas de las reuniones. \n\u2022 Comprobaciones\
            \ de los \xFAltimos parches para obtener pruebas de qui\xE9n realiz\xF3\
            \ cada paso y cu\xE1ndo, y para la documentaci\xF3n que describe las funciones\
            \ y responsabilidades del personal involucrado en el proceso de gesti\xF3\
            n de parches. \n\u2022 Herramientas de gesti\xF3n de parches. \n\u2022\
            \ Configuraci\xF3n y registros de estas herramientas que demuestren el\
            \ uso regular. \n\u2022 Plan de reversi\xF3n. \n\u2022 Contrato, licitaci\xF3\
            n y criterios de evaluaci\xF3n y selecci\xF3n documentados para nuevos\
            \ sistemas que consideran los requisitos de gesti\xF3n de parches y la\
            \ vida \xFAtil del sistema."
        cs:
          description: "Odchyln\u011B od bodu 6.6.1 p\xEDsm. a) se p\u0159\xEDslu\u0161\
            n\xE9 subjekty mohou rozhodnout bezpe\u010Dnostn\xED z\xE1platy nepou\u017E\
            \xEDt, pokud nev\xFDhody pou\u017Eit\xED bezpe\u010Dnostn\xEDch z\xE1\
            plat p\u0159eva\u017Euj\xED nad p\u0159\xEDnosy pro kybernetickou bezpe\u010D\
            nost. P\u0159\xEDslu\u0161n\xE9 subjekty ka\u017Ed\xE9 takov\xE9 rozhodnut\xED\
            \ \u0159\xE1dn\u011B zdokumentuj\xED a zd\u016Fvodn\xED."
          annotation: "\u2022 Vynalo\u017Eit \xFAsil\xED, \xFAm\u011Brn\xE9 velikosti\
            \ a d\u016Fle\u017Eitosti subjektu, zajistit, aby bezpe\u010Dnostn\xED\
            \ z\xE1platy nezav\xE1d\u011Bly dal\u0161\xED zranitelnosti nebo nestability.\
            \ P\u0159\xEDklady informac\xED podporuj\xEDc\xEDch takov\xE9 rozhodnut\xED\
            \ mohou zahrnovat (orienta\u010Dn\xED, ne\xFApln\xFD seznam):\n    o Dokumentace\
            \ dodavatele k oprav\u011B:\n        * jak\xE9 konkr\xE9tn\xED zranitelnosti\
            \ nebo chyby jsou \u0159e\u0161eny, \uF0A7 zda oprava opravuje bezpe\u010D\
            nostn\xED probl\xE9m, zlep\u0161uje v\xFDkon, p\u0159id\xE1v\xE1 funkce\
            \ nebo \u0159e\u0161\xED probl\xE9my se stabilitou, \uF0A7 syst\xE9mov\xE9\
            \ po\u017Eadavky nebo jak\xE9koli specifick\xE9 po\u017Eadovan\xE9 konfigurace\
            \ nebo zm\u011Bny nastaven\xED syst\xE9mu, \uF0A7 pokyny k instalaci Jak\
            \ pou\u017E\xEDt opravu a zda vy\u017Eaduje restart nebo dal\u0161\xED\
            \ konfiguraci;\n    o Hodnocen\xED z\xE1va\u017Enosti \u2013 S v\u011B\
            t\u0161\xED pravd\u011Bpodobnost\xED se pou\u017Eij\xED z\xE1platy, kter\xE9\
            \ \u0159e\u0161\xED kritick\xE9 zranitelnosti; a\n    o bezpe\u010Dnostn\xED\
            \ blogy, f\xF3ra a e-mailov\xE9 konference pro jak\xE9koli zn\xE1m\xE9\
            \ probl\xE9my nebo nekompatibility zp\u016Fsoben\xE9 opravou. \n\u2022\
            \ Pokud z\xE1platov\xE1n\xED nen\xED provediteln\xE9, zva\u017Ete alternativn\xED\
            \ opat\u0159en\xED, jako je p\u0159\xEDsn\xE9 pos\xEDlen\xED konfigurace,\
            \ syst\xE9my detekce naru\u0161en\xED, pravideln\xE9 skenov\xE1n\xED zranitelnost\xED\
            , segmentace nebo izolace s\xEDt\u011B, pokud je to mo\u017En\xE9, \u0159\
            \xEDzen\xED p\u0159\xEDstupu a monitorov\xE1n\xED.\n\n[TIPY]\n\n\u2022\
            \ Postupy spr\xE1vy oprav by m\u011Bly uv\xE1d\u011Bt rozsah, role a odpov\u011B\
            dnosti. \n\u2022 Prov\xE1d\u011Bjte aktualizace opera\u010Dn\xEDho syst\xE9\
            mu a aplikac\xED u podnikov\xFDch datov\xFDch zdroj\u016F prost\u0159\
            ednictv\xEDm automatizovan\xE9 spr\xE1vy oprav. \n\u2022 Pou\u017E\xED\
            vat vhodn\xE9 n\xE1stroje pro spr\xE1vu oprav ke spln\u011Bn\xED prvk\u016F\
            \ uveden\xFDch v bod\u011B 6.6.1 p\u0159\xEDlohy na\u0159\xEDzen\xED.\
            \ \n\u2022 Vzhledem k tomu, \u017Ee opravy mohou n\u011Bkdy zp\u016Fsobovat\
            \ probl\xE9my, doporu\u010Dujeme p\u0159ed jejich aplikac\xED z\xE1lohovat\
            \ syst\xE9m. \n\u2022 M\xEDt pl\xE1n vr\xE1cen\xED zp\u011Bt, kter\xFD\
            \ zajist\xED, \u017Ee se syst\xE9m vr\xE1t\xED do bezpe\u010Dn\xE9ho p\u0159\
            edchoz\xEDho stavu, pokud z\xE1platov\xE1n\xED nebude fungovat nebo oprava\
            \ probl\xE9mu nebude provediteln\xE1.   \n\u2022 Odstranit nepodporovan\xFD\
            \ hardware a software ze s\xEDt\u011B v p\u0159im\u011B\u0159en\xE9 a\
            \ akceptovan\xE9 dob\u011B v souladu s posouzen\xEDm rizik subjektu. \n\
            \u2022 Zahrnout po\u017Eadavky na opravy a aktualizace do politiky dodavatelsk\xE9\
            ho \u0159et\u011Bzce (p\u0159\xEDloha na\u0159\xEDzen\xED, bod 5.1) a\
            \ do smluv, hodnocen\xED nab\xEDdek a krit\xE9ri\xED v\xFDb\u011Bru pro\
            \ nov\xE9 slu\u017Eby, syst\xE9my nebo produkty IKT (odd\xEDl 6.1), mimo\
            \ jin\xE9 s ohledem na \u017Eivotnost syst\xE9mu."
          typical_evidence: "\u2022 D\u016Fkazy o prioritizaci z\xE1plat jsou nap\u0159\
            \xEDklad kladeny d\u016Fraz na z\xE1platy vyhodnocen\xE9 jako kritick\xE9\
            . \n\u2022 D\u016Fkaz, \u017Ee jsou uvedena a zm\xEDrn\u011Bna zbytkov\xE1\
            \ rizika vypl\xFDvaj\xEDc\xED z non-patchingu. \n\u2022 Zpr\xE1vy o incidentech\
            \ souvisej\xEDc\xED s neopraven\xFDmi zranitelnostmi za \xFA\u010Delem\
            \ kontroly \xFA\u010Dinnosti zm\xEDr\u0148uj\xEDc\xEDch opat\u0159en\xED\
            \ b\u011Bhem reakce subjektu. \n\u2022 Protokoly zm\u011Bn proveden\xFD\
            ch v syst\xE9mech, v\u010Detn\u011B pou\u017Eit\xFDch z\xE1plat, postup\u016F\
            \ vr\xE1cen\xED zp\u011Bt a jak\xFDchkoli zji\u0161t\u011Bn\xFDch probl\xE9\
            m\u016F. \n\u2022 Zdokumentovan\xE1 rozhodnut\xED nez\xE1platovat spolu\
            \ s p\u0159\xEDslu\u0161n\xFDmi alternativn\xEDmi opat\u0159en\xEDmi.\
            \ \n\u2022 Aktu\xE1ln\xED pl\xE1n l\xE9\u010Dby rizik.\n\n[TIPY]\n\n\u2022\
            \ Dokumentace pravideln\xFDch sch\u016Fzek, kde jsou p\u0159ezkoum\xE1\
            v\xE1ny procesy patch managementu. To by m\u011Blo zahrnovat agendy, evidenci\
            \ doch\xE1zky, opat\u0159en\xED p\u0159ijat\xE1 ke zlep\u0161en\xED procesu\
            \ a z\xE1pisy z jedn\xE1n\xED. \n\u2022 Kontroly nejnov\u011Bj\u0161\xED\
            ch z\xE1plat pro d\u016Fkazy o tom, kdo a kdy provedl jednotliv\xE9 kroky,\
            \ a pro dokumentaci popisuj\xEDc\xED role a odpov\u011Bdnosti zam\u011B\
            stnanc\u016F zapojen\xFDch do procesu spr\xE1vy z\xE1plat. \n\u2022 N\xE1\
            stroje pro spr\xE1vu patch\u016F. \n\u2022 Konfigurace a logy z t\u011B\
            chto n\xE1stroj\u016F prokazuj\xEDc\xED pravideln\xE9 pou\u017E\xEDv\xE1\
            n\xED. \n\u2022 Pl\xE1n vr\xE1cen\xED zp\u011Bt. \n\u2022 Smluvn\xED,\
            \ nab\xEDdkov\xE1 a dokumentovan\xE1 hodnot\xEDc\xED a v\xFDb\u011Brov\xE1\
            \ krit\xE9ria pro nov\xE9 syst\xE9my, kter\xE1 zohled\u0148uj\xED po\u017E\
            adavky na patch management a \u017Eivotnost syst\xE9mu."
        it:
          description: In deroga al punto 6.6.1. a), i soggetti pertinenti possono
            scegliere di non applicare le patch di sicurezza quando gli svantaggi
            derivanti dall'applicazione delle patch di sicurezza superano i benefici
            della cibersicurezza. I soggetti pertinenti documentano e motivano debitamente
            i motivi di tale decisione.
          annotation: "\u2022 Fare uno sforzo, proporzionato alle dimensioni e all'importanza\
            \ dell'entit\xE0, per garantire che le patch di sicurezza non introducano\
            \ ulteriori vulnerabilit\xE0 o instabilit\xE0. Esempi di informazioni\
            \ a sostegno di tale decisione possono includere (elenco indicativo e\
            \ non esaustivo):\n    o Documentazione del fornitore sulla patch:\n \
            \       * quali vulnerabilit\xE0 o bug specifici vengono risolti, \uF0A7\
            \ se la patch risolve un problema di sicurezza, migliora le prestazioni,\
            \ aggiunge funzionalit\xE0 o risolve problemi di stabilit\xE0, \uF0A7\
            \ requisiti di sistema o eventuali configurazioni specifiche richieste\
            \ o modifiche alle impostazioni di sistema, \uF0A7 istruzioni per l'installazione\
            \ su come applicare la patch e se richiede un riavvio o una configurazione\
            \ aggiuntiva;\n    o Grado di gravit\xE0: \xE8 pi\xF9 probabile che vengano\
            \ applicate le patch che risolvono vulnerabilit\xE0 critiche; e\n    o\
            \ Blog, forum e mailing list sulla sicurezza per eventuali problemi noti\
            \ o incompatibilit\xE0 introdotti dalla patch. \n\u2022 Se l'applicazione\
            \ di patch non \xE8 fattibile, prendere in considerazione misure alternative\
            \ come un rigoroso rafforzamento della configurazione, sistemi di rilevamento\
            \ delle intrusioni, scansione regolare delle vulnerabilit\xE0, segmentazione\
            \ o isolamento della rete, ove possibile, controllo e monitoraggio degli\
            \ accessi.\n\n[CONSIGLI]\n\n\u2022 Le procedure di gestione delle patch\
            \ dovrebbero indicare l'ambito, i ruoli e le responsabilit\xE0. \n\u2022\
            \ Esegui aggiornamenti del sistema operativo e delle applicazioni sulle\
            \ risorse aziendali attraverso la gestione automatizzata delle patch.\
            \ \n\u2022 Utilizzare strumenti di gestione delle patch adeguati per soddisfare\
            \ gli elementi di cui al punto 6.6.1 dell'Allegato al regolamento. \n\u2022\
            \ Poich\xE9 le patch a volte possono causare problemi, si consiglia di\
            \ eseguire il backup del sistema prima di applicarle. \n\u2022 Disporre\
            \ di un piano di rollback per garantire che il sistema torni a uno stato\
            \ precedente sicuro se l'applicazione di patch non funziona o la risoluzione\
            \ del problema non \xE8 fattibile.   \n\u2022 Rimuovere l'hardware e il\
            \ software non supportati dalla rete in un tempo ragionevole e accettato\
            \ in linea con la valutazione del rischio dell'entit\xE0. \n\u2022 Includere\
            \ i requisiti di patch e aggiornamento nella politica della catena di\
            \ fornitura (Allegato al regolamento, punto 5.1) e nei contratti, nella\
            \ valutazione delle offerte e nei criteri di selezione per nuovi servizi,\
            \ sistemi o prodotti ICT (sezione 6.1), considerando tra l'altro la durata\
            \ del sistema."
          typical_evidence: "\u2022 Prove di prioritizzazione delle patch, ad esempio,\
            \ l'enfasi \xE8 posta sulle patch valutate come critiche. \n\u2022 Prove\
            \ che i rischi residui derivanti dal mancato patching siano elencati e\
            \ mitigati. \n\u2022 Segnalazioni di incidenti relativi a vulnerabilit\xE0\
            \ prive di patch per verificare l'efficacia delle misure di mitigazione\
            \ durante la risposta dell'entit\xE0. \n\u2022 Registri delle modifiche\
            \ apportate ai sistemi, comprese le patch applicate, le procedure di rollback\
            \ e gli eventuali problemi riscontrati. \n\u2022 Decisioni documentate\
            \ di non applicare patch accompagnate da misure alternative pertinenti.\
            \ \n\u2022 Piano di trattamento del rischio aggiornato.\n\n[CONSIGLI]\n\
            \n\u2022 Documentazione delle riunioni periodiche in cui vengono esaminati\
            \ i processi di gestione delle patch. Ci\xF2 dovrebbe includere gli ordini\
            \ del giorno, i registri delle presenze, le azioni intraprese per migliorare\
            \ il processo e i verbali delle riunioni. \n\u2022 Controlli delle patch\
            \ pi\xF9 recenti per la prova di chi ha eseguito ogni passaggio e quando\
            \ e per la documentazione che delinea i ruoli e le responsabilit\xE0 del\
            \ personale coinvolto nel processo di gestione delle patch. \n\u2022 Strumenti\
            \ di gestione delle patch. \n\u2022 Configurazione e registri da questi\
            \ strumenti che dimostrano l'uso regolare. \n\u2022 Piano di rollback.\
            \ \n\u2022 Contratti, offerte e criteri di valutazione e selezione documentati\
            \ per i nuovi sistemi che tengono conto dei requisiti di gestione delle\
            \ patch e della durata del sistema."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.7
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6
      ref_id: '6.7'
      name: Network security
      translations:
        fr:
          name: "S\xE9curit\xE9 des r\xE9seaux"
        es:
          name: Seguridad de las redes
        cs:
          name: "Bezpe\u010Dnost s\xEDt\xED"
        it:
          name: Sicurezza della rete
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.7.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.7
      ref_id: 6.7.1
      description: The relevant entities shall take the appropriate measures to protect
        their network and information systems from cyber threats.
      annotation: "\u2022 Take into account well-known standards when implementing\
        \ measures for network security (61).\n\n(61) In addition to those mentioned\
        \ in the mapping table at the end of this section, consider the following:\
        \ a) NIST Special Publication NIST SP 800-215, Guide to a Secure Enterprise\
        \ Network Landscape, https://doi.org/10.6028/NIST.SP.800-215, accessed 7 May\
        \ 2025. b) ISO/IEC 27033 series of standards on network security."
      typical_evidence: "\u2022 Documented network security measures that are based\
        \ on relevant standards and good practices."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es prennent les mesures appropri\xE9\
            es pour prot\xE9ger leurs r\xE9seaux et syst\xE8mes d\u2019information\
            \ contre les cybermenaces."
          annotation: "\u2022 Tenir compte de normes bien connues lors de la mise\
            \ en \u0153uvre de mesures de s\xE9curit\xE9 des r\xE9seaux (61).\n\n\
            (61) En plus de ceux mentionn\xE9s dans le tableau de correspondance \xE0\
            \ la fin de la pr\xE9sente section, il convient de tenir compte de ce\
            \ qui suit : a) NIST Special Publication NIST SP 800-215, Guide to a Secure\
            \ Enterprise Network Landscape, https://doi.org/10.6028/NIST.SP.800-215,\
            \ consult\xE9 le 7 mai 2025. b) S\xE9rie de normes ISO/CEI 27033 sur la\
            \ s\xE9curit\xE9 des r\xE9seaux."
          typical_evidence: "\u2022 Des mesures de s\xE9curit\xE9 du r\xE9seau document\xE9\
            es bas\xE9es sur les normes et les bonnes pratiques pertinentes."
        es:
          description: "Las entidades pertinentes adoptar\xE1n medidas adecuadas para\
            \ proteger sus sistemas de redes y de informaci\xF3n de las ciberamenazas."
          annotation: "\u2022 Tener en cuenta las normas bien conocidas a la hora\
            \ de aplicar medidas de seguridad de la red (61).\n\n(61) Adem\xE1s de\
            \ las mencionadas en el cuadro de correspondencia que figura al final\
            \ de esta secci\xF3n, consid\xE9rese lo siguiente: a) Publicaci\xF3n especial\
            \ del NIST NIST SP 800-215, Guide to a Secure Enterprise Network Landscape,\
            \ https://doi.org/10.6028/NIST.SP.800-215, consultado el 7 de mayo de\
            \ 2025. b) Serie de normas ISO/IEC 27033 sobre seguridad de redes."
          typical_evidence: "\u2022 Medidas de seguridad de red documentadas que se\
            \ basan en los est\xE1ndares y buenas pr\xE1cticas relevantes."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty p\u0159ijmou vhodn\xE1\
            \ opat\u0159en\xED na ochranu sv\xFDch s\xEDt\xED a informa\u010Dn\xED\
            ch syst\xE9m\u016F p\u0159ed kybernetick\xFDmi hrozbami."
          annotation: "\u2022 P\u0159i prov\xE1d\u011Bn\xED opat\u0159en\xED pro bezpe\u010D\
            nost s\xEDt\u011B zohlednit dob\u0159e zn\xE1m\xE9 normy (61).\n\n(61)\
            \ Krom\u011B t\u011Bch, kter\xE9 jsou uvedeny v tabulce mapov\xE1n\xED\
            \ na konci tohoto odd\xEDlu, zva\u017Ete n\xE1sleduj\xEDc\xED: a) Zvl\xE1\
            \u0161tn\xED publikace NIST NIST SP 800-215, Guide to a Secure Enterprise\
            \ Network Landscape, https://doi.org/10.6028/NIST.SP.800-215, nav\u0161\
            t\xEDveno 7. kv\u011Btna 2025. b) \u0158ada norem ISO/IEC 27033 pro bezpe\u010D\
            nost s\xEDt\u011B."
          typical_evidence: "\u2022 Zdokumentovan\xE1 bezpe\u010Dnostn\xED opat\u0159\
            en\xED s\xEDt\u011B, kter\xE1 jsou zalo\u017Eena na p\u0159\xEDslu\u0161\
            n\xFDch standardech a osv\u011Bd\u010Den\xFDch postupech."
        it:
          description: I soggetti pertinenti adottano le misure appropriate per proteggere
            la loro rete e i loro sistemi informativi dalle minacce informatiche.
          annotation: "\u2022 Tenere conto di norme ben note nell'attuazione delle\
            \ misure per la sicurezza della rete (61).\n\n(61) Oltre a quelli menzionati\
            \ nella tabella di mappatura alla fine della presente sezione, si consideri\
            \ quanto segue: a) NIST Special Publication NIST SP 800-215, Guide to\
            \ a Secure Enterprise Network Landscape, https://doi.org/10.6028/NIST.SP.800-215,\
            \ consultato il 7 maggio 2025. b) serie di norme ISO/IEC 27033 sulla sicurezza\
            \ delle reti."
          typical_evidence: "\u2022 Misure di sicurezza della rete documentate basate\
            \ su standard e buone pratiche pertinenti."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.7.2
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.7
      ref_id: 6.7.2
      description: 'For the purpose of point 6.7.1., the relevant entities shall:'
      annotation: "\u2022 Implement secure-by-design principles by integrating security\
        \ at every layer of network design including the physical, data link, network,\
        \ transport and application layers. \n\u2022 Implement secure configurations\
        \ for wireless networks. \n\u2022 Where appropriate, consider zero-trust (62)\
        \ network access. \n\u2022 Identify the technical measures for the transition\
        \ to the latest network layer communication protocols (e.g. transition to\
        \ Internet Protocol version 6). \n\u2022 Define roles, responsibilities and\
        \ timelines for the transition to latest-generation network layer communication\
        \ protocols. \n\u2022 Approve, log and perform remote maintenance of network\
        \ and information systems in a manner that prevents unauthorised access. \n\
        \u2022 Consider the following for email communications (indicative, non-exhaustive\
        \ list):\n    o standards such as Start transport layer security (STARTTLS),\
        \ DNS-based authentication of named entities (DANE), domain-based message\
        \ authentication, reporting and& conformance (DMARC), DomainKeys identified\
        \ mail (DKIM) and sender policy framework (63),\n    o internal spam/scam/virus\
        \ filtering and o URL rewriting, URL scanning and URL detonation in a sandbox.\
        \ \n\u2022 Consider DNS security good practices (indicative, non-exhaustive\
        \ list):\n    o deploying DNS security extensions (DNS SEC) (64),\n    o deploying\
        \ protective DNS, wherever technically feasible, to provide additional network-wide\
        \ security capabilities,\n    o encrypting DNS traffic, both internal and\
        \ external, wherever feasible,\n    o deploying dedicated DNS servers to reduce\
        \ attack surface and\n    o following all technical guidance on ensuring that\
        \ DNS deployments and the DNS protocol are as secure and resilient as possible.\
        \ \n\u2022 Consider Border Gateway Protocol (BGP) (65) for internet routing.\n\
        \n(62) Zero-trust is a security model that assumes no user, device, application\
        \ or network is trusted by default \u2014 even if it's inside the corporate\
        \ perimeter. It's particularly relevant to remote access, service provider\
        \ access, network segmentation and device control. Key components to implement\
        \ zero trust are (indicative, non-exhaustive list): - Identity and access\
        \ management supported by MFA (11.6.1), role based access control (11.1.3)\
        \  and just in time access; - Device security supported by a policy which\
        \ allows only known devices and EDR (6.9.2); - Network microsegmentation supported\
        \ by logical segmentation (6.8), Next Generation Firewalls and a policy which\
        \ prevents lateral movement; - Zero trust network access (ZTNA) supported\
        \ by replacement of VPNs by ZTNA platforms, monitoring off all access requests\
        \ and a policy which grants access to resources based on the combination of\
        \ identity/device trust/context; - Application and data protection supported\
        \ by cloud access security brokers (CASBs), data loss prevention (DLP) and\
        \ encryption as well as monitoring of user activity; and - Continuous monitoring\
        \ supported by a SIEM, user and entity behaviour analytics.\n(63) https://ec.europa.eu/internet-standards/email.html.\n\
        (64) \u2018Secure Domain Name System (DNS) Deployment Guide\u2019, http://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-81-2.pdf,\
        \ as updated from time to time; Olaf Kolkman, \u2018DNSSEC HOWTO, a tutorial\
        \ in disguise\u2019, https://www.dns-school.org/Documentation/dnssec_howto.pdf,\
        \ as updated from time to time. \n(65) ENISA, 7 Steps to shore up the Border\
        \ Gateway Protocol (BGP), https://www.enisa.europa.eu/publications/7-steps-to-shore-up-bgp."
      typical_evidence: "\u2022 Up-to-date network diagrams, including OOB connections.\
        \ \n\u2022 Firewall(s) configured in accordance with the network traffic rules\
        \ of the entity\u2019s policies. \n\u2022 Configuration files and rulesets\
        \ for firewalls and routers, showing how traffic is filtered and managed.\
        \ \n\u2022 Secure configurations for wireless networks for example use of\
        \ WPA3 (encryption), 802.1X with EAP (authentication), firmware updates. \n\
        \u2022 Configuration files for switches, including virtual local access network\
        \ (VLAN) settings and ACLs. \n\u2022 Documentation of ACLs implemented on\
        \ network devices to control traffic flow. \n\u2022 Documented correct usage\
        \ of mobile devices, including the entity\u2019s connected vehicles that can\
        \ store data locally on the vehicle and/or share data externally by means\
        \ of telematics and other remote accesses (e.g. teleworking and OOB connections).\
        \ \n\u2022 Evidence of controls over privileged accounts, including logs and\
        \ policies. \n\u2022 A list of all devices used (network components), if any,\
        \ that cannot receive security patches and are not up to date. \n\u2022 Access\
        \ logs to confirm that only authorised personnel make changes and conduct\
        \ reviews of the network security rules. \n\u2022 Transition to the latest\
        \ generation plan for implementing network layer communication protocols."
      translations:
        fr:
          description: "Aux fins du point 6.7.1, les entit\xE9s concern\xE9es:"
          annotation: "\u2022 Mettre en \u0153uvre les principes de s\xE9curit\xE9\
            \ d\xE8s la conception en int\xE9grant la s\xE9curit\xE9 \xE0 chaque couche\
            \ de la conception du r\xE9seau, y compris les couches physique, de liaison\
            \ de donn\xE9es, de r\xE9seau, de transport et d'application. \n\u2022\
            \ Mettre en \u0153uvre des configurations s\xE9curis\xE9es pour les r\xE9\
            seaux sans fil. \n\u2022 Le cas \xE9ch\xE9ant, envisager un acc\xE8s au\
            \ r\xE9seau sans confiance (62). \n\u2022 Identifier les mesures techniques\
            \ pour la transition vers les protocoles de communication de la couche\
            \ r\xE9seau les plus r\xE9cents (par exemple, la transition vers le protocole\
            \ Internet version 6). \n\u2022 D\xE9finir les r\xF4les, les responsabilit\xE9\
            s et les d\xE9lais pour le passage aux protocoles de communication de\
            \ la couche r\xE9seau de derni\xE8re g\xE9n\xE9ration. \n\u2022 Approuver,\
            \ consigner et effectuer la maintenance \xE0 distance du r\xE9seau et\
            \ des syst\xE8mes d'information de mani\xE8re \xE0 emp\xEAcher tout acc\xE8\
            s non autoris\xE9. \n\u2022 Envisager les \xE9l\xE9ments suivants pour\
            \ les communications par courrier \xE9lectronique (liste indicative et\
            \ non exhaustive) :\n    o normes telles que Start transport layer security\
            \ (STARTTLS), DNS-based authentication of named entities (DANE), domain-based\
            \ message authentication, reporting and& conformance (DMARC), DomainKeys\
            \ identified mail (DKIM) et sender policy framework (63),\n    o filtrage\
            \ interne des spams/scam/virus et o r\xE9\xE9criture d'URL, balayage d'URL\
            \ et d\xE9tonation d'URL dans un bac \xE0 sable.\n\u2022 Prendre en compte\
            \ les bonnes pratiques en mati\xE8re de s\xE9curit\xE9 DNS (liste indicative\
            \ et non exhaustive) :\n    o d\xE9ployer des extensions de s\xE9curit\xE9\
            \ DNS (DNS SEC) (64), \n    o d\xE9ployer des DNS de protection, lorsque\
            \ cela est techniquement possible, pour fournir des capacit\xE9s de s\xE9\
            curit\xE9 suppl\xE9mentaires \xE0 l'\xE9chelle du r\xE9seau,\n    o chiffrer\
            \ le trafic DNS, tant interne qu'externe, lorsque cela est possible,\n\
            \    o d\xE9ployer des serveurs DNS d\xE9di\xE9s pour r\xE9duire la surface\
            \ d'attaque et\n    o suivre toutes les orientations techniques pour s'assurer\
            \ que les d\xE9ploiements DNS et le protocole DNS sont aussi s\xFBrs et\
            \ r\xE9silients que possible.\n\u2022 Envisager le protocole Border Gateway\
            \ Protocol (BGP) (65) pour le routage internet.\n\n(62) La confiance z\xE9\
            ro est un mod\xE8le de s\xE9curit\xE9 qui part du principe qu'aucun utilisateur,\
            \ appareil, application ou r\xE9seau n'est fiable par d\xE9faut, m\xEA\
            me s'il se trouve \xE0 l'int\xE9rieur du p\xE9rim\xE8tre de l'entreprise.\
            \ Ce mod\xE8le est particuli\xE8rement pertinent pour l'acc\xE8s \xE0\
            \ distance, l'acc\xE8s aux fournisseurs de services, la segmentation du\
            \ r\xE9seau et le contr\xF4le des appareils. Les composants cl\xE9s de\
            \ la mise en \u0153uvre de la confiance z\xE9ro sont les suivants (liste\
            \ indicative et non exhaustive) : - La gestion des identit\xE9s et des\
            \ acc\xE8s soutenue par l'AMF (11.6.1), le contr\xF4le d'acc\xE8s bas\xE9\
            \ sur les r\xF4les (11.1.3) et l'acc\xE8s juste \xE0 temps ; - La s\xE9\
            curit\xE9 des appareils soutenue par une politique qui n'autorise que\
            \ les appareils connus et la RDE (6.9.2) ; - La microsegmentation du r\xE9\
            seau soutenue par la segmentation logique (6. 8), des pare-feu de nouvelle\
            \ g\xE9n\xE9ration et une politique qui emp\xEAche les mouvements lat\xE9\
            raux ; - l'acc\xE8s au r\xE9seau sans confiance (ZTNA) soutenu par le\
            \ remplacement des VPN par des plateformes ZTNA, la surveillance de toutes\
            \ les demandes d'acc\xE8s et une politique qui accorde l'acc\xE8s aux\
            \ ressources sur la base de la combinaison identit\xE9/confiance de l'appareil/contexte\
            \ ; - la protection des applications et des donn\xE9es soutenue par des\
            \ courtiers de s\xE9curit\xE9 d'acc\xE8s au nuage (CASB), la pr\xE9vention\
            \ de la perte de donn\xE9es (DLP) et le cryptage ainsi que la surveillance\
            \ de l'activit\xE9 de l'utilisateur ; et - la surveillance continue soutenue\
            \ par un SIEM, l'analyse du comportement de l'utilisateur et de l'entit\xE9\
            .\n(63) https://ec.europa.eu/internet-standards/email.html.\n(64) \xAB\
            \ Secure Domain Name System (DNS) Deployment Guide \xBB, http://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-81-2.pdf,\
            \ avec des mises \xE0 jour r\xE9guli\xE8res ; Olaf Kolkman, \xAB DNSSEC\
            \ HOWTO, a tutorial in disguise \xBB, https://www.dns-school.org/Documentation/dnssec_howto.pdf,\
            \ avec des mises \xE0 jour r\xE9guli\xE8res.\n(65) ENISA, 7 Steps to shore\
            \ up the Border Gateway Protocol (BGP), https://www.enisa.europa.eu/publications/7-steps-to-shore-up-bgp."
          typical_evidence: "\u2022 Diagrammes de r\xE9seau \xE0 jour, y compris les\
            \ connexions OOB. \n\u2022 Pare-feu configur\xE9(s) conform\xE9ment aux\
            \ r\xE8gles de trafic r\xE9seau des politiques de l\u2019entit\xE9. \n\
            \u2022 Fichiers de configuration et ensembles de r\xE8gles pour les pare-feu\
            \ et les routeurs, montrant comment le trafic est filtr\xE9 et g\xE9r\xE9\
            . \n\u2022 Configurations s\xE9curis\xE9es pour les r\xE9seaux sans fil\
            \ par exemple utilisation de WPA3 (cryptage), 802.1X avec EAP (authentification),\
            \ mises \xE0 jour du firmware. \n\u2022 Fichiers de configuration des\
            \ commutateurs, y compris les param\xE8tres de r\xE9seau d\u2019acc\xE8\
            s local virtuel (VLAN) et les listes de contr\xF4le d\u2019acc\xE8s. \n\
            \u2022 Documentation des ACL impl\xE9ment\xE9es sur les p\xE9riph\xE9\
            riques r\xE9seau pour contr\xF4ler la fluidit\xE9 du trafic. \n\u2022\
            \ Utilisation correcte document\xE9e des appareils mobiles, y compris\
            \ les v\xE9hicules connect\xE9s de l\u2019entit\xE9 qui peuvent stocker\
            \ des donn\xE9es localement sur le v\xE9hicule et/ou partager des donn\xE9\
            es en externe au moyen de la t\xE9l\xE9matique et d\u2019autres acc\xE8\
            s \xE0 distance (par exemple, le t\xE9l\xE9travail et les connexions OOB).\
            \ \n\u2022 Preuve de contr\xF4les sur les comptes privil\xE9gi\xE9s, y\
            \ compris les journaux et les politiques. \n\u2022 Une liste de tous les\
            \ appareils utilis\xE9s (composants r\xE9seau), le cas \xE9ch\xE9ant,\
            \ qui ne peuvent pas recevoir de correctifs de s\xE9curit\xE9 et qui ne\
            \ sont pas \xE0 jour. \n\u2022 Acc\xE9dez aux journaux pour confirmer\
            \ que seul le personnel autoris\xE9 apporte des modifications et effectue\
            \ des examens des r\xE8gles de s\xE9curit\xE9 du r\xE9seau. \n\u2022 Passage\
            \ \xE0 un plan de derni\xE8re g\xE9n\xE9ration pour la mise en \u0153\
            uvre des protocoles de communication de la couche r\xE9seau."
        es:
          description: 'A los efectos del punto 6.7.1, las entidades pertinentes:'
          annotation: "\u2022 Aplicar principios de dise\xF1o seguro integrando la\
            \ seguridad en todas las capas del dise\xF1o de la red, incluidas las\
            \ capas f\xEDsica, de enlace de datos, de red, de transporte y de aplicaci\xF3\
            n. \n\u2022 Implemente configuraciones seguras para las redes inal\xE1\
            mbricas. \n\u2022 Cuando proceda, considerar el acceso a la red de confianza\
            \ cero (62). \n\u2022 Identificar las medidas t\xE9cnicas para la transici\xF3\
            n a los \xFAltimos protocolos de comunicaci\xF3n de la capa de red (por\
            \ ejemplo, transici\xF3n al Protocolo de Internet versi\xF3n 6). \n\u2022\
            \ Definir funciones, responsabilidades y plazos para la transici\xF3n\
            \ a los protocolos de comunicaci\xF3n de capa de red de \xFAltima generaci\xF3\
            n. \n\u2022 Aprobar, registrar y realizar el mantenimiento a distancia\
            \ de los sistemas de red e informaci\xF3n de forma que se impida el acceso\
            \ no autorizado. \n\u2022 Considerar lo siguiente para las comunicaciones\
            \ por correo electr\xF3nico (lista indicativa, no exhaustiva):\n    o\
            \ est\xE1ndares como Start transport layer security (STARTTLS), DNS-based\
            \ authentication of named entities (DANE), domain-based message authentication,\
            \ reporting and& conformance (DMARC), DomainKeys identified mail (DKIM)\
            \ y sender policy framework (63),\n    o filtrado interno de spam/scam/virus\
            \ y o reescritura de URL, escaneo de URL y detonaci\xF3n de URL en un\
            \ sandbox.\n\u2022 Considerar buenas pr\xE1cticas de seguridad DNS (lista\
            \ indicativa, no exhaustiva):\n    o desplegar extensiones de seguridad\
            \ DNS (DNS SEC) (64),\n    o desplegar DNS de protecci\xF3n, siempre que\
            \ sea t\xE9cnicamente factible, para proporcionar capacidades de seguridad\
            \ adicionales en toda la red,\n    o cifrar el tr\xE1fico DNS, tanto interno\
            \ como externo, siempre que sea factible,\n    o desplegar servidores\
            \ DNS dedicados para reducir la superficie de ataque y\n    o seguir todas\
            \ las directrices t\xE9cnicas para garantizar que los despliegues DNS\
            \ y el protocolo DNS sean lo m\xE1s seguros y resistentes posible.\n\u2022\
            \ Considerar el Protocolo de Pasarela Fronteriza (BGP) (65) para el enrutamiento\
            \ en Internet.\n\n(62) La confianza cero es un modelo de seguridad que\
            \ asume que ning\xFAn usuario, dispositivo, aplicaci\xF3n o red es de\
            \ confianza por defecto, aunque se encuentre dentro del per\xEDmetro corporativo.\
            \ Es especialmente relevante para el acceso remoto, el acceso de proveedores\
            \ de servicios, la segmentaci\xF3n de redes y el control de dispositivos.\
            \ Los componentes clave para implantar la confianza cero son (lista indicativa,\
            \ no exhaustiva): - Gesti\xF3n de identidades y accesos mediante MFA (11.6.1),\
            \ control de acceso basado en funciones (11.1.3) y acceso justo a tiempo.\
            \ 8), cortafuegos de nueva generaci\xF3n y una pol\xEDtica que impida\
            \ el movimiento lateral; - acceso a la red de confianza cero (ZTNA) mediante\
            \ la sustituci\xF3n de las VPN por plataformas ZTNA, la supervisi\xF3\
            n de todas las solicitudes de acceso y una pol\xEDtica que conceda acceso\
            \ a los recursos basada en la combinaci\xF3n de identidad/confianza del\
            \ dispositivo/contexto; - protecci\xF3n de aplicaciones y datos mediante\
            \ agentes de seguridad de acceso a la nube (CASB), prevenci\xF3n de p\xE9\
            rdida de datos (DLP) y cifrado, as\xED como supervisi\xF3n de la actividad\
            \ de los usuarios; y - supervisi\xF3n continua mediante un SIEM y an\xE1\
            lisis del comportamiento de usuarios y entidades.\n(63) https://ec.europa.eu/internet-standards/email.html.\n\
            (64) \xABSecure Domain Name System (DNS) Deployment Guide\xBB, http://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-81-2.pdf,\
            \ actualizado peri\xF3dicamente; Olaf Kolkman, \xABDNSSEC HOWTO, a tutorial\
            \ in disguise\xBB, https://www.dns-school.org/Documentation/dnssec_howto.pdf,\
            \ actualizado peri\xF3dicamente.\n(65) ENISA, 7 Steps to shore up the\
            \ Border Gateway Protocol (BGP), https://www.enisa.europa.eu/publications/7-steps-to-shore-up-bgp."
          typical_evidence: "\u2022 Diagramas de red actualizados, incluidas las conexiones\
            \ OOB. \n\u2022 Firewall(s) configurado(s) de acuerdo con las reglas de\
            \ tr\xE1fico de red de las pol\xEDticas de la entidad. \n\u2022 Archivos\
            \ de configuraci\xF3n y conjuntos de reglas para firewalls y enrutadores,\
            \ que muestran c\xF3mo se filtra y administra el tr\xE1fico. \n\u2022\
            \ Configuraciones seguras para redes inal\xE1mbricas, por ejemplo, uso\
            \ de WPA3 (cifrado), 802.1X con EAP (autenticaci\xF3n), actualizaciones\
            \ de firmware. \n\u2022 Archivos de configuraci\xF3n para switches, incluida\
            \ la configuraci\xF3n de la red de acceso local virtual (VLAN) y las ACL.\
            \ \n\u2022 Documentaci\xF3n de las ACL implementadas en los dispositivos\
            \ de red para controlar el flujo de tr\xE1fico. \n\u2022 Uso correcto\
            \ documentado de los dispositivos m\xF3viles, incluidos los veh\xEDculos\
            \ conectados de la entidad que pueden almacenar datos localmente en el\
            \ veh\xEDculo y/o compartir datos externamente mediante telem\xE1tica\
            \ y otros accesos remotos (por ejemplo, conexiones de teletrabajo y OOB).\
            \ \n\u2022 Evidencia de controles sobre cuentas privilegiadas, incluidos\
            \ registros y pol\xEDticas. \n\u2022 Una lista de todos los dispositivos\
            \ utilizados (componentes de red), si los hay, que no pueden recibir parches\
            \ de seguridad y no est\xE1n actualizados. \n\u2022 Acceder a los registros\
            \ para confirmar que solo el personal autorizado realiza cambios y realizar\
            \ revisiones de las reglas de seguridad de la red. \n\u2022 Transici\xF3\
            n al plan de \xFAltima generaci\xF3n para la implementaci\xF3n de protocolos\
            \ de comunicaci\xF3n en la capa de red."
        cs:
          description: "Pro \xFA\u010Dely bodu 6.7.1 p\u0159\xEDslu\u0161n\xE9 subjekty:"
          annotation: "\u2022 Implementujte z\xE1sady zabezpe\u010Den\xED ji\u017E\
            \ od n\xE1vrhu integrac\xED zabezpe\u010Den\xED na v\u0161ech vrstv\xE1\
            ch n\xE1vrhu s\xEDt\u011B, v\u010Detn\u011B fyzick\xE9 vrstvy, vrstvy\
            \ datov\xE9ho spoje, s\xED\u0165ov\xE9 vrstvy, transportn\xED vrstvy a\
            \ aplika\u010Dn\xED vrstvy. \n\u2022 Implementujte bezpe\u010Dn\xE9 konfigurace\
            \ pro bezdr\xE1tov\xE9 s\xEDt\u011B. \n\u2022 Tam, kde je to vhodn\xE9\
            , zva\u017Ete p\u0159\xEDstup k s\xEDti s nulovou d\u016Fv\u011Brou (62).\
            \ \n\u2022 Ur\u010Dete technick\xE1 opat\u0159en\xED pro p\u0159echod\
            \ na nejnov\u011Bj\u0161\xED komunika\u010Dn\xED protokoly s\xED\u0165\
            ov\xE9 vrstvy (nap\u0159. p\u0159echod na internetov\xFD protokol verze\
            \ 6). \n\u2022 Definujte role, odpov\u011Bdnosti a \u010Dasov\xE9 pl\xE1\
            ny pro p\u0159echod na nejnov\u011Bj\u0161\xED generaci komunika\u010D\
            n\xEDch protokol\u016F s\xED\u0165ov\xE9 vrstvy. \n\u2022 Schvalujte,\
            \ protokolujte a prov\xE1d\u011Bjte vzd\xE1lenou \xFAdr\u017Ebu s\xED\
            t\u011B a informa\u010Dn\xEDch syst\xE9m\u016F zp\u016Fsobem, kter\xFD\
            \ zabr\xE1n\xED neopr\xE1vn\u011Bn\xE9mu p\u0159\xEDstupu. \n\u2022 Pro\
            \ e-mailovou komunikaci zva\u017Ete n\xE1sleduj\xEDc\xED (orienta\u010D\
            n\xED, ne\xFApln\xFD seznam):\n    o standardy, jako je zabezpe\u010D\
            en\xED transportn\xED vrstvy Start (STARTTLS), ov\u011B\u0159ov\xE1n\xED\
            \ pojmenovan\xFDch entit na z\xE1klad\u011B DNS (DANE), ov\u011B\u0159\
            ov\xE1n\xED, hl\xE1\u0161en\xED a& shoda zpr\xE1v na z\xE1klad\u011B dom\xE9\
            ny (DMARC), DomainKeys identified mail (DKIM) a r\xE1mec z\xE1sad odes\xED\
            latele (63),\n    o intern\xED filtrov\xE1n\xED spamu/spamu/vir\u016F\
            \ a o p\u0159episov\xE1n\xED URL, skenov\xE1n\xED URL a detonaci URL v\
            \ sandboxu.\n\u2022 Zva\u017Ete osv\u011Bd\u010Den\xE9 postupy zabezpe\u010D\
            en\xED DNS (orienta\u010Dn\xED, ne\xFApln\xFD seznam):\n    o nasazen\xED\
            \ bezpe\u010Dnostn\xEDch roz\u0161\xED\u0159en\xED DNS (DNS SEC) (64),\n\
            \    o nasazen\xED ochrann\xE9ho DNS, pokud je to technicky provediteln\xE9\
            , aby se zajistily dal\u0161\xED mo\u017Enosti zabezpe\u010Den\xED cel\xE9\
            \ s\xEDt\u011B,\n    o \u0161ifrov\xE1n\xED provozu DNS, intern\xEDho\
            \ i extern\xEDho, pokud je to provediteln\xE9,\n    o nasazen\xED vyhrazen\xFD\
            ch server\u016F DNS, aby se sn\xED\u017Eil prostor pro \xFAtoky, a\n \
            \   o dodr\u017Eov\xE1n\xED v\u0161ech technick\xFDch pokyn\u016F k zaji\u0161\
            t\u011Bn\xED co nejv\u011Bt\u0161\xEDho zabezpe\u010Den\xED a odolnosti\
            \ nasazen\xED DNS a protokolu DNS.\n\u2022 Zva\u017Ete protokol BGP (Border\
            \ Gateway Protocol) (65) pro sm\u011Brov\xE1n\xED po internetu.\n\n(62)\
            \ Nulov\xE1 d\u016Fv\u011Bryhodnost je model zabezpe\u010Den\xED, kter\xFD\
            \ p\u0159edpokl\xE1d\xE1, \u017Ee \u017E\xE1dn\xFD u\u017Eivatel, za\u0159\
            \xEDzen\xED, aplikace ani s\xED\u0165 nejsou ve v\xFDchoz\xEDm nastaven\xED\
            \ d\u016Fv\u011Bryhodn\xE9 - a to ani v p\u0159\xEDpad\u011B, \u017Ee\
            \ se nach\xE1zej\xED uvnit\u0159 podnikov\xE9ho perimetru. T\xFDk\xE1\
            \ se zejm\xE9na vzd\xE1len\xE9ho p\u0159\xEDstupu, p\u0159\xEDstupu poskytovatel\u016F\
            \ slu\u017Eeb, segmentace s\xEDt\u011B a \u0159\xEDzen\xED za\u0159\xED\
            zen\xED. Kl\xED\u010Dov\xE9 komponenty pro implementaci nulov\xE9 d\u016F\
            v\u011Bryhodnosti jsou (orienta\u010Dn\xED, ne\xFApln\xFD seznam): 8),\
            \ firewally nov\xE9 generace a z\xE1sadami, kter\xE9 zabra\u0148uj\xED\
            \ later\xE1ln\xEDmu pohybu; - p\u0159\xEDstup k s\xEDti s nulovou d\u016F\
            v\u011Bryhodnost\xED (ZTNA) podporovan\xFD nahrazen\xEDm VPN platformami\
            \ ZTNA, monitorov\xE1n\xEDm v\u0161ech po\u017Eadavk\u016F na p\u0159\xED\
            stup a z\xE1sadami, kter\xE9 ud\u011Bluj\xED p\u0159\xEDstup ke zdroj\u016F\
            m na z\xE1klad\u011B kombinace d\u016Fv\u011Bryhodnosti identity/za\u0159\
            \xEDzen\xED/kontextu; - ochrana aplikac\xED a dat podporovan\xE1 zprost\u0159\
            edkovateli zabezpe\u010Den\xED p\u0159\xEDstupu ke cloudu (CASB), prevenc\xED\
            \ ztr\xE1ty dat (DLP) a \u0161ifrov\xE1n\xEDm, jako\u017E i monitorov\xE1\
            n\xEDm \u010Dinnosti u\u017Eivatel\u016F; a - pr\u016Fb\u011B\u017En\xE9\
            \ monitorov\xE1n\xED podporovan\xE9 syst\xE9mem SIEM, anal\xFDzou chov\xE1\
            n\xED u\u017Eivatel\u016F a entit.\n(63) https://ec.europa.eu/internet-standards/email.html.\n\
            (64) \u201ESecure Domain Name System (DNS) Deployment Guide\u201C, http://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-81-2.pdf,\
            \ \u010Das od \u010Dasu aktualizov\xE1no; Olaf Kolkman, \u201EDNSSEC HOWTO,\
            \ a tutorial in disguise\u201C, https://www.dns-school.org/Documentation/dnssec_howto.pdf,\
            \ \u010Das od \u010Dasu aktualizov\xE1no. \n(65) ENISA, 7 Steps to shore\
            \ up the Border Gateway Protocol (BGP), https://www.enisa.europa.eu/publications/7-steps-to-shore-up-bgp."
          typical_evidence: "\u2022 Aktu\xE1ln\xED s\xED\u0165ov\xE1 sch\xE9mata,\
            \ v\u010Detn\u011B OOB p\u0159ipojen\xED. \n\u2022 Br\xE1ny firewall nakonfigurovan\xE9\
            \ v souladu s pravidly s\xED\u0165ov\xE9ho provozu v z\xE1sad\xE1ch subjektu.\
            \ \n\u2022 Konfigura\u010Dn\xED soubory a sady pravidel pro firewally\
            \ a sm\u011Brova\u010De, kter\xE9 ukazuj\xED, jak je provoz filtrov\xE1\
            n a spravov\xE1n. \n\u2022 Bezpe\u010Dn\xE9 konfigurace pro bezdr\xE1\
            tov\xE9 s\xEDt\u011B nap\u0159\xEDklad pou\u017Eit\xED WPA3 (\u0161ifrov\xE1\
            n\xED), 802.1X s EAP (autentizace), aktualizace firmwaru. \n\u2022 Konfigura\u010D\
            n\xED soubory pro switche, v\u010Detn\u011B nastaven\xED virtu\xE1ln\xED\
            \ lok\xE1ln\xED p\u0159\xEDstupov\xE9 s\xEDt\u011B (VLAN) a ACL. \n\u2022\
            \ Dokumentace seznam\u016F ACL implementovan\xFDch na s\xED\u0165ov\xFD\
            ch za\u0159\xEDzen\xEDch pro \u0159\xEDzen\xED toku provozu. \n\u2022\
            \ Zdokumentovan\xE9 spr\xE1vn\xE9 pou\u017E\xEDv\xE1n\xED mobiln\xEDch\
            \ za\u0159\xEDzen\xED, v\u010Detn\u011B p\u0159ipojen\xFDch vozidel subjektu,\
            \ kter\xE1 mohou ukl\xE1dat data lok\xE1ln\u011B ve vozidle a/nebo sd\xED\
            let data extern\u011B prost\u0159ednictv\xEDm telematiky a dal\u0161\xED\
            ch vzd\xE1len\xFDch p\u0159\xEDstup\u016F (nap\u0159. pr\xE1ce na d\xE1\
            lku a p\u0159ipojen\xED OOB). \n\u2022 D\u016Fkazy o kontrol\xE1ch nad\
            \ privilegovan\xFDmi \xFA\u010Dty, v\u010Detn\u011B log\u016F a politik.\
            \ \n\u2022 Seznam v\u0161ech pou\u017Eit\xFDch za\u0159\xEDzen\xED (s\xED\
            \u0165ov\xFDch komponent), pokud existuj\xED, kter\xE1 nemohou p\u0159\
            ij\xEDmat bezpe\u010Dnostn\xED z\xE1platy a nejsou aktu\xE1ln\xED. \n\u2022\
            \ P\u0159\xEDstupov\xE9 protokoly pro potvrzen\xED, \u017Ee zm\u011Bny\
            \ a kontroly pravidel zabezpe\u010Den\xED s\xEDt\u011B prov\xE1d\u011B\
            j\xED pouze opr\xE1vn\u011Bn\xED pracovn\xEDci. \n\u2022 P\u0159echod\
            \ na nejnov\u011Bj\u0161\xED generaci pl\xE1nu implementace komunika\u010D\
            n\xEDch protokol\u016F s\xED\u0165ov\xE9 vrstvy."
        it:
          description: 'Ai fini del punto 6.7.1, i soggetti interessati:'
          annotation: "\u2022 Implementare i principi di secure-by-design integrando\
            \ la sicurezza a tutti i livelli della progettazione della rete, compresi\
            \ i livelli fisico, di collegamento dati, di rete, di trasporto e di applicazione.\
            \ \n\u2022 Implementare configurazioni sicure per le reti wireless. \n\
            \u2022 Ove opportuno, considerare l'accesso alla rete a fiducia zero (62).\
            \ \n\u2022 Identificare le misure tecniche per la transizione ai pi\xF9\
            \ recenti protocolli di comunicazione del livello di rete (ad esempio,\
            \ la transizione alla versione 6 del protocollo Internet). \n\u2022 Definire\
            \ ruoli, responsabilit\xE0 e tempistiche per la transizione ai protocolli\
            \ di comunicazione a livello di rete di ultima generazione. \n\u2022 Approvare,\
            \ registrare ed eseguire la manutenzione remota della rete e dei sistemi\
            \ informativi in modo da impedire l'accesso non autorizzato. \n\u2022\
            \ Considerare quanto segue per le comunicazioni via e-mail (elenco indicativo\
            \ e non esaustivo):\n    o standard come Start transport layer security\
            \ (STARTTLS), DNS-based authentication of named entities (DANE), domain-based\
            \ message authentication, reporting and& conformance (DMARC), DomainKeys\
            \ identified mail (DKIM) e sender policy framework (63),\n    o filtro\
            \ interno antispam/scam/virus e o riscrittura di URL, scansione di URL\
            \ e detonazione di URL in una sandbox.\n\u2022 Considerare le buone pratiche\
            \ di sicurezza del DNS (elenco indicativo e non esaustivo):\n    o distribuire\
            \ le estensioni di sicurezza del DNS (DNS SEC) (64),\n    o distribuire\
            \ il DNS protettivo, laddove tecnicamente possibile, per fornire ulteriori\
            \ capacit\xE0 di sicurezza a livello di rete,\n    o crittografare il\
            \ traffico DNS, sia interno che esterno, laddove possibile,\n    o distribuire\
            \ server DNS dedicati per ridurre la superficie di attacco e\n    o seguire\
            \ tutte le linee guida tecniche per garantire che le distribuzioni DNS\
            \ e il protocollo DNS siano il pi\xF9 possibile sicure e resilienti.\n\
            \u2022 Considerare il Border Gateway Protocol (BGP) (65) per il routing\
            \ Internet.\n\n(62) Lo zero-trust \xE8 un modello di sicurezza che presuppone\
            \ che nessun utente, dispositivo, applicazione o rete sia affidabile per\
            \ impostazione predefinita, anche se si trova all'interno del perimetro\
            \ aziendale. \xC8 particolarmente importante per l'accesso remoto, l'accesso\
            \ dei fornitori di servizi, la segmentazione della rete e il controllo\
            \ dei dispositivi. I componenti chiave per implementare la fiducia zero\
            \ sono (elenco indicativo e non esaustivo): Accesso alla rete a fiducia\
            \ zero (ZTNA) supportato dalla sostituzione delle VPN con piattaforme\
            \ ZTNA, dal monitoraggio di tutte le richieste di accesso e da una politica\
            \ che concede l'accesso alle risorse in base alla combinazione di identit\xE0\
            /fiducia del dispositivo/contesto; - Protezione delle applicazioni e dei\
            \ dati supportata da broker di sicurezza dell'accesso al cloud (CASB),\
            \ prevenzione della perdita di dati (DLP) e crittografia, nonch\xE9 monitoraggio\
            \ dell'attivit\xE0 dell'utente; e - Monitoraggio continuo supportato da\
            \ un SIEM, analisi del comportamento di utenti ed entit\xE0.\n(63) https://ec.europa.eu/internet-standards/email.html.\n\
            (64) \u201CSecure Domain Name System (DNS) Deployment Guide\u201D, http://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-81-2.pdf,\
            \ aggiornato periodicamente; Olaf Kolkman, \u201CDNSSEC HOWTO, a tutorial\
            \ in disguise\u201D, https://www.dns-school.org/Documentation/dnssec_howto.pdf,\
            \ aggiornato periodicamente. \n(65) ENISA, 7 Steps to shore up the Border\
            \ Gateway Protocol (BGP), https://www.enisa.europa.eu/publications/7-steps-to-shore-up-bgp."
          typical_evidence: "\u2022 Diagrammi di rete aggiornati, comprese le connessioni\
            \ OOB. \n\u2022 Firewall configurati in conformit\xE0 con le regole del\
            \ traffico di rete delle politiche dell'entit\xE0. \n\u2022 File di configurazione\
            \ e set di regole per firewall e router, che mostrano come il traffico\
            \ viene filtrato e gestito. \n\u2022 Configurazioni sicure per reti wireless,\
            \ ad esempio l'uso di WPA3 (crittografia), 802.1X con EAP (autenticazione),\
            \ aggiornamenti del firmware. \n\u2022 File di configurazione per gli\
            \ switch, incluse le impostazioni della VLAN (Virtual Local Access Network)\
            \ e gli ACL. \n\u2022 Documentazione degli ACL implementati sui dispositivi\
            \ di rete per controllare il flusso del traffico. \n\u2022 Utilizzo corretto\
            \ documentato dei dispositivi mobili, compresi i veicoli connessi dell'ente\
            \ in grado di memorizzare dati localmente sul veicolo e/o condividere\
            \ dati esternamente mediante telematica e altri accessi remoti (ad es.\
            \ telelavoro e connessioni OOB). \n\u2022 Prova dei controlli sugli account\
            \ privilegiati, inclusi log e policy. \n\u2022 Un elenco di tutti i dispositivi\
            \ utilizzati (componenti di rete), se presenti, che non possono ricevere\
            \ patch di sicurezza e non sono aggiornati. \n\u2022 Registri di accesso\
            \ per confermare che solo il personale autorizzato apporta modifiche e\
            \ condurre revisioni delle regole di sicurezza della rete. \n\u2022 Passaggio\
            \ al piano di ultima generazione per l'implementazione dei protocolli\
            \ di comunicazione a livello di rete."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.7.2.a
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.7.2
      ref_id: 6.7.2.a
      description: document the architecture of the network in a comprehensible and
        up to date manner;
      translations:
        fr:
          description: "consignent des informations compr\xE9hensibles et actualis\xE9\
            es sur l\u2019architecture du r\xE9seau;"
        es:
          description: "documentar\xE1n la arquitectura de la red de manera comprensible\
            \ y actualizada;"
        cs:
          description: "v komplexn\xED a aktu\xE1ln\xED podob\u011B zdokumentuj\xED\
            \ architekturu s\xEDt\u011B;"
        it:
          description: documentare l'architettura della rete in modo comprensibile
            e aggiornato;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.7.2.b
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.7.2
      ref_id: 6.7.2.b
      description: "determine and apply controls to protect the relevant entities\u2019\
        \ internal network domains from unauthorised access;"
      translations:
        fr:
          description: "d\xE9terminent et appliquent des contr\xF4les pour prot\xE9\
            ger les domaines de r\xE9seau internes des entit\xE9s concern\xE9es contre\
            \ tout acc\xE8s non autoris\xE9;"
        es:
          description: "establecer\xE1n y aplicar\xE1n controles para proteger los\
            \ dominios de red internos de las entidades pertinentes frente al acceso\
            \ no autorizado;"
        cs:
          description: "ur\u010D\xED a uplatn\xED kontroln\xED mechanismy na ochranu\
            \ vnit\u0159n\xEDch s\xED\u0165ov\xFDch dom\xE9n p\u0159\xEDslu\u0161\
            n\xFDch subjekt\u016F p\u0159ed neopr\xE1vn\u011Bn\xFDm p\u0159\xEDstupem;"
        it:
          description: determinare e applicare controlli per proteggere i domini di
            rete interni dei soggetti interessati dall'accesso non autorizzato;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.7.2.c
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.7.2
      ref_id: 6.7.2.c
      description: configure controls to prevent accesses and network communication
        not required for the operation of the relevant entities;
      translations:
        fr:
          description: "configurent les contr\xF4les pour emp\xEAcher les acc\xE8\
            s et la communication par r\xE9seau qui ne sont pas n\xE9cessaires au\
            \ fonctionnement des entit\xE9s concern\xE9es;"
        es:
          description: "configurar\xE1n los controles para impedir el acceso y las\
            \ comunicaciones de la red que no sean necesarios para el funcionamiento\
            \ de las entidades pertinentes;"
        cs:
          description: "nakonfiguruj\xED kontroly, kter\xE9 zabr\xE1n\xED p\u0159\xED\
            stup\u016Fm a s\xED\u0165ov\xE9 komunikaci, je\u017E nejsou nutn\xE9 pro\
            \ provoz p\u0159\xEDslu\u0161n\xFDch subjekt\u016F;"
        it:
          description: configurare controlli per impedire accessi e comunicazioni
            di rete non necessari per il funzionamento dei soggetti interessati;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.7.2.d
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.7.2
      ref_id: 6.7.2.d
      description: determine and apply controls for remote access to network and information
        systems, including access by service providers;
      translations:
        fr:
          description: "d\xE9terminent et appliquent des contr\xF4les pour l\u2019\
            acc\xE8s \xE0 distance aux r\xE9seaux et aux syst\xE8mes d\u2019information,\
            \ y compris l\u2019acc\xE8s par des prestataires de services;"
        es:
          description: "establecer\xE1n y aplicar\xE1n controles del acceso remoto\
            \ a los sistemas de redes y de informaci\xF3n, incluido el acceso por\
            \ parte de los proveedores de servicios;"
        cs:
          description: "ur\u010D\xED a uplatn\xED kontroly vzd\xE1len\xE9ho p\u0159\
            \xEDstupu k s\xEDt\xEDm a informa\u010Dn\xEDm syst\xE9m\u016Fm, v\u010D\
            etn\u011B p\u0159\xEDstupu ze strany poskytovatel\u016F slu\u017Eeb;"
        it:
          description: determinare e applicare controlli per l'accesso remoto alla
            rete e ai sistemi informativi, compreso l'accesso da parte dei fornitori
            di servizi;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.7.2.e
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.7.2
      ref_id: 6.7.2.e
      description: not use systems used for administration of the security policy
        implementation for other purposes;
      translations:
        fr:
          description: "n\u2019utilisent pas \xE0 d\u2019autres fins les syst\xE8\
            mes utilis\xE9s pour la gestion de la mise en \u0153uvre de la politique\
            \ de s\xE9curit\xE9;"
        es:
          description: "no utilizar\xE1n los sistemas empleados para gestionar la\
            \ aplicaci\xF3n de la pol\xEDtica de seguridad para otros fines;"
        cs:
          description: "nevyu\u017Eij\xED syst\xE9my pou\u017E\xEDvan\xE9 pro spr\xE1\
            vu prov\xE1d\u011Bn\xED z\xE1sad zabezpe\u010Den\xED k jin\xFDm \xFA\u010D\
            el\u016Fm;"
        it:
          description: non utilizzare i sistemi utilizzati per la gestione dell'attuazione
            della politica di sicurezza per altri scopi;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.7.2.f
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.7.2
      ref_id: 6.7.2.f
      description: explicitly forbid or deactivate unneeded connections and services;
      translations:
        fr:
          description: "interdisent explicitement ou d\xE9sactivent les connexions\
            \ et les services non n\xE9cessaires;"
        es:
          description: "prohibir\xE1n de manera expl\xEDcita o desactivar\xE1n las\
            \ conexiones y servicios que no sean necesarios;"
        cs:
          description: "v\xFDslovn\u011B zak\xE1\u017Eou nebo deaktivuj\xED nepot\u0159\
            ebn\xE1 p\u0159ipojen\xED a slu\u017Eby;"
        it:
          description: vietare o disattivare esplicitamente connessioni e servizi
            non necessari;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.7.2.g
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.7.2
      ref_id: 6.7.2.g
      description: "where appropriate, exclusively allow access to the relevant entities\u2019\
        \ network and information systems by devices authorised by those entities;"
      translations:
        fr:
          description: "s\u2019il est besoin, autorisent exclusivement l\u2019acc\xE8\
            s aux r\xE9seaux et aux syst\xE8mes d\u2019information des entit\xE9s\
            \ concern\xE9es au moyen de dispositifs autoris\xE9s par ces entit\xE9\
            s;"
        es:
          description: "cuando proceda, \xFAnicamente permitir\xE1n el acceso a los\
            \ sistemas de redes y de informaci\xF3n de las entidades pertinentes a\
            \ los dispositivos autorizados por estas \xFAltimas;"
        cs:
          description: "v p\u0159\xEDpad\u011B pot\u0159eby umo\u017En\xED p\u0159\
            \xEDstup k s\xEDt\xEDm a informa\u010Dn\xEDm syst\xE9m\u016Fm p\u0159\xED\
            slu\u0161n\xFDch subjekt\u016F v\xFDhradn\u011B prost\u0159ednictv\xED\
            m za\u0159\xEDzen\xED, kter\xE1 jsou t\u011Bmito subjekty autorizov\xE1\
            na;"
        it:
          description: se del caso, consentire esclusivamente l'accesso alla rete
            e ai sistemi informativi dei soggetti pertinenti da parte di dispositivi
            autorizzati da tali soggetti;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.7.2.h
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.7.2
      ref_id: 6.7.2.h
      description: allow connections of service providers only after an authorisation
        request and for a set time period, such as the duration of a maintenance operation;
      translations:
        fr:
          description: "n\u2019autorisent les connexions de prestataires de services\
            \ qu\u2019\xE0 la suite d\u2019une demande d\u2019autorisation et pour\
            \ une dur\xE9e d\xE9termin\xE9e, telle que la dur\xE9e d\u2019une op\xE9\
            ration de maintenance;"
        es:
          description: "permitir\xE1n la conexi\xF3n de los proveedores de servicios\
            \ previa solicitud de autorizaci\xF3n \xFAnicamente y durante un per\xED\
            odo de tiempo limitado, como la duraci\xF3n de una operaci\xF3n de mantenimiento;"
        cs:
          description: "povol\xED p\u0159ipojen\xED poskytovatel\u016F slu\u017Eeb\
            \ pouze na z\xE1klad\u011B \u017E\xE1dosti o povolen\xED a po stanovenou\
            \ dobu, nap\u0159\xEDklad po dobu trv\xE1n\xED \xFAdr\u017Eby;"
        it:
          description: consentire le connessioni dei fornitori di servizi solo dopo
            una richiesta di autorizzazione e per un determinato periodo di tempo,
            ad esempio la durata di un'operazione di manutenzione;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.7.2.i
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.7.2
      ref_id: 6.7.2.i
      description: establish communication between distinct systems only through trusted
        channels that are isolated using logical, cryptographic or physical separation
        from other communication channels and provide assured identification of their
        end points and protection of the channel data from modification or disclosure;
      translations:
        fr:
          description: "\xE9tablissent une communication entre des syst\xE8mes distincts\
            \ uniquement par des canaux de confiance isol\xE9s des autres canaux de\
            \ communication au moyen d\u2019une s\xE9paration logique, cryptographique\
            \ ou physique et pr\xE9voient une identification assur\xE9e de leurs points\
            \ terminaux et la protection des donn\xE9es du canal contre toute modification\
            \ ou divulgation;"
        es:
          description: "establecer\xE1n la comunicaci\xF3n entre distintos sistemas\
            \ \xFAnicamente a trav\xE9s de canales de confianza que est\xE9n aislados\
            \ mediante separaci\xF3n l\xF3gica, criptogr\xE1fica o f\xEDsica de otros\
            \ canales de comunicaci\xF3n, y facilitar\xE1n la identificaci\xF3n segura\
            \ de su punto final y la protecci\xF3n de sus datos frente a la modificaci\xF3\
            n o la revelaci\xF3n;"
        cs:
          description: "zavedou spojen\xED mezi r\u016Fzn\xFDmi syst\xE9my pouze prost\u0159\
            ednictv\xEDm d\u016Fv\u011Bryhodn\xFDch kan\xE1l\u016F, kter\xE9 jsou\
            \ logicky, kryptograficky nebo fyzicky odd\u011Bleny od ostatn\xEDch komunika\u010D\
            n\xEDch kan\xE1l\u016F a zaji\u0161\u0165uj\xED zaru\u010Denou identifikaci\
            \ jejich koncov\xFDch bod\u016F a ochranu dat kan\xE1lu p\u0159ed modifikac\xED\
            \ nebo vyzrazen\xEDm;"
        it:
          description: stabilire la comunicazione tra sistemi distinti solo attraverso
            canali affidabili che sono isolati utilizzando la separazione logica,
            crittografica o fisica da altri canali di comunicazione e forniscono un'identificazione
            sicura dei loro punti finali e la protezione dei dati del canale da modifiche
            o divulgazioni;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.7.2.j
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.7.2
      ref_id: 6.7.2.j
      description: adopt an implementation plan for the full transition towards latest
        generation network layer communication protocols in a secure, appropriate
        and gradual way and establish measures to accelerate such transition;
      translations:
        fr:
          description: "adoptent un plan de mise en \u0153uvre pour la transition\
            \ compl\xE8te vers des protocoles de communication de la derni\xE8re g\xE9\
            n\xE9ration au niveau de la couche r\xE9seau d\u2019une mani\xE8re s\xFB\
            re, appropri\xE9e et progressive, et prennent des mesures pour acc\xE9\
            l\xE9rer cette transition;"
        es:
          description: "adoptar\xE1n un plan de ejecuci\xF3n para realizar la transici\xF3\
            n hacia protocolos de comunicaci\xF3n de la capa de red de \xFAltima generaci\xF3\
            n de manera segura, adecuada y gradual, y establecer\xE1n medidas para\
            \ acelerar dicha transici\xF3n;"
        cs:
          description: "p\u0159ijmou prov\xE1d\u011Bc\xED pl\xE1n pro \xFApln\xFD\
            \ p\u0159echod na nejnov\u011Bj\u0161\xED generaci komunika\u010Dn\xED\
            ch protokol\u016F s\xED\u0165ov\xE9 vrstvy bezpe\u010Dn\xFDm, vhodn\xFD\
            m a postupn\xFDm zp\u016Fsobem a zavedou opat\u0159en\xED k urychlen\xED\
            \ tohoto p\u0159echodu;"
        it:
          description: adottare un piano di attuazione per la transizione completa
            verso protocolli di comunicazione a livello di rete di ultima generazione
            in modo sicuro, appropriato e graduale e stabilire misure per accelerare
            tale transizione;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.7.2.k
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.7.2
      ref_id: 6.7.2.k
      description: adopt an implementation plan for the deployment of internationally
        agreed and interoperable modern e-mail communications standards to secure
        e-mail communications to mitigate vulnerabilities linked to e-mail-related
        threats and establish measures to accelerate such deployment;
      translations:
        fr:
          description: "adoptent un plan de mise en \u0153uvre pour le d\xE9ploiement\
            \ de normes de communication par courrier \xE9lectronique modernes, reconnues\
            \ et interop\xE9rables au niveau international, afin de s\xE9curiser les\
            \ communications par courrier \xE9lectronique de mani\xE8re \xE0 att\xE9\
            nuer les vuln\xE9rabilit\xE9s dues aux menaces li\xE9es au courrier \xE9\
            lectronique et prennent des mesures pour acc\xE9l\xE9rer ce d\xE9ploiement;"
        es:
          description: "adoptar\xE1n un plan de ejecuci\xF3n relativo a la implantaci\xF3\
            n de normas sobre las comunicaciones por correo electr\xF3nico modernas,\
            \ interoperables y aprobadas a escala internacional para proteger las\
            \ comunicaciones por correo electr\xF3nico y mitigar las vulnerabilidades\
            \ vinculadas a las amenazas relativas a este \xFAltimo, y establecer\xE1\
            n medidas para acelerar dicha implantaci\xF3n;"
        cs:
          description: "p\u0159ijmou prov\xE1d\u011Bc\xED pl\xE1n pro zaveden\xED\
            \ mezin\xE1rodn\u011B dohodnut\xFDch a interoperabiln\xEDch modern\xED\
            ch standard\u016F pro e-mailovou komunikaci, aby se zabezpe\u010Dila e-mailov\xE1\
            \ komunikace a zm\xEDrnila zranitelnost spojen\xE1 s hrozbami souvisej\xED\
            c\xEDmi s elektronickou po\u0161tou, a zavedou opat\u0159en\xED k urychlen\xED\
            \ tohoto zav\xE1d\u011Bn\xED;"
        it:
          description: "adottare un piano di attuazione per l'introduzione di norme\
            \ moderne e interoperabili per le comunicazioni di posta elettronica concordate\
            \ a livello internazionale per rendere sicure le comunicazioni di posta\
            \ elettronica al fine di attenuare le vulnerabilit\xE0 legate alle minacce\
            \ connesse alla posta elettronica e stabilire misure per accelerare tale\
            \ diffusione;"
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.7.2.l
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.7.2
      ref_id: 6.7.2.l
      description: apply best practices for the security of the DNS, and for Internet
        routing security and routing hygiene of traffic originating from and destined
        to the network.
      translations:
        fr:
          description: "appliquent les meilleures pratiques en mati\xE8re de s\xE9\
            curit\xE9 du DNS, de s\xE9curit\xE9 du routage sur internet et d\u2019\
            hygi\xE8ne du routage pour le trafic en provenance et \xE0 destination\
            \ du r\xE9seau."
        es:
          description: "aplicar\xE1n las mejores pr\xE1cticas sobre seguridad del\
            \ sistema de nombres de dominio, la seguridad del enrutamiento de internet\
            \ y la higiene del enrutamiento del tr\xE1fico con origen en la red o\
            \ destinado a ella."
        cs:
          description: "uplat\u0148uj\xED osv\u011Bd\u010Den\xE9 postupy pro zabezpe\u010D\
            en\xED DNS a pro zabezpe\u010Den\xED sm\u011Brov\xE1n\xED na internetu\
            \ a hygienu sm\u011Brov\xE1n\xED provozu vych\xE1zej\xEDc\xEDho ze s\xED\
            t\u011B a sm\u011B\u0159uj\xEDc\xEDho do s\xEDt\u011B."
        it:
          description: applicare le migliori pratiche per la sicurezza del DNS, e
            per la sicurezza del routing Internet e l'igiene del routing del traffico
            proveniente da e destinato alla rete.
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.7.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.7
      ref_id: 6.7.3
      description: The relevant entities shall review and, where appropriate, update
        these measures at planned intervals and when significant incidents or significant
        changes to operations or risks occur.
      annotation: "\u2022 Although the frequency of reviews of network security measures\
        \ depends on the entity\u2019s risk assessment as a general rule the entity\
        \ might (indicative, non-exhaustive list):\n    o continuously monitor the\
        \ networks for real time threats;\n    o perform scans for new vulnerabilities\
        \ weekly;\n    o review and possibly update the rules of the firewall and\
        \ other tools monthly; and\n    o thoroughly assess the entire network annually.\
        \ \n\u2022 Review logs or records of all changes made to the network security\
        \ rules, including details of the changes, approvals and implementation dates.\
        \ \n\u2022 Ensure that these reviews are conducted regularly and documented\
        \ comprehensively. \n\n[TIPS]\n\n\u2022 Communicate to personnel the correct\
        \ usage of mobile devices, including the entity\u2019s connected vehicles\
        \ and other remote accesses. \n\u2022 Where appropriate, apply solutions capable\
        \ of collecting, analysing and detecting all anomalies, exfiltrations, intrusions\
        \ and the most sophisticated threats."
      typical_evidence: "\u2022 Plans or schedules for upcoming or completed, regular\
        \ or ad hoc reviews. \n\u2022 List of reports from past reviews. This should\
        \ cover various types of reviews. \n\u2022 Logs from firewalls, routers and\
        \ other network devices showing access attempts, configuration changes and\
        \ other relevant activities. \n\u2022 Reports from SIEM and EDR/XDR systems\
        \ showing aggregated and analysed security events. \n\u2022 Virtual private\
        \ network (VPN) and remote access logs showing remote access, including OOB\
        \ connections, access attempts, successful connections and any anomalies.\
        \ \n\u2022 Evidence of network access control (NAC) or other similar and/or\
        \ alternative solutions, in place, including logs and configuration settings.\
        \ \n\u2022 Logs or records showing the dates and results of regular reviews\
        \ of the network security rules. \n\u2022 Logs or records of all changes made\
        \ to the network security rules. \n\u2022 Logs or records of firewall and\
        \ ACL reviews. \n\u2022 Documentation showing regular reviews of user and\
        \ administrative access to network devices. \n\u2022 Audit logs from network\
        \ security devices (e.g. firewalls, intrusion detection/prevention systems\
        \ (IDS/IPS)) to ensure that changes and reviews are logged. \n\u2022 Backup\
        \ files of network device configurations to ensure that changes and reviews\
        \ are reflected in the backups. \n\u2022 Logs of network security incidents\
        \ to see if they include documentation of rule set reviews following significant\
        \ incidents. \n\u2022 Post incident review reports to see if they document\
        \ reviews and any necessary adjustments to the network security rules.\n\n\
        [TIPS]\n\n\u2022 The correct usage of mobile devices and other remote accesses\
        \ (e.g. teleworking and VPN) has been communicated to personnel. \n\u2022\
        \ Existence of IDS/IPS."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es r\xE9examinent et, s\u2019il\
            \ est besoin, mettent \xE0 jour ces mesures \xE0 intervalles pr\xE9d\xE9\
            finis, ainsi qu\u2019en cas d\u2019incidents importants ou lorsque des\
            \ changements majeurs concernant les op\xE9rations ou les risques se produisent."
          annotation: "\u2022 Bien que la fr\xE9quence des examens des mesures de\
            \ s\xE9curit\xE9 du r\xE9seau d\xE9pende de l\u2019\xE9valuation des risques\
            \ par l\u2019entit\xE9, en r\xE8gle g\xE9n\xE9rale, l\u2019entit\xE9 peut\
            \ (liste indicative et non exhaustive) :\n    o Surveiller en permanence\
            \ les r\xE9seaux pour d\xE9tecter les menaces en temps r\xE9el ;\n   \
            \ o Effectuer des analyses hebdomadaires pour d\xE9tecter de nouvelles\
            \ vuln\xE9rabilit\xE9s ;\n    o R\xE9viser et \xE9ventuellement mettre\
            \ \xE0 jour mensuellement les r\xE8gles du pare-feu et autres outils ;\
            \ et\n    o \xC9valuer minutieusement l\u2019ensemble du r\xE9seau chaque\
            \ ann\xE9e. \n\u2022 Examiner les journaux ou les enregistrements de toutes\
            \ les modifications apport\xE9es aux r\xE8gles de s\xE9curit\xE9 du r\xE9\
            seau, y compris les d\xE9tails des modifications, les approbations et\
            \ les dates de mise en \u0153uvre. \n\u2022 Veiller \xE0 ce que ces examens\
            \ soient effectu\xE9s r\xE9guli\xE8rement et document\xE9s de mani\xE8\
            re exhaustive. \n\n[CONSEILS]\n\n\u2022 Communiquer au personnel l\u2019\
            utilisation correcte des appareils mobiles, y compris les v\xE9hicules\
            \ connect\xE9s de l\u2019entit\xE9 et autres acc\xE8s \xE0 distance. \n\
            \u2022 Le cas \xE9ch\xE9ant, appliquer des solutions capables de collecter,\
            \ d\u2019analyser et de d\xE9tecter toutes les anomalies, exfiltrations,\
            \ intrusions et menaces les plus sophistiqu\xE9es."
          typical_evidence: "\u2022 Plans ou calendriers pour les examens \xE0 venir\
            \ ou termin\xE9s, r\xE9guliers ou ponctuels. \n\u2022 Liste des rapports\
            \ des revues pr\xE9c\xE9dentes. Cela devrait couvrir diff\xE9rents types\
            \ d\u2019avis. \n\u2022 Journaux des pare-feu, routeurs et autres p\xE9\
            riph\xE9riques r\xE9seau montrant les tentatives d\u2019acc\xE8s, les\
            \ modifications de configuration et d\u2019autres activit\xE9s pertinentes.\
            \ \n\u2022 Rapports des syst\xE8mes SIEM et EDR/XDR montrant des \xE9\
            v\xE9nements de s\xE9curit\xE9 agr\xE9g\xE9s et analys\xE9s. \n\u2022\
            \ R\xE9seaux priv\xE9s virtuels (VPN) et journaux d\u2019acc\xE8s \xE0\
            \ distance indiquant l\u2019acc\xE8s \xE0 distance, y compris les connexions\
            \ OOB, les tentatives d\u2019acc\xE8s, les connexions r\xE9ussies et toute\
            \ anomalie. \n\u2022 Preuve de la mise en place d\u2019un contr\xF4le\
            \ d\u2019acc\xE8s au r\xE9seau (NAC) ou d\u2019autres solutions similaires\
            \ et/ou alternatives, y compris les journaux et les param\xE8tres de configuration.\
            \ \n\u2022 Des journaux ou des enregistrements montrant les dates et les\
            \ r\xE9sultats des r\xE9visions r\xE9guli\xE8res des r\xE8gles de s\xE9\
            curit\xE9 du r\xE9seau. \n\u2022 Journaux ou enregistrements de toutes\
            \ les modifications apport\xE9es aux r\xE8gles de s\xE9curit\xE9 du r\xE9\
            seau. \n\u2022 Journaux ou enregistrements des examens du pare-feu et\
            \ de l\u2019ACL. \n\u2022 Documentation montrant des examens r\xE9guliers\
            \ de l\u2019acc\xE8s des utilisateurs et des administrateurs aux p\xE9\
            riph\xE9riques r\xE9seau. \n\u2022 Auditer les journaux des dispositifs\
            \ de s\xE9curit\xE9 du r\xE9seau (par exemple, les pare-feu, les syst\xE8\
            mes de d\xE9tection/pr\xE9vention des intrusions (IDS/IPS)) pour s\u2019\
            assurer que les modifications et les examens sont enregistr\xE9s. \n\u2022\
            \ Sauvegardez les fichiers des configurations des p\xE9riph\xE9riques\
            \ r\xE9seau pour vous assurer que les modifications et les r\xE9visions\
            \ sont refl\xE9t\xE9es dans les sauvegardes. \n\u2022 Journaux des incidents\
            \ de s\xE9curit\xE9 du r\xE9seau pour voir s\u2019ils incluent la documentation\
            \ des r\xE9visions d\u2019ensembles de r\xE8gles \xE0 la suite d\u2019\
            incidents importants. \n\u2022 Publier des rapports d\u2019examen d\u2019\
            incident pour voir s\u2019ils documentent les examens et les ajustements\
            \ n\xE9cessaires aux r\xE8gles de s\xE9curit\xE9 du r\xE9seau.\n\n[CONSEILS]\n\
            \n\u2022 L\u2019utilisation correcte des appareils mobiles et autres acc\xE8\
            s \xE0 distance (par exemple, le t\xE9l\xE9travail et le VPN) a \xE9t\xE9\
            \ communiqu\xE9e au personnel. \n\u2022 Existence d\u2019IDS/IPS."
        es:
          description: "Las entidades pertinentes revisar\xE1n y, cuando proceda,\
            \ actualizar\xE1n estas medidas a intervalos planificados o cuando se\
            \ produzcan incidentes significativos o cambios significativos en las\
            \ operaciones o los riesgos."
          annotation: "Aunque la frecuencia de las revisiones de las medidas de seguridad\
            \ de la red depende de la evaluaci\xF3n de riesgos de la entidad, como\
            \ regla general, la entidad podr\xEDa (lista indicativa no exhaustiva):\n\
            \    o monitorear continuamente las redes en busca de amenazas en tiempo\
            \ real;\n    o realizar escaneos semanales en busca de nuevas vulnerabilidades;\n\
            \    o revisar y posiblemente actualizar mensualmente las reglas del cortafuegos\
            \ y otras herramientas; y\n    o Evaluar minuciosamente toda la red anualmente.\
            \ \n\u2022 Revisar los registros o registros de todos los cambios realizados\
            \ en las reglas de seguridad de la red, incluidos los detalles de los\
            \ cambios, las aprobaciones y las fechas de implementaci\xF3n. \n\u2022\
            \ Garantizar que estos ex\xE1menes se lleven a cabo con regularidad y\
            \ se documenten de forma exhaustiva. \n\n[CONSEJOS]\n\n\u2022 Comunicar\
            \ al personal el uso correcto de los dispositivos m\xF3viles, incluidos\
            \ los veh\xEDculos conectados de la entidad y otros accesos remotos. \n\
            \u2022 En su caso, aplicar soluciones capaces de recoger, analizar y detectar\
            \ todas las anomal\xEDas, exfiltraciones, intrusiones y las amenazas m\xE1\
            s sofisticadas."
          typical_evidence: "\u2022 Planes o cronogramas para revisiones pr\xF3ximas\
            \ o completadas, peri\xF3dicas o ad hoc. \n\u2022 Lista de informes de\
            \ revisiones pasadas. Esto deber\xEDa abarcar varios tipos de revisiones.\
            \ \n\u2022 Registros de firewalls, enrutadores y otros dispositivos de\
            \ red que muestran intentos de acceso, cambios de configuraci\xF3n y otras\
            \ actividades relevantes. \n\u2022 Informes de sistemas SIEM y EDR/XDR\
            \ que muestran eventos de seguridad agregados y analizados. \n\u2022 Red\
            \ privada virtual (VPN) y registros de acceso remoto que muestran el acceso\
            \ remoto, incluidas las conexiones OOB, los intentos de acceso, las conexiones\
            \ exitosas y cualquier anomal\xEDa. \n\u2022 Evidencia de control de acceso\
            \ a la red (NAC) u otras soluciones similares y/o alternativas, implementadas,\
            \ incluidos los registros y los ajustes de configuraci\xF3n. \n\u2022\
            \ Registros o registros que muestran las fechas y los resultados de las\
            \ revisiones peri\xF3dicas de las reglas de seguridad de la red. \n\u2022\
            \ Registros o registros de todos los cambios realizados en las reglas\
            \ de seguridad de la red. \n\u2022 Registros o registros de revisiones\
            \ de firewall y ACL. \n\u2022 Documentaci\xF3n que muestre revisiones\
            \ peri\xF3dicas del acceso de usuarios y administradores a los dispositivos\
            \ de red. \n\u2022 Registros de auditor\xEDa de dispositivos de seguridad\
            \ de red (por ejemplo, firewalls, sistemas de detecci\xF3n/prevenci\xF3\
            n de intrusiones (IDS/IPS)) para garantizar que se registren los cambios\
            \ y las revisiones. \n\u2022 Copia de seguridad de los archivos de las\
            \ configuraciones de los dispositivos de red para garantizar que los cambios\
            \ y las revisiones se reflejen en las copias de seguridad. \n\u2022 Registros\
            \ de incidentes de seguridad de la red para ver si incluyen documentaci\xF3\
            n de revisiones del conjunto de reglas despu\xE9s de incidentes significativos.\
            \ \n\u2022 Publicar informes de revisi\xF3n de incidentes para ver si\
            \ documentan revisiones y ajustes necesarios a las reglas de seguridad\
            \ de la red.\n\n[CONSEJOS]\n\n\u2022 Se ha comunicado al personal el uso\
            \ correcto de los dispositivos m\xF3viles y otros accesos remotos (por\
            \ ejemplo, teletrabajo y VPN). \n\u2022 Existencia de IDS/IPS."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty tato opat\u0159en\xED p\u0159\
            ezkoum\xE1vaj\xED a v p\u0159\xEDpad\u011B pot\u0159eby aktualizuj\xED\
            \ v pl\xE1novan\xFDch intervalech a p\u0159i v\xFDskytu v\xFDznamn\xFD\
            ch incident\u016F nebo v\xFDznamn\xFDch zm\u011Bn operac\xED \u010Di rizik."
          annotation: "\u2022 A\u010Dkoli \u010Detnost p\u0159ezkum\u016F bezpe\u010D\
            nostn\xEDch opat\u0159en\xED s\xEDt\u011B z\xE1vis\xED na posouzen\xED\
            \ rizik subjektem, obecn\xFDm pravidlem je, \u017Ee subjekt m\u016F\u017E\
            e (orienta\u010Dn\xED, nevy\u010Derp\xE1vaj\xEDc\xED seznam):\n    o nep\u0159\
            etr\u017Eit\u011B monitorovat s\xEDt\u011B kv\u016Fli hrozb\xE1m v re\xE1\
            ln\xE9m \u010Dase;\n    o prov\xE1d\u011Bt skenov\xE1n\xED nov\xFDch zranitelnost\xED\
            \ ka\u017Ed\xFD t\xFDden;\n    o ka\u017Ed\xFD m\u011Bs\xEDc p\u0159ezkoum\xE1\
            vat a p\u0159\xEDpadn\u011B aktualizovat pravidla firewallu a dal\u0161\
            \xEDch n\xE1stroj\u016F; a\n    o Ka\u017Edoro\u010Dn\u011B d\u016Fkladn\u011B\
            \ vyhodno\u0165te celou s\xED\u0165. \n\u2022 Kontrolujte protokoly nebo\
            \ z\xE1znamy o v\u0161ech zm\u011Bn\xE1ch proveden\xFDch v pravidlech\
            \ zabezpe\u010Den\xED s\xEDt\u011B, v\u010Detn\u011B podrobnost\xED o\
            \ zm\u011Bn\xE1ch, schv\xE1len\xED a datech implementace. \n\u2022 Zajist\u011B\
            te, aby tyto p\u0159ezkumy byly prov\xE1d\u011Bny pravideln\u011B a komplexn\u011B\
            \ zdokumentov\xE1ny. \n\n[TIPY]\n\n\u2022 Informovat zam\u011Bstnance\
            \ o spr\xE1vn\xE9m pou\u017E\xEDv\xE1n\xED mobiln\xEDch za\u0159\xEDzen\xED\
            , v\u010Detn\u011B p\u0159ipojen\xFDch vozidel a dal\u0161\xEDch vzd\xE1\
            len\xFDch p\u0159\xEDstup\u016F subjektu. \n\u2022 Tam, kde je to vhodn\xE9\
            , aplikovat \u0159e\u0161en\xED schopn\xE1 shroma\u017E\u010Fovat, analyzovat\
            \ a detekovat v\u0161echny anom\xE1lie, exfiltrace, pr\u016Fniky a nejsofistikovan\u011B\
            j\u0161\xED hrozby."
          typical_evidence: "\u2022 Pl\xE1ny nebo harmonogramy nadch\xE1zej\xEDc\xED\
            ch nebo dokon\u010Den\xFDch, pravideln\xFDch nebo ad hoc p\u0159ezkum\u016F\
            . \n\u2022 Seznam zpr\xE1v z minul\xFDch recenz\xED. To by m\u011Blo zahrnovat\
            \ r\u016Fzn\xE9 typy recenz\xED. \n\u2022 Protokoly z bran firewall, sm\u011B\
            rova\u010D\u016F a dal\u0161\xEDch s\xED\u0165ov\xFDch za\u0159\xEDzen\xED\
            \ zobrazuj\xEDc\xED pokusy o p\u0159\xEDstup, zm\u011Bny konfigurace a\
            \ dal\u0161\xED relevantn\xED aktivity. \n\u2022 Reporty ze syst\xE9m\u016F\
            \ SIEM a EDR/XDR zobrazuj\xEDc\xED agregovan\xE9 a analyzovan\xE9 bezpe\u010D\
            nostn\xED ud\xE1losti. \n\u2022 Protokoly virtu\xE1ln\xED priv\xE1tn\xED\
            \ s\xEDt\u011B (VPN) a vzd\xE1len\xE9ho p\u0159\xEDstupu zobrazuj\xED\
            c\xED vzd\xE1len\xFD p\u0159\xEDstup, v\u010Detn\u011B p\u0159ipojen\xED\
            \ OOB, pokus\u016F o p\u0159\xEDstup, \xFAsp\u011B\u0161n\xFDch p\u0159\
            ipojen\xED a jak\xFDchkoli anom\xE1li\xED. \n\u2022 Doklad o \u0159\xED\
            zen\xED p\u0159\xEDstupu k s\xEDti (NAC) nebo jin\xFDch podobn\xFDch a/nebo\
            \ alternativn\xEDch \u0159e\u0161en\xEDch, v\u010Detn\u011B protokol\u016F\
            \ a nastaven\xED konfigurace. \n\u2022 Protokoly nebo z\xE1znamy zobrazuj\xED\
            c\xED data a v\xFDsledky pravideln\xFDch kontrol pravidel zabezpe\u010D\
            en\xED s\xEDt\u011B. \n\u2022 Protokoly nebo z\xE1znamy o v\u0161ech zm\u011B\
            n\xE1ch proveden\xFDch v pravidlech zabezpe\u010Den\xED s\xEDt\u011B.\
            \ \n\u2022 Protokoly nebo z\xE1znamy kontrol firewallu a ACL. \n\u2022\
            \ Dokumentace zobrazuj\xEDc\xED pravideln\xE9 kontroly p\u0159\xEDstupu\
            \ u\u017Eivatel\u016F a administr\xE1tor\u016F k s\xED\u0165ov\xFDm za\u0159\
            \xEDzen\xEDm. \n\u2022 Auditujte protokoly ze za\u0159\xEDzen\xED pro\
            \ zabezpe\u010Den\xED s\xEDt\u011B (nap\u0159. firewally, syst\xE9my pro\
            \ detekci/prevenci naru\u0161en\xED (IDS/IPS)), abyste zajistili protokolov\xE1\
            n\xED zm\u011Bn a kontrol. \n\u2022 Z\xE1lohovat soubory konfigurac\xED\
            \ s\xED\u0165ov\xFDch za\u0159\xEDzen\xED, aby bylo zaji\u0161t\u011B\
            no, \u017Ee se zm\u011Bny a kontroly projev\xED v z\xE1loh\xE1ch. \n\u2022\
            \ Protokoly incident\u016F zabezpe\u010Den\xED s\xEDt\u011B, aby se zjistilo,\
            \ zda obsahuj\xED dokumentaci o reviz\xEDch sady pravidel po v\xFDznamn\xFD\
            ch incidentech. \n\u2022 Publikujte zpr\xE1vy o kontrole incident\u016F\
            \ a zjist\u011Bte, zda dokumentuj\xED kontroly a p\u0159\xEDpadn\xE9 nezbytn\xE9\
            \ \xFApravy pravidel zabezpe\u010Den\xED s\xEDt\u011B.\n\n[TIPY]\n\n\u2022\
            \ Spr\xE1vn\xE9 pou\u017E\xEDv\xE1n\xED mobiln\xEDch za\u0159\xEDzen\xED\
            \ a dal\u0161\xEDch vzd\xE1len\xFDch p\u0159\xEDstup\u016F (nap\u0159\
            . pr\xE1ce na d\xE1lku a VPN) bylo ozn\xE1meno zam\u011Bstnanc\u016Fm.\
            \ \n\u2022 Existence IDS/IPS."
        it:
          description: I soggetti pertinenti riesaminano e, se del caso, aggiornano
            tali misure a intervalli pianificati e quando si verificano incidenti
            significativi o modifiche significative delle operazioni o dei rischi.
          annotation: "\u2022 Sebbene la frequenza delle revisioni delle misure di\
            \ sicurezza della rete dipenda dalla valutazione del rischio da parte\
            \ dell'ente, come regola generale, l'ente potrebbe (elenco indicativo\
            \ e non esaustivo):\n    o monitorare continuamente le reti alla ricerca\
            \ di minacce in tempo reale;\n    o eseguire scansioni settimanalmente\
            \ alla ricerca di nuove vulnerabilit\xE0;\n    o rivedere ed eventualmente\
            \ aggiornare mensilmente le regole del firewall e di altri strumenti;\
            \ e\n    o valutare attentamente l'intera rete ogni anno. \n\u2022 Esaminare\
            \ i registri o le registrazioni di tutte le modifiche apportate alle regole\
            \ di sicurezza della rete, inclusi i dettagli delle modifiche, le approvazioni\
            \ e le date di implementazione. \n\u2022 Assicurarsi che queste revisioni\
            \ siano condotte regolarmente e documentate in modo completo. \n\n[CONSIGLI]\n\
            \n\u2022 Comunicare al personale il corretto utilizzo dei dispositivi\
            \ mobili, compresi i veicoli connessi dell'ente e altri accessi remoti.\
            \ \n\u2022 Ove opportuno, applicare soluzioni in grado di raccogliere,\
            \ analizzare e rilevare tutte le anomalie, le esfiltrazioni, le intrusioni\
            \ e le minacce pi\xF9 sofisticate."
          typical_evidence: "\u2022 Piani o programmi per revisioni imminenti o completate,\
            \ regolari o ad hoc. \n\u2022 Elenco dei rapporti delle revisioni passate.\
            \ Questo dovrebbe coprire vari tipi di recensioni. \n\u2022 Registri da\
            \ firewall, router e altri dispositivi di rete che mostrano tentativi\
            \ di accesso, modifiche alla configurazione e altre attivit\xE0 pertinenti.\
            \ \n\u2022 Report provenienti da sistemi SIEM e EDR/XDR che mostrano eventi\
            \ di sicurezza aggregati e analizzati. \n\u2022 Rete privata virtuale\
            \ (VPN) e registri di accesso remoto che mostrano l'accesso remoto, comprese\
            \ le connessioni OOB, i tentativi di accesso, le connessioni riuscite\
            \ ed eventuali anomalie. \n\u2022 Prova del controllo dell'accesso alla\
            \ rete (NAC) o di altre soluzioni simili e/o alternative, in atto, inclusi\
            \ registri e impostazioni di configurazione. \n\u2022 Registri o registrazioni\
            \ che mostrano le date e i risultati delle revisioni periodiche delle\
            \ regole di sicurezza della rete. \n\u2022 Registri o registrazioni di\
            \ tutte le modifiche apportate alle regole di sicurezza della rete. \n\
            \u2022 Registri o registrazioni delle revisioni del firewall e dell'ACL.\
            \ \n\u2022 Documentazione che mostra revisioni periodiche dell'accesso\
            \ degli utenti e dell'amministrazione ai dispositivi di rete. \n\u2022\
            \ Registri di controllo dai dispositivi di sicurezza della rete (ad es.\
            \ firewall, sistemi di rilevamento/prevenzione delle intrusioni (IDS/IPS))\
            \ per garantire che le modifiche e le revisioni vengano registrate. \n\
            \u2022 Backup dei file delle configurazioni dei dispositivi di rete per\
            \ garantire che le modifiche e le revisioni si riflettano nei backup.\
            \ \n\u2022 Registri degli incidenti di sicurezza della rete per vedere\
            \ se includono la documentazione delle revisioni dei set di regole a seguito\
            \ di incidenti significativi. \n\u2022 Pubblicare rapporti di revisione\
            \ degli incidenti per vedere se documentano le revisioni e le modifiche\
            \ necessarie alle regole di sicurezza della rete.\n\n[CONSIGLI]\n\n\u2022\
            \ Il corretto utilizzo dei dispositivi mobili e di altri accessi remoti\
            \ (es. telelavoro e VPN) \xE8 stato comunicato al personale. \n\u2022\
            \ Esistenza di IDS/IPS."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.8
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6
      ref_id: '6.8'
      name: Network segmentation
      translations:
        fr:
          name: "Segmentation du r\xE9seau"
        es:
          name: "Segmentaci\xF3n de la red"
        cs:
          name: "Segmentace s\xEDt\u011B"
        it:
          name: Segmentazione della rete
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.8.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.8
      ref_id: 6.8.1
      description: "The relevant entities shall segment systems into networks or zones\
        \ in accordance with the results of the risk assessment referred to in point\
        \ 2.1. They shall segment their systems and networks from third parties\u2019\
        \ systems and networks."
      annotation: "\u2022 Take into account well known standards when segmenting networks\
        \ (66). \n\u2022 Integrate the segmentation derived from the risk assessment\
        \ into the network diagram.\n\n(66) In addition to those mentioned in the\
        \ mapping table at the end of this section, consider the following: \n\u2022\
        \ NIST, \u2018Guide to a Secure Enterprise Network Landscape\u2019, NIST SP\
        \ 800-215, https://csrc.nist.gov/pubs/sp/800/215/final. \n\u2022 ISO/IEC 27033\
        \ series of standards on network security. \n\u2022 NIST SP 800-215 and 1800-35\
        \ propose a zero-trust model, which assumes that no part of the network is\
        \ trusted."
      typical_evidence: "\u2022 Documented network segmentation rules based on relevant\
        \ standards and good practices."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es segmentent les syst\xE8mes en\
            \ r\xE9seaux ou en zones conform\xE9ment aux r\xE9sultats de l\u2019\xE9\
            valuation des risques vis\xE9e au point 2.1. Elles segmentent leurs syst\xE8\
            mes et r\xE9seaux en les isolant des syst\xE8mes et r\xE9seaux de tiers."
          annotation: "\u2022 Prendre en compte les normes bien connues lors de la\
            \ segmentation des r\xE9seaux (66). \n\u2022 Int\xE9grer la segmentation\
            \ d\xE9riv\xE9e de l\u2019\xE9valuation des risques dans le diagramme\
            \ de r\xE9seau.\n\n(66) En plus de ceux mentionn\xE9s dans le tableau\
            \ de correspondance \xE0 la fin de la pr\xE9sente section, il faut tenir\
            \ compte des \xE9l\xE9ments suivants : \n\u2022 NIST, \xAB Guide to a\
            \ Secure Enterprise Network Landscape \xBB, NIST SP 800-215, https://csrc.nist.gov/pubs/sp/800/215/final.\
            \ \n\u2022 S\xE9rie de normes ISO/IEC 27033 sur la s\xE9curit\xE9 des\
            \ r\xE9seaux. \n\u2022 Les NIST SP 800-215 et 1800-35 proposent un mod\xE8\
            le Zero Trust, qui suppose qu\u2019aucune partie du r\xE9seau n\u2019\
            est fiable."
          typical_evidence: "\u2022 Des r\xE8gles de segmentation du r\xE9seau document\xE9\
            es bas\xE9es sur les normes pertinentes et les bonnes pratiques."
        es:
          description: "Las entidades pertinentes segmentar\xE1n los sistemas en redes\
            \ o zonas de acuerdo con los resultados de la evaluaci\xF3n de riesgos\
            \ a que se refiere el punto 2.1. Segmentar\xE1n sus sistemas y redes de\
            \ los sistemas y redes de terceros."
          annotation: "\u2022 Tener en cuenta normas bien conocidas a la hora de segmentar\
            \ las redes (66). \n\u2022 Integrar la segmentaci\xF3n derivada de la\
            \ evaluaci\xF3n de riesgos en el diagrama de red.\n\n(66) Adem\xE1s de\
            \ los mencionados en el cuadro de correspondencia que figura al final\
            \ de esta secci\xF3n, consid\xE9rese lo siguiente: \n\u2022 NIST, 'Gu\xED\
            a para un panorama de redes empresariales seguras', NIST SP 800-215, https://csrc.nist.gov/pubs/sp/800/215/final.\
            \ \n\u2022 Serie de normas ISO/IEC 27033 sobre seguridad de redes. \n\u2022\
            \ NIST SP 800-215 y 1800-35 proponen un modelo de confianza cero, que\
            \ supone que ninguna parte de la red es de confianza."
          typical_evidence: "\u2022 Reglas de segmentaci\xF3n de red documentadas\
            \ basadas en est\xE1ndares relevantes y buenas pr\xE1cticas."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty rozd\u011Bl\xED syst\xE9\
            my na s\xEDt\u011B nebo z\xF3ny v souladu s v\xFDsledky posouzen\xED rizik\
            \ podle bodu 2.1. Odd\u011Bl\xED sv\xE9 syst\xE9my a s\xEDt\u011B od syst\xE9\
            m\u016F a s\xEDt\xED t\u0159et\xEDch stran."
          annotation: "\u2022 P\u0159i segmentaci s\xEDt\xED br\xE1t v \xFAvahu dob\u0159\
            e zn\xE1m\xE9 standardy (66). \n\u2022 Integrovat segmentaci odvozenou\
            \ z hodnocen\xED rizik do s\xED\u0165ov\xE9ho diagramu.\n\n(66) Krom\u011B\
            \ t\u011Bch, kter\xE9 jsou uvedeny v tabulce mapov\xE1n\xED na konci tohoto\
            \ odd\xEDlu, je t\u0159eba vz\xEDt v \xFAvahu tyto skute\u010Dnosti: \n\
            \u2022 NIST, \"Guide to a Secure Enterprise Network Landscape\" (Pr\u016F\
            vodce bezpe\u010Dn\xFDm prost\u0159ed\xEDm podnikov\xFDch s\xEDt\xED),\
            \ NIST SP 800-215, https://csrc.nist.gov/pubs/sp/800/215/final. \n\u2022\
            \ \u0158ada norem ISO/IEC 27033 pro zabezpe\u010Den\xED s\xEDt\u011B.\
            \ \nNIST SP 800-215 a 1800-35 navrhuj\xED model nulov\xE9 d\u016Fv\u011B\
            ry, kter\xFD p\u0159edpokl\xE1d\xE1, \u017Ee \u017E\xE1dn\xE1 \u010D\xE1\
            st s\xEDt\u011B nen\xED d\u016Fv\u011Bryhodn\xE1."
          typical_evidence: "\u2022 Zdokumentovan\xE1 pravidla segmentace s\xEDt\u011B\
            \ zalo\u017Een\xE1 na p\u0159\xEDslu\u0161n\xFDch standardech a osv\u011B\
            d\u010Den\xFDch postupech."
        it:
          description: I soggetti interessati segmentano i sistemi in reti o zone
            in base ai risultati della valutazione del rischio di cui al punto 2.1.
            Essi segmentano i loro sistemi e le loro reti dai sistemi e dalle reti
            di terzi.
          annotation: "\u2022 Tenere conto di norme ben note nella segmentazione delle\
            \ reti (66). \n\u2022 Integrare la segmentazione derivata dalla valutazione\
            \ del rischio nel diagramma di rete.\n\n(66) Oltre a quelli menzionati\
            \ nella tabella di mappatura alla fine della presente sezione, si consideri\
            \ quanto segue: \n\u2022 NIST, \"Guida a un panorama di rete aziendale\
            \ sicuro\", NIST SP 800-215, https://csrc.nist.gov/pubs/sp/800/215/final.\
            \ \n\u2022 Serie di norme ISO/IEC 27033 sulla sicurezza delle reti. \n\
            \u2022 NIST SP 800-215 e 1800-35 propongono un modello zero-trust, che\
            \ presuppone che nessuna parte della rete sia attendibile."
          typical_evidence: "\u2022 Regole di segmentazione della rete documentate\
            \ basate su standard e buone pratiche pertinenti."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.8.2
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.8
      ref_id: 6.8.2
      description: 'For that purpose, the relevant entities shall:'
      annotation: "\u2022 Make sure that the segments are in line with the results\
        \ of the risk assessment (Annex to the regulation, point 2.1). \n\u2022 Apply\
        \ a graduated set of measures in different logical network domains to further\
        \ segregate the network security environments, including:\n    o publicly\
        \ accessible systems;\n    o internal networks;\n    o OOB connections; and\n\
        \    o assets with high criticality.  \n\u2022 Implement subnetworks for publicly\
        \ accessible system components that are physically and/or logically separate\
        \ from internal organisational networks. \n\u2022 Determine the degree of\
        \ physical separation of system components from physically distinct components:\n\
        \    o in separate racks in the same room, o in separate rooms for the components\
        \ with high criticality and o more significant geographical separation of\
        \ the components with high criticality. \n\u2022 Implement separate network\
        \ addresses (that is,, different subnets) to connect to systems in different\
        \ security domains. \n\u2022 Monitor and control communications at the external\
        \ boundary of the system as well as at key internal boundaries within the\
        \ system, including segmentation violations. \n\u2022 Where appropriate, isolate\
        \ information security tools, mechanisms and support components from other\
        \ internal information system components, where appropriate (69), by implementing\
        \ physically separate subnetworks with managed interfaces to other components\
        \ of the system. \n\u2022 Route all networked, privileged accesses through\
        \ a dedicated, managed interface for the purposes of access control and auditing.\
        \ \n\u2022 Implement a managed interface for each external telecommunication\
        \ service.\n\n(69) Technical method for segmentation should be considered,\
        \ the usage of VLAN, physical separate switches or other methods should be\
        \ defined. However physically separating subnets is not feasible in entirely\
        \ software-defined environments (container clusters, cloud environments, etc.)."
      typical_evidence: "\u2022 Risk assessments that justify the segmentation decisions.\
        \ \n\u2022 Interviews with IT and security staff to understand the rationale\
        \ behind network segmentation. \n\u2022 Up-to-date network diagrams showing\
        \ segmentation into different networks or zones (e.g. DMZ (70), internal networks\
        \ and guest networks). \n\u2022 Verification that the diagrams align with\
        \ business functions and risk profiles. \n\u2022 Documented criteria for creating\
        \ and maintaining different network zones. \n\u2022 VLAN configurations on\
        \ network switches and routers. \n\u2022 VLANs corresponding to different\
        \ security zones and business functions. \n\u2022 Measures (e.g. IDS/IPS and\
        \ monitoring systems) tailored to each network zone. \n\u2022 Configurations\
        \ of network devices (e.g. routers, switches and firewalls) for appropriate\
        \ segmentation settings. \n\u2022 Configuration settings that match documented\
        \ segmentation rules and diagrams. \n\u2022 ACLs that consider segregation\
        \ of duties. \n\u2022 Firewall configurations.\n\n(70) A perimeter network,\
        \ also known as a demilitarised zone (DMZ), is a subnetwork that separates\
        \ an entity\u2019s internal network from untrusted external networks, such\
        \ as the internet. The primary purpose of a perimeter network is to add an\
        \ extra layer of security by isolating external-facing services from the internal\
        \ network."
      translations:
        fr:
          description: "\xC0 cette fin, les entit\xE9s concern\xE9es:"
          annotation: "\u2022 S\u2019assurer que les segments sont conformes aux r\xE9\
            sultats de l\u2019\xE9valuation des risques (annexe du r\xE8glement, point\
            \ 2.1). \n\u2022 Appliquez un ensemble gradu\xE9 de mesures dans diff\xE9\
            rents domaines de r\xE9seau logique pour s\xE9parer davantage les environnements\
            \ de s\xE9curit\xE9 r\xE9seau, notamment :\n    o les syst\xE8mes accessibles\
            \ au public ;\n    o r\xE9seaux internes ;\n    o Connexions OOB ; et\n\
            \    o Actifs \xE0 haute criticit\xE9.  \n\u2022 Mettre en place des sous-r\xE9\
            seaux pour les composants du syst\xE8me accessibles au public qui sont\
            \ physiquement et/ou logiquement s\xE9par\xE9s des r\xE9seaux organisationnels\
            \ internes. \n\u2022 D\xE9terminer le degr\xE9 de s\xE9paration physique\
            \ des composants du syst\xE8me des composants physiquement distincts :\n\
            \    o dans des racks s\xE9par\xE9s dans la m\xEAme pi\xE8ce, o dans des\
            \ salles s\xE9par\xE9es pour les composants \xE0 haute criticit\xE9 et\
            \ o une s\xE9paration g\xE9ographique plus importante des composants \xE0\
            \ haute criticit\xE9. \n\u2022 Mettez en place des adresses r\xE9seau\
            \ distinctes (c\u2019est-\xE0-dire des sous-r\xE9seaux diff\xE9rents)\
            \ pour vous connecter \xE0 des syst\xE8mes dans diff\xE9rents domaines\
            \ de s\xE9curit\xE9. \n\u2022 Surveiller et contr\xF4ler les communications\
            \ aux limites externes du syst\xE8me ainsi qu\u2019aux principales limites\
            \ internes du syst\xE8me, y compris les violations de segmentation. \n\
            \u2022 Le cas \xE9ch\xE9ant, isoler les outils, m\xE9canismes et composants\
            \ de soutien de s\xE9curit\xE9 de l\u2019information des autres composants\
            \ internes du syst\xE8me d\u2019information, le cas \xE9ch\xE9ant (69),\
            \ en mettant en \u0153uvre des sous-r\xE9seaux physiquement s\xE9par\xE9\
            s avec des interfaces g\xE9r\xE9es avec d\u2019autres composants du syst\xE8\
            me. \n\u2022 Acheminez tous les acc\xE8s privil\xE9gi\xE9s en r\xE9seau\
            \ via une interface d\xE9di\xE9e et g\xE9r\xE9e \xE0 des fins de contr\xF4\
            le d\u2019acc\xE8s et d\u2019audit. \n\u2022 Mettre en place une interface\
            \ g\xE9r\xE9e pour chaque service de t\xE9l\xE9communication externe.\n\
            \n(69) Il convient d\u2019envisager une m\xE9thode technique de segmentation,\
            \ de d\xE9finir l\u2019utilisation de VLAN, de commutateurs physiques\
            \ s\xE9par\xE9s ou d\u2019autres m\xE9thodes. Cependant, la s\xE9paration\
            \ physique des sous-r\xE9seaux n\u2019est pas possible dans des environnements\
            \ enti\xE8rement d\xE9finis par logiciel (clusters de conteneurs, environnements\
            \ cloud, etc.)."
          typical_evidence: "\u2022 Des \xE9valuations de risques qui justifient les\
            \ d\xE9cisions de segmentation. \n\u2022 Entretiens avec le personnel\
            \ informatique et de s\xE9curit\xE9 pour comprendre la raison d\u2019\xEA\
            tre de la segmentation du r\xE9seau. \n\u2022 Diagrammes de r\xE9seau\
            \ \xE0 jour montrant la segmentation en diff\xE9rents r\xE9seaux ou zones\
            \ (par exemple, DMZ (70), r\xE9seaux internes et r\xE9seaux invit\xE9\
            s). \n\u2022 V\xE9rification que les diagrammes s\u2019alignent avec les\
            \ fonctions de l\u2019entreprise et les profils de risque. \n\u2022 Crit\xE8\
            res document\xE9s pour la cr\xE9ation et la maintenance des diff\xE9rentes\
            \ zones du r\xE9seau. \n\u2022 Configurations VLAN sur les commutateurs\
            \ r\xE9seau et les routeurs. \n\u2022 VLAN correspondant \xE0 diff\xE9\
            rentes zones de s\xE9curit\xE9 et fonctions commerciales. \n\u2022 Mesures\
            \ (par ex. IDS/IPS et syst\xE8mes de surveillance) adapt\xE9es \xE0 chaque\
            \ zone du r\xE9seau. \n\u2022 Configurations des p\xE9riph\xE9riques r\xE9\
            seau (par exemple, routeurs, commutateurs et pare-feu) pour des param\xE8\
            tres de segmentation appropri\xE9s. \n\u2022 Des param\xE8tres de configuration\
            \ qui correspondent aux r\xE8gles de segmentation et aux diagrammes document\xE9\
            s. \n\u2022 Les LCA qui tiennent compte de la s\xE9paration des t\xE2\
            ches. \n\u2022 Configurations de pare-feu.\n\n(70) Un r\xE9seau de p\xE9\
            rim\xE8tre, \xE9galement connu sous le nom de zone d\xE9militaris\xE9\
            e (DMZ), est un sous-r\xE9seau qui s\xE9pare le r\xE9seau interne d\u2019\
            une entit\xE9 des r\xE9seaux externes non fiables, tels que l\u2019internet.\
            \ L\u2019objectif principal d\u2019un r\xE9seau de p\xE9rim\xE8tre est\
            \ d\u2019ajouter une couche de s\xE9curit\xE9 suppl\xE9mentaire en isolant\
            \ les services externes du r\xE9seau interne."
        es:
          description: 'A tal efecto, las entidades pertinentes:'
          annotation: "\u2022 Aseg\xFArese de que los segmentos est\xE1n en consonancia\
            \ con los resultados de la evaluaci\xF3n de riesgos (anexo del Reglamento,\
            \ punto 2.1). \n\u2022 Aplicar un conjunto gradual de medidas en diferentes\
            \ dominios de red l\xF3gica para segregar a\xFAn m\xE1s los entornos de\
            \ seguridad de red, entre ellos:\n    o sistemas de acceso p\xFAblico;\n\
            \    o redes internas;\n    o Conexiones OOB; y\n    o Activos con alta\
            \ criticidad.  \n\u2022 Implementar subredes para los componentes del\
            \ sistema de acceso p\xFAblico que est\xE9n f\xEDsica y/o l\xF3gicamente\
            \ separados de las redes internas de la organizaci\xF3n. \n\u2022 Determinar\
            \ el grado de separaci\xF3n f\xEDsica de los componentes del sistema de\
            \ los componentes f\xEDsicamente distintos:\n    o en racks separados\
            \ en la misma sala, o en salas separadas para los componentes con alta\
            \ criticidad y o separaci\xF3n geogr\xE1fica m\xE1s significativa de los\
            \ componentes con alta criticidad. \n\u2022 Implemente direcciones de\
            \ red separadas (es decir, diferentes subredes) para conectarse a sistemas\
            \ en diferentes dominios de seguridad. \n\u2022 Supervise y controle las\
            \ comunicaciones en el l\xEDmite externo del sistema, as\xED como en los\
            \ l\xEDmites internos clave dentro del sistema, incluidas las violaciones\
            \ de segmentaci\xF3n. \n\u2022 Cuando proceda, aislar las herramientas,\
            \ los mecanismos y los componentes de apoyo de seguridad de la informaci\xF3\
            n de otros componentes del sistema de informaci\xF3n interno, cuando proceda\
            \ (69), mediante la implantaci\xF3n de subredes f\xEDsicamente separadas\
            \ con interfaces gestionadas con otros componentes del sistema. \n\u2022\
            \ Enrute todos los accesos privilegiados en red a trav\xE9s de una interfaz\
            \ dedicada y administrada con fines de control de acceso y auditor\xED\
            a. \n\u2022 Implementar una interfaz gestionada para cada servicio de\
            \ telecomunicaciones externo.\n\n(69) Debe considerarse el m\xE9todo t\xE9\
            cnico para la segmentaci\xF3n, debe definirse el uso de VLAN, conmutadores\
            \ f\xEDsicos separados u otros m\xE9todos. Sin embargo, la separaci\xF3\
            n f\xEDsica de las subredes no es factible en entornos totalmente definidos\
            \ por software (cl\xFAsteres de contenedores, entornos en la nube, etc.)."
          typical_evidence: "\u2022 Evaluaciones de riesgos que justifiquen las decisiones\
            \ de segmentaci\xF3n. \n\u2022 Entrevistas con el personal de TI y seguridad\
            \ para comprender la l\xF3gica detr\xE1s de la segmentaci\xF3n de la red.\
            \ \n\u2022 Diagramas de red actualizados que muestran la segmentaci\xF3\
            n en diferentes redes o zonas (por ejemplo, DMZ (70), redes internas y\
            \ redes de invitados). \n\u2022 Verificaci\xF3n de que los diagramas se\
            \ alinean con las funciones del negocio y los perfiles de riesgo. \n\u2022\
            \ Criterios documentados para la creaci\xF3n y mantenimiento de diferentes\
            \ zonas de red. \n\u2022 Configuraciones de VLAN en switches y routers\
            \ de red. \n\u2022 VLANs correspondientes a diferentes zonas de seguridad\
            \ y funciones de negocio. \n\u2022 Medidas (por ejemplo, IDS/IPS y sistemas\
            \ de monitorizaci\xF3n) adaptadas a cada zona de red. \n\u2022 Configuraciones\
            \ de dispositivos de red (por ejemplo, enrutadores, conmutadores y firewalls)\
            \ para configuraciones de segmentaci\xF3n adecuadas. \n\u2022 Ajustes\
            \ de configuraci\xF3n que coincidan con las reglas y diagramas de segmentaci\xF3\
            n documentados. \n\u2022 ACL que consideran la segregaci\xF3n de funciones.\
            \ \n\u2022 Configuraciones de firewall.\n\n(70) Una red perimetral, tambi\xE9\
            n conocida como zona desmilitarizada (ZDP), es una subred que separa la\
            \ red interna de una entidad de las redes externas no fiables, como Internet.\
            \ El prop\xF3sito principal de una red perimetral es agregar una capa\
            \ adicional de seguridad al aislar los servicios externos de la red interna."
        cs:
          description: "Za t\xEDmto \xFA\u010Delem p\u0159\xEDslu\u0161n\xE9 subjekty:"
          annotation: "\u2022 Ujist\u011Bte se, \u017Ee segmenty jsou v souladu s\
            \ v\xFDsledky posouzen\xED rizik (p\u0159\xEDloha na\u0159\xEDzen\xED\
            , bod 2.1). \n\u2022 Aplikovat odstup\u0148ovanou sadu opat\u0159en\xED\
            \ v r\u016Fzn\xFDch logick\xFDch s\xED\u0165ov\xFDch dom\xE9n\xE1ch k\
            \ dal\u0161\xEDmu odd\u011Blen\xED prost\u0159ed\xED zabezpe\u010Den\xED\
            \ s\xEDt\u011B, v\u010Detn\u011B:\n    o ve\u0159ejn\u011B p\u0159\xED\
            stupn\xE9 syst\xE9my;\n    o intern\xED s\xEDt\u011B;\n    o p\u0159ipojen\xED\
            \ OOB; a\n    o aktiva s vysokou kriti\u010Dnost\xED.  \n\u2022 Implementujte\
            \ pods\xEDt\u011B pro ve\u0159ejn\u011B p\u0159\xEDstupn\xE9 syst\xE9\
            mov\xE9 komponenty, kter\xE9 jsou fyzicky a/nebo logicky odd\u011Bleny\
            \ od intern\xEDch organiza\u010Dn\xEDch s\xEDt\xED. \n\u2022 Ur\u010D\
            ete stupe\u0148 fyzick\xE9ho odd\u011Blen\xED sou\u010D\xE1st\xED syst\xE9\
            mu od fyzicky odli\u0161n\xFDch sou\u010D\xE1st\xED:\n    o v samostatn\xFD\
            ch reg\xE1lech ve stejn\xE9 m\xEDstnosti, o v odd\u011Blen\xFDch m\xED\
            stnostech pro komponenty s vysokou kriti\u010Dnost\xED a o v\xFDrazn\u011B\
            j\u0161\xED geografick\xE9 odd\u011Blen\xED komponent s vysokou kriti\u010D\
            nost\xED. \n\u2022 Implementujte samostatn\xE9 s\xED\u0165ov\xE9 adresy\
            \ (tj. r\u016Fzn\xE9 pods\xEDt\u011B) pro p\u0159ipojen\xED k syst\xE9\
            m\u016Fm v r\u016Fzn\xFDch dom\xE9n\xE1ch zabezpe\u010Den\xED. \n\u2022\
            \ Monitorovat a \u0159\xEDdit komunikaci na vn\u011Bj\u0161\xEDch hranic\xED\
            ch syst\xE9mu i na kl\xED\u010Dov\xFDch vnit\u0159n\xEDch hranic\xEDch\
            \ v r\xE1mci syst\xE9mu, v\u010Detn\u011B poru\u0161en\xED segmentace.\
            \ \n\u2022 Tam, kde je to vhodn\xE9, izolovat n\xE1stroje, mechanismy\
            \ a podp\u016Frn\xE9 prvky bezpe\u010Dnosti informac\xED od ostatn\xED\
            ch sou\u010D\xE1st\xED intern\xEDho informa\u010Dn\xEDho syst\xE9mu (69)\
            \ zaveden\xEDm fyzicky odd\u011Blen\xFDch pods\xEDt\xED se \u0159\xED\
            zen\xFDmi rozhran\xEDmi k ostatn\xEDm slo\u017Ek\xE1m syst\xE9mu. \n\u2022\
            \ Sm\u011Brovat v\u0161echny s\xED\u0165ov\xE9 privilegovan\xE9 p\u0159\
            \xEDstupy p\u0159es vyhrazen\xE9, spravovan\xE9 rozhran\xED pro \xFA\u010D\
            ely \u0159\xEDzen\xED p\u0159\xEDstupu a auditu. \n\u2022 Implementujte\
            \ spravovan\xE9 rozhran\xED pro ka\u017Edou extern\xED telekomunika\u010D\
            n\xED slu\u017Ebu.\n\n(69) M\u011Bla by b\xFDt zv\xE1\u017Eena technick\xE1\
            \ metoda segmentace, m\u011Blo by b\xFDt definov\xE1no pou\u017Eit\xED\
            \ s\xEDt\u011B VLAN, fyzick\xFDch odd\u011Blen\xFDch p\u0159ep\xEDna\u010D\
            \u016F nebo jin\xFDch metod. Fyzick\xE9 odd\u011Blen\xED pods\xEDt\xED\
            \ v\u0161ak nen\xED mo\u017En\xE9 ve zcela softwarov\u011B definovan\xFD\
            ch prost\u0159ed\xEDch (kontejnerov\xE9 clustery, cloudov\xE1 prost\u0159\
            ed\xED atd.)."
          typical_evidence: "\u2022 Hodnocen\xED rizik, kter\xE1 od\u016Fvod\u0148\
            uj\xED rozhodnut\xED o segmentaci. \n\u2022 Rozhovory s pracovn\xEDky\
            \ IT a bezpe\u010Dnosti s c\xEDlem pochopit d\u016Fvody segmentace s\xED\
            t\u011B. \n\u2022 Aktu\xE1ln\xED s\xED\u0165ov\xE1 sch\xE9mata zobrazuj\xED\
            c\xED segmentaci do r\u016Fzn\xFDch s\xEDt\xED nebo z\xF3n (nap\u0159\
            . DMZ (70), intern\xED s\xEDt\u011B a s\xEDt\u011B pro hosty). \n\u2022\
            \ Ov\u011B\u0159en\xED, \u017Ee diagramy jsou v souladu s obchodn\xED\
            mi funkcemi a rizikov\xFDmi profily. \n\u2022 Zdokumentovan\xE1 krit\xE9\
            ria pro vytv\xE1\u0159en\xED a \xFAdr\u017Ebu r\u016Fzn\xFDch s\xED\u0165\
            ov\xFDch z\xF3n. \n\u2022 Konfigurace VLAN na s\xED\u0165ov\xFDch p\u0159\
            ep\xEDna\u010D\xEDch a routerech. \n\u2022 VLAN odpov\xEDdaj\xEDc\xED\
            \ r\u016Fzn\xFDm bezpe\u010Dnostn\xEDm z\xF3n\xE1m a obchodn\xEDm funkc\xED\
            m. \n\u2022 Opat\u0159en\xED (nap\u0159. IDS/IPS a monitorovac\xED syst\xE9\
            my) p\u0159izp\u016Fsoben\xE1 ka\u017Ed\xE9 s\xED\u0165ov\xE9 z\xF3n\u011B\
            . \n\u2022 Konfigurace s\xED\u0165ov\xFDch za\u0159\xEDzen\xED (nap\u0159\
            . router\u016F, switch\u016F a firewall\u016F) pro vhodn\xE9 nastaven\xED\
            \ segmentace. \n\u2022 Nastaven\xED konfigurace, kter\xE1 odpov\xEDdaj\xED\
            \ zdokumentovan\xFDm pravidl\u016Fm segmentace a diagram\u016Fm. \n\u2022\
            \ ACL, kter\xE9 zohled\u0148uj\xED odd\u011Blen\xED povinnost\xED. \n\u2022\
            \ Konfigurace br\xE1ny firewall.\n\n(70) Hrani\u010Dn\xED s\xED\u0165\
            , zn\xE1m\xE1 tak\xE9 jako demilitarizovan\xE1 z\xF3na (DMZ), je pods\xED\
            \u0165, kter\xE1 odd\u011Bluje vnit\u0159n\xED s\xED\u0165 subjektu od\
            \ ned\u016Fv\u011Bryhodn\xFDch vn\u011Bj\u0161\xEDch s\xEDt\xED, jako\
            \ je internet. Prim\xE1rn\xEDm \xFA\u010Delem hrani\u010Dn\xED s\xEDt\u011B\
            \ je p\u0159idat dal\u0161\xED vrstvu zabezpe\u010Den\xED izolov\xE1n\xED\
            m extern\xEDch slu\u017Eeb od intern\xED s\xEDt\u011B."
        it:
          description: 'A tal fine, i soggetti interessati:'
          annotation: "\u2022 Assicurarsi che i segmenti siano in linea con i risultati\
            \ della valutazione dei rischi (Allegato al regolamento, punto 2.1). \n\
            \u2022 Applicare un insieme graduale di misure in diversi domini di rete\
            \ logica per segregare ulteriormente gli ambienti di sicurezza della rete,\
            \ tra cui:\n    o sistemi accessibili al pubblico;\n    o reti interne;\n\
            \    o Connessioni OOB; e\n    o asset con elevata criticit\xE0.  \n\u2022\
            \ Implementare sottoreti per componenti di sistema accessibili al pubblico\
            \ che siano fisicamente e/o logicamente separati dalle reti organizzative\
            \ interne. \n\u2022 Determinare il grado di separazione fisica dei componenti\
            \ del sistema dai componenti fisicamente distinti:\n    o in rack separati\
            \ nello stesso locale, o in locali separati per i componenti con elevata\
            \ criticit\xE0 e o separazione geografica pi\xF9 significativa dei componenti\
            \ con elevata criticit\xE0. \n\u2022 Implementare indirizzi di rete separati\
            \ (ovvero subnet diverse) per connettersi a sistemi in domini di sicurezza\
            \ diversi. \n\u2022 Monitorare e controllare le comunicazioni ai confini\
            \ esterni del sistema e ai principali confini interni del sistema, comprese\
            \ le violazioni della segmentazione. \n\u2022 Se del caso, isolare gli\
            \ strumenti, i meccanismi e i componenti di supporto per la sicurezza\
            \ delle informazioni da altri componenti interni del sistema informativo,\
            \ se del caso (69), implementando sottoreti fisicamente separate con interfacce\
            \ gestite per altri componenti del sistema. \n\u2022 Instradare tutti\
            \ gli accessi privilegiati in rete attraverso un'interfaccia dedicata\
            \ e gestita ai fini del controllo e dell'auditing degli accessi. \n\u2022\
            \ Implementare un'interfaccia gestita per ogni servizio di telecomunicazione\
            \ esterno.\n\n(69) Occorre prendere in considerazione il metodo tecnico\
            \ per la segmentazione, definire l'uso di VLAN, commutatori fisici separati\
            \ o altri metodi. Tuttavia, la separazione fisica delle subnet non \xE8\
            \ fattibile in ambienti interamente software-defined (cluster di container,\
            \ ambienti cloud, ecc.)."
          typical_evidence: "\u2022 Valutazioni del rischio che giustificano le decisioni\
            \ di segmentazione. \n\u2022 Interviste con il personale IT e di sicurezza\
            \ per comprendere la logica alla base della segmentazione della rete.\
            \ \n\u2022 Diagrammi di rete aggiornati che mostrano la segmentazione\
            \ in diverse reti o zone (ad es. DMZ (70), reti interne e reti ospiti).\
            \ \n\u2022 Verifica che i diagrammi siano in linea con le funzioni aziendali\
            \ e i profili di rischio. \n\u2022 Criteri documentati per la creazione\
            \ e la manutenzione di diverse zone di rete. \n\u2022 Configurazioni VLAN\
            \ su switch e router di rete. \n\u2022 VLAN corrispondenti a diverse zone\
            \ di sicurezza e funzioni aziendali. \n\u2022 Misure (ad es. IDS/IPS e\
            \ sistemi di monitoraggio) su misura per ogni zona di rete. \n\u2022 Configurazioni\
            \ dei dispositivi di rete (ad es. router, switch e firewall) per le impostazioni\
            \ di segmentazione appropriate. \n\u2022 Impostazioni di configurazione\
            \ che corrispondono alle regole di segmentazione e ai diagrammi documentati.\
            \ \n\u2022 ACL che considerano la separazione dei compiti. \n\u2022 Configurazioni\
            \ firewall.\n\n(70) Una rete perimetrale, nota anche come zona demilitarizzata\
            \ (DMZ), \xE8 una sottorete che separa la rete interna di un'entit\xE0\
            \ dalle reti esterne non attendibili, come Internet. Lo scopo principale\
            \ di una rete perimetrale \xE8 quello di aggiungere un ulteriore livello\
            \ di sicurezza isolando i servizi rivolti all'esterno dalla rete interna."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.8.2.a
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.8.2
      ref_id: 6.8.2.a
      description: consider the functional, logical and physical relationship, including
        location, between trustworthy systems and services;
      translations:
        fr:
          description: "prennent en consid\xE9ration le lien fonctionnel, logique\
            \ et physique, y compris la localisation, entre syst\xE8mes et services\
            \ de confiance;"
        es:
          description: "considerar\xE1n la relaci\xF3n funcional, l\xF3gica y f\xED\
            sica, incluida la ubicaci\xF3n, entre sistemas y servicios fiables;"
        cs:
          description: "zohledn\xED funk\u010Dn\xED, logick\xE9 a fyzick\xE9 vztahy\
            \ mezi d\u016Fv\u011Bryhodn\xFDmi syst\xE9my a slu\u017Ebami, v\u010D\
            etn\u011B jejich um\xEDst\u011Bn\xED;"
        it:
          description: considerare la relazione funzionale, logica e fisica, compresa
            l'ubicazione, tra sistemi e servizi affidabili;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.8.2.b
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.8.2
      ref_id: 6.8.2.b
      description: grant access to a network or zone based on an assessment of its
        security requirements;
      translations:
        fr:
          description: "accordent l\u2019acc\xE8s \xE0 un r\xE9seau ou \xE0 une zone\
            \ sur la base d\u2019une \xE9valuation de ses exigences en mati\xE8re\
            \ de s\xE9curit\xE9;"
        es:
          description: "conceder\xE1n acceso a una red o zona sobre la base de una\
            \ evaluaci\xF3n de sus requisitos de seguridad;"
        cs:
          description: "ud\u011Bl\xED p\u0159\xEDstup do s\xEDt\u011B nebo z\xF3ny\
            \ na z\xE1klad\u011B posouzen\xED jejich bezpe\u010Dnostn\xEDch po\u017E\
            adavk\u016F;"
        it:
          description: concedere l'accesso a una rete o a una zona sulla base di una
            valutazione dei suoi requisiti di sicurezza;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.8.2.c
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.8.2
      ref_id: 6.8.2.c
      description: keep systems that are critical to the relevant entities operation
        or to safety in secured zones;
      translations:
        fr:
          description: "conservent les syst\xE8mes critiques pour leur exploitation\
            \ ou pour la s\xE9curit\xE9 dans les zones s\xE9curis\xE9es;"
        es:
          description: "mantendr\xE1n los sistemas que resulten cr\xEDticos para el\
            \ funcionamiento de la entidad pertinente o para la protecci\xF3n en zonas\
            \ seguras;"
        cs:
          description: "uchov\xE1vaj\xED syst\xE9my, kter\xE9 jsou kritick\xE9 pro\
            \ provoz p\u0159\xEDslu\u0161n\xFDch subjekt\u016F nebo pro bezpe\u010D\
            nost, v zabezpe\u010Den\xFDch z\xF3n\xE1ch;"
        it:
          description: mantenere i sistemi critici per il funzionamento dei soggetti
            interessati o per la sicurezza in zone protette;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.8.2.d
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.8.2
      ref_id: 6.8.2.d
      description: deploy a demilitarised zone within their communication networks
        to ensure secure communication originating from or destined to their networks;
      translations:
        fr:
          description: "d\xE9ploient une zone d\xE9militaris\xE9e au sein de leurs\
            \ r\xE9seaux de communication pour assurer une communication s\xE9curis\xE9\
            e en provenance ou \xE0 destination de leurs r\xE9seaux;"
        es:
          description: "implantar\xE1n una zona desmilitarizada dentro de sus redes\
            \ de comunicaci\xF3n para ofrecer una comunicaci\xF3n segura desde o hacia\
            \ sus redes;"
        cs:
          description: "zavedou ve sv\xFDch komunika\u010Dn\xEDch s\xEDt\xEDch demilitarizovanou\
            \ z\xF3nu, kter\xE1 zajist\xED bezpe\u010Dnou komunikaci vych\xE1zej\xED\
            c\xED z jejich s\xEDt\xED nebo sm\u011B\u0159uj\xEDc\xED do jejich s\xED\
            t\xED;"
        it:
          description: dispiegare una zona demilitarizzata all'interno delle loro
            reti di comunicazione per garantire la sicurezza delle comunicazioni provenienti
            dalle loro reti o ad esse destinate;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.8.2.e
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.8.2
      ref_id: 6.8.2.e
      description: restrict access and communications between and within zones to
        those necessary for the operation of the relevant entities or for safety;
      translations:
        fr:
          description: "limitent l\u2019acc\xE8s et les communications entre les zones\
            \ et \xE0 l\u2019int\xE9rieur de celles-ci \xE0 ce qui est n\xE9cessaire\
            \ \xE0 leur fonctionnement ou \xE0 la s\xE9curit\xE9;"
        es:
          description: "restringir\xE1n el acceso y las comunicaciones entre zonas\
            \ y dentro de ellas a lo necesario para el funcionamiento de las entidades\
            \ pertinentes o la seguridad;"
        cs:
          description: "omez\xED p\u0159\xEDstup a komunikaci mezi z\xF3nami a uvnit\u0159\
            \ z\xF3n na ty, kter\xE9 jsou nezbytn\xE9 pro provoz p\u0159\xEDslu\u0161\
            n\xFDch subjekt\u016F nebo pro bezpe\u010Dnost;"
        it:
          description: limitare l'accesso e le comunicazioni tra le zone e all'interno
            delle zone a quelli necessari per il funzionamento dei soggetti pertinenti
            o per la sicurezza;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.8.2.f
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.8.2
      ref_id: 6.8.2.f
      description: "separate the dedicated network for administration of network and\
        \ information systems from the relevant entities\u2019 operational network;"
      translations:
        fr:
          description: "s\xE9parent, d\u2019une part, le r\xE9seau consacr\xE9 \xE0\
            \ l\u2019administration des r\xE9seaux et des syst\xE8mes d\u2019information\
            \ et, d\u2019autre part, leur r\xE9seau op\xE9rationnel;"
        es:
          description: "separar\xE1n la red espec\xEDfica para la administraci\xF3\
            n de los sistemas de redes y de informaci\xF3n de la red operativa de\
            \ las entidades pertinentes;"
        cs:
          description: "odd\u011Bl\xED specializovanou s\xED\u0165 pro spr\xE1vu s\xED\
            t\xED a informa\u010Dn\xEDch syst\xE9m\u016F od provozn\xED s\xEDt\u011B\
            \ p\u0159\xEDslu\u0161n\xFDch subjekt\u016F;"
        it:
          description: separare la rete dedicata per l'amministrazione delle reti
            e dei sistemi informativi dalla rete operativa dei soggetti interessati;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.8.2.g
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.8.2
      ref_id: 6.8.2.g
      description: segregate network administration channels from other network traffic;
      translations:
        fr:
          description: "s\xE9parent les canaux d\u2019administration du r\xE9seau\
            \ des autres types de trafic r\xE9seau;"
        es:
          description: "segregar\xE1n los canales de administraci\xF3n de la red del\
            \ resto de tr\xE1fico de la red;"
        cs:
          description: "odd\u011Bl\xED kan\xE1ly pro spr\xE1vu s\xEDt\u011B od ostatn\xED\
            ho provozu v s\xEDti;"
        it:
          description: separare i canali di amministrazione della rete dal resto del
            traffico di rete;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.8.2.h
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.8.2
      ref_id: 6.8.2.h
      description: "separate the production systems for the relevant entities\u2019\
        \ services from systems used in development and testing, including backups."
      translations:
        fr:
          description: "s\xE9parent leurs syst\xE8mes de production de services des\
            \ syst\xE8mes utilis\xE9s pour le d\xE9veloppement et les tests, y compris\
            \ les sauvegardes."
        es:
          description: "separar\xE1n los sistemas de producci\xF3n de los servicios\
            \ de las entidades pertinentes de los sistemas utilizados para el desarrollo\
            \ y las pruebas, incluidas las copias de seguridad."
        cs:
          description: "odd\u011Bl\xED produk\u010Dn\xED syst\xE9my pro \xFAtvary\
            \ p\u0159\xEDslu\u0161n\xFDch subjekt\u016F od syst\xE9m\u016F pou\u017E\
            \xEDvan\xFDch pro v\xFDvoj a testov\xE1n\xED, v\u010Detn\u011B z\xE1loh."
        it:
          description: separare i sistemi di produzione per i servizi dei soggetti
            interessati dai sistemi utilizzati nello sviluppo e nei test, compresi
            i backup.
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.8.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.8
      ref_id: 6.8.3
      description: The relevant entities shall review and, where appropriate, update
        network segmentation at planned intervals and when significant incidents or
        significant changes to operations or risks.
      annotation: "\u2022 Review and, if necessary, update the process for network\
        \ segmentation rules at least annually.\n\n[TIPS]\n\n\u2022 Limit the data\
        \ traffic between the different segments to the operationally required extent\
        \ by means of data flow control for example a firewall. \n\u2022 Connect to\
        \ external networks or information systems only through managed interfaces\
        \ consisting of boundary protection devices arranged in accordance with the\
        \ entity\u2019s security architecture such as:\n    o gateways;\n    o routers;\n\
        \    o firewalls;\n    o network-based malicious code analysis;\n    o virtualisation\
        \ systems; and\n    o encrypted tunnels. \n\u2022 Prevent discovery of specific\
        \ system components composing a managed interface. \n\u2022 Monitor exceptions."
      typical_evidence: "\u2022 Reports from recent penetration tests and/or vulnerability\
        \ scans. \n\u2022 Plans or schedules for reviewing network segmentation rules.\
        \ \n\u2022 Logs or records confirming that the reviews have been conducted\
        \ in accordance with the schedule. \n\u2022 Change management documentation\
        \ for network segmentation changes, in line with risk-assessment results and\
        \ business needs. \n\u2022 Incident response documentation to verify that\
        \ network segmentation rules are reviewed following significant security incidents.\
        \ \n\u2022 Post-incident analysis reports that include assessments of segmentation\
        \ rule effectiveness and any necessary adjustments. \n\u2022 Internal or external\
        \ audit logs and reports that cover network segmentation rule reviews. \n\u2022\
        \ Reviews performed periodically and in response to network changes or incidents.\
        \ \n\u2022 Minutes from security or IT operations meetings where network segmentation\
        \ rules are discussed. \n\u2022 Penetration tests and vulnerability assessments\
        \ that include evaluations of network segmentation. \n\u2022 Tests conducted\
        \ periodically and after major changes or incidents and findings leading to\
        \ rule reviews.\n\n[TIPS]\n\n\u2022 Network isolation and implementation of\
        \ segmented network security zones that limit the impact of a malicious software\
        \ incident. \n\u2022 Logging and monitoring active for each zone. \n\u2022\
        \ Alerts for segmentation rule violations. \n\u2022 Reviews triggered by alerts\
        \ to segmentation violations."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es r\xE9examinent et, s\u2019il\
            \ est besoin, mettent \xE0 jour la segmentation du r\xE9seau \xE0 intervalles\
            \ pr\xE9d\xE9finis, ainsi qu\u2019en cas d\u2019incidents importants ou\
            \ lorsque des changements majeurs concernant les op\xE9rations ou les\
            \ risques se produisent."
          annotation: "\u2022 Examiner et, si n\xE9cessaire, mettre \xE0 jour le processus\
            \ de r\xE8gles de segmentation du r\xE9seau au moins une fois par an.\n\
            \n[CONSEILS]\n\n\u2022 Limiter le trafic de donn\xE9es entre les diff\xE9\
            rents segments dans la mesure requise par l\u2019op\xE9ration au moyen\
            \ d\u2019un contr\xF4le des flux de donn\xE9es, par exemple un pare-feu.\
            \ \n\u2022 Se connecter \xE0 des r\xE9seaux ou syst\xE8mes d\u2019information\
            \ externes uniquement par le biais d\u2019interfaces g\xE9r\xE9es constitu\xE9\
            es de dispositifs de protection des limites dispos\xE9s conform\xE9ment\
            \ \xE0 l\u2019architecture de s\xE9curit\xE9 de l\u2019entit\xE9, tels\
            \ que :\n    o passerelles\_;\n    o routeurs ;\n    o pare-feu ;\n  \
            \  o Analyse de code malveillant bas\xE9e sur le r\xE9seau ;\n    o les\
            \ syst\xE8mes de virtualisation ; et\n    o Tunnels crypt\xE9s. \n\u2022\
            \ Emp\xEAcher la d\xE9couverte de composants syst\xE8me sp\xE9cifiques\
            \ composant une interface g\xE9r\xE9e. \n\u2022 Surveillez les exceptions."
          typical_evidence: "\u2022 Rapports de tests d\u2019intrusion r\xE9cents\
            \ et/ou de scans de vuln\xE9rabilit\xE9. \n\u2022 Plans ou calendriers\
            \ de r\xE9vision des r\xE8gles de segmentation du r\xE9seau. \n\u2022\
            \ Des registres ou des dossiers confirmant que les examens ont \xE9t\xE9\
            \ effectu\xE9s conform\xE9ment au calendrier. \n\u2022 Documentation de\
            \ gestion des changements pour les changements de segmentation du r\xE9\
            seau, en fonction des r\xE9sultats de l\u2019\xE9valuation des risques\
            \ et des besoins de l\u2019entreprise. \n\u2022 Documentation de r\xE9\
            ponse aux incidents pour v\xE9rifier que les r\xE8gles de segmentation\
            \ du r\xE9seau sont r\xE9vis\xE9es \xE0 la suite d\u2019incidents de s\xE9\
            curit\xE9 importants. \n\u2022 Rapports d\u2019analyse post-incident qui\
            \ incluent des \xE9valuations de l\u2019efficacit\xE9 des r\xE8gles de\
            \ segmentation et de tout ajustement n\xE9cessaire. \n\u2022 Journaux\
            \ et rapports d\u2019audit internes ou externes couvrant les revues des\
            \ r\xE8gles de segmentation du r\xE9seau. \n\u2022 Examens effectu\xE9\
            s p\xE9riodiquement et en r\xE9ponse aux modifications ou incidents du\
            \ r\xE9seau. \n\u2022 Proc\xE8s-verbaux des r\xE9unions de s\xE9curit\xE9\
            \ ou d\u2019op\xE9rations informatiques o\xF9 les r\xE8gles de segmentation\
            \ du r\xE9seau sont discut\xE9es. \n\u2022 Tests d\u2019intrusion et \xE9\
            valuations de vuln\xE9rabilit\xE9 incluant des \xE9valuations de la segmentation\
            \ du r\xE9seau. \n\u2022 Tests effectu\xE9s p\xE9riodiquement et apr\xE8\
            s des changements majeurs ou des incidents et des r\xE9sultats menant\
            \ \xE0 des r\xE9visions de r\xE8gles.\n\n[CONSEILS]\n\n\u2022 Isolation\
            \ du r\xE9seau et mise en place de zones de s\xE9curit\xE9 r\xE9seau segment\xE9\
            es qui limitent l\u2019impact d\u2019un incident de logiciel malveillant.\
            \ \n\u2022 Enregistrement et surveillance actifs pour chaque zone. \n\u2022\
            \ Alertes en cas de violation des r\xE8gles de segmentation. \n\u2022\
            \ Avis d\xE9clench\xE9s par des alertes de non-respect de la segmentation."
        es:
          description: "Las entidades pertinentes revisar\xE1n y, cuando proceda,\
            \ actualizar\xE1n la segmentaci\xF3n de la red a intervalos planificados,\
            \ as\xED como cuando se produzcan incidentes significativos o cambios\
            \ significativos en las operaciones o los riesgos."
          annotation: "\u2022 Revisar y, si es necesario, actualizar el proceso de\
            \ las reglas de segmentaci\xF3n de la red al menos una vez al a\xF1o.\n\
            \n[CONSEJOS]\n\n\u2022 Limitar el tr\xE1fico de datos entre los diferentes\
            \ segmentos en la medida requerida desde el punto de vista operativo mediante\
            \ el control del flujo de datos, por ejemplo, un cortafuegos. \n\u2022\
            \ Conectarse a redes externas o sistemas de informaci\xF3n \xFAnicamente\
            \ a trav\xE9s de interfaces administradas que consisten en dispositivos\
            \ de protecci\xF3n de l\xEDmites dispuestos de acuerdo con la arquitectura\
            \ de seguridad de la entidad, tales como:\n    o pasarelas;\n    o enrutadores;\n\
            \    o cortafuegos;\n    o an\xE1lisis de c\xF3digo malicioso basado en\
            \ la red;\n    o sistemas de virtualizaci\xF3n; y\n    o T\xFAneles encriptados.\
            \ \n\u2022 Evitar la detecci\xF3n de componentes espec\xEDficos del sistema\
            \ que componen una interfaz administrada. \n\u2022 Supervisar las excepciones."
          typical_evidence: "\u2022 Informes de pruebas de penetraci\xF3n recientes\
            \ y/o an\xE1lisis de vulnerabilidades. \n\u2022 Planes o horarios para\
            \ revisar las reglas de segmentaci\xF3n de la red. \n\u2022 Registros\
            \ o registros que confirmen que las revisiones se han realizado de acuerdo\
            \ con el cronograma. \n\u2022 Documentaci\xF3n de gesti\xF3n de cambios\
            \ para cambios en la segmentaci\xF3n de la red, en l\xEDnea con los resultados\
            \ de la evaluaci\xF3n de riesgos y las necesidades del negocio. \n\u2022\
            \ Documentaci\xF3n de respuesta a incidentes para verificar que las reglas\
            \ de segmentaci\xF3n de la red se revisan despu\xE9s de incidentes de\
            \ seguridad significativos. \n\u2022 Informes de an\xE1lisis posteriores\
            \ al incidente que incluyen evaluaciones de la efectividad de la regla\
            \ de segmentaci\xF3n y cualquier ajuste necesario. \n\u2022 Registros\
            \ e informes de auditor\xEDa interna o externa que cubren las revisiones\
            \ de reglas de segmentaci\xF3n de red. \n\u2022 Revisiones realizadas\
            \ peri\xF3dicamente y en respuesta a cambios o incidentes en la red. \n\
            \u2022 Actas de reuniones de seguridad u operaciones de TI donde se discuten\
            \ las reglas de segmentaci\xF3n de la red. \n\u2022 Pruebas de penetraci\xF3\
            n y evaluaciones de vulnerabilidad que incluyen evaluaciones de segmentaci\xF3\
            n de la red. \n\u2022 Pruebas realizadas peri\xF3dicamente y despu\xE9\
            s de cambios o incidentes importantes y hallazgos que conducen a revisiones\
            \ de reglas.\n\n[CONSEJOS]\n\n\u2022 Aislamiento de red e implementaci\xF3\
            n de zonas de seguridad de red segmentadas que limiten el impacto de un\
            \ incidente de software malicioso. \n\u2022 Registro y monitoreo activo\
            \ para cada zona. \n\u2022 Alertas por violaciones de reglas de segmentaci\xF3\
            n. \n\u2022 Revisiones activadas por alertas de violaciones de segmentaci\xF3\
            n."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty segmentaci s\xEDt\u011B\
            \ p\u0159ezkoum\xE1vaj\xED a v p\u0159\xEDpad\u011B pot\u0159eby aktualizuj\xED\
            \ v pl\xE1novan\xFDch intervalech a p\u0159i v\xFDznamn\xFDch incidentech\
            \ nebo v\xFDznamn\xFDch zm\u011Bn\xE1ch operac\xED \u010Di rizik."
          annotation: "\u2022 P\u0159ezkoumat a v p\u0159\xEDpad\u011B pot\u0159eby\
            \ aktualizovat proces pravidel segmentace s\xEDt\u011B alespo\u0148 jednou\
            \ ro\u010Dn\u011B.\n\n[TIPY]\n\n\u2022 Omezit datov\xFD provoz mezi jednotliv\xFD\
            mi segmenty na provozn\u011B po\u017Eadovan\xFD rozsah pomoc\xED \u0159\
            \xEDzen\xED toku dat, nap\u0159\xEDklad firewallu. \n\u2022 P\u0159ipojovat\
            \ se k extern\xEDm s\xEDt\xEDm nebo informa\u010Dn\xEDm syst\xE9m\u016F\
            m pouze prost\u0159ednictv\xEDm spravovan\xFDch rozhran\xED sest\xE1vaj\xED\
            c\xEDch ze za\u0159\xEDzen\xED na ochranu hranic uspo\u0159\xE1dan\xFD\
            ch v souladu s bezpe\u010Dnostn\xED architekturou subjektu, jako jsou:\n\
            \    o br\xE1ny;\n    o sm\u011Brova\u010De;\n    o firewally;\n    o\
            \ s\xED\u0165ov\xE1 anal\xFDza \u0161kodliv\xE9ho k\xF3du;\n    o virtualiza\u010D\
            n\xED syst\xE9my; a\n    o \u0161ifrovan\xE9 tunely. \n\u2022 Zabra\u0148\
            te objeven\xED specifick\xFDch syst\xE9mov\xFDch komponent tvo\u0159\xED\
            c\xEDch spravovan\xE9 rozhran\xED. \n\u2022 Sledovat v\xFDjimky."
          typical_evidence: "\u2022 Zpr\xE1vy z ned\xE1vn\xFDch penetra\u010Dn\xED\
            ch test\u016F a/nebo sken\u016F zranitelnost\xED. \n\u2022 Pl\xE1ny nebo\
            \ harmonogramy pro revizi pravidel segmentace s\xEDt\u011B. \n\u2022 Protokoly\
            \ nebo z\xE1znamy potvrzuj\xEDc\xED, \u017Ee kontroly byly provedeny v\
            \ souladu s harmonogramem. \n\u2022 Dokumentace \u0159\xEDzen\xED zm\u011B\
            n pro zm\u011Bny segmentace s\xEDt\u011B v souladu s v\xFDsledky hodnocen\xED\
            \ rizik a obchodn\xEDmi pot\u0159ebami. \n\u2022 Dokumentace k reakci\
            \ na incidenty pro ov\u011B\u0159en\xED, zda jsou pravidla segmentace\
            \ s\xEDt\u011B revidov\xE1na po v\xFDznamn\xFDch bezpe\u010Dnostn\xED\
            ch incidentech. \n\u2022 Zpr\xE1vy o anal\xFDze po incidentu, kter\xE9\
            \ zahrnuj\xED hodnocen\xED efektivity pravidel segmentace a jak\xE9koli\
            \ nezbytn\xE9 \xFApravy. \n\u2022 Intern\xED nebo extern\xED protokoly\
            \ a zpr\xE1vy o auditu, kter\xE9 pokr\xFDvaj\xED revize pravidel segmentace\
            \ s\xEDt\u011B. \n\u2022 Kontroly prov\xE1d\u011Bn\xE9 pravideln\u011B\
            \ a v reakci na zm\u011Bny nebo incidenty s\xEDt\u011B. \n\u2022 Z\xE1\
            pisy z porad o bezpe\u010Dnosti nebo IT operac\xEDch, kde se diskutuje\
            \ o pravidlech segmentace s\xEDt\u011B. \n\u2022 Penetra\u010Dn\xED testy\
            \ a hodnocen\xED zranitelnosti, kter\xE9 zahrnuj\xED vyhodnocen\xED segmentace\
            \ s\xEDt\u011B. \n\u2022 Testy prov\xE1d\u011Bn\xE9 pravideln\u011B a\
            \ po v\xFDznamn\xFDch zm\u011Bn\xE1ch nebo incidentech a zji\u0161t\u011B\
            n\xEDch vedouc\xEDch k revizi pravidel.\n\n[TIPY]\n\n\u2022 Izolace s\xED\
            t\u011B a implementace segmentovan\xFDch z\xF3n zabezpe\u010Den\xED s\xED\
            t\u011B, kter\xE9 omezuj\xED dopad incidentu \u0161kodliv\xE9ho softwaru.\
            \ \n\u2022 Logov\xE1n\xED a monitoring aktivn\xED pro ka\u017Edou z\xF3\
            nu. \n\u2022 Upozorn\u011Bn\xED na poru\u0161en\xED pravidel segmentace.\
            \ \n\u2022 Recenze spu\u0161t\u011Bn\xE9 upozorn\u011Bn\xEDm na poru\u0161\
            en\xED segmentace."
        it:
          description: I soggetti pertinenti riesaminano e, se del caso, aggiornano
            la segmentazione della rete a intervalli pianificati e in caso di incidenti
            significativi o modifiche significative delle operazioni o dei rischi.
          annotation: "\u2022 Rivedere e, se necessario, aggiornare il processo per\
            \ le regole di segmentazione della rete almeno una volta all'anno.\n\n\
            [CONSIGLI]\n\n\u2022 Limitare il traffico di dati tra i diversi segmenti\
            \ nella misura operativamente richiesta mediante il controllo del flusso\
            \ di dati, ad esempio un firewall. \n\u2022 Connettersi a reti o sistemi\
            \ informativi esterni solo attraverso interfacce gestite costituite da\
            \ dispositivi di protezione dei confini disposti in conformit\xE0 con\
            \ l'architettura di sicurezza dell'entit\xE0 quali:\n    o gateway;\n\
            \    o router;\n    o firewall;\n    o analisi del codice dannoso basata\
            \ sulla rete;\n    o sistemi di virtualizzazione; e\n    o tunnel crittografati.\
            \ \n\u2022 Impedire il rilevamento di componenti di sistema specifici\
            \ che compongono un'interfaccia gestita. \n\u2022 Monitorare le eccezioni."
          typical_evidence: "\u2022 Rapporti da recenti test di penetrazione e/o scansioni\
            \ di vulnerabilit\xE0. \n\u2022 Piani o pianificazioni per la revisione\
            \ delle regole di segmentazione della rete. \n\u2022 Registri o registrazioni\
            \ che confermano che le revisioni sono state condotte in conformit\xE0\
            \ con il programma. \n\u2022 Documentazione di gestione delle modifiche\
            \ per le modifiche alla segmentazione della rete, in linea con i risultati\
            \ della valutazione del rischio e le esigenze aziendali. \n\u2022 Documentazione\
            \ di risposta agli incidenti per verificare che le regole di segmentazione\
            \ della rete vengano riviste a seguito di incidenti di sicurezza significativi.\
            \ \n\u2022 Report di analisi post-incidente che includono valutazioni\
            \ dell'efficacia delle regole di segmentazione e di eventuali aggiustamenti\
            \ necessari. \n\u2022 Registri di controllo interni o esterni e report\
            \ che coprono le revisioni delle regole di segmentazione della rete. \n\
            \u2022 Revisioni eseguite periodicamente e in risposta a modifiche o incidenti\
            \ di rete. \n\u2022 Verbali delle riunioni di sicurezza o delle operazioni\
            \ IT in cui vengono discusse le regole di segmentazione della rete. \n\
            \u2022 Test di penetrazione e valutazioni della vulnerabilit\xE0 che includono\
            \ valutazioni della segmentazione della rete. \n\u2022 Test condotti periodicamente\
            \ e dopo importanti modifiche o incidenti e risultati che portano a revisioni\
            \ delle regole.\n\n[CONSIGLI]\n\n\u2022 Isolamento della rete e implementazione\
            \ di zone di sicurezza di rete segmentate che limitano l'impatto di un\
            \ incidente di software dannoso. \n\u2022 Registrazione e monitoraggio\
            \ attivi per ogni zona. \n\u2022 Avvisi per violazioni delle regole di\
            \ segmentazione. \n\u2022 Revisioni attivate da avvisi di violazioni della\
            \ segmentazione."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.9
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6
      ref_id: '6.9'
      name: Protection against malicious and unauthorised software
      translations:
        fr:
          name: "Protection contre les logiciels malveillants ou non autoris\xE9s"
        es:
          name: "Protecci\xF3n frente a los programas inform\xE1ticos maliciosos y\
            \ no autorizados"
        cs:
          name: "Ochrana p\u0159ed \u0161kodliv\xFDm a neautorizovan\xFDm softwarem"
        it:
          name: Protezione contro software dannoso e non autorizzato
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.9.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.9
      ref_id: 6.9.1
      description: The relevant entities shall protect their network and information
        systems against malicious and unauthorised software.
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es prot\xE8gent leurs r\xE9seaux\
            \ et syst\xE8mes d\u2019information contre les logiciels malveillants\
            \ ou non autoris\xE9s."
        es:
          description: "Las entidades pertinentes proteger\xE1n sus sistemas de redes\
            \ y de informaci\xF3n frente a los programas inform\xE1ticos maliciosos\
            \ y no autorizados."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty chr\xE1n\xED sv\xE9 s\xED\
            t\u011B a informa\u010Dn\xED syst\xE9my p\u0159ed \u0161kodliv\xFDm a\
            \ neautorizovan\xFDm softwarem."
        it:
          description: I soggetti interessati proteggono la loro rete e i loro sistemi
            informativi da software dannosi e non autorizzati.
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.9.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.9
      ref_id: 6.9.2
      description: For that purpose, the relevant entities shall in particular implement
        measures that detect or prevent the use of malicious or unauthorised software.
        The relevant entities shall, where appropriate, ensure that their network
        and information systems are equipped with detection and response software,
        which is updated regularly in accordance with the risk assessment carried
        out pursuant to point 2.1 and the contractual agreements with the providers.
      annotation: "\u2022 Employ mechanisms for detecting and protecting against malicious\
        \ and unauthorised software at system entry and exit points and at workstations,\
        \ servers and mobile computing devices on the network to detect and eradicate\
        \ malicious code transported by electronic mail, electronic mail attachments,\
        \ web accesses or removable media or inserted through the exploitation of\
        \ system vulnerabilities. \n\u2022 Configure malicious code protection mechanisms\
        \ to:\n    o be active all the time;\n    o perform periodic scans of the\
        \ system regularly and real-time scans of files from external sources as the\
        \ files are downloaded, opened or executed;\n    o generate notifications\
        \ when suspected malicious and unauthorised software is detected;\n    o disinfect\
        \ and quarantine infected files; and\n    o restore system settings and ensure\
        \ that critical settings cannot be disabled or restricted. \n\u2022 Apply\
        \ application whitelisting and monitor unauthorised activities and system\
        \ behaviour, where appropriate. \n\u2022 Make sure that the malicious and\
        \ unauthorised protection mechanisms are centrally managed, where appropriate.\
        \ \n\u2022 Make sure that there are mechanisms that prevent users from circumventing\
        \ malicious and unauthorised software protection capabilities. \n\u2022 Make\
        \ sure that spam protection mechanisms are employed at system entry points\
        \ such as workstations, servers or mobile computing devices on the network.\
        \ \n\u2022 Update malicious code protection mechanisms (including signature\
        \ definitions) whenever new releases are available in accordance with configuration\
        \ rules and the entity\u2019s patch management procedures. \n\u2022 Address\
        \ issues related to false positives during malicious code detection and eradication\
        \ and the resulting potential impact on system availability. \n\u2022 Align\
        \ rules for monitoring and logging malicious and unauthorised detection and\
        \ repair software with the entity\u2019s monitoring and logging tools and\
        \ procedures (Annex to the regulation, point 3.2) and with the entity\u2019\
        s access control (Annex to the regulation, point 11.1) and asset-handling\
        \ policy.\n\n[TIPS]\n\n\u2022 Consider that the use of malicious and unauthorised\
        \ detection and repair software alone is not usually adequate or may not be\
        \ available, so it should be complemented by additional measures such as (indicative,\
        \ non-exhaustive list):\n    o implementing rules and measures that prevent\
        \ or detect the use of unauthorised software;\n    o implementing measures\
        \ that prevent or detect the use of known or suspected malicious websites;\n\
        \    o reducing vulnerabilities that can be exploited by malicious software;\n\
        \    o controlling the running of applications on user workstations or user\
        \ end devices (including smartphones or tablets);\n    o employing web application\
        \ filters to reduce exposure to malicious content. \n\u2022 Consider email\
        \ filters as essential tools for detecting and blocking malicious and unauthorised\
        \ software. Different types of filter are (indicative, non-exhaustive list):\n\
        \    o content filter;\n    o blocklist filter;\n    o antivirus filter;\n\
        \    o phishing filters; and\n    o machine learning filters."
      typical_evidence: "\u2022 Endpoint protection systems (EPS), such as endpoint\
        \ protection platform (EPP) and endpoint detection and response (EDR), across\
        \ the network. \n\u2022 Malware detection system present and up to date. \n\
        \u2022 Tools for monitoring unauthorised software is in place and up to date.\
        \ \n\u2022 Firewall configurations, IDS/IPS and secure web gateways containing\
        \ malicious and unauthorised software protection measures. \n\u2022 Use of\
        \ whitelisting solutions, which restrict the execution of non-approved software\
        \ and code.   \n\u2022 Rules and configurations related to application whitelisting\
        \ up to date. \n\u2022 Documented description of centrally managed tools.\
        \ \n\u2022 Records of recent updates of mechanisms for detecting and protecting\
        \ against malicious/unauthorised software showing that they are regularly\
        \ patched and updated to protect against known vulnerabilities. \n\u2022 Records\
        \ of periodic scans. \n\u2022 Monitoring and logging of network and information\
        \ systems, at intervals to identify malicious code and unauthorized code execution.\
        \ \n\u2022 Logs of blocked or detected threats. \n\u2022 Logs recorded and\
        \ maintained covering:\n    o user activities;\n    o exceptions; and\n  \
        \  o information security incidents. \n\u2022 Documented spam protection mechanism.\
        \ \n\u2022 Risk assessment to determine the level of logs monitoring required.\n\
        \n[TIPS]\n\n\u2022 Documented alternative countermeasures such as:\n    o\
        \ securing all physical and logical data interfaces;\n    o network isolation\
        \ and implementation of segmented network security zones that limit the impact\
        \ of a malicious software incident;\n    o comprehensive system-hardening\
        \ measures to minimise the risk of malicious software incidents.\n    o logs\
        \ confirming that administrative privileges are controlled and monitored.\
        \ \n\u2022 Logs from email filters."
      translations:
        fr:
          description: "\xC0 cette fin, les entit\xE9s concern\xE9es mettent notamment\
            \ en \u0153uvre des mesures qui permettent de d\xE9tecter ou d\u2019emp\xEA\
            cher l\u2019utilisation de logiciels malveillants ou non autoris\xE9s.\
            \ Les entit\xE9s concern\xE9es veillent, s\u2019il est besoin, \xE0 ce\
            \ que leurs r\xE9seaux et syst\xE8mes d\u2019information soient \xE9quip\xE9\
            s de logiciels de d\xE9tection et de r\xE9ponse r\xE9guli\xE8rement mis\
            \ \xE0 jour selon l\u2019\xE9valuation des risques effectu\xE9e conform\xE9\
            ment au point 2.1 et aux accords contractuels conclus avec les fournisseurs."
          annotation: "\u2022 Utiliser des m\xE9canismes de d\xE9tection et de protection\
            \ contre les logiciels malveillants et non autoris\xE9s aux points d'entr\xE9\
            e et de sortie du syst\xE8me et sur les postes de travail, les serveurs\
            \ et les dispositifs informatiques mobiles sur le r\xE9seau, afin de d\xE9\
            tecter et d'\xE9radiquer les codes malveillants transport\xE9s par courrier\
            \ \xE9lectronique, les pi\xE8ces jointes des courriers \xE9lectroniques,\
            \ les acc\xE8s au web ou les supports amovibles, ou ins\xE9r\xE9s par\
            \ l'exploitation des vuln\xE9rabilit\xE9s du syst\xE8me.\n\u2022 Configurer\
            \ les m\xE9canismes de protection contre les codes malveillants pour qu'ils\
            \ :\n    o soient actifs en permanence ;\n    o effectuent des analyses\
            \ p\xE9riodiques du syst\xE8me et des analyses en temps r\xE9el des fichiers\
            \ provenant de sources externes lorsque ces fichiers sont t\xE9l\xE9charg\xE9\
            s, ouverts ou ex\xE9cut\xE9s ;\n    o g\xE9n\xE8rent des notifications\
            \ en cas de d\xE9tection de logiciels soup\xE7onn\xE9s d'\xEAtre malveillants\
            \ ou non autoris\xE9s ;\n    o d\xE9sinfectent et mettent en quarantaine\
            \ les fichiers infect\xE9s ; et\n    o restaurent les param\xE8tres du\
            \ syst\xE8me et veillent \xE0 ce que les param\xE8tres critiques ne puissent\
            \ pas \xEAtre d\xE9sactiv\xE9s ou restreints.\n\u2022 Appliquer la liste\
            \ blanche des applications et surveiller les activit\xE9s non autoris\xE9\
            es et le comportement du syst\xE8me, le cas \xE9ch\xE9ant. \n\u2022 Veiller\
            \ \xE0 ce que les m\xE9canismes de protection contre les malveillants\
            \ et les personnes non autoris\xE9es soient g\xE9r\xE9s de mani\xE8re\
            \ centralis\xE9e, le cas \xE9ch\xE9ant. \n\u2022 S'assurer qu'il existe\
            \ des m\xE9canismes emp\xEAchant les utilisateurs de contourner les capacit\xE9\
            s de protection des logiciels malveillants et non autoris\xE9s. \n\u2022\
            \ Veiller \xE0 ce que des m\xE9canismes de protection contre le spam soient\
            \ utilis\xE9s aux points d'entr\xE9e du syst\xE8me, tels que les postes\
            \ de travail, les serveurs ou les dispositifs informatiques mobiles sur\
            \ le r\xE9seau.\n\u2022 Mettre \xE0 jour les m\xE9canismes de protection\
            \ contre les codes malveillants (y compris les d\xE9finitions de signatures)\
            \ chaque fois que de nouvelles versions sont disponibles, conform\xE9\
            ment aux r\xE8gles de configuration et aux proc\xE9dures de gestion des\
            \ correctifs de l'entit\xE9. \n\u2022 Traiter les probl\xE8mes li\xE9\
            s aux faux positifs lors de la d\xE9tection et de l'\xE9radication des\
            \ codes malveillants et l'impact potentiel qui en r\xE9sulte sur la disponibilit\xE9\
            \ du syst\xE8me. \n\u2022 Aligner les r\xE8gles de surveillance et d'enregistrement\
            \ des logiciels de d\xE9tection et de r\xE9paration malveillants et non\
            \ autoris\xE9s sur les outils et proc\xE9dures de surveillance et d'enregistrement\
            \ de l'entit\xE9 (annexe du r\xE8glement, point 3.2) et sur la politique\
            \ de contr\xF4le d'acc\xE8s (annexe du r\xE8glement, point 11.1) et de\
            \ traitement des actifs de l'entit\xE9.\n\n[CONSEILS]\n\n\u2022 Consid\xE9\
            rer que l'utilisation de logiciels de d\xE9tection et de r\xE9paration\
            \ des logiciels malveillants et non autoris\xE9s n'est g\xE9n\xE9ralement\
            \ pas suffisante ou peut ne pas \xEAtre disponible, et qu'elle doit donc\
            \ \xEAtre compl\xE9t\xE9e par des mesures suppl\xE9mentaires telles que\
            \ (liste indicative et non exhaustive) :\n    o la mise en \u0153uvre\
            \ de r\xE8gles et de mesures qui emp\xEAchent ou d\xE9tectent l'utilisation\
            \ de logiciels non autoris\xE9s ;\n    o la mise en \u0153uvre de mesures\
            \ qui emp\xEAchent ou d\xE9tectent l'utilisation de sites web malveillants\
            \ connus ou suspect\xE9s ;\n    o la r\xE9duction des vuln\xE9rabilit\xE9\
            s qui peuvent \xEAtre exploit\xE9es par des logiciels malveillants ;\n\
            \    o le contr\xF4le de l'ex\xE9cution des applications sur les postes\
            \ de travail des utilisateurs ou sur les terminaux des utilisateurs (y\
            \ compris les smartphones ou les tablettes) ;\n    o l'utilisation de\
            \ filtres d'applications web pour r\xE9duire l'exposition \xE0 des contenus\
            \ malveillants.\n\u2022 Consid\xE9rez les filtres de messagerie comme\
            \ des outils essentiels pour d\xE9tecter et bloquer les logiciels malveillants\
            \ et non autoris\xE9s. Les diff\xE9rents types de filtres sont (liste\
            \ indicative et non exhaustive) :\n    o filtre de contenu ;\n    o filtre\
            \ de liste de blocage ;\n    o filtre antivirus ;\n    o filtres d'hame\xE7\
            onnage ; et\n    o filtres d'apprentissage automatique."
          typical_evidence: "\u2022 Les syst\xE8mes de protection des terminaux (EPS),\
            \ tels que la plate-forme de protection des terminaux (EPP) et la d\xE9\
            tection et la r\xE9ponse aux points de terminaison (EDR), sur l\u2019\
            ensemble du r\xE9seau. \n\u2022 Syst\xE8me de d\xE9tection de logiciels\
            \ malveillants pr\xE9sent et \xE0 jour. \n\u2022 Des outils de surveillance\
            \ des logiciels non autoris\xE9s sont en place et \xE0 jour. \n\u2022\
            \ Configurations de pare-feu, IDS/IPS et passerelles web s\xE9curis\xE9\
            es contenant des mesures de protection contre les logiciels malveillants\
            \ et non autoris\xE9s. \n\u2022 Utilisation de solutions de liste blanche,\
            \ qui limitent l\u2019ex\xE9cution de logiciels et de codes non approuv\xE9\
            s.   \n\u2022 R\xE8gles et configurations li\xE9es \xE0 la liste blanche\
            \ des applications \xE0 jour. \n\u2022 Description document\xE9e des outils\
            \ g\xE9r\xE9s de mani\xE8re centralis\xE9e. \n\u2022 Des enregistrements\
            \ des mises \xE0 jour r\xE9centes des m\xE9canismes de d\xE9tection et\
            \ de protection contre les logiciels malveillants/non autoris\xE9s, montrant\
            \ qu\u2019ils sont r\xE9guli\xE8rement corrig\xE9s et mis \xE0 jour pour\
            \ se prot\xE9ger contre les vuln\xE9rabilit\xE9s connues. \n\u2022 Enregistrements\
            \ de scans p\xE9riodiques. \n\u2022 Surveillance et journalisation du\
            \ r\xE9seau et des syst\xE8mes d\u2019information, \xE0 intervalles r\xE9\
            guliers pour identifier les codes malveillants et l\u2019ex\xE9cution\
            \ non autoris\xE9e de code. \n\u2022 Journaux des menaces bloqu\xE9es\
            \ ou d\xE9tect\xE9es. \n\u2022 Registres enregistr\xE9s et tenus \xE0\
            \ jour couvrant :\n    o les activit\xE9s de l\u2019utilisateur ;\n  \
            \  o les exceptions ; et\n    o incidents de s\xE9curit\xE9 de l\u2019\
            information. \n\u2022 M\xE9canisme de protection anti-spam document\xE9\
            . \n\u2022 \xC9valuation des risques pour d\xE9terminer le niveau de surveillance\
            \ des journaux requis.\n\n[CONSEILS]\n\n\u2022 Des contre-mesures alternatives\
            \ document\xE9es telles que :\n    o S\xE9curisation de l\u2019ensemble\
            \ des interfaces de donn\xE9es physiques et logiques ;\n    o l\u2019\
            isolation du r\xE9seau et la mise en place de zones de s\xE9curit\xE9\
            \ r\xE9seau segment\xE9es qui limitent l\u2019impact d\u2019un incident\
            \ de logiciel malveillant ;\n    o des mesures compl\xE8tes de renforcement\
            \ du syst\xE8me pour minimiser le risque d\u2019incidents de logiciels\
            \ malveillants.\n    o Journaux confirmant que les privil\xE8ges administratifs\
            \ sont contr\xF4l\xE9s et surveill\xE9s. \n\u2022 Journaux \xE0 partir\
            \ de filtres de messagerie."
        es:
          description: "Para ello, las entidades pertinentes aplicar\xE1n, en particular,\
            \ medidas para detectar o impedir el uso de programas inform\xE1ticos\
            \ maliciosos o no autorizados. Las entidades pertinentes velar\xE1n, cuando\
            \ proceda, por que sus sistemas de redes y de informaci\xF3n est\xE9n\
            \ equipados con programas inform\xE1ticos de detecci\xF3n y respuesta,\
            \ que se actualicen peri\xF3dicamente de conformidad con la evaluaci\xF3\
            n de riesgos realizada con arreglo al punto 2.1 y los acuerdos contractuales\
            \ con los proveedores."
          annotation: "\u2022 Emplear mecanismos de detecci\xF3n y protecci\xF3n contra\
            \ software malicioso y no autorizado en los puntos de entrada y salida\
            \ del sistema y en los puestos de trabajo, servidores y dispositivos inform\xE1\
            ticos m\xF3viles de la red para detectar y erradicar el c\xF3digo malicioso\
            \ transportado por correo electr\xF3nico, archivos adjuntos de correo\
            \ electr\xF3nico, accesos web o medios extra\xEDbles o insertado mediante\
            \ la explotaci\xF3n de vulnerabilidades del sistema.\n\u2022 Configurar\
            \ mecanismos de protecci\xF3n contra c\xF3digos maliciosos para que:\n\
            \    o est\xE9n activos todo el tiempo;\n    o realicen escaneos peri\xF3\
            dicos del sistema con regularidad y escaneos en tiempo real de archivos\
            \ de fuentes externas a medida que los archivos se descargan, abren o\
            \ ejecutan;\n    o generen notificaciones cuando se detecte software sospechoso\
            \ de ser malicioso y no autorizado;\n    o desinfecten y pongan en cuarentena\
            \ los archivos infectados; y\n    o restauren la configuraci\xF3n del\
            \ sistema y garanticen que las configuraciones cr\xEDticas no se puedan\
            \ deshabilitar o restringir.\n\u2022 Aplique listas blancas de aplicaciones\
            \ y supervise las actividades no autorizadas y el comportamiento del sistema,\
            \ cuando proceda. \n\u2022 Asegurarse de que los mecanismos de protecci\xF3\
            n contra maliciosos y no autorizados se gestionan de forma centralizada,\
            \ cuando proceda. \n\u2022 Aseg\xFArese de que existen mecanismos que\
            \ impiden a los usuarios eludir las capacidades de protecci\xF3n contra\
            \ software malicioso y no autorizado. \n\u2022 Aseg\xFArese de que se\
            \ emplean mecanismos de protecci\xF3n contra el spam en los puntos de\
            \ entrada del sistema, como estaciones de trabajo, servidores o dispositivos\
            \ inform\xE1ticos m\xF3viles de la red. \n\u2022 Actualizar los mecanismos\
            \ de protecci\xF3n contra c\xF3digos maliciosos (incluidas las definiciones\
            \ de firmas) siempre que haya nuevas versiones disponibles de acuerdo\
            \ con las normas de configuraci\xF3n y los procedimientos de gesti\xF3\
            n de parches de la entidad. \n\u2022 Abordar los problemas relacionados\
            \ con los falsos positivos durante la detecci\xF3n y erradicaci\xF3n de\
            \ c\xF3digos maliciosos y el impacto potencial resultante en la disponibilidad\
            \ del sistema. \n\u2022 Alinear las normas de supervisi\xF3n y registro\
            \ del software de detecci\xF3n y reparaci\xF3n malintencionado y no autorizado\
            \ con las herramientas y procedimientos de supervisi\xF3n y registro de\
            \ la entidad (punto 3.2 del anexo del Reglamento) y con la pol\xEDtica\
            \ de control de acceso (punto 11.1 del anexo del Reglamento) y de gesti\xF3\
            n de activos de la entidad.\n\n[CONSEJOS]\n\n\u2022 Considerar que el\
            \ uso de software de detecci\xF3n y reparaci\xF3n de programas maliciosos\
            \ y no autorizados por s\xED solo no suele ser adecuado o puede no estar\
            \ disponible, por lo que debe complementarse con medidas adicionales como\
            \ (lista indicativa y no exhaustiva)\n    o la aplicaci\xF3n de normas\
            \ y medidas que impidan o detecten el uso de software no autorizado;\n\
            \    o la aplicaci\xF3n de medidas que impidan o detecten el uso de sitios\
            \ web conocidos o sospechosos de ser maliciosos;\n    o la reducci\xF3\
            n de vulnerabilidades que puedan ser explotadas por software malicioso;\n\
            \    o el control de la ejecuci\xF3n de aplicaciones en las estaciones\
            \ de trabajo de los usuarios o en los dispositivos finales de los usuarios\
            \ (incluidos smartphones o tabletas);\n    o el empleo de filtros de aplicaciones\
            \ web para reducir la exposici\xF3n a contenidos maliciosos.\n\u2022 Considere\
            \ los filtros de correo electr\xF3nico como herramientas esenciales para\
            \ detectar y bloquear software malicioso y no autorizado. Los distintos\
            \ tipos de filtro son (lista indicativa, no exhaustiva):\n    o filtro\
            \ de contenido;\n    o filtro de lista de bloqueo;\n    o filtro antivirus;\n\
            \    o filtros de suplantaci\xF3n de identidad; y\n    o filtros de aprendizaje\
            \ autom\xE1tico."
          typical_evidence: "\u2022 Sistemas de protecci\xF3n de endpoints (EPS),\
            \ como la plataforma de protecci\xF3n de endpoints (EPP) y la detecci\xF3\
            n y respuesta de endpoints (EDR), en toda la red. \n\u2022 Sistema de\
            \ detecci\xF3n de malware presente y actualizado. \n\u2022 Dispone de\
            \ herramientas para el control de software no autorizado y est\xE1 actualizado.\
            \ \n\u2022 Configuraciones de firewall, IDS/IPS y pasarelas web seguras\
            \ que contienen medidas de protecci\xF3n de software malicioso y no autorizado.\
            \ \n\u2022 Uso de soluciones de listas blancas, que restringen la ejecuci\xF3\
            n de software y c\xF3digo no aprobados.   \n\u2022 Reglas y configuraciones\
            \ relacionadas con la lista blanca de aplicaciones actualizadas. \n\u2022\
            \ Descripci\xF3n documentada de las herramientas gestionadas de forma\
            \ centralizada. \n\u2022 Registros de actualizaciones recientes de mecanismos\
            \ para detectar y proteger contra software malicioso / no autorizado que\
            \ muestren que se parchean y actualizan regularmente para proteger contra\
            \ vulnerabilidades conocidas. \n\u2022 Registros de escaneos peri\xF3\
            dicos. \n\u2022 Monitoreo y registro de redes y sistemas de informaci\xF3\
            n, a intervalos para identificar c\xF3digo malicioso y ejecuci\xF3n de\
            \ c\xF3digo no autorizado. \n\u2022 Registros de amenazas bloqueadas o\
            \ detectadas. \n\u2022 Registros registrados y mantenidos que cubren:\n\
            \    o actividades del usuario;\n    o excepciones; y\n    o Incidentes\
            \ de seguridad de la informaci\xF3n. \n\u2022 Mecanismo de protecci\xF3\
            n contra spam documentado. \n\u2022 Evaluaci\xF3n de riesgos para determinar\
            \ el nivel de monitoreo de registros requerido.\n\n[CONSEJOS]\n\n\u2022\
            \ Contramedidas alternativas documentadas, tales como:\n    o asegurar\
            \ todas las interfaces de datos f\xEDsicos y l\xF3gicos;\n    o aislamiento\
            \ de la red e implementaci\xF3n de zonas de seguridad de red segmentadas\
            \ que limiten el impacto de un incidente de software malicioso;\n    o\
            \ Medidas integrales de endurecimiento del sistema para minimizar el riesgo\
            \ de incidentes de software malicioso.\n    o Registros que confirman\
            \ que los privilegios administrativos est\xE1n controlados y supervisados.\
            \ \n\u2022 Registros de filtros de correo electr\xF3nico."
        cs:
          description: "Za t\xEDmto \xFA\u010Delem p\u0159\xEDslu\u0161n\xE9 subjekty\
            \ zejm\xE9na zavedou opat\u0159en\xED, kter\xE1 odhal\xED nebo zabr\xE1\
            n\xED pou\u017E\xEDv\xE1n\xED \u0161kodliv\xE9ho nebo neopr\xE1vn\u011B\
            n\xE9ho softwaru. P\u0159\xEDslu\u0161n\xE9 subjekty v p\u0159\xEDpad\u011B\
            \ pot\u0159eby zajist\xED, aby jejich s\xEDt\u011B a informa\u010Dn\xED\
            \ syst\xE9my byly vybaveny softwarem pro detekci a reakci, kter\xFD je\
            \ pravideln\u011B aktualizov\xE1n v souladu s posouzen\xEDm rizik proveden\xFD\
            m podle bodu 2.1 a se smluvn\xEDmi ujedn\xE1n\xEDmi s poskytovateli."
          annotation: "\u2022 Zaveden\xED mechanism\u016F pro detekci a ochranu proti\
            \ \u0161kodliv\xE9mu a neautorizovan\xE9mu softwaru na vstupn\xEDch a\
            \ v\xFDstupn\xEDch bodech syst\xE9mu a na pracovn\xEDch stanic\xEDch,\
            \ serverech a mobiln\xEDch po\u010D\xEDta\u010Dov\xFDch za\u0159\xEDzen\xED\
            ch v s\xEDti s c\xEDlem odhalit a odstranit \u0161kodliv\xFD k\xF3d p\u0159\
            en\xE1\u0161en\xFD elektronickou po\u0161tou, p\u0159\xEDlohami elektronick\xE9\
            \ po\u0161ty, p\u0159\xEDstupy na web nebo vym\u011Bniteln\xE1 m\xE9dia\
            \ nebo vlo\u017Een\xFD prost\u0159ednictv\xEDm zneu\u017Eit\xED zranitelnost\xED\
            \ syst\xE9mu.\n\u2022 Nakonfigurujte mechanismy ochrany proti \u0161kodliv\xE9\
            mu k\xF3du tak, aby:\n    o byly neust\xE1le aktivn\xED;\n    o pravideln\u011B\
            \ prov\xE1d\u011Bly periodick\xE9 skenov\xE1n\xED syst\xE9mu a skenov\xE1\
            n\xED soubor\u016F z extern\xEDch zdroj\u016F v re\xE1ln\xE9m \u010Dase\
            \ p\u0159i jejich stahov\xE1n\xED, otev\xEDr\xE1n\xED nebo spou\u0161\
            t\u011Bn\xED;\n    o generovaly ozn\xE1men\xED p\u0159i zji\u0161t\u011B\
            n\xED podez\u0159en\xED na \u0161kodliv\xFD a neautorizovan\xFD software;\n\
            \    o dezinfikovaly a d\xE1valy do karant\xE9ny infikovan\xE9 soubory;\
            \ a\n    o obnovovaly nastaven\xED syst\xE9mu a zaji\u0161\u0165ovaly,\
            \ aby kritick\xE1 nastaven\xED nebylo mo\u017En\xE9 zak\xE1zat nebo omezit.\n\
            \u2022 Pou\u017E\xEDt whitelisting aplikac\xED a p\u0159\xEDpadn\u011B\
            \ monitorovat neautorizovan\xE9 aktivity a chov\xE1n\xED syst\xE9mu. \n\
            \u2022 Zajist\u011Bte, aby mechanismy ochrany proti \u0161kodliv\xFDm\
            \ a neautorizovan\xFDm \xFAtok\u016Fm byly p\u0159\xEDpadn\u011B spravov\xE1\
            ny centr\xE1ln\u011B. \n\u2022 Zajist\u011Bte, aby existovaly mechanismy,\
            \ kter\xE9 u\u017Eivatel\u016Fm zabr\xE1n\xED obch\xE1zet funkce ochrany\
            \ p\u0159ed \u0161kodliv\xFDm a neautorizovan\xFDm softwarem. \n\u2022\
            \ Zajist\u011Bte, aby byly pou\u017Eity mechanismy ochrany p\u0159ed nevy\u017E\
            \xE1danou po\u0161tou ve vstupn\xEDch bodech syst\xE9mu, jako jsou pracovn\xED\
            \ stanice, servery nebo mobiln\xED po\u010D\xEDta\u010Dov\xE1 za\u0159\
            \xEDzen\xED v s\xEDti. \n\u2022 aktualizovat mechanismy ochrany proti\
            \ \u0161kodliv\xE9mu k\xF3du (v\u010Detn\u011B definic signatur), kdykoli\
            \ jsou k dispozici nov\xE9 verze v souladu s pravidly konfigurace a postupy\
            \ spr\xE1vy z\xE1plat dan\xE9ho subjektu.\n\u2022 \u0158e\u0161it probl\xE9\
            my souvisej\xEDc\xED s fale\u0161n\u011B pozitivn\xEDmi v\xFDsledky p\u0159\
            i detekci a odstra\u0148ov\xE1n\xED \u0161kodliv\xE9ho k\xF3du a z toho\
            \ vypl\xFDvaj\xEDc\xED potenci\xE1ln\xED dopad na dostupnost syst\xE9\
            mu. \n\u2022 Sladit pravidla pro monitorov\xE1n\xED a zaznamen\xE1v\xE1\
            n\xED \u0161kodliv\xE9ho a neautorizovan\xE9ho softwaru pro detekci a\
            \ opravu s n\xE1stroji a postupy monitorov\xE1n\xED a zaznamen\xE1v\xE1\
            n\xED subjektu (p\u0159\xEDloha na\u0159\xEDzen\xED, bod 3.2) a s politikou\
            \ \u0159\xEDzen\xED p\u0159\xEDstupu subjektu (p\u0159\xEDloha na\u0159\
            \xEDzen\xED, bod 11.1) a nakl\xE1d\xE1n\xED s aktivy.\n\n[TIPY]\n\n\u2022\
            \ Zva\u017Ete, \u017Ee samotn\xE9 pou\u017Eit\xED softwaru pro detekci\
            \ a opravu \u0161kodliv\xFDch a neautorizovan\xFDch dat obvykle nen\xED\
            \ dostate\u010Dn\xE9 nebo nemus\xED b\xFDt k dispozici, proto by m\u011B\
            lo b\xFDt dopln\u011Bno dal\u0161\xEDmi opat\u0159en\xEDmi, jako jsou\
            \ (orienta\u010Dn\xED, ne\xFApln\xFD seznam):\n    o zaveden\xED pravidel\
            \ a opat\u0159en\xED, kter\xE1 zabr\xE1n\xED nebo odhal\xED pou\u017E\xED\
            v\xE1n\xED neautorizovan\xE9ho softwaru;\n    o zaveden\xED opat\u0159\
            en\xED, kter\xE1 zabr\xE1n\xED nebo odhal\xED pou\u017E\xEDv\xE1n\xED\
            \ zn\xE1m\xFDch nebo podez\u0159el\xFDch \u0161kodliv\xFDch webov\xFD\
            ch str\xE1nek;\n    o omezen\xED zranitelnost\xED, kter\xE9 mohou b\xFD\
            t zneu\u017Eity \u0161kodliv\xFDm softwarem;\n    o kontrola spou\u0161\
            t\u011Bn\xED aplikac\xED na u\u017Eivatelsk\xFDch pracovn\xEDch stanic\xED\
            ch nebo koncov\xFDch za\u0159\xEDzen\xEDch u\u017Eivatel\u016F (v\u010D\
            etn\u011B chytr\xFDch telefon\u016F nebo tablet\u016F);\n    o pou\u017E\
            \xEDv\xE1n\xED filtr\u016F webov\xFDch aplikac\xED ke sn\xED\u017Een\xED\
            \ vystaven\xED \u0161kodliv\xE9mu obsahu.\n\u2022 Pova\u017Eujte e-mailov\xE9\
            \ filtry za z\xE1kladn\xED n\xE1stroje pro detekci a blokov\xE1n\xED \u0161\
            kodliv\xE9ho a neautorizovan\xE9ho softwaru. R\u016Fzn\xE9 typy filtr\u016F\
            \ jsou (orienta\u010Dn\xED, ne\xFApln\xFD seznam):\n    o filtr obsahu;\n\
            \    o filtr blokov\xFDch seznam\u016F;\n    o antivirov\xFD filtr;\n\
            \    o phishingov\xFD filtr; a\n    o filtr strojov\xE9ho u\u010Den\xED\
            ."
          typical_evidence: "\u2022 Syst\xE9my ochrany koncov\xFDch bod\u016F (EPS),\
            \ jako je platforma pro ochranu koncov\xFDch bod\u016F (EPP) a detekce\
            \ a reakce koncov\xFDch bod\u016F (EDR), nap\u0159\xED\u010D s\xEDt\xED\
            . \n\u2022 Syst\xE9m detekce malwaru je p\u0159\xEDtomen a aktu\xE1ln\xED\
            . \n\u2022 N\xE1stroje pro sledov\xE1n\xED neautorizovan\xE9ho softwaru\
            \ jsou k dispozici a aktu\xE1ln\xED. \n\u2022 Konfigurace firewallu, IDS/IPS\
            \ a zabezpe\u010Den\xE9 webov\xE9 br\xE1ny obsahuj\xEDc\xED \u0161kodliv\xE1\
            \ a neautorizovan\xE1 softwarov\xE1 ochrann\xE1 opat\u0159en\xED. \n\u2022\
            \ Pou\u017Eit\xED \u0159e\u0161en\xED pro whitelisting, kter\xE1 omezuj\xED\
            \ spou\u0161t\u011Bn\xED neschv\xE1len\xE9ho softwaru a k\xF3du.   \n\u2022\
            \ Pravidla a konfigurace souvisej\xEDc\xED s whitelistingem aplikac\xED\
            \ jsou aktu\xE1ln\xED. \n\u2022 Zdokumentovan\xFD popis centr\xE1ln\u011B\
            \ \u0159\xEDzen\xFDch n\xE1stroj\u016F. \n\u2022 Z\xE1znamy o ned\xE1\
            vn\xFDch aktualizac\xEDch mechanism\u016F pro detekci \u0161kodliv\xE9\
            ho/neautorizovan\xE9ho softwaru a ochrany p\u0159ed n\xEDm, kter\xE9 ukazuj\xED\
            , \u017Ee jsou pravideln\u011B z\xE1platov\xE1ny a aktualizov\xE1ny za\
            \ \xFA\u010Delem ochrany p\u0159ed zn\xE1m\xFDmi chybami zabezpe\u010D\
            en\xED. \n\u2022 Z\xE1znamy o periodick\xFDch skenech. \n\u2022 Monitorov\xE1\
            n\xED a protokolov\xE1n\xED s\xED\u0165ov\xFDch a informa\u010Dn\xEDch\
            \ syst\xE9m\u016F v intervalech za \xFA\u010Delem identifikace \u0161\
            kodliv\xE9ho k\xF3du a neopr\xE1vn\u011Bn\xE9ho spu\u0161t\u011Bn\xED\
            \ k\xF3du. \n\u2022 Protokoly blokovan\xFDch nebo zji\u0161t\u011Bn\xFD\
            ch hrozeb. \n\u2022 Z\xE1znamy zaznamenan\xE9 a udr\u017Eovan\xE9 pokr\xFD\
            vaj\xEDc\xED:\n    o aktivit\xE1ch u\u017Eivatel\u016F;\n    o v\xFDjimky;\
            \ a\n    o incidenty v oblasti bezpe\u010Dnosti informac\xED. \n\u2022\
            \ Zdokumentovan\xFD mechanismus ochrany proti spamu. \n\u2022 Posouzen\xED\
            \ rizik pro stanoven\xED po\u017Eadovan\xE9 \xFArovn\u011B monitorov\xE1\
            n\xED protokol\u016F.\n\n[TIPY]\n\n\u2022 Zdokumentovan\xE1 alternativn\xED\
            \ protiopat\u0159en\xED, jako jsou:\n    o zabezpe\u010Den\xED v\u0161\
            ech fyzick\xFDch a logick\xFDch datov\xFDch rozhran\xED;\n    o izolace\
            \ s\xEDt\u011B a implementace segmentovan\xFDch z\xF3n zabezpe\u010Den\xED\
            \ s\xEDt\u011B, kter\xE9 omezuj\xED dopad incidentu \u0161kodliv\xE9ho\
            \ softwaru;\n    o komplexn\xED opat\u0159en\xED pro pos\xEDlen\xED syst\xE9\
            mu k minimalizaci rizika incident\u016F \u0161kodliv\xE9ho softwaru.\n\
            \    o protokoly potvrzuj\xEDc\xED, \u017Ee opr\xE1vn\u011Bn\xED spr\xE1\
            vce jsou \u0159\xEDzena a monitorov\xE1na. \n\u2022 Protokoly z e-mailov\xFD\
            ch filtr\u016F."
        it:
          description: "A tal fine, i soggetti pertinenti attuano in particolare misure\
            \ che rilevino o impediscano l'uso di software dannoso o non autorizzato.\
            \ I soggetti pertinenti garantiscono, se del caso, che la loro rete e\
            \ i loro sistemi informativi siano dotati di software di rilevamento e\
            \ risposta, aggiornati regolarmente in conformit\xE0 della valutazione\
            \ del rischio effettuata a norma del punto 2.1 e degli accordi contrattuali\
            \ con i fornitori."
          annotation: "\u2022 Impiegare meccanismi di rilevamento e protezione contro\
            \ il software dannoso e non autorizzato nei punti di ingresso e di uscita\
            \ del sistema e nelle postazioni di lavoro, nei server e nei dispositivi\
            \ informatici mobili della rete per rilevare ed eliminare il codice dannoso\
            \ trasportato dalla posta elettronica, dagli allegati della posta elettronica,\
            \ dagli accessi al Web o dai supporti rimovibili o inserito attraverso\
            \ lo sfruttamento delle vulnerabilit\xE0 del sistema.\n\u2022 Configurare\
            \ i meccanismi di protezione dal codice maligno in modo che:\n    o siano\
            \ sempre attivi;\n    o eseguano regolarmente scansioni periodiche del\
            \ sistema e scansioni in tempo reale dei file provenienti da fonti esterne\
            \ nel momento in cui vengono scaricati, aperti o eseguiti;\n    o generino\
            \ notifiche in caso di rilevamento di software sospetto maligno e non\
            \ autorizzato;\n    o disinfettino e mettano in quarantena i file infetti;\n\
            \    o ripristinino le impostazioni del sistema e garantiscano che le\
            \ impostazioni critiche non possano essere disabilitate o limitate.\n\u2022\
            \ Applicare il whitelisting delle applicazioni e monitorare le attivit\xE0\
            \ non autorizzate e il comportamento del sistema, ove opportuno. \n\u2022\
            \ Assicurarsi che i meccanismi di protezione contro i malintenzionati\
            \ e i non autorizzati siano gestiti centralmente, ove opportuno. \n\u2022\
            \ Assicurarsi che esistano meccanismi che impediscano agli utenti di aggirare\
            \ le funzionalit\xE0 di protezione del software dannoso e non autorizzato.\
            \ \n\u2022 Assicurarsi che i meccanismi di protezione contro lo spam siano\
            \ impiegati nei punti di ingresso del sistema, come le stazioni di lavoro,\
            \ i server o i dispositivi informatici mobili della rete. \n\u2022 Aggiornare\
            \ i meccanismi di protezione dai codici maligni (comprese le definizioni\
            \ delle firme) ogni volta che sono disponibili nuove versioni, in conformit\xE0\
            \ alle regole di configurazione e alle procedure di gestione delle patch\
            \ dell'ente. \n\u2022 Affrontare le questioni relative ai falsi positivi\
            \ durante il rilevamento e l'eliminazione dei codici maligni e il conseguente\
            \ impatto potenziale sulla disponibilit\xE0 del sistema. \n\u2022 Allineare\
            \ le regole per il monitoraggio e la registrazione del software di rilevamento\
            \ e riparazione dannoso e non autorizzato con gli strumenti e le procedure\
            \ di monitoraggio e registrazione dell'ente (allegato al regolamento,\
            \ punto 3.2) e con la politica di controllo degli accessi (allegato al\
            \ regolamento, punto 11.1) e di gestione delle risorse dell'ente.\n\n\
            [SUGGERIMENTI]\n\n\u2022 Considerate che l'uso del software di rilevamento\
            \ e riparazione di software dannoso e non autorizzato da solo non \xE8\
            \ solitamente adeguato o potrebbe non essere disponibile, quindi dovrebbe\
            \ essere integrato da misure aggiuntive quali (elenco indicativo e non\
            \ esaustivo):\n    o l'implementazione di regole e misure che impediscano\
            \ o rilevino l'uso di software non autorizzato;\n    o l'implementazione\
            \ di misure che impediscano o rilevino l'uso di siti web noti o sospettati\
            \ di essere dannosi;\n    o la riduzione delle vulnerabilit\xE0 che possono\
            \ essere sfruttate da software dannosi;\n    o il controllo dell'esecuzione\
            \ delle applicazioni sulle workstation degli utenti o sui dispositivi\
            \ finali degli utenti (compresi smartphone o tablet);\n    o l'impiego\
            \ di filtri per applicazioni web per ridurre l'esposizione a contenuti\
            \ dannosi.\n\u2022 Considerate i filtri di posta elettronica come strumenti\
            \ essenziali per rilevare e bloccare il software dannoso e non autorizzato.\
            \ I diversi tipi di filtro sono (elenco indicativo e non esaustivo):\n\
            \    o filtro per i contenuti;\n    o filtro per le liste di blocco;\n\
            \    o filtro antivirus;\n    o filtro per il phishing; e\n    o filtri\
            \ di apprendimento automatico."
          typical_evidence: "\u2022 Sistemi di protezione degli endpoint (EPS), come\
            \ la piattaforma di protezione degli endpoint (EPP) e il rilevamento e\
            \ la risposta degli endpoint (EDR), in tutta la rete. \n\u2022 Sistema\
            \ di rilevamento malware presente e aggiornato. \n\u2022 Gli strumenti\
            \ per il monitoraggio del software non autorizzato sono disponibili e\
            \ aggiornati. \n\u2022 Configurazioni firewall, IDS/IPS e gateway web\
            \ sicuri contenenti misure di protezione da software dannosi e non autorizzati.\
            \ \n\u2022 Utilizzo di soluzioni di whitelisting, che limitano l'esecuzione\
            \ di software e codice non approvati.   \n\u2022 Regole e configurazioni\
            \ relative alla whitelist delle applicazioni aggiornate. \n\u2022 Descrizione\
            \ documentata degli strumenti gestiti centralmente. \n\u2022 Registrazioni\
            \ di recenti aggiornamenti dei meccanismi per il rilevamento e la protezione\
            \ da software dannoso/non autorizzato, che dimostrano che vengono regolarmente\
            \ patchati e aggiornati per proteggere da vulnerabilit\xE0 note. \n\u2022\
            \ Registrazioni di scansioni periodiche. \n\u2022 Monitoraggio e registrazione\
            \ della rete e dei sistemi informativi, a intervalli per identificare\
            \ codice dannoso ed esecuzione di codice non autorizzato. \n\u2022 Registri\
            \ delle minacce bloccate o rilevate. \n\u2022 Registri registrati e mantenuti\
            \ che coprono:\n    o attivit\xE0 dell'utente;\n    o eccezioni; e\n \
            \   o Incidenti di sicurezza delle informazioni. \n\u2022 Meccanismo di\
            \ protezione antispam documentato. \n\u2022 Valutazione del rischio per\
            \ determinare il livello di monitoraggio dei log richiesto.\n\n[CONSIGLI]\n\
            \n\u2022 Contromisure alternative documentate quali:\n    o la protezione\
            \ di tutte le interfacce dati fisiche e logiche;\n    o isolamento della\
            \ rete e implementazione di zone di sicurezza di rete segmentate che limitano\
            \ l'impatto di un incidente di software dannoso;\n    o misure complete\
            \ di rafforzamento del sistema per ridurre al minimo il rischio di incidenti\
            \ di software dannoso.\n    o Registri che confermano che i privilegi\
            \ amministrativi sono controllati e monitorati. \n\u2022 Registri dai\
            \ filtri e-mail."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.10
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6
      ref_id: '6.10'
      name: Vulnerability handling and disclosure
      translations:
        fr:
          name: "Gestion et divulgation des vuln\xE9rabilit\xE9s"
        es:
          name: "Gesti\xF3n y divulgaci\xF3n de las vulnerabilidades"
        cs:
          name: "\u0158e\u0161en\xED a zve\u0159ej\u0148ov\xE1n\xED zranitelnost\xED"
        it:
          name: "Gestione e divulgazione delle vulnerabilit\xE0"
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.10.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.10
      ref_id: 6.10.1
      description: The relevant entities shall obtain information about technical
        vulnerabilities in their network and information systems, evaluate their exposure
        to such vulnerabilities, and take appropriate measures to manage the vulnerabilities.
      annotation: "\u2022 Adopt a framework for assessing the severity of vulnerabilities\
        \ based on models (e.g. CVSS, exploit prediction scoring system (EPSS) or\
        \ SANS vulnerability assessment framework) and supplemented by environmental\
        \ and threat metrics as appropriate."
      typical_evidence: "\u2022 Documentation of a risk-assessment framework used\
        \ to evaluate the severity, impact and probability of exploitation of identified\
        \ vulnerabilities (e.g. CVSS scores)."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es obtiennent des informations sur\
            \ les vuln\xE9rabilit\xE9s techniques de leurs r\xE9seaux et syst\xE8\
            mes d\u2019information, \xE9valuent leur exposition \xE0 ces vuln\xE9\
            rabilit\xE9s et prennent les mesures appropri\xE9es pour g\xE9rer ces\
            \ vuln\xE9rabilit\xE9s."
          annotation: "\u2022 Adopter un cadre d\u2019\xE9valuation de la gravit\xE9\
            \ des vuln\xE9rabilit\xE9s bas\xE9 sur des mod\xE8les (par exemple, CVSS,\
            \ syst\xE8me de notation de pr\xE9diction d\u2019exploit (EPSS) ou cadre\
            \ d\u2019\xE9valuation des vuln\xE9rabilit\xE9s SANS) et compl\xE9t\xE9\
            \ par des mesures environnementales et de menaces, le cas \xE9ch\xE9ant."
          typical_evidence: "\u2022 Documentation d\u2019un cadre d\u2019\xE9valuation\
            \ des risques permettant d\u2019\xE9valuer la gravit\xE9, l\u2019impact\
            \ et la probabilit\xE9 d\u2019exploitation des vuln\xE9rabilit\xE9s identifi\xE9\
            es (par exemple, les scores CVSS)."
        es:
          description: "Las entidades pertinentes recibir\xE1n informaci\xF3n sobre\
            \ las vulnerabilidades de sus sistemas de redes y de informaci\xF3n, evaluar\xE1\
            n su exposici\xF3n a dichas vulnerabilidades y adoptar\xE1n las medidas\
            \ necesarias para gestionarlas."
          annotation: "\u2022 Adoptar un marco para evaluar la gravedad de las vulnerabilidades\
            \ basado en modelos (por ejemplo, CVSS, sistema de puntuaci\xF3n de predicci\xF3\
            n de exploits (EPSS) o marco de evaluaci\xF3n de vulnerabilidades SANS)\
            \ y complementado con m\xE9tricas ambientales y de amenazas, seg\xFAn\
            \ corresponda."
          typical_evidence: "\u2022 Documentaci\xF3n de un marco de evaluaci\xF3n\
            \ de riesgos utilizado para evaluar la gravedad, el impacto y la probabilidad\
            \ de explotaci\xF3n de las vulnerabilidades identificadas (por ejemplo,\
            \ puntuaciones CVSS)."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty z\xEDskaj\xED informace\
            \ o technick\xFDch zranitelnostech sv\xFDch s\xEDt\xED a informa\u010D\
            n\xEDch syst\xE9m\u016F, vyhodnot\xED, zda jsou t\u011Bmto zranitelnostem\
            \ vystaveny, a p\u0159ijmou vhodn\xE1 opat\u0159en\xED k \u0159\xEDzen\xED\
            \ t\u011Bchto zranitelnost\xED."
          annotation: "\u2022 P\u0159ijmout r\xE1mec pro hodnocen\xED z\xE1va\u017E\
            nosti zranitelnost\xED zalo\u017Een\xFD na modelech (nap\u0159. CVSS,\
            \ syst\xE9m pro predikci zneu\u017Eit\xED (EPSS) nebo r\xE1mec pro hodnocen\xED\
            \ zranitelnost\xED SANS) a p\u0159\xEDpadn\u011B dopln\u011Bn\xFD o metriky\
            \ prost\u0159ed\xED a hrozeb."
          typical_evidence: "\u2022 Dokumentace r\xE1mce pro hodnocen\xED rizik pou\u017E\
            \xEDvan\xE9ho k vyhodnocen\xED z\xE1va\u017Enosti, dopadu a pravd\u011B\
            podobnosti zneu\u017Eit\xED identifikovan\xFDch zranitelnost\xED (nap\u0159\
            . sk\xF3re CVSS)."
        it:
          description: "I soggetti pertinenti ottengono informazioni sulle vulnerabilit\xE0\
            \ tecniche della loro rete e dei loro sistemi informativi, valutano la\
            \ loro esposizione a tali vulnerabilit\xE0 e adottano misure adeguate\
            \ per gestire tali vulnerabilit\xE0."
          annotation: "\u2022 Adottare un quadro per la valutazione della gravit\xE0\
            \ delle vulnerabilit\xE0 basato su modelli (ad es. CVSS, sistema di punteggio\
            \ di previsione degli exploit (EPSS) o quadro di valutazione della vulnerabilit\xE0\
            \ SANS) e integrato da metriche ambientali e di minaccia, a seconda dei\
            \ casi."
          typical_evidence: "\u2022 Documentazione di un quadro di valutazione del\
            \ rischio utilizzato per valutare la gravit\xE0, l'impatto e la probabilit\xE0\
            \ di sfruttamento delle vulnerabilit\xE0 identificate (ad es. punteggi\
            \ CVSS)."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.10.2
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.10
      ref_id: 6.10.2
      description: 'For the purpose of point 6.10.1., the relevant entities shall:'
      annotation: "\u2022 As a minimum, address vulnerabilities assigned to higher\
        \ classifications (e.g. \u2018critical\u2019 and \u2018high\u2019 in the CVSS)\
        \ or equivalent (e.g. as defined by the national CSIRT) without undue delay.\
        \ Where possible, accepting the risk of such vulnerabilities and not addressing\
        \ them is not advisable. \n\u2022 Share information obtained from technical\
        \ vulnerability scans with designated personnel throughout the entity and\
        \ with authorities to help eliminate similar vulnerabilities in other information\
        \ systems. \n\u2022 Disclose as yet unknown vulnerabilities to designated\
        \ CSIRTs in accordance with national coordinated vulnerability disclosure\
        \ (CVD) policies, where applicable. \n\u2022 Identify a single point of contact\
        \ and channels for communication with suppliers and service providers about\
        \ issues related to network and information security."
      typical_evidence: "\u2022 Logs of a vulnerability assessed as critical to check\
        \ if it was addressed. \n\u2022 Licences or subscriptions for vulnerability-scanning\
        \ tools. \n\u2022 Configuration files of the vulnerability-scanning tools\
        \ to ensure they are set up to scan the entire relevant infrastructure and\
        \ are updated with the latest vulnerability definitions. \n\u2022 Logs from\
        \ vulnerability management tools showing scan schedules, results and follow-up\
        \ actions. \n\u2022 Documented technical vulnerability scan reports. \n\u2022\
        \ SIEM and EDR/XDR logs for records of detected vulnerabilities and related\
        \ alerts from monitoring channels. \n\u2022 Reports from third-party security\
        \ assessments or penetration tests. \n\u2022 For vulnerabilities assessed\
        \ as critical, evidence that findings from these assessments have been addressed.\
        \ \n\u2022 Records of any vulnerabilities disclosed, in accordance with the\
        \ national CVD policy.   \n\u2022 Interview with the single point of contact\
        \ and channels for communication with suppliers and service providers about\
        \ information-security-related issues."
      translations:
        fr:
          description: "Aux fins du point 6.10.1, les entit\xE9s concern\xE9es:"
          annotation: "\u2022 Au minimum, traiter les vuln\xE9rabilit\xE9s attribu\xE9\
            es \xE0 des classifications sup\xE9rieures (par exemple, \xAB critique\
            \ \xBB et \xAB \xE9lev\xE9e \xBB dans le CVSS) ou \xE9quivalentes (par\
            \ exemple, telles que d\xE9finies par le CSIRT national) sans retard injustifi\xE9\
            . Dans la mesure du possible, il n\u2019est pas conseill\xE9 d\u2019accepter\
            \ le risque de telles vuln\xE9rabilit\xE9s et de ne pas y rem\xE9dier.\
            \ \n\u2022 Partager les informations obtenues \xE0 partir des analyses\
            \ de vuln\xE9rabilit\xE9s techniques avec le personnel d\xE9sign\xE9 dans\
            \ l\u2019ensemble de l\u2019entit\xE9 et avec les autorit\xE9s afin d\u2019\
            aider \xE0 \xE9liminer des vuln\xE9rabilit\xE9s similaires dans d\u2019\
            autres syst\xE8mes d\u2019information. \n\u2022 Divulguer les vuln\xE9\
            rabilit\xE9s encore inconnues aux CSIRT d\xE9sign\xE9s, conform\xE9ment\
            \ aux politiques nationales de divulgation coordonn\xE9e des vuln\xE9\
            rabilit\xE9s (CVD), le cas \xE9ch\xE9ant. \n\u2022 Identifier un point\
            \ de contact unique et des canaux de communication avec les fournisseurs\
            \ et les prestataires de services sur les questions li\xE9es \xE0 la s\xE9\
            curit\xE9 des r\xE9seaux et de l\u2019information."
          typical_evidence: "\u2022 Logs d\u2019une vuln\xE9rabilit\xE9 jug\xE9e critique\
            \ pour v\xE9rifier si elle a \xE9t\xE9 corrig\xE9e. \n\u2022 Licences\
            \ ou abonnements pour des outils d\u2019analyse de vuln\xE9rabilit\xE9\
            s. \n\u2022 Fichiers de configuration des outils d\u2019analyse des vuln\xE9\
            rabilit\xE9s pour s\u2019assurer qu\u2019ils sont configur\xE9s pour analyser\
            \ l\u2019ensemble de l\u2019infrastructure concern\xE9e et qu\u2019ils\
            \ sont mis \xE0 jour avec les derni\xE8res d\xE9finitions de vuln\xE9\
            rabilit\xE9. \n\u2022 Journaux des outils de gestion des vuln\xE9rabilit\xE9\
            s montrant les calendriers d\u2019analyse, les r\xE9sultats et les actions\
            \ de suivi. \n\u2022 Rapports document\xE9s d\u2019analyse des vuln\xE9\
            rabilit\xE9s techniques. \n\u2022 Journaux SIEM et EDR/XDR pour l\u2019\
            enregistrement des vuln\xE9rabilit\xE9s d\xE9tect\xE9es et les alertes\
            \ associ\xE9es des canaux de surveillance. \n\u2022 Rapports provenant\
            \ d\u2019\xE9valuations de s\xE9curit\xE9 ou de tests d\u2019intrusion\
            \ par des tiers. \n\u2022 Pour les vuln\xE9rabilit\xE9s jug\xE9es critiques,\
            \ des preuves que les conclusions de ces \xE9valuations ont \xE9t\xE9\
            \ prises en compte. \n\u2022 Enregistrements de toutes les vuln\xE9rabilit\xE9\
            s divulgu\xE9es, conform\xE9ment \xE0 la politique nationale en mati\xE8\
            re de droits compensateurs.   \n\u2022 Entretien avec le point de contact\
            \ unique et canaux de communication avec les fournisseurs et les prestataires\
            \ de services sur les questions li\xE9es \xE0 la s\xE9curit\xE9 de l\u2019\
            information."
        es:
          description: 'A los efectos del punto 6.10.1, las entidades pertinentes:'
          annotation: "\u2022 Como m\xEDnimo, abordar las vulnerabilidades asignadas\
            \ a clasificaciones superiores (por ejemplo, \"cr\xEDticas\" y \"altas\"\
            \ en el CVSS) o equivalentes (por ejemplo, seg\xFAn la definici\xF3n del\
            \ CSIRT nacional) sin demora indebida. En la medida de lo posible, no\
            \ es aconsejable aceptar el riesgo de tales vulnerabilidades y no abordarlas.\
            \ \n\u2022 Compartir la informaci\xF3n obtenida de los an\xE1lisis de\
            \ vulnerabilidades t\xE9cnicas con el personal designado en toda la entidad\
            \ y con las autoridades para ayudar a eliminar vulnerabilidades similares\
            \ en otros sistemas de informaci\xF3n. \n\u2022 Revelar las vulnerabilidades\
            \ a\xFAn desconocidas a los CSIRT designados de conformidad con las pol\xED\
            ticas nacionales coordinadas de divulgaci\xF3n de vulnerabilidades (CVD),\
            \ cuando corresponda. \n\u2022 Identificar un \xFAnico punto de contacto\
            \ y canales de comunicaci\xF3n con proveedores y prestadores de servicios\
            \ sobre cuestiones relacionadas con la seguridad de la red y la informaci\xF3\
            n."
          typical_evidence: "\u2022 Registros de una vulnerabilidad evaluada como\
            \ cr\xEDtica para comprobar si se ha solucionado. \n\u2022 Licencias o\
            \ suscripciones para herramientas de an\xE1lisis de vulnerabilidades.\
            \ \n\u2022 Archivos de configuraci\xF3n de las herramientas de an\xE1\
            lisis de vulnerabilidades para garantizar que est\xE9n configuradas para\
            \ analizar toda la infraestructura pertinente y est\xE9n actualizadas\
            \ con las \xFAltimas definiciones de vulnerabilidades. \n\u2022 Registros\
            \ de herramientas de gesti\xF3n de vulnerabilidades que muestran los programas\
            \ de an\xE1lisis, los resultados y las acciones de seguimiento. \n\u2022\
            \ Informes documentados de an\xE1lisis de vulnerabilidades t\xE9cnicas.\
            \ \n\u2022 Registros SIEM y EDR/XDR para registros de vulnerabilidades\
            \ detectadas y alertas relacionadas de los canales de monitoreo. \n\u2022\
            \ Informes de evaluaciones de seguridad de terceros o pruebas de penetraci\xF3\
            n. \n\u2022 En el caso de las vulnerabilidades evaluadas como cr\xEDticas,\
            \ hay pruebas de que se han abordado los resultados de estas evaluaciones.\
            \ \n\u2022 Registros de cualquier vulnerabilidad revelada, de acuerdo\
            \ con la pol\xEDtica nacional de CVD.   \n\u2022 Entrevista con el punto\
            \ \xFAnico de contacto y canales de comunicaci\xF3n con proveedores y\
            \ prestadores de servicios sobre temas relacionados con la seguridad de\
            \ la informaci\xF3n."
        cs:
          description: "Pro \xFA\u010Dely bodu 6.10.1 p\u0159\xEDslu\u0161n\xE9 subjekty:"
          annotation: "\u2022 Minim\xE1ln\u011B bez zbyte\u010Dn\xE9ho odkladu \u0159\
            e\u0161it zranitelnosti p\u0159i\u0159azen\xE9 k vy\u0161\u0161\xEDm klasifikac\xED\
            m (nap\u0159. \"kritick\xE9\" a \"vysok\xE9\" v CVSS) nebo ekvivalentn\xED\
            m (nap\u0159. podle definice n\xE1rodn\xEDho t\xFDmu CSIRT). Pokud je\
            \ to mo\u017En\xE9, nedoporu\u010Duje se p\u0159ij\xEDmat riziko takov\xFD\
            ch zranitelnost\xED a ne\u0159e\u0161it je. \n\u2022 Sd\xEDlet informace\
            \ z\xEDskan\xE9 ze skenov\xE1n\xED technick\xFDch zranitelnost\xED s ur\u010D\
            en\xFDmi pracovn\xEDky v r\xE1mci entity a s \xFA\u0159ady, aby pomohly\
            \ odstranit podobn\xE9 zranitelnosti v jin\xFDch informa\u010Dn\xEDch\
            \ syst\xE9mech. \n\u2022 Sd\u011Blit dosud nezn\xE1m\xE9 zranitelnosti\
            \ ur\u010Den\xFDm t\xFDm\u016Fm CSIRT v souladu s vnitrost\xE1tn\xEDmi\
            \ z\xE1sadami koordinovan\xE9ho odhalov\xE1n\xED zranitelnost\xED (CVD),\
            \ pokud je to relevantn\xED. \n\u2022 Identifikovat jedin\xE9 kontaktn\xED\
            \ m\xEDsto a kan\xE1ly pro komunikaci s dodavateli a poskytovateli slu\u017E\
            eb o ot\xE1zk\xE1ch souvisej\xEDc\xEDch s bezpe\u010Dnost\xED s\xEDt\xED\
            \ a informac\xED."
          typical_evidence: "\u2022 Protokoly zranitelnosti vyhodnocen\xE9 jako kritick\xE9\
            , aby se zkontrolovalo, zda byla vy\u0159e\u0161ena. \n\u2022 Licence\
            \ nebo p\u0159edplatn\xE9 pro n\xE1stroje pro skenov\xE1n\xED zranitelnost\xED\
            . \n\u2022 Konfigura\u010Dn\xED soubory n\xE1stroj\u016F pro skenov\xE1\
            n\xED zranitelnost\xED, aby bylo zaji\u0161t\u011Bno, \u017Ee jsou nastaveny\
            \ tak, aby skenovaly celou p\u0159\xEDslu\u0161nou infrastrukturu a byly\
            \ aktualizov\xE1ny nejnov\u011Bj\u0161\xEDmi definicemi zranitelnost\xED\
            . \n\u2022 Protokoly z n\xE1stroj\u016F pro spr\xE1vu zranitelnost\xED\
            \ zobrazuj\xEDc\xED pl\xE1ny skenov\xE1n\xED, v\xFDsledky a n\xE1sledn\xE9\
            \ akce. \n\u2022 Zdokumentovan\xE9 zpr\xE1vy o technick\xFDch skenech\
            \ zranitelnost\xED. \n\u2022 SIEM a EDR/XDR logy pro evidenci detekovan\xFD\
            ch zranitelnost\xED a souvisej\xEDc\xEDch alert\u016F z monitorovac\xED\
            ch kan\xE1l\u016F. \n\u2022 Zpr\xE1vy z bezpe\u010Dnostn\xEDch hodnocen\xED\
            \ nebo penetra\u010Dn\xEDch test\u016F t\u0159et\xEDch stran. \n\u2022\
            \ U zranitelnost\xED vyhodnocen\xFDch jako kritick\xE9 d\u016Fkazy o tom,\
            \ \u017Ee zji\u0161t\u011Bn\xED z t\u011Bchto hodnocen\xED byla \u0159\
            e\u0161ena. \n\u2022 Z\xE1znamy o v\u0161ech odhalen\xFDch zranitelnostech\
            \ v souladu s n\xE1rodn\xED politikou CVD.   \n\u2022 Rozhovor s jednotn\xFD\
            m kontaktn\xEDm m\xEDstem a kan\xE1ly pro komunikaci s dodavateli a poskytovateli\
            \ slu\u017Eeb o ot\xE1zk\xE1ch souvisej\xEDc\xEDch s bezpe\u010Dnost\xED\
            \ informac\xED."
        it:
          description: 'Ai fini del punto 6.10.1, i soggetti pertinenti:'
          annotation: "\u2022 Come minimo, affrontare le vulnerabilit\xE0 assegnate\
            \ a classificazioni superiori (ad esempio \"critiche\" e \"alte\" nel\
            \ CVSS) o equivalenti (ad esempio come definite dal CSIRT nazionale) senza\
            \ indebito ritardo. Ove possibile, non \xE8 consigliabile accettare il\
            \ rischio di tali vulnerabilit\xE0 e non affrontarle. \n\u2022 Condividere\
            \ le informazioni ottenute dalle scansioni tecniche delle vulnerabilit\xE0\
            \ con il personale designato in tutta l'entit\xE0 e con le autorit\xE0\
            \ per aiutare a eliminare vulnerabilit\xE0 simili in altri sistemi informativi.\
            \ \n\u2022 Divulgare vulnerabilit\xE0 non ancora conosciute ai CSIRT designati\
            \ in conformit\xE0 con le politiche nazionali di divulgazione coordinata\
            \ delle vulnerabilit\xE0 (CVD), ove applicabile. \n\u2022 Identificare\
            \ un unico punto di contatto e canali per la comunicazione con fornitori\
            \ e fornitori di servizi su questioni relative alla sicurezza delle reti\
            \ e delle informazioni."
          typical_evidence: "\u2022 Registri di una vulnerabilit\xE0 valutata come\
            \ critica per verificare se \xE8 stata risolta. \n\u2022 Licenze o abbonamenti\
            \ per strumenti di scansione delle vulnerabilit\xE0. \n\u2022 File di\
            \ configurazione degli strumenti di scansione delle vulnerabilit\xE0 per\
            \ garantire che siano impostati per eseguire la scansione dell'intera\
            \ infrastruttura pertinente e siano aggiornati con le definizioni di vulnerabilit\xE0\
            \ pi\xF9 recenti. \n\u2022 Registri dagli strumenti di gestione delle\
            \ vulnerabilit\xE0 che mostrano i programmi di scansione, i risultati\
            \ e le azioni di follow-up. \n\u2022 Rapporti di scansione delle vulnerabilit\xE0\
            \ tecniche documentati. \n\u2022 Registri SIEM e EDR/XDR per la registrazione\
            \ delle vulnerabilit\xE0 rilevate e dei relativi avvisi dai canali di\
            \ monitoraggio. \n\u2022 Rapporti da valutazioni di sicurezza di terze\
            \ parti o test di penetrazione. \n\u2022 Per le vulnerabilit\xE0 valutate\
            \ come critiche, la prova che i risultati di queste valutazioni sono stati\
            \ affrontati. \n\u2022 Registrazioni di eventuali vulnerabilit\xE0 divulgate,\
            \ in conformit\xE0 con la politica nazionale CVD.   \n\u2022 Colloquio\
            \ con il punto di contatto unico e i canali di comunicazione con fornitori\
            \ e fornitori di servizi su questioni relative alla sicurezza delle informazioni."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.10.2.a
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.10.2
      ref_id: 6.10.2.a
      description: monitor information about vulnerabilities through appropriate channels,
        such as announcements of CSIRTs, competent authorities or information provided
        by suppliers or service providers;
      translations:
        fr:
          description: "surveillent les informations sur les vuln\xE9rabilit\xE9s\
            \ par des canaux appropri\xE9s, tels que les annonces des CSIRT ou des\
            \ autorit\xE9s comp\xE9tentes ou les informations fournies par les fournisseurs\
            \ ou les prestataires de services;"
        es:
          description: "supervisar\xE1n la informaci\xF3n sobre vulnerabilidades a\
            \ trav\xE9s de los canales adecuados, tales como los anuncios de los CSIRT,\
            \ las autoridades competentes o la informaci\xF3n facilitada por los proveedores\
            \ o prestadores de servicios;"
        cs:
          description: "sleduj\xED informace o zranitelnostech prost\u0159ednictv\xED\
            m vhodn\xFDch kan\xE1l\u016F, jako jsou ozn\xE1men\xED t\xFDm\u016F CSIRT,\
            \ p\u0159\xEDslu\u0161n\xFDch org\xE1n\u016F nebo informace poskytovan\xE9\
            \ dodavateli \u010Di poskytovateli slu\u017Eeb;"
        it:
          description: "monitorare le informazioni sulle vulnerabilit\xE0 attraverso\
            \ canali appropriati, quali gli annunci dei CSIRT, delle autorit\xE0 competenti\
            \ o le informazioni fornite dai fornitori o dai prestatori di servizi;"
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.10.2.b
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.10.2
      ref_id: 6.10.2.b
      description: perform, where appropriate, vulnerability scans, and record evidence
        of the results of the scans, at planned intervals;
      translations:
        fr:
          description: "rem\xE9dient, dans les meilleurs d\xE9lais, aux vuln\xE9rabilit\xE9\
            s qu'elles identifient comme \xE9tant critiques pour leurs op\xE9rations;"
        es:
          description: "realizar\xE1n, seg\xFAn proceda, exploraciones de vulnerabilidad\
            \ y registrar\xE1n pruebas de los resultados de las mismas, a intervalos\
            \ planificados;"
        cs:
          description: "v p\u0159\xEDpad\u011B pot\u0159eby prov\xE1d\u011Bj\xED v\
            \ pl\xE1novan\xFDch intervalech kontroly zranitelnosti a zaznamen\xE1\
            vaj\xED d\u016Fkazy o v\xFDsledc\xEDch t\u011Bchto kontrol;"
        it:
          description: "effettuare, se del caso, scansioni delle vulnerabilit\xE0\
            \ e registrare le prove dei risultati delle scansioni, a intervalli pianificati;"
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.10.2.c
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.10.2
      ref_id: 6.10.2.c
      description: address, without undue delay, vulnerabilities identified by the
        relevant entities as critical to their operations;
      translations:
        fr:
          description: "rem\xE9dient, dans les meilleurs d\xE9lais, aux vuln\xE9rabilit\xE9\
            s qu'elles identifient comme \xE9tant critiques pour leurs op\xE9rations;"
        es:
          description: "abordar\xE1n, sin demora indebida, las vulnerabilidades que\
            \ las entidades pertinentes consideren cr\xEDticas para sus operaciones;"
        cs:
          description: "bez zbyte\u010Dn\xE9ho odkladu \u0159e\u0161\xED zranitelnosti,\
            \ kter\xE9 p\u0159\xEDslu\u0161n\xE9 subjekty ozna\u010Dily za kritick\xE9\
            \ pro sv\xE9 operace;"
        it:
          description: "affrontare, senza indebito ritardo, le vulnerabilit\xE0 individuate\
            \ dai soggetti pertinenti come critiche per le loro operazioni;"
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.10.2.d
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.10.2
      ref_id: 6.10.2.d
      description: ensure that their vulnerability handling is compatible with their
        change management, security patch management, risk management and incident
        management procedures;
      translations:
        fr:
          description: "veillent \xE0 ce que leur gestion des vuln\xE9rabilit\xE9\
            s soit compatible avec leurs proc\xE9dures de gestion des changements,\
            \ de gestion des correctifs de s\xE9curit\xE9, de gestion des risques\
            \ et de gestion des incidents;"
        es:
          description: "asegurar\xE1n que su gesti\xF3n de vulnerabilidades sea compatible\
            \ con sus procedimientos de gesti\xF3n de cambios, gesti\xF3n de parches\
            \ de seguridad, gesti\xF3n de riesgos y gesti\xF3n de incidentes;"
        cs:
          description: "zajist\xED, aby jejich postupy pro \u0159e\u0161en\xED zranitelnost\xED\
            \ byly v souladu s jejich postupy pro \u0159\xEDzen\xED zm\u011Bn, \u0159\
            \xEDzen\xED bezpe\u010Dnostn\xEDch oprav, \u0159\xEDzen\xED rizik a \u0159\
            \xEDzen\xED incident\u016F;"
        it:
          description: "garantire che la gestione delle vulnerabilit\xE0 sia compatibile\
            \ con le procedure di gestione delle modifiche, di gestione delle patch\
            \ di sicurezza, di gestione dei rischi e di gestione degli incidenti;"
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.10.2.e
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.10.2
      ref_id: 6.10.2.e
      description: lay down a procedure for disclosing vulnerabilities in accordance
        with the applicable national coordinated vulnerability disclosure policy.
      translations:
        fr:
          description: "\xE9tablissent une proc\xE9dure de divulgation des vuln\xE9\
            rabilit\xE9s conform\xE9ment \xE0 la politique nationale applicable en\
            \ mati\xE8re de divulgation coordonn\xE9e des vuln\xE9rabilit\xE9s."
        es:
          description: "establecer\xE1n un procedimiento de divulgaci\xF3n de las\
            \ vulnerabilidades de conformidad con la pol\xEDtica coordinada de divulgaci\xF3\
            n de las vulnerabilidades nacional aplicable."
        cs:
          description: "stanov\xED postup pro zve\u0159ej\u0148ov\xE1n\xED zranitelnost\xED\
            \ v souladu s platnou vnitrost\xE1tn\xED koordinovanou politikou zve\u0159\
            ej\u0148ov\xE1n\xED zranitelnost\xED."
        it:
          description: "stabilire una procedura per la comunicazione delle vulnerabilit\xE0\
            \ conformemente alla politica nazionale coordinata applicabile in materia\
            \ di divulgazione delle vulnerabilit\xE0."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.10.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.10
      ref_id: 6.10.3
      description: When justified by the potential impact of the vulnerability, the
        relevant entities shall create and implement a plan to mitigate the vulnerability.
        In other cases, the relevant entities shall document and substantiate the
        reason why the vulnerability does not require remediation.
      annotation: "\u2022 Ensure comprehensive documentation of identified vulnerabilities,\
        \ the associated risk assessments and any mitigation plans developed. \n\u2022\
        \ Define and establish the roles and responsibilities associated with vulnerability\
        \ management. \n\u2022 Mitigation plans should include clear timelines, assigned\
        \ responsibilities and follow-up procedures. \n\u2022 All mitigation plans,\
        \ along with the rationale for non-remediation decisions, should be reviewed\
        \ and validated by the management body responsible for risk oversight"
      typical_evidence: "\u2022 Records showing timelines and responsible employees\
        \ for each remediation effort and verification of fixes. \n\u2022 Records\
        \ or logs of past vulnerability mitigation plans or schedules. \n\u2022 Records\
        \ of any vulnerability that was not addressed and the justification for not\
        \ addressing it."
      translations:
        fr:
          description: "Lorsque l\u2019impact potentiel de la vuln\xE9rabilit\xE9\
            \ le justifie, les entit\xE9s concern\xE9es \xE9laborent et mettent en\
            \ \u0153uvre un plan visant \xE0 att\xE9nuer la vuln\xE9rabilit\xE9. Dans\
            \ les autres cas, les entit\xE9s concern\xE9es documentent et justifient\
            \ la raison pour laquelle il n\u2019est pas n\xE9cessaire de rem\xE9dier\
            \ \xE0 la vuln\xE9rabilit\xE9."
          annotation: "\u2022 Assurer une documentation compl\xE8te des vuln\xE9rabilit\xE9\
            s identifi\xE9es, des \xE9valuations des risques associ\xE9es et de tout\
            \ plan d\u2019att\xE9nuation \xE9labor\xE9. \n\u2022 D\xE9finir et \xE9\
            tablir les r\xF4les et responsabilit\xE9s associ\xE9s \xE0 la gestion\
            \ des vuln\xE9rabilit\xE9s. \n\u2022 Les plans d\u2019att\xE9nuation doivent\
            \ inclure des \xE9ch\xE9anciers clairs, des responsabilit\xE9s attribu\xE9\
            es et des proc\xE9dures de suivi. \n\u2022 Tous les plans d\u2019att\xE9\
            nuation, ainsi que la justification des d\xE9cisions de non-assainissement,\
            \ doivent \xEAtre examin\xE9s et valid\xE9s par l\u2019organe de gestion\
            \ responsable de la surveillance des risques."
          typical_evidence: "\u2022 Des registres indiquant les \xE9ch\xE9anciers\
            \ et les employ\xE9s responsables pour chaque effort de rem\xE9diation\
            \ et la v\xE9rification des correctifs. \n\u2022 Enregistrements ou journaux\
            \ des plans ou calendriers d\u2019att\xE9nuation des vuln\xE9rabilit\xE9\
            s pass\xE9s. \n\u2022 Enregistrements de toute vuln\xE9rabilit\xE9 qui\
            \ n\u2019a pas \xE9t\xE9 trait\xE9e et justification de l\u2019absence\
            \ de traitement."
        es:
          description: "Cuando est\xE9 justificado por el posible impacto de la vulnerabilidad,\
            \ las entidades pertinentes crear\xE1n y llevar\xE1n a la pr\xE1ctica\
            \ un plan para mitigarla. En otros casos, las entidades pertinentes documentar\xE1\
            n y justificar\xE1n el motivo por el que la vulnerabilidad no requiere\
            \ reparaci\xF3n."
          annotation: "\u2022 Garantizar una documentaci\xF3n exhaustiva de las vulnerabilidades\
            \ identificadas, las evaluaciones de riesgos asociadas y los planes de\
            \ mitigaci\xF3n desarrollados. \n\u2022 Definir y establecer las funciones\
            \ y responsabilidades asociadas a la gesti\xF3n de vulnerabilidades. \n\
            \u2022 Los planes de mitigaci\xF3n deben incluir plazos claros, responsabilidades\
            \ asignadas y procedimientos de seguimiento. \n\u2022 Todos los planes\
            \ de mitigaci\xF3n, junto con la justificaci\xF3n de las decisiones de\
            \ no remediaci\xF3n, deben ser revisados y validados por el \xF3rgano\
            \ de gesti\xF3n responsable de la supervisi\xF3n de riesgos"
          typical_evidence: "\u2022 Registros que muestran los plazos y los empleados\
            \ responsables de cada esfuerzo de remediaci\xF3n y verificaci\xF3n de\
            \ las correcciones. \n\u2022 Registros o bit\xE1coras de planes o cronogramas\
            \ de mitigaci\xF3n de vulnerabilidades anteriores. \n\u2022 Registros\
            \ de cualquier vulnerabilidad que no se haya abordado y la justificaci\xF3\
            n para no abordarla."
        cs:
          description: "Pokud je to od\u016Fvodn\u011Bno potenci\xE1ln\xEDm dopadem\
            \ zranitelnosti, p\u0159\xEDslu\u0161n\xE9 subjekty vypracuj\xED a zavedou\
            \ pl\xE1n na jej\xED zm\xEDrn\u011Bn\xED. V ostatn\xEDch p\u0159\xEDpadech\
            \ p\u0159\xEDslu\u0161n\xE9 subjekty zdokumentuj\xED a zd\u016Fvodn\xED\
            , pro\u010D zranitelnost nevy\u017Eaduje n\xE1pravu."
          annotation: "\u2022 Zajistit komplexn\xED dokumentaci identifikovan\xFD\
            ch zranitelnost\xED, souvisej\xEDc\xED hodnocen\xED rizik a vypracovat\
            \ ve\u0161ker\xE9 pl\xE1ny zm\xEDrn\u011Bn\xED. \n\u2022 Definujte a stanovte\
            \ role a odpov\u011Bdnosti spojen\xE9 s \u0159\xEDzen\xEDm zranitelnost\xED\
            . \n\u2022 Pl\xE1ny na zm\xEDrn\u011Bn\xED by m\u011Bly obsahovat jasn\xE9\
            \ \u010Dasov\xE9 pl\xE1ny, p\u0159id\u011Blen\xE9 odpov\u011Bdnosti a\
            \ n\xE1sledn\xE9 postupy. \n\u2022 V\u0161echny pl\xE1ny zm\xEDr\u0148\
            ov\xE1n\xED spolu s od\u016Fvodn\u011Bn\xEDm rozhodnut\xED o nen\xE1prav\u011B\
            \ by m\u011Bly b\xFDt p\u0159ezkoum\xE1ny a ov\u011B\u0159eny \u0159\xED\
            dic\xEDm org\xE1nem odpov\u011Bdn\xFDm za dohled nad riziky"
          typical_evidence: "\u2022 Z\xE1znamy zobrazuj\xEDc\xED \u010Dasov\xE9 osy\
            \ a odpov\u011Bdn\xE9 pracovn\xEDky za ka\u017Edou n\xE1pravnou snahu\
            \ a ov\u011B\u0159en\xED oprav. \n\u2022 Z\xE1znamy nebo protokoly minul\xFD\
            ch pl\xE1n\u016F nebo pl\xE1n\u016F na zm\xEDrn\u011Bn\xED zranitelnost\xED\
            . \n\u2022 Z\xE1znamy o v\u0161ech chyb\xE1ch zabezpe\u010Den\xED, kter\xE9\
            \ nebyly \u0159e\u0161eny, a zd\u016Fvodn\u011Bn\xED, pro\u010D nebylo\
            \ vy\u0159e\u0161eno."
        it:
          description: "Se giustificato dal potenziale impatto della vulnerabilit\xE0\
            , i soggetti pertinenti elaborano e attuano un piano per attenuare la\
            \ vulnerabilit\xE0. In altri casi, i soggetti pertinenti documentano e\
            \ comprovano il motivo per cui la vulnerabilit\xE0 non richiede rimedio."
          annotation: "\u2022 Garantire una documentazione completa delle vulnerabilit\xE0\
            \ identificate, delle valutazioni dei rischi associate e di tutti i piani\
            \ di mitigazione sviluppati. \n\u2022 Definire e stabilire i ruoli e le\
            \ responsabilit\xE0 associati alla gestione delle vulnerabilit\xE0. \n\
            \u2022 I piani di mitigazione dovrebbero includere scadenze chiare, responsabilit\xE0\
            \ assegnate e procedure di follow-up. \n\u2022 Tutti i piani di mitigazione,\
            \ insieme alla logica delle decisioni di non risanamento, devono essere\
            \ esaminati e convalidati dall'organo di gestione responsabile della supervisione\
            \ del rischio"
          typical_evidence: "\u2022 Registri che mostrano le tempistiche e i dipendenti\
            \ responsabili per ogni sforzo di correzione e verifica delle correzioni.\
            \ \n\u2022 Registra o registra i piani o le pianificazioni di mitigazione\
            \ delle vulnerabilit\xE0 passate. \n\u2022 Registrazioni di eventuali\
            \ vulnerabilit\xE0 che non sono state risolte e la giustificazione per\
            \ non risolverla."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.10.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:6.10
      ref_id: 6.10.4
      description: The relevant entities shall review and, where appropriate, update
        at planned intervals the channels they use for monitoring vulnerability information.
      annotation: "\u2022 Review the information from the technical-vulnerability-monitoring\
        \ channels at least biannually. \n\u2022 Consider inventorying sources likely\
        \ to report technical vulnerabilities in the identified components and distribute\
        \ updates (software publisher websites, CERT website and ENISA website) (71).\n\
        \n[TIPS]\n\n\u2022 Create and maintain procedures for identifying, assessing,\
        \ prioritising and remediating vulnerabilities. \n\u2022 Make sure that suppliers\
        \ and service providers report vulnerabilities in their systems or products\
        \ or services that present a risk to the security of the network and information\
        \ systems of the entity. \n\u2022 Perform vulnerability scans and record evidence\
        \ of the results of the scans, when significant incidents or significant changes\
        \ to operations or risks occur. \n\u2022 Where possible, consider authenticated\
        \ vulnerability or an alternative method to perform in depth scans. \n\u2022\
        \ Review and, where appropriate, update the channels for monitoring vulnerability\
        \ information when significant incidents or significant changes to operations\
        \ or risks occur.\n\n(71) Cyber fundamentals, PR.IP-12, Centre for Cyber Security\
        \ Belgium, available at: https://atwork.safeonweb.be/sites/default/files/2024-\
        \ 12/cyfun_basic_v2023-03-01_e_update_2024.pdf."
      typical_evidence: "\u2022 List of monitoring channels for technical vulnerabilities,\
        \ including suppliers and service providers\u2019 single points of contact.\
        \ \n\u2022 Records of past reviews and plans for future reviews of technical\
        \ vulnerability channels. \n\u2022 Subscriptions to relevant vulnerability\
        \ notification services, mailing lists and alert systems (e.g. CERT, vendor\
        \ advisories and security forums). \n\u2022 Logs that document periodic reviews\
        \ of the monitoring channels to verify that they are up to date and effective.\
        \ \n\u2022 Records of alerts or notifications received from monitoring channels\
        \ about new vulnerabilities, including how these alerts were handled and any\
        \ subsequent actions taken. \n\u2022 Logs that record the monitoring activities\
        \ for vulnerability information, including dates and sources monitored (e.g.\
        \ security advisories, vendor bulletins, threat intelligence feeds). \n\n\
        [TIPS]\n\n\u2022 Documented procedures for identifying, assessing, prioritising\
        \ and remediating vulnerabilities. \n\u2022 Contracts with suppliers and service\
        \ providers that require technical vulnerability reporting, handling and disclosure.\
        \ \n\u2022 Vulnerability-related communications or reports from suppliers\
        \ and service providers. \n\u2022 Records of ad-hoc scans performed in response\
        \ to significant incidents or changes to the infrastructure, including the\
        \ dates and reasons for these scans. \n\u2022 Change management logs to verify\
        \ that vulnerability scans are conducted following significant incidents or\
        \ changes to the infrastructure or to the threat landscape. \n\u2022 Records\
        \ of internal audits or reviews of the vulnerability management procedures.\
        \ \n\u2022 Findings and corrective actions taken from these audits."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es r\xE9examinent et, s\u2019il\
            \ est besoin, mettent \xE0 jour \xE0 intervalles pr\xE9d\xE9finis les\
            \ canaux qu\u2019elles utilisent pour surveiller les informations relatives\
            \ \xE0 la vuln\xE9rabilit\xE9."
          annotation: "\u2022 Examiner les informations provenant des canaux de surveillance\
            \ des vuln\xE9rabilit\xE9s techniques au moins deux fois par an. \n\u2022\
            \ Envisager de recenser les sources susceptibles de signaler des vuln\xE9\
            rabilit\xE9s techniques dans les composants identifi\xE9s et de diffuser\
            \ les mises \xE0 jour (sites web des \xE9diteurs de logiciels, site web\
            \ du CERT et site web de l\u2019ENISA) (71).\n\n[CONSEILS]\n\n\u2022 Cr\xE9\
            er et maintenir des proc\xE9dures d\u2019identification, d\u2019\xE9valuation,\
            \ de hi\xE9rarchisation et de correction des vuln\xE9rabilit\xE9s. \n\u2022\
            \ S\u2019assurer que les fournisseurs et prestataires de services signalent\
            \ les vuln\xE9rabilit\xE9s de leurs syst\xE8mes ou produits ou services\
            \ qui pr\xE9sentent un risque pour la s\xE9curit\xE9 du r\xE9seau et des\
            \ syst\xE8mes d\u2019information de l\u2019entit\xE9. \n\u2022 Effectuer\
            \ des analyses de vuln\xE9rabilit\xE9 et enregistrer des preuves des r\xE9\
            sultats des analyses, lorsque des incidents importants ou des changements\
            \ importants dans les op\xE9rations ou les risques se produisent. \n\u2022\
            \ Dans la mesure du possible, envisagez une vuln\xE9rabilit\xE9 authentifi\xE9\
            e ou une autre m\xE9thode pour effectuer des analyses approfondies. \n\
            \u2022 Examiner et, le cas \xE9ch\xE9ant, mettre \xE0 jour les canaux\
            \ de surveillance des informations sur les vuln\xE9rabilit\xE9s en cas\
            \ d\u2019incidents importants ou de changements importants dans les op\xE9\
            rations ou les risques.\n\n(71) Principes fondamentaux de la cybers\xE9\
            curit\xE9, relations publiques. IP-12, Centre pour la cybers\xE9curit\xE9\
            \ Belgique, disponible \xE0 l\u2019adresse suivante\_: https://atwork.safeonweb.be/sites/default/files/2024-\
            \ 12/cyfun_basic_v2023-03-01_e_update_2024.pdf."
          typical_evidence: "\u2022 Liste des canaux de surveillance des vuln\xE9\
            rabilit\xE9s techniques, y compris les fournisseurs et les points de contact\
            \ uniques des prestataires de services. \n\u2022 Enregistrements des examens\
            \ pass\xE9s et plans pour les examens futurs des canaux de vuln\xE9rabilit\xE9\
            \ technique. \n\u2022 Abonnements \xE0 des services de notification de\
            \ vuln\xE9rabilit\xE9, \xE0 des listes de diffusion et \xE0 des syst\xE8\
            mes d\u2019alerte pertinents (par exemple, CERT, conseils aux fournisseurs\
            \ et forums de s\xE9curit\xE9). \n\u2022 Des registres qui documentent\
            \ les examens p\xE9riodiques des canaux de surveillance pour s\u2019assurer\
            \ qu\u2019ils sont \xE0 jour et efficaces. \n\u2022 Enregistrements des\
            \ alertes ou des notifications re\xE7ues des canaux de surveillance concernant\
            \ de nouvelles vuln\xE9rabilit\xE9s, y compris la mani\xE8re dont ces\
            \ alertes ont \xE9t\xE9 trait\xE9es et les actions ult\xE9rieures prises.\
            \ \n\u2022 Journaux qui enregistrent les activit\xE9s de surveillance\
            \ des informations sur les vuln\xE9rabilit\xE9s, y compris les dates et\
            \ les sources surveill\xE9es (par exemple, les avis de s\xE9curit\xE9\
            , les bulletins des fournisseurs, les flux de renseignements sur les menaces).\
            \ \n\n[CONSEILS]\n\n\u2022 Proc\xE9dures document\xE9es d\u2019identification,\
            \ d\u2019\xE9valuation, de hi\xE9rarchisation et de correction des vuln\xE9\
            rabilit\xE9s. \n\u2022 Contrats avec des fournisseurs et des prestataires\
            \ de services qui n\xE9cessitent la d\xE9claration, le traitement et la\
            \ divulgation des vuln\xE9rabilit\xE9s techniques. \n\u2022 Communications\
            \ ou rapports li\xE9s \xE0 la vuln\xE9rabilit\xE9 de fournisseurs et de\
            \ prestataires de services. \n\u2022 Enregistrements des analyses ponctuelles\
            \ effectu\xE9es en r\xE9ponse \xE0 des incidents ou \xE0 des modifications\
            \ importantes de l\u2019infrastructure, y compris les dates et les raisons\
            \ de ces analyses. \n\u2022 Journaux de gestion des modifications pour\
            \ v\xE9rifier que les analyses de vuln\xE9rabilit\xE9 sont effectu\xE9\
            es \xE0 la suite d\u2019incidents ou de modifications importants de l\u2019\
            infrastructure ou du paysage des menaces. \n\u2022 Enregistrements d\u2019\
            audits internes ou d\u2019examens des proc\xE9dures de gestion des vuln\xE9\
            rabilit\xE9s. \n\u2022 Constatations et mesures correctives prises \xE0\
            \ la suite de ces audits."
        es:
          description: "Las entidades pertinentes revisar\xE1n y, cuando proceda,\
            \ actualizar\xE1n a intervalos planificados los canales que utilizan para\
            \ supervisar la informaci\xF3n relativa a las vulnerabilidades."
          annotation: "\u2022 Revisar la informaci\xF3n de los canales de monitoreo\
            \ de vulnerabilidades t\xE9cnicas al menos semestralmente. \n\u2022 Considerar\
            \ la posibilidad de inventariar las fuentes que puedan notificar vulnerabilidades\
            \ t\xE9cnicas en los componentes identificados y distribuir actualizaciones\
            \ (sitios web de los editores de programas inform\xE1ticos, sitio web\
            \ del CERT y sitio web de ENISA) (71).\n\n[CONSEJOS]\n\n\u2022 Crear y\
            \ mantener procedimientos para identificar, evaluar, priorizar y remediar\
            \ vulnerabilidades. \n\u2022 Asegurarse de que los proveedores y prestadores\
            \ de servicios reporten vulnerabilidades en sus sistemas o productos o\
            \ servicios que presenten un riesgo para la seguridad de la red y los\
            \ sistemas de informaci\xF3n de la entidad. \n\u2022 Realizar escaneos\
            \ de vulnerabilidades y registrar evidencia de los resultados de los escaneos,\
            \ cuando ocurran incidentes significativos o cambios significativos en\
            \ las operaciones o riesgos. \n\u2022 Siempre que sea posible, considere\
            \ la posibilidad de utilizar una vulnerabilidad autenticada o un m\xE9\
            todo alternativo para realizar an\xE1lisis en profundidad. \n\u2022 Revisar\
            \ y, en su caso, actualizar los canales de seguimiento de la informaci\xF3\
            n sobre vulnerabilidades cuando se produzcan incidentes significativos\
            \ o cambios significativos en las operaciones o riesgos.\n\n(71) Fundamentos\
            \ cibern\xE9ticos, PR. IP-12, Centro de Seguridad Cibern\xE9tica de B\xE9\
            lgica, disponible en: https://atwork.safeonweb.be/sites/default/files/2024-\
            \ 12/cyfun_basic_v2023-03-01_e_update_2024.pdf."
          typical_evidence: "\u2022 Lista de canales de monitoreo de vulnerabilidades\
            \ t\xE9cnicas, incluidos los puntos de contacto \xFAnicos de los proveedores\
            \ y prestadores de servicios. \n\u2022 Registros de revisiones pasadas\
            \ y planes para futuras revisiones de canales de vulnerabilidades t\xE9\
            cnicas. \n\u2022 Suscripciones a servicios de notificaci\xF3n de vulnerabilidades,\
            \ listas de correo y sistemas de alerta relevantes (por ejemplo, CERT,\
            \ avisos a proveedores y foros de seguridad). \n\u2022 Bit\xE1coras que\
            \ documentan revisiones peri\xF3dicas de los canales de monitoreo para\
            \ verificar que est\xE9n actualizados y efectivos. \n\u2022 Registros\
            \ de alertas o notificaciones recibidas de los canales de monitoreo sobre\
            \ nuevas vulnerabilidades, incluida la forma en que se manejaron estas\
            \ alertas y cualquier acci\xF3n posterior tomada. \n\u2022 Registros que\
            \ registran las actividades de supervisi\xF3n de la informaci\xF3n sobre\
            \ vulnerabilidades, incluidas las fechas y las fuentes supervisadas (por\
            \ ejemplo, avisos de seguridad, boletines de proveedores, fuentes de inteligencia\
            \ de amenazas). \n\n[CONSEJOS]\n\n\u2022 Procedimientos documentados para\
            \ identificar, evaluar, priorizar y remediar vulnerabilidades. \n\u2022\
            \ Contratos con proveedores y prestadores de servicios que requieran la\
            \ presentaci\xF3n de informes, manejo y divulgaci\xF3n de vulnerabilidades\
            \ t\xE9cnicas. \n\u2022 Comunicaciones o informes relacionados con vulnerabilidades\
            \ de proveedores y prestadores de servicios. \n\u2022 Registros de escaneos\
            \ ad-hoc realizados en respuesta a incidentes significativos o cambios\
            \ en la infraestructura, incluidas las fechas y los motivos de estos escaneos.\
            \ \n\u2022 Registros de gesti\xF3n de cambios para verificar que los an\xE1\
            lisis de vulnerabilidades se llevan a cabo despu\xE9s de incidentes significativos\
            \ o cambios en la infraestructura o en el panorama de amenazas. \n\u2022\
            \ Registros de auditor\xEDas internas o revisiones de los procedimientos\
            \ de gesti\xF3n de vulnerabilidades. \n\u2022 Hallazgos y acciones correctivas\
            \ tomadas a partir de estas auditor\xEDas."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty p\u0159ezkoumaj\xED a v\
            \ p\u0159\xEDpad\u011B pot\u0159eby v pl\xE1novan\xFDch intervalech aktualizuj\xED\
            \ kan\xE1ly, kter\xE9 pou\u017E\xEDvaj\xED pro sledov\xE1n\xED informac\xED\
            \ o zranitelnosti."
          annotation: "\u2022 Kontrolovat informace z kan\xE1l\u016F pro monitorov\xE1\
            n\xED technick\xFDch zranitelnost\xED alespo\u0148 jednou za dva roky.\
            \ \n\u2022 zv\xE1\u017Eit inventarizaci zdroj\u016F, u nich\u017E je pravd\u011B\
            podobn\xE9, \u017Ee ozn\xE1m\xED technick\xE1 slab\xE1 m\xEDsta v identifikovan\xFD\
            ch sou\u010D\xE1stech a budou distribuovat aktualizace (internetov\xE9\
            \ str\xE1nky vydavatel\u016F softwaru, internetov\xE9 str\xE1nky CERT\
            \ a internetov\xE9 str\xE1nky ENISA) (71).\n\n[TIPY]\n\n\u2022 Vytv\xE1\
            \u0159et a udr\u017Eovat postupy pro identifikaci, hodnocen\xED, prioritizaci\
            \ a n\xE1pravu zraniteln\xFDch m\xEDst. \n\u2022 Zajistit, aby dodavatel\xE9\
            \ a poskytovatel\xE9 slu\u017Eeb hl\xE1sili zranitelnosti ve sv\xFDch\
            \ syst\xE9mech, produktech nebo slu\u017Eb\xE1ch, kter\xE9 p\u0159edstavuj\xED\
            \ riziko pro bezpe\u010Dnost s\xEDt\u011B a informa\u010Dn\xEDch syst\xE9\
            m\u016F subjektu. \n\u2022 Prov\xE1d\u011Bjte skenov\xE1n\xED zranitelnost\xED\
            \ a zaznamen\xE1vejte d\u016Fkazy o v\xFDsledc\xEDch skenov\xE1n\xED,\
            \ kdy\u017E dojde k v\xFDznamn\xFDm incident\u016Fm nebo v\xFDznamn\xFD\
            m zm\u011Bn\xE1m provozu nebo rizik. \n\u2022 Pokud je to mo\u017En\xE9\
            , zva\u017Ete ov\u011B\u0159enou chybu zabezpe\u010Den\xED nebo alternativn\xED\
            \ metodu prov\xE1d\u011Bn\xED hloubkov\xFDch sken\u016F. \n\u2022 P\u0159\
            ezkoumat a p\u0159\xEDpadn\u011B aktualizovat kan\xE1ly pro monitorov\xE1\
            n\xED informac\xED o zranitelnostech v p\u0159\xEDpad\u011B, \u017Ee dojde\
            \ k v\xFDznamn\xFDm incident\u016Fm nebo v\xFDznamn\xFDm zm\u011Bn\xE1\
            m provozu nebo rizik.\n\n(71) Kybernetick\xE9 fundamenty, PR. IP-12, Centrum\
            \ pro kybernetickou bezpe\u010Dnost Belgie, k dispozici na adrese: https://atwork.safeonweb.be/sites/default/files/2024-12/cyfun_basic_v2023-03-01_e_update_2024.pdf."
          typical_evidence: "\u2022 Seznam kan\xE1l\u016F pro sledov\xE1n\xED technick\xFD\
            ch zranitelnost\xED, v\u010Detn\u011B jednotn\xFDch kontaktn\xEDch m\xED\
            st dodavatel\u016F a poskytovatel\u016F slu\u017Eeb. \n\u2022 Z\xE1znamy\
            \ o minul\xFDch kontrol\xE1ch a pl\xE1ny na budouc\xED kontroly kan\xE1\
            l\u016F technick\xFDch zranitelnost\xED. \n\u2022 P\u0159edplatn\xE9 p\u0159\
            \xEDslu\u0161n\xFDch slu\u017Eeb pro oznamov\xE1n\xED zranitelnost\xED\
            , seznam\u016F adres\xE1t\u016F a v\xFDstra\u017En\xFDch syst\xE9m\u016F\
            \ (nap\u0159. CERT, doporu\u010Den\xED pro dodavatele a bezpe\u010Dnostn\xED\
            \ f\xF3ra). \n\u2022 Protokoly, kter\xE9 dokumentuj\xED pravideln\xE9\
            \ kontroly monitorovac\xEDch kan\xE1l\u016F za \xFA\u010Delem ov\u011B\
            \u0159en\xED, \u017Ee jsou aktu\xE1ln\xED a \xFA\u010Dinn\xE9. \n\u2022\
            \ Z\xE1znamy v\xFDstrah nebo ozn\xE1men\xED p\u0159ijat\xFDch z monitorovac\xED\
            ch kan\xE1l\u016F o nov\xFDch zranitelnostech, v\u010Detn\u011B toho,\
            \ jak byly tyto v\xFDstrahy zpracov\xE1ny a jak\xE1 n\xE1sledn\xE1 opat\u0159\
            en\xED byla p\u0159ijata. \n\u2022 Protokoly, kter\xE9 zaznamen\xE1vaj\xED\
            \ aktivity monitorov\xE1n\xED informac\xED o zranitelnostech, v\u010D\
            etn\u011B dat a monitorovan\xFDch zdroj\u016F (nap\u0159. bezpe\u010D\
            nostn\xED doporu\u010Den\xED, bulletiny dodavatel\u016F, informa\u010D\
            n\xED kan\xE1ly o hrozb\xE1ch). \n\n[TIPY]\n\n\u2022 Zdokumentovan\xE9\
            \ postupy pro identifikaci, hodnocen\xED, prioritizaci a n\xE1pravu zraniteln\xFD\
            ch m\xEDst. \n\u2022 Smlouvy s dodavateli a poskytovateli slu\u017Eeb,\
            \ kter\xE9 vy\u017Eaduj\xED hl\xE1\u0161en\xED technick\xFDch zranitelnost\xED\
            , manipulaci s nimi a jejich zve\u0159ej\u0148ov\xE1n\xED. \n\u2022 Komunikace\
            \ nebo zpr\xE1vy od dodavatel\u016F a poskytovatel\u016F slu\u017Eeb souvisej\xED\
            c\xED se zranitelnostmi. \n\u2022 Z\xE1znamy o ad-hoc skenech proveden\xFD\
            ch v reakci na v\xFDznamn\xE9 incidenty nebo zm\u011Bny infrastruktury,\
            \ v\u010Detn\u011B dat a d\u016Fvod\u016F t\u011Bchto sken\u016F. \n\u2022\
            \ Zm\u011B\u0148te protokoly spr\xE1vy a ov\u011B\u0159te, zda jsou kontroly\
            \ zranitelnost\xED prov\xE1d\u011Bny po v\xFDznamn\xFDch incidentech nebo\
            \ zm\u011Bn\xE1ch infrastruktury nebo prost\u0159ed\xED hrozeb. \n\u2022\
            \ Z\xE1znamy o intern\xEDch auditech nebo p\u0159ezkumech postup\u016F\
            \ \u0159\xEDzen\xED zranitelnost\xED. \n\u2022 Zji\u0161t\u011Bn\xED a\
            \ n\xE1pravn\xE1 opat\u0159en\xED p\u0159ijat\xE1 z t\u011Bchto audit\u016F\
            ."
        it:
          description: "I soggetti pertinenti riesaminano e, se del caso, aggiornano\
            \ a intervalli pianificati i canali utilizzati per monitorare le informazioni\
            \ sulle vulnerabilit\xE0."
          annotation: "\u2022 Rivedere le informazioni provenienti dai canali di monitoraggio\
            \ tecnico-delle vulnerabilit\xE0 almeno due volte l'anno. \n\u2022 Prendere\
            \ in considerazione l'inventario delle fonti atte a segnalare vulnerabilit\xE0\
            \ tecniche nei componenti identificati e a distribuire gli aggiornamenti\
            \ (siti web degli editori di software, siti web del CERT e siti web dell'ENISA)\
            \ (71).\n\n[CONSIGLI]\n\n\u2022 Creare e mantenere procedure per l'identificazione,\
            \ la valutazione, la definizione delle priorit\xE0 e la correzione delle\
            \ vulnerabilit\xE0. \n\u2022 Assicurarsi che i fornitori e i fornitori\
            \ di servizi segnalino vulnerabilit\xE0 nei loro sistemi o prodotti o\
            \ servizi che presentano un rischio per la sicurezza della rete e dei\
            \ sistemi informativi dell'entit\xE0. \n\u2022 Eseguire scansioni di vulnerabilit\xE0\
            \ e registrare prove dei risultati delle scansioni, quando si verificano\
            \ incidenti significativi o modifiche significative alle operazioni o\
            \ ai rischi. \n\u2022 Ove possibile, prendere in considerazione la vulnerabilit\xE0\
            \ autenticata o un metodo alternativo per eseguire scansioni approfondite.\
            \ \n\u2022 Rivedere e, se del caso, aggiornare i canali per il monitoraggio\
            \ delle informazioni sulle vulnerabilit\xE0 quando si verificano incidenti\
            \ significativi o modifiche significative alle operazioni o ai rischi.\n\
            \n(71) Fondamenti informatici, PR. IP-12, Centre for Cyber Security Belgium,\
            \ disponibile all'indirizzo: https://atwork.safeonweb.be/sites/default/files/2024-12/cyfun_basic_v2023-03-01_e_update_2024.pdf."
          typical_evidence: "\u2022 Elenco dei canali di monitoraggio delle vulnerabilit\xE0\
            \ tecniche, compresi i fornitori e i punti di contatto unici dei fornitori\
            \ di servizi. \n\u2022 Registrazioni delle revisioni passate e piani per\
            \ revisioni future dei canali di vulnerabilit\xE0 tecnica. \n\u2022 Abbonamenti\
            \ a servizi di notifica delle vulnerabilit\xE0, mailing list e sistemi\
            \ di allerta pertinenti (ad es. CERT, avvisi per i fornitori e forum sulla\
            \ sicurezza). \n\u2022 Log che documentano le revisioni periodiche dei\
            \ canali di monitoraggio per verificarne l'aggiornamento e l'efficacia.\
            \ \n\u2022 Registrazioni di avvisi o notifiche ricevute dai canali di\
            \ monitoraggio su nuove vulnerabilit\xE0, incluso il modo in cui questi\
            \ avvisi sono stati gestiti e le eventuali azioni successive intraprese.\
            \ \n\u2022 Registri che registrano le attivit\xE0 di monitoraggio per\
            \ le informazioni sulle vulnerabilit\xE0, comprese le date e le fonti\
            \ monitorate (ad es. avvisi di sicurezza, bollettini dei fornitori, feed\
            \ di intelligence sulle minacce). \n\n[CONSIGLI]\n\n\u2022 Procedure documentate\
            \ per l'identificazione, la valutazione, la definizione delle priorit\xE0\
            \ e la correzione delle vulnerabilit\xE0. \n\u2022 Contratti con fornitori\
            \ e fornitori di servizi che richiedono la segnalazione, la gestione e\
            \ la divulgazione delle vulnerabilit\xE0 tecniche. \n\u2022 Comunicazioni\
            \ o segnalazioni relative a vulnerabilit\xE0 da parte di fornitori e fornitori\
            \ di servizi. \n\u2022 Registrazioni di scansioni ad hoc eseguite in risposta\
            \ a incidenti significativi o modifiche all'infrastruttura, comprese le\
            \ date e i motivi di tali scansioni. \n\u2022 Registri di gestione delle\
            \ modifiche per verificare che le scansioni delle vulnerabilit\xE0 vengano\
            \ condotte a seguito di incidenti significativi o modifiche all'infrastruttura\
            \ o al panorama delle minacce. \n\u2022 Registrazioni di audit interni\
            \ o revisioni delle procedure di gestione delle vulnerabilit\xE0. \n\u2022\
            \ I risultati e le azioni correttive derivanti da questi audit."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:7
      assessable: false
      depth: 1
      ref_id: '7'
      name: POLICIES AND PROCEDURES TO ASSESS THE EFFECTIVENESS OF CYBERSECURITY RISK-MANAGEMENT
        MEASURES (ARTICLE 21(2), POINT (F), OF DIRECTIVE (EU) 2022/2555)
      translations:
        fr:
          name: "Politiques et proc\xE9dures visant \xE0 \xE9valuer l\u2019efficacit\xE9\
            \ des mesures de gestion des risques en mati\xE8re de cybers\xE9curit\xE9\
            \ [article 21, paragraphe 2, point f), de la directive (UE) 2022/2555]"
        es:
          name: "ORIENTACIONES Y PROCEDIMIENTOS PARA EVALUAR LA EFICACIA DE LAS MEDIDAS\
            \ DE GESTI\xD3N DE RIESGOS DE CIBERSEGURIDAD [Art\xEDculo 21, Apartado\
            \ 2, Letra F), de la directiva (UE) 2022/2555]"
        cs:
          name: "Politiky a postupy za \xFA\u010Delem posouzen\xED \xFA\u010Dinnosti\
            \ opat\u0159en\xED k \u0159\xEDzen\xED kybernetick\xFDch bezpe\u010Dnostn\xED\
            ch rizik (\u010Dl. 21 odst. 2 p\xEDsm. f) sm\u011Brnice (EU) 2022/2555)"
        it:
          name: POLITICHE E PROCEDURE PER VALUTARE L'EFFICACIA DELLE MISURE DI GESTIONE
            DEI RISCHI DI CIBERSICUREZZA [ARTICOLO 21, PARAGRAFO 2, LETTERA F), DELLA
            DIRETTIVA (UE) 2022/2555]
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:7.1
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:7
      ref_id: '7.1'
      description: For the purpose of Article 21(2), point (f) of Directive (EU) 2022/2555,
        the relevant entities shall establish, implement and apply a policy and procedures
        to assess whether the cybersecurity risk-management measures taken by the
        relevant entity are effectively implemented and maintained.
      annotation: "\u2022 Take into account industry-recognised standards when developing\
        \ the policy and procedures for assessing the efficient implementation of\
        \ the measures (72). \n\u2022 Implement a policy for assessing the effectiveness\
        \ of implementation of measures that is proportionate to the risk posture\
        \ of the entity in line with the risk assessment.\n\n(72) In addition to those\
        \ mentioned in the mapping table at the end of this section, consider the\
        \ following: \n\u2022 ISO/IEC 27004:2016, Information technology - Security\
        \ techniques - Information security management - Monitoring, measurement,\
        \ analysis and evaluation. \n\u2022 Information Technology Infrastructure\
        \ Library (ITIL)."
      typical_evidence: "\u2022 Documented policy and procedures for effectiveness\
        \ assessments based on good practices and standards (73).\n\n(73) For example,\
        \ NIST SP 800-53A available at: https://csrc.nist.gov/pubs/sp/800/53/a/r5/final."
      translations:
        fr:
          description: "Aux fins de l\u2019article 21, paragraphe 2, point f), de\
            \ la directive (UE) 2022/2555, les entit\xE9s concern\xE9es \xE9tablissent,\
            \ mettent en \u0153uvre et appliquent une politique et des proc\xE9dures\
            \ visant \xE0 \xE9valuer si les mesures de gestion des risques en mati\xE8\
            re de cybers\xE9curit\xE9 qu'elles ont prises sont effectivement mises\
            \ en \u0153uvre et maintenues."
          annotation: "\u2022 Tenir compte des normes reconnues par l\u2019industrie\
            \ lors de l\u2019\xE9laboration de la politique et des proc\xE9dures permettant\
            \ d\u2019\xE9valuer l\u2019efficacit\xE9 de la mise en \u0153uvre des\
            \ mesures (72). \n\u2022 Mettre en \u0153uvre une politique d\u2019\xE9\
            valuation de l\u2019efficacit\xE9 de la mise en \u0153uvre des mesures\
            \ qui soit proportionn\xE9e \xE0 la posture de risque de l\u2019entit\xE9\
            \ conform\xE9ment \xE0 l\u2019\xE9valuation des risques.\n\n(72) En plus\
            \ de ceux mentionn\xE9s dans le tableau de correspondance \xE0 la fin\
            \ de la pr\xE9sente section, il faut tenir compte des \xE9l\xE9ments suivants\
            \ : \n\u2022 ISO/IEC 27004:2016, Technologies de l\u2019information -\
            \ Techniques de s\xE9curit\xE9 - Gestion de la s\xE9curit\xE9 de l\u2019\
            information - Surveillance, mesure, analyse et \xE9valuation. \n\u2022\
            \ Biblioth\xE8que de l\u2019infrastructure des technologies de l\u2019\
            information (ITIL)."
          typical_evidence: "\u2022 Documentation des politiques et proc\xE9dures\
            \ d\u2019\xE9valuation de l\u2019efficacit\xE9 fond\xE9es sur les bonnes\
            \ pratiques et les normes (73).\n\n(73) Par exemple, NIST SP 800-53A,\
            \ disponible \xE0 l\u2019adresse suivante\_: https://csrc.nist.gov/pubs/sp/800/53/a/r5/final."
        es:
          description: "A los efectos del art\xEDculo 21, apartado 2, letra f), de\
            \ la Directiva (UE) 2022/2555, las entidades pertinentes establecer\xE1\
            n, llevar\xE1n a la pr\xE1ctica y aplicar\xE1n orientaciones y procedimientos\
            \ para evaluar si las medidas para la gesti\xF3n de riesgos de ciberseguridad\
            \ que hayan adoptado se ejecutan y mantienen de manera efectiva."
          annotation: "\u2022 Tener en cuenta las normas reconocidas por el sector\
            \ a la hora de elaborar la pol\xEDtica y los procedimientos para evaluar\
            \ la aplicaci\xF3n eficiente de las medidas (72). \n\u2022 Implementar\
            \ una pol\xEDtica para evaluar la efectividad de la implementaci\xF3n\
            \ de medidas que sea proporcional a la postura de riesgo de la entidad\
            \ en l\xEDnea con la evaluaci\xF3n de riesgos.\n\n(72) Adem\xE1s de los\
            \ mencionados en el cuadro de correspondencia que figura al final de esta\
            \ secci\xF3n, consid\xE9rese lo siguiente: \n\u2022 ISO/IEC 27004:2016,\
            \ Tecnolog\xEDa de la informaci\xF3n - T\xE9cnicas de seguridad - Gesti\xF3\
            n de la seguridad de la informaci\xF3n - Seguimiento, medici\xF3n, an\xE1\
            lisis y evaluaci\xF3n. \n\u2022 Biblioteca de Infraestructura de Tecnolog\xED\
            as de la Informaci\xF3n (ITIL)."
          typical_evidence: "\u2022 Pol\xEDticas y procedimientos documentados para\
            \ la evaluaci\xF3n de la eficacia basados en buenas pr\xE1cticas y normas\
            \ (73).\n\n(73) Por ejemplo, NIST SP 800-53A disponible en: https://csrc.nist.gov/pubs/sp/800/53/a/r5/final."
        cs:
          description: "Pro \xFA\u010Dely \u010Dl. 21 odst. 2 p\xEDsm. f) sm\u011B\
            rnice (EU) 2022/2555 p\u0159\xEDslu\u0161n\xE9 subjekty stanov\xED, zavedou\
            \ a uplat\u0148uj\xED politiku a postupy za \xFA\u010Delem posouzen\xED\
            , zda jsou opat\u0159en\xED k \u0159\xEDzen\xED kybernetick\xFDch bezpe\u010D\
            nostn\xEDch rizik p\u0159ijat\xE1 p\u0159\xEDslu\u0161n\xFDm subjektem\
            \ \xFA\u010Dinn\u011B prov\xE1d\u011Bna a udr\u017Eov\xE1na."
          annotation: "\u2022 P\u0159i vypracov\xE1v\xE1n\xED politiky a postup\u016F\
            \ pro posuzov\xE1n\xED \xFA\u010Dinn\xE9ho prov\xE1d\u011Bn\xED opat\u0159\
            en\xED zohlednit odv\u011Btvov\u011B uzn\xE1van\xE9 normy (72). \n\u2022\
            \ Zav\xE9st politiku pro hodnocen\xED \xFA\u010Dinnosti prov\xE1d\u011B\
            n\xED opat\u0159en\xED, kter\xE1 je p\u0159im\u011B\u0159en\xE1 rizikov\xE9\
            \ pozici subjektu v souladu s hodnocen\xEDm rizik.\n\n(72) Krom\u011B\
            \ t\u011Bch, kter\xE9 jsou uvedeny v tabulce mapov\xE1n\xED na konci tohoto\
            \ odd\xEDlu, zva\u017Ete n\xE1sleduj\xEDc\xED: \n\u2022 ISO/IEC 27004:2016,\
            \ Informa\u010Dn\xED technologie - Bezpe\u010Dnostn\xED techniky - \u0158\
            \xEDzen\xED bezpe\u010Dnosti informac\xED - Monitorov\xE1n\xED, m\u011B\
            \u0159en\xED, anal\xFDza a hodnocen\xED. \n\u2022 Knihovna infrastruktury\
            \ informa\u010Dn\xEDch technologi\xED (ITIL)."
          typical_evidence: "\u2022 Zdokumentovan\xE9 z\xE1sady a postupy pro posuzov\xE1\
            n\xED \xFA\u010Dinnosti na z\xE1klad\u011B osv\u011Bd\u010Den\xFDch postup\u016F\
            \ a norem (73).\n\n(73) Nap\u0159\xEDklad NIST SP 800-53A je k dispozici\
            \ na adrese: https://csrc.nist.gov/pubs/sp/800/53/a/r5/final."
        it:
          description: Ai fini dell'articolo 21, paragrafo 2, lettera f), della direttiva
            (UE) 2022/2555, i soggetti pertinenti stabiliscono, attuano e applicano
            una politica e procedure per valutare se le misure di gestione dei rischi
            di cibersicurezza adottate dal soggetto pertinente siano attuate e mantenute
            in modo efficace.
          annotation: "\u2022 Tenere conto delle norme riconosciute dal settore nell'elaborazione\
            \ della politica e delle procedure per valutare l'attuazione efficiente\
            \ delle misure (72). \n\u2022 Attuare una politica per valutare l'efficacia\
            \ dell'attuazione delle misure che sia proporzionata alla posizione di\
            \ rischio dell'entit\xE0 in linea con la valutazione del rischio.\n\n\
            (72) Oltre a quelli menzionati nella tabella di mappatura alla fine della\
            \ presente sezione, si consideri quanto segue: \n\u2022 ISO/IEC 27004:2016,\
            \ Tecnologie dell'informazione - Tecniche di sicurezza - Gestione della\
            \ sicurezza delle informazioni - Monitoraggio, misurazione, analisi e\
            \ valutazione. \n\u2022 Biblioteca dell'infrastruttura informatica (ITIL)."
          typical_evidence: "\u2022 Politiche e procedure documentate per le valutazioni\
            \ dell'efficacia basate su buone pratiche e norme (73).\n\n(73) Ad esempio,\
            \ NIST SP 800-53A disponibile all'indirizzo: https://csrc.nist.gov/pubs/sp/800/53/a/r5/final."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:7.2
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:7
      ref_id: '7.2'
      description: 'The policy and procedures referred to in point 7.1. shall take
        into account results of the risk assessment pursuant to point 2.1. and past
        significant incidents. The relevant entities shall determine:'
      annotation: "\u2022 When selecting measures for assessing effectiveness of implementation\
        \ take into account the cost of their implementation. \n\u2022 Consider one\
        \ or more of the following indicative methods for assessing the effectiveness\
        \ of implementation of a measure, according to the risk-treatment plan (section\
        \ 2.1):\n    o self-assessment, o benchmarking against a measure\u2019s checklist\
        \ or a standard, o vulnerability assessment, o penetration testing (e.g. internal,\
        \ external, red/blue team), o secure code review, o audit (e.g. internal,\
        \ external, compliance) and o performance monitoring. \n\u2022 The assessment\
        \ service can be provided by an external entity or by specially authorised\
        \ employees of the entity.\n    o In the case of external entities, confidentiality\
        \ and non-disclosure terms should be included in the contract.\n    o Internal\
        \ employees should be suitably trained, based on the skills required for the\
        \ objective of their role and the entity should consider their objectivity\
        \ and impartiality, where possible. The entity should pay particular attention\
        \ to the elements of point 2.3. of the Annex to the regulation concerning\
        \ the impartiality of the employees. For instance, employees should not come\
        \ from the department or division whose systems are being inspected and should\
        \ not have been involved in developing the code or in installing or operating\
        \ the system being audited for this purpose. \n\u2022 Define key performance\
        \ indicators (KPIs) to measure the effectiveness of measures including, one\
        \ or more, notable examples such as (indicative, non-exhaustive list) (74):\n\
        \    o the cost of implementation and maintenance, for example capital expenditure\
        \ (CAPEX) / operational expenditure (OPEX);\n    o the number of employees\
        \ who have attended cybersecurity trainings (75);\n    o the number of vulnerabilities\
        \ detected;\n    o time to remediation;\n    o the number of incidents;\n\
        \    o the number of incidents related to a change;\n    o incident response\
        \ times; and\n    o number of non-compliances (consider the elements in point\
        \ 2.2 of the Annex to the regulation concerning compliance monitoring). \n\
        \u2022 If possible, use the same KPIs for each assessment and utilize standardized\
        \ templates and checklists to ensure consistency and thoroughness. \n\u2022\
        \ Although the frequency of monitoring and measurement of measures, addressed\
        \ in point 7.2.1 (a) of the Annex to the regulation, depends on the entity's\
        \ risk assessment, the entity may follow this indicative, non- exhaustive\
        \ guideline:\n    o continuously monitor and measure the effectiveness of\
        \ mitigating measures designed to address real-time threats (e.g. firewalls,\
        \ IDS/IPS);\n    o monitor and measure the effectiveness of security measures\
        \ related to the threat landscape biannually (e.g. vulnerability management\
        \ and incident response plans);\n    o assess the overall effectiveness of\
        \ all measures annually;\n    o assess the effectiveness of measures related\
        \ to a specific incident following that incident; and  o assess the effectiveness\
        \ of measures related to a specific system or one of its components following\
        \ significant changes to this system or this component.\n\n(74) ENISA\u2019\
        s cybersecurity investment reports offer a good reference for measuring effectiveness\
        \ of measures, for example the 2023 NIS investments report, https://www.enisa.europa.eu/publications/nis-investments-2023.\n\
        (75) The security culture framework (CSF) is an example source of KPIs for\
        \ measuring the effectiveness of training."
      typical_evidence: "\u2022 Evidence that management has received reporting on\
        \ the effective implementation of the measures. \n\u2022 Evidence that monitoring\
        \ and measurement results are reported to the management bodies (Annex to\
        \ the regulation, point 2.3.3 concerning compliance monitoring). \n\u2022\
        \ Documented objectives and KPIs for the implementation of the measures. \n\
        \u2022 Documented analysis and evaluation of the results from previous evaluations.\
        \ \n\u2022 Logs or records from previous effectiveness assessments. \n\u2022\
        \ Plans or schedules for future effectiveness assessments. \n\u2022 Documented\
        \ roles and responsibilities."
      translations:
        fr:
          description: "La politique et les proc\xE9dures vis\xE9es au point 7.1 tiennent\
            \ compte des r\xE9sultats de l\u2019\xE9valuation des risques vis\xE9\
            e au point 2.1 et des incidents importants pass\xE9s. Les entit\xE9s concern\xE9\
            es d\xE9terminent:"
          annotation: "\u2022 Lors de la s\xE9lection des mesures pour l'\xE9valuation\
            \ de l'efficacit\xE9 de la mise en \u0153uvre, il convient de tenir compte\
            \ du co\xFBt de leur mise en \u0153uvre.\n\u2022 Envisager une ou plusieurs\
            \ des m\xE9thodes indicatives suivantes pour \xE9valuer l'efficacit\xE9\
            \ de la mise en \u0153uvre d'une mesure, conform\xE9ment au plan de traitement\
            \ des risques (section 2.1) :\n    o auto-\xE9valuation, o comparaison\
            \ avec la liste de contr\xF4le d'une mesure ou une norme, o \xE9valuation\
            \ de la vuln\xE9rabilit\xE9, o tests de p\xE9n\xE9tration (par exemple,\
            \ internes, externes, \xE9quipe rouge/bleue), o examen du code s\xE9curis\xE9\
            , o audit (par exemple, interne, externe, de conformit\xE9) et o contr\xF4\
            le des performances.\n\u2022 Le service d'\xE9valuation peut \xEAtre fourni\
            \ par une entit\xE9 externe ou par des employ\xE9s sp\xE9cialement autoris\xE9\
            s de l'entit\xE9.\n    o Dans le cas d'entit\xE9s externes, des conditions\
            \ de confidentialit\xE9 et de non-divulgation doivent \xEAtre incluses\
            \ dans le contrat.\n    o Les employ\xE9s internes doivent recevoir une\
            \ formation appropri\xE9e, fond\xE9e sur les comp\xE9tences requises pour\
            \ l'objectif de leur r\xF4le, et l'entit\xE9 doit tenir compte de leur\
            \ objectivit\xE9 et de leur impartialit\xE9, dans la mesure du possible.\
            \ L'entit\xE9 doit accorder une attention particuli\xE8re aux \xE9l\xE9\
            ments du point 2.3. de l'annexe du r\xE8glement concernant l'impartialit\xE9\
            \ des employ\xE9s. Par exemple, les employ\xE9s ne doivent pas \xEAtre\
            \ issus du d\xE9partement ou de la division dont les syst\xE8mes sont\
            \ inspect\xE9s et ne doivent pas avoir particip\xE9 \xE0 l'\xE9laboration\
            \ du code ou \xE0 l'installation ou \xE0 l'exploitation du syst\xE8me\
            \ audit\xE9 \xE0 cette fin. \n\u2022 D\xE9finir des indicateurs cl\xE9\
            s de performance (ICP) pour mesurer l'efficacit\xE9 des mesures, y compris\
            \ un ou plusieurs exemples notables tels que (liste indicative et non\
            \ exhaustive) (74) :\n    o le co\xFBt de la mise en \u0153uvre et de\
            \ la maintenance, par exemple les d\xE9penses d'investissement (CAPEX)\
            \ / les d\xE9penses op\xE9rationnelles (OPEX) ;\n    o le nombre d'employ\xE9\
            s ayant suivi des formations en cybers\xE9curit\xE9 (75) ;\n    o le nombre\
            \ de vuln\xE9rabilit\xE9s d\xE9tect\xE9es ;\n    o le d\xE9lai de rem\xE9\
            diation ;\n    o le nombre d'incidents ;\n    o le nombre d'incidents\
            \ li\xE9s \xE0 un changement ;\n    o les d\xE9lais de r\xE9ponse aux\
            \ incidents ; et\n    o le nombre de non-conformit\xE9s (prendre en compte\
            \ les \xE9l\xE9ments du point 2. 2 de l'annexe du r\xE8glement concernant\
            \ le contr\xF4le de la conformit\xE9). \n\u2022 Dans la mesure du possible,\
            \ utilisez les m\xEAmes ICP pour chaque \xE9valuation et utilisez des\
            \ mod\xE8les et des listes de contr\xF4le normalis\xE9s pour garantir\
            \ la coh\xE9rence et l'exhaustivit\xE9. \n\u2022 Bien que la fr\xE9quence\
            \ du contr\xF4le et de la mesure des mesures, vis\xE9e au point 7.2.1\
            \ a) de l'annexe du r\xE8glement, d\xE9pende de l'\xE9valuation des risques\
            \ de l'entit\xE9, celle-ci peut suivre les lignes directrices indicatives\
            \ et non exhaustives suivantes :\n    o surveiller et mesurer en permanence\
            \ l'efficacit\xE9 des mesures d'att\xE9nuation con\xE7ues pour faire face\
            \ aux menaces en temps r\xE9el (par exemple, pare-feu, IDS/IPS) ;\n  \
            \  o surveiller et mesurer l'efficacit\xE9 des mesures de s\xE9curit\xE9\
            \ li\xE9es au paysage des menaces deux fois par an (par exemple, plans\
            \ de gestion des vuln\xE9rabilit\xE9s et de r\xE9ponse aux incidents)\
            \ ;\n    o \xE9valuer l'efficacit\xE9 globale de toutes les mesures chaque\
            \ ann\xE9e ;\n    o \xE9valuer l'efficacit\xE9 des mesures li\xE9es \xE0\
            \ un incident sp\xE9cifique \xE0 la suite de cet incident ; et o \xE9\
            valuer l'efficacit\xE9 des mesures li\xE9es \xE0 un syst\xE8me sp\xE9\
            cifique ou \xE0 l'un de ses composants \xE0 la suite de changements significatifs\
            \ apport\xE9s \xE0 ce syst\xE8me ou \xE0 ce composant.\n\n(74) Les rapports\
            \ d'investissement de l'ENISA en mati\xE8re de cybers\xE9curit\xE9 constituent\
            \ une bonne r\xE9f\xE9rence pour mesurer l'efficacit\xE9 des mesures,\
            \ par exemple le 2023 NIS investments report, https://www.enisa.europa.eu/publications/nis-investments-2023.\n\
            (75) Le cadre de la culture de s\xE9curit\xE9 (CSF) est un exemple de\
            \ source d'indicateurs de performance cl\xE9s pour mesurer l'efficacit\xE9\
            \ de la formation."
          typical_evidence: "\u2022 Preuve que la direction a re\xE7u des rapports\
            \ sur la mise en \u0153uvre effective des mesures. \n\u2022 La preuve\
            \ que les r\xE9sultats de la surveillance et des mesures sont communiqu\xE9\
            s aux organes de direction (annexe du r\xE8glement, point 2.3.3 relatif\
            \ au contr\xF4le de la conformit\xE9). \n\u2022 Documentation des objectifs\
            \ et des KPI pour la mise en \u0153uvre des mesures. \n\u2022 Analyse\
            \ document\xE9e et \xE9valuation des r\xE9sultats des \xE9valuations pr\xE9\
            c\xE9dentes. \n\u2022 Journaux ou enregistrements d\u2019\xE9valuations\
            \ d\u2019efficacit\xE9 pr\xE9c\xE9dentes. \n\u2022 Plans ou calendriers\
            \ pour les \xE9valuations futures de l\u2019efficacit\xE9. \n\u2022 R\xF4\
            les et responsabilit\xE9s document\xE9s."
        es:
          description: "Las orientaciones y procedimientos a que hace referencia el\
            \ punto 7.1 tendr\xE1n en cuenta los resultados de la evaluaci\xF3n de\
            \ riesgos conforme al punto 2.1 y los incidentes significativos ocurridos\
            \ en el pasado. Las entidades pertinentes determinar\xE1n:"
          annotation: "\u2022 A la hora de seleccionar medidas para evaluar la eficacia\
            \ de la aplicaci\xF3n, tenga en cuenta el coste de su aplicaci\xF3n.\n\
            \u2022 Considere uno o varios de los siguientes m\xE9todos indicativos\
            \ para evaluar la eficacia de la aplicaci\xF3n de una medida, de acuerdo\
            \ con el plan de tratamiento de riesgos (secci\xF3n 2.1):\n    o autoevaluaci\xF3\
            n, o comparaci\xF3n con una lista de control de una medida o una norma,\
            \ o evaluaci\xF3n de la vulnerabilidad, o pruebas de penetraci\xF3n (por\
            \ ejemplo, internas, externas, equipo rojo/azul), o revisi\xF3n de c\xF3\
            digo seguro, o auditor\xEDa (por ejemplo, interna, externa, de cumplimiento)\
            \ y o supervisi\xF3n del rendimiento.\n\u2022 El servicio de evaluaci\xF3\
            n puede ser prestado por una entidad externa o por empleados de la entidad\
            \ especialmente autorizados.\n    o En el caso de entidades externas,\
            \ deben incluirse en el contrato condiciones de confidencialidad y no\
            \ divulgaci\xF3n.\n    o Los empleados internos deben recibir una formaci\xF3\
            n adecuada, basada en las competencias requeridas para el objetivo de\
            \ su funci\xF3n, y la entidad debe tener en cuenta su objetividad e imparcialidad,\
            \ siempre que sea posible. La entidad debe prestar especial atenci\xF3\
            n a los elementos del punto 2.3. del Anexo del reglamento relativos a\
            \ la imparcialidad de los empleados. Por ejemplo, los empleados no deben\
            \ proceder del departamento o divisi\xF3n cuyos sistemas se est\xE1n inspeccionando\
            \ y no deben haber participado en el desarrollo del c\xF3digo ni en la\
            \ instalaci\xF3n o el funcionamiento del sistema que se est\xE1 auditando\
            \ con este fin. \n\u2022 Definir indicadores clave de rendimiento (KPI)\
            \ para medir la eficacia de las medidas, incluyendo uno o varios ejemplos\
            \ notables como (lista indicativa, no exhaustiva) (74):\n    o el coste\
            \ de implementaci\xF3n y mantenimiento, por ejemplo, gastos de capital\
            \ (CAPEX) / gastos operativos (OPEX);\n    o el n\xFAmero de empleados\
            \ que han asistido a formaciones en ciberseguridad (75);\n    o el n\xFA\
            mero de vulnerabilidades detectadas;\n    o el tiempo de remediaci\xF3\
            n;\n    o el n\xFAmero de incidentes;\n    o el n\xFAmero de incidentes\
            \ relacionados con un cambio;\n    o los tiempos de respuesta a incidentes;\
            \ y\n    o el n\xFAmero de incumplimientos (considerar los elementos del\
            \ punto 2. 2 del anexo del reglamento relativo a la supervisi\xF3n del\
            \ cumplimiento). \n\u2022 Si es posible, utilice los mismos KPI para cada\
            \ evaluaci\xF3n y utilice plantillas y listas de comprobaci\xF3n normalizadas\
            \ para garantizar la coherencia y el rigor. \n\u2022 Aunque la frecuencia\
            \ del seguimiento y la medici\xF3n de las medidas, que se abordan en el\
            \ punto 7.2.1 (a) del anexo del Reglamento, depende de la evaluaci\xF3\
            n de riesgos de la entidad, \xE9sta puede seguir esta pauta indicativa,\
            \ no exhaustiva:\n    o supervisar y medir continuamente la eficacia de\
            \ las medidas de mitigaci\xF3n dise\xF1adas para hacer frente a las amenazas\
            \ en tiempo real (por ejemplo, cortafuegos, IDS, etc.);\n    o supervisar\
            \ y medir semestralmente la eficacia de las medidas de seguridad relacionadas\
            \ con el panorama de amenazas (por ejemplo, los planes de gesti\xF3n de\
            \ vulnerabilidades y de respuesta a incidentes);\n    o evaluar anualmente\
            \ la eficacia general de todas las medidas;\n    o evaluar la eficacia\
            \ de las medidas relacionadas con un incidente espec\xEDfico tras dicho\
            \ incidente; y o evaluar la eficacia de las medidas relacionadas con un\
            \ sistema espec\xEDfico o uno de sus componentes tras cambios significativos\
            \ en este sistema o este componente.\n\n(74) Los informes de inversi\xF3\
            n en ciberseguridad de ENISA ofrecen una buena referencia para medir la\
            \ eficacia de las medidas, por ejemplo el informe de inversiones en SRI\
            \ 2023, https://www.enisa.europa.eu/publications/nis-investments-2023.\n\
            (75) El marco de cultura de seguridad (CSF) es un ejemplo de fuente de\
            \ KPI para medir la eficacia de la formaci\xF3n."
          typical_evidence: "\u2022 Evidencia de que la gerencia ha recibido informes\
            \ sobre la implementaci\xF3n efectiva de las medidas. \n\u2022 Pruebas\
            \ de que los resultados del seguimiento y la medici\xF3n se comunican\
            \ a los \xF3rganos de gesti\xF3n (anexo del Reglamento, punto 2.3.3 relativo\
            \ al seguimiento del cumplimiento). \n\u2022 Document\xE9 los objetivos\
            \ y KPIs para la implementaci\xF3n de las medidas. \n\u2022 An\xE1lisis\
            \ documentado y evaluaci\xF3n de los resultados de evaluaciones anteriores.\
            \ \n\u2022 Registros o registros de evaluaciones de efectividad anteriores.\
            \ \n\u2022 Planes o cronogramas para futuras evaluaciones de efectividad.\
            \ \n\u2022 Roles y responsabilidades documentados."
        cs:
          description: "Politika a postupy uveden\xE9 v bod\u011B 7.1. zohled\u0148\
            uj\xED v\xFDsledky posouzen\xED rizik podle bodu 2.1. a minul\xE9 v\xFD\
            znamn\xE9 incidenty. P\u0159\xEDslu\u0161n\xE9 subjekty ur\u010D\xED:"
          annotation: "\u2022 P\u0159i v\xFDb\u011Bru opat\u0159en\xED pro hodnocen\xED\
            \ \xFA\u010Dinnosti prov\xE1d\u011Bn\xED zohledn\u011Bte n\xE1klady na\
            \ jejich realizaci. \n\u2022 Zva\u017Ete jednu nebo v\xEDce z n\xE1sleduj\xED\
            c\xEDch orienta\u010Dn\xEDch metod pro posouzen\xED \xFA\u010Dinnosti\
            \ implementace opat\u0159en\xED podle pl\xE1nu o\u0161et\u0159en\xED rizik\
            \ (odd\xEDl 2.1):\n    o sebehodnocen\xED, o porovn\xE1n\xED s kontroln\xED\
            m seznamem opat\u0159en\xED nebo standardem, o posouzen\xED zranitelnosti,\
            \ o penetra\u010Dn\xED testov\xE1n\xED (nap\u0159. intern\xED, extern\xED\
            , \u010Derven\xFD/modr\xFD t\xFDm), o p\u0159ezkoum\xE1n\xED bezpe\u010D\
            n\xE9ho k\xF3du, o audit (nap\u0159. intern\xED, extern\xED, compliance)\
            \ a o monitorov\xE1n\xED v\xFDkonnosti.\n\u2022 Slu\u017Ebu hodnocen\xED\
            \ m\u016F\u017Ee poskytovat extern\xED subjekt nebo speci\xE1ln\u011B\
            \ pov\u011B\u0159en\xED zam\u011Bstnanci subjektu.\n    o V p\u0159\xED\
            pad\u011B extern\xEDch subjekt\u016F by m\u011Bly b\xFDt do smlouvy zahrnuty\
            \ podm\xEDnky d\u016Fv\u011Brnosti a ml\u010Denlivosti.\n    o Intern\xED\
            \ zam\u011Bstnanci by m\u011Bli b\xFDt vhodn\u011B vy\u0161koleni na z\xE1\
            klad\u011B dovednost\xED pot\u0159ebn\xFDch pro c\xEDl jejich role a subjekt\
            \ by m\u011Bl zv\xE1\u017Eit jejich objektivitu a nestrannost, pokud je\
            \ to mo\u017En\xE9. Subjekt by m\u011Bl v\u011Bnovat zvl\xE1\u0161tn\xED\
            \ pozornost prvk\u016Fm bodu 2.3 p\u0159\xEDlohy na\u0159\xEDzen\xED t\xFD\
            kaj\xEDc\xEDm se nestrannosti zam\u011Bstnanc\u016F. Zam\u011Bstnanci\
            \ by nap\u0159\xEDklad nem\u011Bli poch\xE1zet z odd\u011Blen\xED nebo\
            \ odboru, jeho\u017E syst\xE9my jsou kontrolov\xE1ny, a nem\u011Bli by\
            \ se pod\xEDlet na v\xFDvoji kodexu nebo na instalaci \u010Di provozu\
            \ syst\xE9mu, kter\xFD je pro tento \xFA\u010Del kontrolov\xE1n. \n\u2022\
            \ Definujte kl\xED\u010Dov\xE9 ukazatele v\xFDkonnosti (KPI) pro m\u011B\
            \u0159en\xED \xFA\u010Dinnosti opat\u0159en\xED, v\u010Detn\u011B jednoho\
            \ nebo v\xEDce v\xFDznamn\xFDch p\u0159\xEDklad\u016F, jako jsou (orienta\u010D\
            n\xED, ne\xFApln\xFD seznam) (74):\n    o n\xE1klady na implementaci a\
            \ \xFAdr\u017Ebu, nap\u0159\xEDklad kapit\xE1lov\xE9 v\xFDdaje (CAPEX)\
            \ / provozn\xED v\xFDdaje (OPEX);\n    o po\u010Det zam\u011Bstnanc\u016F\
            , kte\u0159\xED se z\xFA\u010Dastnili \u0161kolen\xED kybernetick\xE9\
            \ bezpe\u010Dnosti (75);\n    o po\u010Det zji\u0161t\u011Bn\xFDch zranitelnost\xED\
            ;\n    o doba do n\xE1pravy;\n    o po\u010Det incident\u016F;\n    o\
            \ po\u010Det incident\u016F souvisej\xEDc\xEDch se zm\u011Bnou;\n    o\
            \ doba reakce na incident; a\n    o po\u010Det neshod (zva\u017Ete prvky\
            \ v bod\u011B 2.2 p\u0159\xEDlohy na\u0159\xEDzen\xED t\xFDkaj\xEDc\xED\
            \ se monitorov\xE1n\xED shody). \n\u2022 Pokud je to mo\u017En\xE9, pou\u017E\
            \xEDvejte pro ka\u017Ed\xE9 hodnocen\xED stejn\xE9 kl\xED\u010Dov\xE9\
            \ ukazatele v\xFDkonnosti a vyu\u017E\xEDvejte standardizovan\xE9 \u0161\
            ablony a kontroln\xED seznamy, abyste zajistili konzistentnost a d\u016F\
            kladnost. \n\u2022 A\u010Dkoli \u010Detnost monitorov\xE1n\xED a m\u011B\
            \u0159en\xED opat\u0159en\xED, o nich\u017E pojedn\xE1v\xE1 bod 7.2.1\
            \ p\xEDsm. a) p\u0159\xEDlohy na\u0159\xEDzen\xED, z\xE1vis\xED na posouzen\xED\
            \ rizik subjektem, m\u016F\u017Ee subjekt postupovat podle tohoto orienta\u010D\
            n\xEDho, nikoli vy\u010Derp\xE1vaj\xEDc\xEDho pokynu:\n    o pr\u016F\
            b\u011B\u017En\u011B monitorovat a m\u011B\u0159it \xFA\u010Dinnost zm\xED\
            r\u0148uj\xEDc\xEDch opat\u0159en\xED ur\u010Den\xFDch k \u0159e\u0161\
            en\xED hrozeb v re\xE1ln\xE9m \u010Dase (nap\u0159. firewally, IDS/IPS);\n\
            \    o dvakr\xE1t ro\u010Dn\u011B monitorovat a m\u011B\u0159it \xFA\u010D\
            innost bezpe\u010Dnostn\xEDch opat\u0159en\xED souvisej\xEDc\xEDch s prost\u0159\
            ed\xEDm hrozeb (nap\u0159. nap\u0159. pl\xE1ny \u0159\xEDzen\xED zranitelnost\xED\
            \ a reakce na incidenty);\n    o ka\u017Edoro\u010Dn\u011B vyhodnocovat\
            \ celkovou \xFA\u010Dinnost v\u0161ech opat\u0159en\xED;\n    o vyhodnocovat\
            \ \xFA\u010Dinnost opat\u0159en\xED souvisej\xEDc\xEDch s konkr\xE9tn\xED\
            m incidentem po tomto incidentu a o vyhodnocovat \xFA\u010Dinnost opat\u0159\
            en\xED souvisej\xEDc\xEDch s konkr\xE9tn\xEDm syst\xE9mem nebo jednou\
            \ z jeho sou\u010D\xE1st\xED po v\xFDznamn\xFDch zm\u011Bn\xE1ch tohoto\
            \ syst\xE9mu nebo t\xE9to sou\u010D\xE1sti.\n\n(74) Dobr\xFDm vod\xED\
            tkem pro m\u011B\u0159en\xED \xFA\u010Dinnosti opat\u0159en\xED jsou zpr\xE1\
            vy agentury ENISA o investic\xEDch do kybernetick\xE9 bezpe\u010Dnosti,\
            \ nap\u0159\xEDklad zpr\xE1va o investic\xEDch do bezpe\u010Dnosti s\xED\
            t\xED a informac\xED v roce 2023, https://www.enisa.europa.eu/publications/nis-investments-2023.\n\
            (75) R\xE1mec bezpe\u010Dnostn\xED kultury (CSF) je p\u0159\xEDkladn\xFD\
            m zdrojem kl\xED\u010Dov\xFDch ukazatel\u016F v\xFDkonnosti pro m\u011B\
            \u0159en\xED \xFA\u010Dinnosti \u0161kolen\xED."
          typical_evidence: "\u2022 D\u016Fkaz, \u017Ee veden\xED obdr\u017Eelo zpr\xE1\
            vy o \xFA\u010Dinn\xE9m prov\xE1d\u011Bn\xED opat\u0159en\xED. \n\u2022\
            \ Doklad o tom, \u017Ee v\xFDsledky monitorov\xE1n\xED a m\u011B\u0159\
            en\xED jsou hl\xE1\u0161eny \u0159\xEDd\xEDc\xEDm org\xE1n\u016Fm (p\u0159\
            \xEDloha na\u0159\xEDzen\xED, bod 2.3.3 t\xFDkaj\xEDc\xED se sledov\xE1\
            n\xED souladu). \n\u2022 Zdokumentovan\xE9 c\xEDle a KPI pro implementaci\
            \ opat\u0159en\xED. \n\u2022 Zdokumentovan\xE1 anal\xFDza a vyhodnocen\xED\
            \ v\xFDsledk\u016F z p\u0159edchoz\xEDch hodnocen\xED. \n\u2022 Protokoly\
            \ nebo z\xE1znamy z p\u0159edchoz\xEDch hodnocen\xED efektivity. \n\u2022\
            \ Pl\xE1ny nebo harmonogramy pro budouc\xED hodnocen\xED efektivity. \n\
            \u2022 Zdokumentovan\xE9 role a odpov\u011Bdnosti."
        it:
          description: 'La politica e le procedure di cui al punto 7.1. tiene conto
            dei risultati della valutazione del rischio di cui al punto 2.1. e incidenti
            significativi passati. Gli enti pertinenti determinano:'
          annotation: "\u2022 Quando si selezionano le misure per la valutazione dell'efficacia\
            \ dell'attuazione, tenere conto del costo della loro attuazione.\n\u2022\
            \ Considerare uno o pi\xF9 dei seguenti metodi indicativi per valutare\
            \ l'efficacia dell'implementazione di una misura, in base al piano di\
            \ trattamento dei rischi (sezione 2.1):\n    o autovalutazione, o benchmarking\
            \ rispetto alla lista di controllo di una misura o a uno standard, o valutazione\
            \ della vulnerabilit\xE0, o test di penetrazione (ad esempio interno,\
            \ esterno, team rosso/blu), o revisione del codice sicuro, o audit (ad\
            \ esempio interno, esterno, conformit\xE0) e o monitoraggio delle prestazioni.\n\
            \u2022 Il servizio di valutazione pu\xF2 essere fornito da un'entit\xE0\
            \ esterna o da dipendenti dell'ente appositamente autorizzati.\n    o\
            \ Nel caso di entit\xE0 esterne, il contratto deve prevedere condizioni\
            \ di riservatezza e non divulgazione.\n    o I dipendenti interni devono\
            \ essere adeguatamente formati, in base alle competenze richieste per\
            \ l'obiettivo del loro ruolo e l'ente deve considerare la loro obiettivit\xE0\
            \ e imparzialit\xE0, ove possibile. L'ente deve prestare particolare attenzione\
            \ agli elementi di cui al punto 2.3 dell'allegato al regolamento, relativi\
            \ all'imparzialit\xE0 dei dipendenti. Ad esempio, i dipendenti non devono\
            \ provenire dal dipartimento o dalla divisione i cui sistemi sono oggetto\
            \ di ispezione e non devono essere stati coinvolti nello sviluppo del\
            \ codice o nell'installazione o nel funzionamento del sistema oggetto\
            \ di audit a questo scopo. \n\u2022 Definire indicatori chiave di prestazione\
            \ (KPI) per misurare l'efficacia delle misure, tra cui uno o pi\xF9 esempi\
            \ significativi come (elenco indicativo e non esaustivo) (74):\n    o\
            \ il costo di implementazione e manutenzione, ad esempio spese in conto\
            \ capitale (CAPEX) / spese operative (OPEX);\n    o il numero di dipendenti\
            \ che hanno partecipato a corsi di formazione sulla cybersecurity (75);\n\
            \    o il numero di vulnerabilit\xE0 rilevate;\n    o il tempo di rimedio;\n\
            \    o il numero di incidenti;\n    o il numero di incidenti correlati\
            \ a una modifica;\n    o i tempi di risposta agli incidenti; e\n    o\
            \ il numero di non conformit\xE0 (si considerino gli elementi di cui al\
            \ punto 2.2 dell'allegato al regolamento relativi alla conformit\xE0).\n\
            \u2022 Se possibile, utilizzare gli stessi KPI per ogni valutazione e\
            \ utilizzare modelli e liste di controllo standardizzati per garantire\
            \ coerenza e completezza. \n\u2022 Sebbene la frequenza del monitoraggio\
            \ e della misurazione delle misure, di cui al punto 7.2.1 (a) dell'Allegato\
            \ al regolamento, dipenda dalla valutazione del rischio dell'ente, l'ente\
            \ pu\xF2 seguire queste linee guida indicative e non esaustive:\n    o\
            \ monitorare e misurare continuamente l'efficacia delle misure di mitigazione\
            \ progettate per affrontare le minacce in tempo reale (ad esempio firewall,\
            \ IDS, ecc.);\n    o monitorare e misurare l'efficacia delle misure di\
            \ sicurezza relative al panorama delle minacce con cadenza biennale (ad\
            \ esempio, piani di gestione delle vulnerabilit\xE0 e di risposta agli\
            \ incidenti);\n    o valutare annualmente l'efficacia complessiva di tutte\
            \ le misure;\n    o valutare l'efficacia delle misure relative a un incidente\
            \ specifico in seguito a tale incidente; e o valutare l'efficacia delle\
            \ misure relative a un sistema specifico o a uno dei suoi componenti in\
            \ seguito a modifiche significative a tale sistema o a tale componente.\n\
            \n(74) Le relazioni sugli investimenti in materia di cibersicurezza dell'ENISA\
            \ offrono un buon riferimento per la misurazione dell'efficacia delle\
            \ misure, ad esempio la relazione sugli investimenti nella sicurezza delle\
            \ reti e dell'informazione per il 2023, https://www.enisa.europa.eu/publications/nis-investments-2023.\n\
            (75) Il Security Culture Framework (CSF) \xE8 una fonte esemplificativa\
            \ di KPI per misurare l'efficacia della formazione."
          typical_evidence: "\u2022 Prove che la direzione ha ricevuto relazioni sull'effettiva\
            \ attuazione delle misure. \n\u2022 Evidenza che i risultati del monitoraggio\
            \ e della misurazione sono comunicati agli organi di gestione (allegato\
            \ al regolamento, punto 2.3.3 relativo al monitoraggio della conformit\xE0\
            ). \n\u2022 Obiettivi documentati e KPI per l'attuazione delle misure.\
            \ \n\u2022 Analisi documentata e valutazione dei risultati delle valutazioni\
            \ precedenti. \n\u2022 Registri o registrazioni di precedenti valutazioni\
            \ dell'efficacia. \n\u2022 Piani o programmi per future valutazioni dell'efficacia.\
            \ \n\u2022 Ruoli e responsabilit\xE0 documentati."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:7.2.a
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:7.2
      ref_id: 7.2.a
      description: what cybersecurity risk-management measures are to be monitored
        and measured, including processes and controls;
      translations:
        fr:
          description: "quelles mesures de gestion des risques en mati\xE8re de cybers\xE9\
            curit\xE9 doivent faire l\u2019objet d\u2019un suivi et d\u2019un mesurage,\
            \ y compris les proc\xE9dures et les contr\xF4les;"
        es:
          description: "qu\xE9 medidas para la gesti\xF3n de riesgos de ciberseguridad\
            \ deben supervisarse y medirse, incluidos los procedimientos y controles;"
        cs:
          description: "jak\xE1 opat\u0159en\xED pro \u0159\xEDzen\xED kybernetick\xFD\
            ch bezpe\u010Dnostn\xEDch rizik maj\xED b\xFDt sledov\xE1na a m\u011B\u0159\
            ena, v\u010Detn\u011B proces\u016F a kontrol;"
        it:
          description: quali misure di gestione dei rischi di cibersicurezza devono
            essere monitorate e misurate, compresi i processi e i controlli;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:7.2.b
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:7.2
      ref_id: 7.2.b
      description: the methods for monitoring, measurement, analysis and evaluation,
        as applicable, to ensure valid results;
      translations:
        fr:
          description: "quelles m\xE9thodes de suivi, de mesurage, d'analyse et d'\xE9\
            valuation, selon le cas, doivent assurer la validit\xE9 des r\xE9sultats;"
        es:
          description: "los m\xE9todos de supervisi\xF3n, medici\xF3n, an\xE1lisis\
            \ y evaluaci\xF3n, seg\xFAn corresponda, para asegurar resultados v\xE1\
            lidos;"
        cs:
          description: "p\u0159\xEDpadn\u011B metody monitorov\xE1n\xED, m\u011B\u0159\
            en\xED, analyzov\xE1n\xED a hodnocen\xED, s c\xEDlem zajistit platn\xE9\
            \ v\xFDsledky;"
        it:
          description: i metodi di monitoraggio, misurazione, analisi e valutazione,
            a seconda dei casi, per garantire risultati validi;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:7.2.c
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:7.2
      ref_id: 7.2.c
      description: when the monitoring and measuring is to be performed;
      translations:
        fr:
          description: "quand le suivi et le mesurage doivent \xEAtre effectu\xE9\
            s;"
        es:
          description: "cu\xE1ndo deben realizarse la supervisi\xF3n y la medici\xF3\
            n;"
        cs:
          description: "kdy se m\xE1 prov\xE1d\u011Bt monitorov\xE1n\xED a m\u011B\
            \u0159en\xED;"
        it:
          description: quando devono essere effettuati il monitoraggio e la misurazione;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:7.2.d
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:7.2
      ref_id: 7.2.d
      description: who is responsible for monitoring and measuring the effectiveness
        of the cybersecurity risk-management measures;
      translations:
        fr:
          description: "qui est responsable du suivi et du mesurage de l\u2019efficacit\xE9\
            \ des mesures de gestion des risques en mati\xE8re de cybers\xE9curit\xE9\
            ;"
        es:
          description: "qui\xE9nes son los responsables de supervisar y medir la eficacia\
            \ de las medidas para la gesti\xF3n de riesgos de ciberseguridad;"
        cs:
          description: "kdo je odpov\u011Bdn\xFD za monitorov\xE1n\xED a m\u011B\u0159\
            en\xED \xFA\u010Dinnosti opat\u0159en\xED k \u0159\xEDzen\xED kybernetick\xFD\
            ch bezpe\u010Dnostn\xEDch rizik;"
        it:
          description: "chi \xE8 responsabile del monitoraggio e della misurazione\
            \ dell'efficacia delle misure di gestione dei rischi di cibersicurezza;"
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:7.2.e
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:7.2
      ref_id: 7.2.e
      description: when the results from monitoring and measurement are to be analysed
        and evaluated;
      translations:
        fr:
          description: "quand les r\xE9sultats du suivi et du mesurage doivent \xEA\
            tre analys\xE9s et \xE9valu\xE9s;"
        es:
          description: "cu\xE1ndo se deben analizar y evaluar los resultados de la\
            \ supervisi\xF3n y la medici\xF3n;"
        cs:
          description: "kdy se maj\xED v\xFDsledky monitorov\xE1n\xED a m\u011B\u0159\
            en\xED analyzovat a vyhodnocovat;"
        it:
          description: quando i risultati del monitoraggio e della misurazione devono
            essere analizzati e valutati;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:7.2.f
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:7.2
      ref_id: 7.2.f
      description: who has to analyse and evaluate these results.
      translations:
        fr:
          description: "qui doit analyser et \xE9valuer ces r\xE9sultats."
        es:
          description: "qui\xE9nes deben analizar y evaluar estos resultados."
        cs:
          description: "kdo mus\xED tyto v\xFDsledky analyzovat a vyhodnotit."
        it:
          description: che deve analizzare e valutare questi risultati.
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:7.3
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:7
      ref_id: '7.3'
      description: The relevant entities shall review and, where appropriate, update
        the policy and procedures at planned intervals and when significant incidents
        or significant changes to operations or risks.
      annotation: "\u2022 Review policy and procedures for the assessment of the effectiveness\
        \ of the measures at least every two years, taking into account:\n    o changes\
        \ to the information systems;\n    o changes to the environment of operation;\
        \ and\n    o trends related to threats and vulnerabilities (take into account\
        \ root cause analysis) (76). \n\u2022 Update the policy and procedures based\
        \ on findings from security tests (Annex to the regulation, point 6.5.2 (c))\
        \ and the independent review of the policy on the security of the network\
        \ and information systems (Annex to the regulation, point 2.3.3), if applicable.\
        \ \n\u2022 Take into account the results of the assessment and consider them\
        \ when identifying and prioritising appropriate risk-treatment options and\
        \ measures (Annex to the regulation, point 2.1.3).\n\n(76) More information\
        \ on information security incident root cause analysis can be found in Forum\
        \ of Incident Response and Security Teams, \u2018FIRST CSIRT services framework\u2019\
        , Version 2.1, \u20186.2.4 Function: Information security incident root cause\
        \ analysis\u2019, https://www.first.org/standards/frameworks/csirts/csirt_services_framework_v2.1#6-Service-Area-Information-Security-Incident-Management"
      typical_evidence: "\u2022 Logs or records from previous policy reviews. \n\u2022\
        \ Plans or schedules for future effectiveness assessment reviews. \n\u2022\
        \ Risk-treatment plan that takes into account the results of the effectiveness\
        \ assessments. \n\u2022 Minutes from meetings where security-testing results\
        \ are discussed and the effectiveness of other policies is reviewed and improvements\
        \ to them are discussed based on these results. \n\u2022 Records showing updates\
        \ to other policies and procedures with a view to assessing their effectiveness."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es r\xE9examinent et, s\u2019il\
            \ est besoin, mettent \xE0 jour la politique et les proc\xE9dures \xE0\
            \ intervalles pr\xE9d\xE9finis, ainsi qu\u2019en cas d\u2019incidents\
            \ importants ou lorsque des changements majeurs concernant les op\xE9\
            rations ou les risques se produisent."
          annotation: "\u2022 Examiner les politiques et les proc\xE9dures d\u2019\
            \xE9valuation de l\u2019efficacit\xE9 des mesures au moins tous les deux\
            \ ans, en tenant compte des \xE9l\xE9ments suivants :\n    o modifications\
            \ des syst\xE8mes d\u2019information ;\n    o modifications de l\u2019\
            environnement de fonctionnement ; et\n    o Tendances li\xE9es aux menaces\
            \ et aux vuln\xE9rabilit\xE9s (tenir compte de l\u2019analyse des causes\
            \ profondes) (76). \n\u2022 Mettre \xE0 jour la politique et les proc\xE9\
            dures sur la base des r\xE9sultats des tests de s\xE9curit\xE9 (annexe\
            \ du r\xE8glement, point 6.5.2 c)) et de l\u2019examen ind\xE9pendant\
            \ de la politique de s\xE9curit\xE9 du r\xE9seau et des syst\xE8mes d\u2019\
            information (annexe du r\xE8glement, point 2.3.3), le cas \xE9ch\xE9ant.\
            \ \n\u2022 Tenir compte des r\xE9sultats de l\u2019\xE9valuation et en\
            \ tenir compte lors de l\u2019identification et de la hi\xE9rarchisation\
            \ des options et des mesures appropri\xE9es de traitement des risques\
            \ (annexe du r\xE8glement, point 2.1.3).\n\n(76) De plus amples informations\
            \ sur l\u2019analyse des causes profondes des incidents de s\xE9curit\xE9\
            \ de l\u2019information sont disponibles dans le document \xAB\_FIRST\
            \ CSIRT services framework\_\xBB, version 2.1, \xAB\_6.2.4 Function\_\
            : Information security incident root cause analysis https://www.first.org/standards/frameworks/csirts/csirt_services_framework_v2.1#6-Service-Area-Information-Security-Incident-Management"
          typical_evidence: "\u2022 Journaux ou enregistrements des r\xE9visions de\
            \ politiques pr\xE9c\xE9dentes. \n\u2022 Plans ou calendriers pour les\
            \ futurs examens d\u2019\xE9valuation de l\u2019efficacit\xE9. \n\u2022\
            \ Plan de traitement des risques qui tient compte des r\xE9sultats des\
            \ \xE9valuations d\u2019efficacit\xE9. \n\u2022 Proc\xE8s-verbaux des\
            \ r\xE9unions o\xF9 les r\xE9sultats des tests de s\xE9curit\xE9 sont\
            \ discut\xE9s et l\u2019efficacit\xE9 d\u2019autres politiques est examin\xE9\
            e et les am\xE9liorations qui y sont apport\xE9es sont discut\xE9es en\
            \ fonction de ces r\xE9sultats. \n\u2022 Des registres montrant les mises\
            \ \xE0 jour d\u2019autres politiques et proc\xE9dures en vue d\u2019\xE9\
            valuer leur efficacit\xE9."
        es:
          description: "Las entidades pertinentes revisar\xE1n y, cuando proceda,\
            \ actualizar\xE1n las orientaciones y los procedimientos a intervalos\
            \ planificados, as\xED como cuando se produzcan incidentes significativos\
            \ o cambios significativos en las operaciones o los riesgos."
          annotation: "\u2022 Revisar la pol\xEDtica y los procedimientos para evaluar\
            \ la eficacia de las medidas por lo menos cada dos a\xF1os, teniendo en\
            \ cuenta:\n    o cambios en los sistemas de informaci\xF3n;\n    o cambios\
            \ en el entorno de operaci\xF3n; y\n    o tendencias relacionadas con\
            \ las amenazas y vulnerabilidades (tener en cuenta el an\xE1lisis de la\
            \ causa ra\xEDz) (76). \n\u2022 Actualizar la pol\xEDtica y los procedimientos\
            \ sobre la base de los resultados de las pruebas de seguridad (anexo del\
            \ Reglamento, punto 6.5.2 c)) y de la revisi\xF3n independiente de la\
            \ pol\xEDtica de seguridad de las redes y los sistemas de informaci\xF3\
            n (anexo del Reglamento, punto 2.3.3), si procede. \n\u2022 Tener en cuenta\
            \ los resultados de la evaluaci\xF3n y tenerlos en cuenta a la hora de\
            \ determinar y priorizar las opciones y medidas adecuadas de tratamiento\
            \ de riesgos (anexo del Reglamento, punto 2.1.3).\n\n(76) Puede encontrarse\
            \ m\xE1s informaci\xF3n sobre el an\xE1lisis de la causa ra\xEDz de los\
            \ incidentes de seguridad de la informaci\xF3n en el Foro de Equipos de\
            \ Seguridad y Respuesta a Incidentes, \xABFIRST CSIRT services framework\xBB\
            , versi\xF3n 2.1, \xAB6.2.4 Function: Information security incident root\
            \ cause analysis\xBB, https://www.first.org/standards/frameworks/csirts/csirt_services_framework_v2.1#6-Service-Area-Information-Security-Incident-Management"
          typical_evidence: "\u2022 Registros o registros de revisiones de pol\xED\
            ticas anteriores. \n\u2022 Planes o cronogramas para futuras revisiones\
            \ de evaluaci\xF3n de efectividad. \n\u2022 Plan de tratamiento de riesgos\
            \ que tenga en cuenta los resultados de las evaluaciones de efectividad.\
            \ \n\u2022 Actas de reuniones en las que se discuten los resultados de\
            \ las pruebas de seguridad y se revisa la eficacia de otras pol\xEDticas\
            \ y se discuten las mejoras de las mismas en funci\xF3n de estos resultados.\
            \ \n\u2022 Registros que muestren actualizaciones de otras pol\xEDticas\
            \ y procedimientos con miras a evaluar su efectividad."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty politiku a postupy p\u0159\
            ezkoum\xE1vaj\xED a v p\u0159\xEDpad\u011B pot\u0159eby aktualizuj\xED\
            \ v pl\xE1novan\xFDch intervalech a p\u0159i v\xFDznamn\xFDch incidentech\
            \ nebo v\xFDznamn\xFDch zm\u011Bn\xE1ch operac\xED \u010Di rizik."
          annotation: "\u2022 Nejm\xE9n\u011B jednou za dva roky p\u0159ezkoum\xE1\
            vat politiku a postupy pro posuzov\xE1n\xED \xFA\u010Dinnosti opat\u0159\
            en\xED, p\u0159i\u010Dem\u017E je t\u0159eba zohlednit:\n    o zm\u011B\
            ny v informa\u010Dn\xEDch syst\xE9mech;\n    o zm\u011Bny provozn\xED\
            ho prost\u0159ed\xED; a\n    o trendy t\xFDkaj\xEDc\xED se hrozeb a zranitelnosti\
            \ (zohlednit anal\xFDzu hlavn\xEDch p\u0159\xED\u010Din) (76). \n\u2022\
            \ Aktualizovat politiku a postupy na z\xE1klad\u011B zji\u0161t\u011B\
            n\xED bezpe\u010Dnostn\xEDch test\u016F (p\u0159\xEDloha na\u0159\xED\
            zen\xED, bod 6.5.2 p\xEDsm. c)) a p\u0159\xEDpadn\u011B nez\xE1visl\xE9\
            ho p\u0159ezkumu politiky bezpe\u010Dnosti s\xEDt\xED a informa\u010D\
            n\xEDch syst\xE9m\u016F (p\u0159\xEDloha na\u0159\xEDzen\xED, bod 2.3.3).\
            \ \n\u2022 zohlednit v\xFDsledky posouzen\xED a zohlednit je p\u0159i\
            \ ur\u010Dov\xE1n\xED a up\u0159ednost\u0148ov\xE1n\xED vhodn\xFDch mo\u017E\
            nost\xED a opat\u0159en\xED k \u0159e\u0161en\xED rizik (p\u0159\xEDloha\
            \ na\u0159\xEDzen\xED, bod 2.1.3).\n\n(76) V\xEDce informac\xED o anal\xFD\
            ze hlavn\xEDch p\u0159\xED\u010Din incident\u016F v oblasti bezpe\u010D\
            nosti informac\xED lze nal\xE9zt v dokumentu Forum of Incident Response\
            \ and Security Teams (F\xF3rum t\xFDm\u016F pro reakci na incidenty a\
            \ bezpe\u010Dnostn\xED t\xFDmy), \"FIRST CSIRT services framework\", verze\
            \ 2.1, \"6.2.4 Function: Information Security Incident root cause analysis\"\
            \ (Funkce: anal\xFDza hlavn\xEDch p\u0159\xED\u010Din incident\u016F v\
            \ oblasti bezpe\u010Dnosti informac\xED), https://www.first.org/standards/frameworks/csirts/csirt_services_framework_v2.1#6-Service-Area-Information-Security-Incident-Management"
          typical_evidence: "\u2022 Protokoly nebo z\xE1znamy z p\u0159edchoz\xED\
            ch p\u0159ezkum\u016F z\xE1sad. \n\u2022 Pl\xE1ny nebo harmonogramy pro\
            \ budouc\xED p\u0159ezkumy hodnocen\xED \xFA\u010Dinnosti. \n\u2022 Pl\xE1\
            n l\xE9\u010Dby rizik, kter\xFD bere v \xFAvahu v\xFDsledky hodnocen\xED\
            \ \xFA\u010Dinnosti. \n\u2022 Z\xE1pisy ze sch\u016Fzek, kde se diskutuje\
            \ o v\xFDsledc\xEDch bezpe\u010Dnostn\xEDch test\u016F a hodnot\xED se\
            \ \xFA\u010Dinnost dal\u0161\xEDch politik a na z\xE1klad\u011B t\u011B\
            chto v\xFDsledk\u016F se diskutuje o jejich vylep\u0161en\xEDch. \n\u2022\
            \ Z\xE1znamy ukazuj\xEDc\xED aktualizace jin\xFDch z\xE1sad a postup\u016F\
            \ s c\xEDlem posoudit jejich \xFA\u010Dinnost."
        it:
          description: I soggetti pertinenti riesaminano e, se del caso, aggiornano
            la politica e le procedure a intervalli pianificati e in caso di incidenti
            significativi o modifiche significative delle operazioni o dei rischi.
          annotation: "\u2022 Riesaminare la politica e le procedure per la valutazione\
            \ dell'efficacia delle misure almeno ogni due anni, tenendo conto:\n \
            \   o modifiche ai sistemi informativi;\n    o modifiche all'ambiente\
            \ di funzionamento; e\n    o tendenze relative alle minacce e alle vulnerabilit\xE0\
            \ (tenere conto dell'analisi delle cause profonde) (76). \n\u2022 Aggiornare\
            \ la politica e le procedure sulla base dei risultati dei test di sicurezza\
            \ [allegato al regolamento, punto 6.5.2, lettera c)] e del riesame indipendente\
            \ della politica in materia di sicurezza delle reti e dei sistemi informativi\
            \ (allegato al regolamento, punto 2.3.3), se applicabile. \n\u2022 Tenere\
            \ conto dei risultati della valutazione e tenerne conto nell'individuare\
            \ e dare priorit\xE0 alle opzioni e alle misure appropriate per il trattamento\
            \ dei rischi (allegato al regolamento, punto 2.1.3).\n\n(76) Maggiori\
            \ informazioni sull'analisi delle cause profonde degli incidenti di sicurezza\
            \ delle informazioni sono disponibili nel Forum of Incident Response and\
            \ Security Teams, \xABFIRST CSIRT services framework\xBB, versione 2.1,\
            \ \xAB6.2.4 Function: Information security incident root cause analysis\xBB\
            \ https://www.first.org/standards/frameworks/csirts/csirt_services_framework_v2.1#6-Service-Area-Information-Security-Incident-Management"
          typical_evidence: "\u2022 Registri o registrazioni di precedenti revisioni\
            \ delle politiche. \n\u2022 Piani o programmi per future revisioni della\
            \ valutazione dell'efficacia. \n\u2022 Piano di trattamento del rischio\
            \ che tiene conto dei risultati delle valutazioni di efficacia. \n\u2022\
            \ Verbali delle riunioni in cui vengono discussi i risultati dei test\
            \ di sicurezza e viene esaminata l'efficacia di altre politiche e vengono\
            \ discussi i miglioramenti apportati sulla base di questi risultati. \n\
            \u2022 Registrazioni che mostrano gli aggiornamenti di altre politiche\
            \ e procedure al fine di valutarne l'efficacia."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:8
      assessable: false
      depth: 1
      ref_id: '8'
      name: BASIC CYBER HYGIENE PRACTICES AND SECURITY TRAINING (ARTICLE 21(2), POINT
        (G), OF DIRECTIVE (EU) 2022/2555)
      translations:
        fr:
          name: "Pratiques de base en mati\xE8re de cyberhygi\xE8ne et formation \xE0\
            \ la s\xE9curit\xE9 [article 21, paragraphe 2, point g), de la directive\
            \ (UE) 2022/2555]"
        es:
          name: "FORMACI\xD3N EN SEGURIDAD Y PR\xC1CTICAS B\xC1SICAS DE CIBERHIGIENE\
            \ [Art\xEDculo 21, Apartado 2, Letra G), de la directiva (UE) 2022/2555]"
        cs:
          name: "Z\xE1kladn\xED postupy v oblasti kybernetick\xE9 hygieny a bezpe\u010D\
            nostn\xED \u0161kolen\xED (\u010Dl. 21 odst. 2 p\xEDsm. g) sm\u011Brnice\
            \ (EU) 2022/2555)"
        it:
          name: PRATICHE INFORMATICHE DI BASE E FORMAZIONE IN MATERIA DI SICUREZZA
            [ARTICOLO 21, PARAGRAFO 2, LETTERA G), DELLA DIRETTIVA (UE) 2022/2555]
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:8.1
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:8
      ref_id: '8.1'
      name: Awareness raising and basic cyber hygiene practices
      translations:
        fr:
          name: "Sensibilisation et pratiques de base en mati\xE8re de cyberhygi\xE8\
            ne"
        es:
          name: "Mejora de la sensibilizaci\xF3n y pr\xE1cticas b\xE1sicas de ciberhigiene"
        cs:
          name: "Zvy\u0161ov\xE1n\xED pov\u011Bdom\xED a z\xE1kladn\xED postupy v\
            \ oblasti kybernetick\xE9 hygieny"
        it:
          name: Sensibilizzazione e pratiche di igiene informatica di base
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:8.1.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:8.1
      ref_id: 8.1.1
      description: For the purpose of Article 21(2), point (g) of Directive (EU) 2022/2555,
        the relevant entities shall ensure that their employees, including members
        of management bodies, as well as direct suppliers and service providers are
        aware of risks, are informed of the importance of cybersecurity and apply
        cyber hygiene practices.
      annotation: "\u2022 Implement cybersecurity awareness programmes:\n    o use\
        \ various formats, such as workshops, webinars and e-learning modules;\n \
        \   o use multiple communication channels (emails, newsletters and intranet)\
        \ to keep employees informed about cybersecurity updates, risks and cyber\
        \ hygiene practices for users."
      typical_evidence: "\u2022 Awareness raising programme, for example a comprehensive\
        \ outline of the programme, detailing its objectives, content, frequency,\
        \ syllabus and schedule."
      translations:
        fr:
          description: "Aux fins de l\u2019article 21, paragraphe 2, point g), de\
            \ la directive (UE) 2022/2555, les entit\xE9s concern\xE9es veillent \xE0\
            \ ce que leurs employ\xE9s, y compris les membres des organes de direction,\
            \ ainsi que les fournisseurs et prestataires de services directs soient\
            \ sensibilis\xE9s aux risques, soient inform\xE9s de l\u2019importance\
            \ de la cybers\xE9curit\xE9 et appliquent des pratiques de cyberhygi\xE8\
            ne."
          annotation: "\u2022 Mettre en place des programmes de sensibilisation \xE0\
            \ la cybers\xE9curit\xE9 :\n    o Utiliser divers formats, tels que des\
            \ ateliers, des webinaires et des modules d\u2019apprentissage en ligne\_\
            ;\n    o Utiliser plusieurs canaux de communication (emails, newsletters\
            \ et intranet) pour tenir les collaborateurs inform\xE9s des mises \xE0\
            \ jour de cybers\xE9curit\xE9, des risques et des pratiques de cyberhygi\xE8\
            ne pour les utilisateurs."
          typical_evidence: "\u2022 Programme de sensibilisation, par exemple un aper\xE7\
            u complet du programme, d\xE9taillant ses objectifs, son contenu, sa fr\xE9\
            quence, son programme et son calendrier."
        es:
          description: "A los efectos del art\xEDculo 21, apartado 2, letra g), de\
            \ la Directiva (UE) 2022/2555, las entidades pertinentes se asegurar\xE1\
            n de que sus empleados, incluidos los miembros de los \xF3rganos de direcci\xF3\
            n, as\xED como sus proveedores y prestadores de servicios directos sean\
            \ conscientes de los riesgos, est\xE9n informados de la importancia de\
            \ la ciberseguridad y apliquen pr\xE1cticas de ciberhigiene."
          annotation: "\u2022 Implementar programas de concienciaci\xF3n en ciberseguridad:\n\
            \    o utilizar diversos formatos, como talleres, seminarios web y m\xF3\
            dulos de e-learning;\n    o Utilizar m\xFAltiples canales de comunicaci\xF3\
            n (correos electr\xF3nicos, boletines informativos e intranet) para mantener\
            \ a los empleados informados sobre las actualizaciones de ciberseguridad,\
            \ los riesgos y las pr\xE1cticas de higiene cibern\xE9tica para los usuarios."
          typical_evidence: "\u2022 Programa de sensibilizaci\xF3n, por ejemplo, un\
            \ esquema completo del programa, detallando sus objetivos, contenido,\
            \ frecuencia, programa y horario."
        cs:
          description: "Pro \xFA\u010Dely \u010Dl. 21 odst. 2 p\xEDsm. g) sm\u011B\
            rnice (EU) 2022/2555 p\u0159\xEDslu\u0161n\xE9 subjekty zajist\xED, aby\
            \ si jejich zam\u011Bstnanci, v\u010Detn\u011B \u010Dlen\u016F \u0159\xED\
            d\xEDc\xEDch org\xE1n\u016F, ale i p\u0159\xEDm\xED dodavatel\xE9 a poskytovatel\xE9\
            \ slu\u017Eeb byli v\u011Bdomi rizik, byli informov\xE1ni o v\xFDznamu\
            \ kybernetick\xE9 bezpe\u010Dnosti a uplat\u0148ovali postupy v oblasti\
            \ kybernetick\xE9 hygieny."
          annotation: "\u2022 Implementujte programy zvy\u0161ov\xE1n\xED pov\u011B\
            dom\xED o kybernetick\xE9 bezpe\u010Dnosti:\n    o pou\u017E\xEDvat r\u016F\
            zn\xE9 form\xE1ty, jako jsou workshopy, webin\xE1\u0159e a e-learningov\xE9\
            \ moduly;\n    o vyu\u017E\xEDvat v\xEDce komunika\u010Dn\xEDch kan\xE1\
            l\u016F (e-maily, newslettery a intranet), aby byli zam\u011Bstnanci informov\xE1\
            ni o aktualizac\xEDch kybernetick\xE9 bezpe\u010Dnosti, rizic\xEDch a\
            \ postupech kybernetick\xE9 hygieny pro u\u017Eivatele."
          typical_evidence: "\u2022 Program na zvy\u0161ov\xE1n\xED pov\u011Bdom\xED\
            , nap\u0159\xEDklad komplexn\xED n\xE1stin programu, kter\xFD podrobn\u011B\
            \ popisuje jeho c\xEDle, obsah, frekvenci, osnovy a harmonogram."
        it:
          description: "Ai fini dell'articolo 21, paragrafo 2, lettera g), della direttiva\
            \ (UE) 2022/2555, i soggetti pertinenti assicurano che i loro dipendenti,\
            \ compresi i membri degli organi di gestione, nonch\xE9 i fornitori diretti\
            \ e i prestatori di servizi, siano consapevoli dei rischi, siano informati\
            \ dell'importanza della cibersicurezza e applichino pratiche di igiene\
            \ informatica."
          annotation: "\u2022 Implementare programmi di sensibilizzazione alla cibersicurezza:\n\
            \    o utilizzare vari formati, come workshop, webinar e moduli di e-learning;\n\
            \    o utilizzare pi\xF9 canali di comunicazione (e-mail, newsletter e\
            \ intranet) per tenere informati i dipendenti sugli aggiornamenti della\
            \ sicurezza informatica, sui rischi e sulle pratiche di igiene informatica\
            \ per gli utenti."
          typical_evidence: "\u2022 Programma di sensibilizzazione, ad esempio una\
            \ descrizione completa del programma, che ne specifichi gli obiettivi,\
            \ il contenuto, la frequenza, il programma e il calendario."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:8.1.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:8.1
      ref_id: 8.1.2
      description: 'For the purpose of point 8.1.1., the relevant entities shall offer
        to their employees, including members of management bodies, as well as to
        direct suppliers and service providers where appropriate in accordance with
        point 5.1.4., an awareness raising programme, which shall:'
      annotation: "\u2022 Include cyber hygiene practices (77) for relevant users\
        \ (indicative, non-exhaustive list):\n    o clear desk and screen policy,\
        \ o use of relevant strong authentication means and methods, multi factor\
        \ passwords etc, o event reporting, o safe email use and web browsing, o protection\
        \ from phishing and social engineering, o secure use of mobile devices, o\
        \ secure use of the entity\u2019s connected-vehicles, o secure connection\
        \ practices,  o backup practices, o zero-trust concept, o software updates,\
        \ o secure device configuration, o network segmentation, o secure teleworking\
        \ practices. \n\u2022 Include the following in the programme (indicative,\
        \ non-exhaustive list).\n    o Train personnel on the policy on the security\
        \ of network and information systems.\n    o Train personnel to recognize\
        \ social engineering attacks, such as phishing, pre-texting and tailgating.\n\
        \    o Train personnel to be aware of causes of unintentional data exposure.\
        \ Example topics include the erroneous delivery of sensitive data, losing\
        \ a portable end-user device, providing unauthorized access to an entity\u2019\
        s connected-vehicle and the data stored on it and publishing data to unintended\
        \ audiences.\n    o Train personnel on the dangers of connecting to and transmitting\
        \ data via insecure networks for the entity\u2019s activities. If the entity\
        \ has remote workers, training should include guidance to ensure that all\
        \ users securely configure their home network infrastructure.\n    o Train\
        \ personnel in understanding malicious and unauthorised software, on the importance\
        \ of malicious software detection and on the risks and consequences of using\
        \ unauthorised software. \n\u2022 Offer employees contact points and resources\
        \ for additional advice. \n\u2022 To implement the awareness raising programme,\
        \ consult available sources, such as those from national or international\
        \ cybersecurity organisations, ENISA\u2019s AR-in-a-Box (78) and the Cybersecurity\
        \ Skills Academy (79).\n\n(77) Refer to recitals 49, 50 and 89 of the NIS2\
        \ Directive for clarifications of the term \u2018cyber hygiene\u2019. \n(78)\
        \ https://www.enisa.europa.eu/topics/awareness-and-cyber-hygiene/ar-in-a-box.\n\
        (79) Communication from the Commission to the European Parliament and the\
        \ Council \u2013 Closing the cybersecurity talent gap to boost the EU\u2019\
        s competitiveness, growth and resilience ('The Cybersecurity Skills Academy'),\
        \ COM(2023) 207 final, https://eur-lex.europa.eu/legal- content/EN/TXT/?uri=COM%3A2023%3A207%3AFIN."
      typical_evidence: "\u2022 Awareness raising programme, that is, a comprehensive\
        \ outline of the programme, detailing its objectives, content, frequency,\
        \ syllabus and schedule. \n\u2022 Copies of the awareness-raising materials\
        \ distributed to employees, including handouts, emails, presentations and\
        \ online modules. \n\u2022 Logs, sign-in sheet, certificates of completion\
        \ or acknowledgements given to employees upon completing the programme, showing\
        \ which employees have taken part in the awareness-raising programme."
      translations:
        fr:
          description: "Aux fins du point 8.1.1, les entit\xE9s concern\xE9es proposent\
            \ \xE0 leurs employ\xE9s, y compris aux membres des organes de direction,\
            \ ainsi qu\u2019aux fournisseurs et prestataires de services directs,\
            \ s\u2019il est besoin conform\xE9ment au point 5.1.4, un programme de\
            \ sensibilisation qui:"
          annotation: "\u2022 Inclure des pratiques de cyberhygi\xE8ne (77) pour les\
            \ utilisateurs concern\xE9s (liste indicative et non exhaustive) :\n \
            \   o Politique claire de bureau et d\u2019\xE9cran, o Utilisation de\
            \ moyens et m\xE9thodes d\u2019authentification forte pertinents, mots\
            \ de passe multifacteurs, etc., o Rapports d\u2019\xE9v\xE9nements, o\
            \ Utilisation s\xE9curis\xE9e des e-mails et navigation sur le Web, o\
            \ Protection contre le phishing et l\u2019ing\xE9nierie sociale, o Utilisation\
            \ s\xE9curis\xE9e des appareils mobiles, o Utilisation s\xE9curis\xE9\
            e des v\xE9hicules connect\xE9s de l\u2019entit\xE9, o Pratiques de connexion\
            \ s\xE9curis\xE9e, o Pratiques de sauvegarde,  o Concept Zero Trust, o\
            \ Mises \xE0 jour logicielles, o Configuration s\xE9curis\xE9e des appareils,\
            \ o Segmentation du r\xE9seau, o Pratiques de t\xE9l\xE9travail s\xE9\
            curis\xE9es. \n\u2022 Inclure dans le programme (liste indicative et non\
            \ exhaustive).\n    o Former le personnel \xE0 la politique de s\xE9curit\xE9\
            \ des r\xE9seaux et des syst\xE8mes d\u2019information.\n    o Former\
            \ le personnel \xE0 reconna\xEEtre les attaques d\u2019ing\xE9nierie sociale,\
            \ telles que le phishing, le pre-texting et le talonnage.\n    o Former\
            \ le personnel pour qu\u2019il soit conscient des causes de l\u2019exposition\
            \ involontaire des donn\xE9es. Parmi les sujets abord\xE9s, citons la\
            \ livraison erron\xE9e de donn\xE9es sensibles, la perte d\u2019un appareil\
            \ portable d\u2019un utilisateur final, l\u2019acc\xE8s non autoris\xE9\
            \ au v\xE9hicule connect\xE9 d\u2019une entit\xE9 et aux donn\xE9es qui\
            \ y sont stock\xE9es, et la publication de donn\xE9es \xE0 des publics\
            \ non vis\xE9s.\n    o Former le personnel sur les dangers de la connexion\
            \ et de la transmission de donn\xE9es via des r\xE9seaux non s\xE9curis\xE9\
            s pour les activit\xE9s de l\u2019entit\xE9. Si l\u2019entit\xE9 a des\
            \ travailleurs \xE0 distance, la formation doit inclure des conseils pour\
            \ s\u2019assurer que tous les utilisateurs configurent en toute s\xE9\
            curit\xE9 leur infrastructure de r\xE9seau domestique.\n    o Former le\
            \ personnel \xE0 la compr\xE9hension des logiciels malveillants et non\
            \ autoris\xE9s, \xE0 l\u2019importance de la d\xE9tection des logiciels\
            \ malveillants et aux risques et cons\xE9quences de l\u2019utilisation\
            \ de logiciels non autoris\xE9s. \n\u2022 Offrez aux employ\xE9s des points\
            \ de contact et des ressources pour des conseils suppl\xE9mentaires. \n\
            \u2022 Pour mettre en \u0153uvre le programme de sensibilisation, il faut\
            \ consulter les sources disponibles, telles que celles des organisations\
            \ nationales ou internationales de cybers\xE9curit\xE9, l\u2019AR-in-a-Box\
            \ de l\u2019ENISA (78) et la Cybersecurity Skills Academy (79).\n\n(77)\
            \ Se reporter aux consid\xE9rants 49, 50 et 89 de la directive NIS2 pour\
            \ des \xE9claircissements sur l\u2019expression \xAB\_cyberhygi\xE8ne\_\
            \xBB. \n(78) https://www.enisa.europa.eu/topics/awareness-and-cyber-hygiene/ar-in-a-box.\n\
            (79) Communication de la Commission au Parlement europ\xE9en et au Conseil\
            \ \u2013 Combler la p\xE9nurie de talents en cybers\xE9curit\xE9 pour\
            \ stimuler la comp\xE9titivit\xE9, la croissance et la r\xE9silience de\
            \ l\u2019UE (\xAB\_L\u2019acad\xE9mie des comp\xE9tences en cybers\xE9\
            curit\xE9\_\xBB), COM(2023) 207 final, https://eur-lex.europa.eu/legal-\
            \ content/EN/TXT/\_?uri=COM\_%3A2023%3A207%3AFIN."
          typical_evidence: "\u2022 Programme de sensibilisation, c\u2019est-\xE0\
            -dire un aper\xE7u complet du programme, d\xE9taillant ses objectifs,\
            \ son contenu, sa fr\xE9quence, son programme et son calendrier. \n\u2022\
            \ Des copies des documents de sensibilisation distribu\xE9s aux employ\xE9\
            s, y compris des documents, des courriels, des pr\xE9sentations et des\
            \ modules en ligne. \n\u2022 Registres, feuilles de pr\xE9sence, certificats\
            \ d\u2019ach\xE8vement ou remerciements remis aux employ\xE9s \xE0 l\u2019\
            issue du programme, indiquant quels employ\xE9s ont particip\xE9 au programme\
            \ de sensibilisation."
        es:
          description: "A los efectos del punto 8.1.1, las entidades pertinentes ofrecer\xE1\
            n a sus empleados, incluidos los miembros de los \xF3rganos de direcci\xF3\
            n, as\xED como a sus proveedores y prestadores de servicios directos,\
            \ seg\xFAn proceda de conformidad con el punto 5.1.4, un programa de mejora\
            \ de la sensibilizaci\xF3n que:"
          annotation: "\u2022 Incluir pr\xE1cticas de higiene cibern\xE9tica (77)\
            \ para los usuarios pertinentes (lista indicativa y no exhaustiva):\n\
            \    o Pol\xEDtica de escritorio y pantalla clara, o uso de medios y m\xE9\
            todos de autenticaci\xF3n fuertes relevantes, contrase\xF1as multifactor,\
            \ etc., o informes de eventos, o uso seguro del correo electr\xF3nico\
            \ y navegaci\xF3n web, o protecci\xF3n contra el phishing y la ingenier\xED\
            a social, o uso seguro de dispositivos m\xF3viles, o uso seguro de los\
            \ veh\xEDculos conectados de la entidad, o pr\xE1cticas de conexi\xF3\
            n segura, o pr\xE1cticas de copia de seguridad,  o Concepto de confianza\
            \ cero, o Actualizaciones de software, o Configuraci\xF3n segura de dispositivos,\
            \ o Segmentaci\xF3n de la red, o Pr\xE1cticas seguras de teletrabajo.\
            \ \n\u2022 Incluir en el programa (lista indicativa, no exhaustiva).\n\
            \    o Capacitar al personal en la pol\xEDtica de seguridad de las redes\
            \ y sistemas de informaci\xF3n.\n    o Capacitar al personal para que\
            \ reconozca los ataques de ingenier\xEDa social, como el phishing, el\
            \ pre-texting y el tailgating.\n    o Capacitar al personal para que sea\
            \ consciente de las causas de la exposici\xF3n involuntaria de datos.\
            \ Los temas de ejemplo incluyen la entrega err\xF3nea de datos confidenciales,\
            \ la p\xE9rdida de un dispositivo port\xE1til de usuario final, el acceso\
            \ no autorizado al veh\xEDculo conectado de una entidad y los datos almacenados\
            \ en \xE9l y la publicaci\xF3n de datos para audiencias no deseadas.\n\
            \    o Capacitar al personal sobre los peligros de conectarse y transmitir\
            \ datos a trav\xE9s de redes inseguras para las actividades de la entidad.\
            \ Si la entidad tiene trabajadores remotos, la capacitaci\xF3n debe incluir\
            \ orientaci\xF3n para garantizar que todos los usuarios configuren de\
            \ forma segura su infraestructura de red dom\xE9stica.\n    o Formar al\
            \ personal en la comprensi\xF3n del software malicioso y no autorizado,\
            \ en la importancia de la detecci\xF3n de software malicioso y en los\
            \ riesgos y consecuencias del uso de software no autorizado. \n\u2022\
            \ Ofrecer a los empleados puntos de contacto y recursos para obtener asesoramiento\
            \ adicional. \n\u2022 Para llevar a cabo el programa de sensibilizaci\xF3\
            n, consultar las fuentes disponibles, como las de las organizaciones nacionales\
            \ o internacionales de ciberseguridad, la AR-in-a-Box de ENISA (78) y\
            \ la Academia de Competencias en Ciberseguridad (79).\n\n(77) V\xE9anse\
            \ los considerandos 49, 50 y 89 de la Directiva SRI 2 para aclaraciones\
            \ sobre el concepto de \xABciberhigiene\xBB. \n(78) https://www.enisa.europa.eu/topics/awareness-and-cyber-hygiene/ar-in-a-box.\n\
            (79) Comunicaci\xF3n de la Comisi\xF3n al Parlamento Europeo y al Consejo\
            \ \u2014 Cerrar la brecha de talento en ciberseguridad para impulsar la\
            \ competitividad, el crecimiento y la resiliencia de la UE (\xABAcademia\
            \ de Capacidades de Ciberseguridad\xBB), COM(2023) 207 final, https://eur-lex.europa.eu/legal-\
            \ content/EN/TXT/?uri=COM%3A2023%3A207%3AFIN."
          typical_evidence: "\u2022 Programa de sensibilizaci\xF3n, es decir, un esquema\
            \ completo del programa, detallando sus objetivos, contenido, periodicidad,\
            \ programa y horario. \n\u2022 Copias de los materiales de sensibilizaci\xF3\
            n distribuidos a los empleados, incluidos folletos, correos electr\xF3\
            nicos, presentaciones y m\xF3dulos en l\xEDnea. \n\u2022 Registros, hojas\
            \ de registro, certificados de finalizaci\xF3n o agradecimientos entregados\
            \ a los empleados al finalizar el programa, que muestren qu\xE9 empleados\
            \ han participado en el programa de sensibilizaci\xF3n."
        cs:
          description: "Pro \xFA\u010Dely bodu 8.1.1 poskytnou p\u0159\xEDslu\u0161\
            n\xE9 subjekty sv\xFDm zam\u011Bstnanc\u016Fm, v\u010Detn\u011B \u010D\
            len\u016F \u0159\xEDd\xEDc\xEDch org\xE1n\u016F, a v p\u0159\xEDpad\u011B\
            \ pot\u0159eby p\u0159\xEDm\xFDm dodavatel\u016Fm a poskytovatel\u016F\
            m slu\u017Eeb v souladu s bodem 5.1.4. program zvy\u0161ov\xE1n\xED informovanosti,\
            \ kter\xFD:"
          annotation: "\u2022 Zahrnout postupy kybernetick\xE9 hygieny (77) pro p\u0159\
            \xEDslu\u0161n\xE9 u\u017Eivatele (orienta\u010Dn\xED, ne\xFApln\xFD seznam):\n\
            \    o jasn\xE9 z\xE1sady pro st\u016Fl a obrazovku, o pou\u017E\xEDv\xE1\
            n\xED relevantn\xEDch prost\u0159edk\u016F a metod siln\xE9ho ov\u011B\
            \u0159ov\xE1n\xED, v\xEDcefaktorov\xFDch hesel atd., o hl\xE1\u0161en\xED\
            \ ud\xE1lost\xED, o bezpe\u010Dn\xE9 pou\u017E\xEDv\xE1n\xED e-mail\u016F\
            \ a prohl\xED\u017Een\xED webu, o ochrana p\u0159ed phishingem a soci\xE1\
            ln\xEDm in\u017Een\xFDrstv\xEDm, o bezpe\u010Dn\xE9 pou\u017E\xEDv\xE1\
            n\xED mobiln\xEDch za\u0159\xEDzen\xED, o bezpe\u010Dn\xE9 pou\u017E\xED\
            v\xE1n\xED p\u0159ipojen\xFDch vozidel subjektu, o bezpe\u010Dn\xE9 postupy\
            \ p\u0159ipojen\xED, o postupy z\xE1lohov\xE1n\xED,  o Koncept nulov\xE9\
            \ d\u016Fv\u011Bry, o Aktualizace softwaru, o Bezpe\u010Dn\xE1 konfigurace\
            \ za\u0159\xEDzen\xED, o Segmentace s\xEDt\u011B, o Bezpe\u010Dn\xE9 postupy\
            \ pr\xE1ce na d\xE1lku. \n\u2022 Do programu uve\u010Fte n\xE1sleduj\xED\
            c\xED \xFAdaje (orienta\u010Dn\xED, ne\xFApln\xFD seznam).\n    o \u0160\
            kolit person\xE1l v politice bezpe\u010Dnosti s\xEDt\xED a informa\u010D\
            n\xEDch syst\xE9m\u016F.\n    o Vy\u0161kolte person\xE1l, aby rozpoznal\
            \ \xFAtoky soci\xE1ln\xEDho in\u017Een\xFDrstv\xED, jako je phishing,\
            \ pre-texting a tailgating.\n    o Vy\u0161kolit person\xE1l, aby si byl\
            \ v\u011Bdom p\u0159\xED\u010Din ne\xFAmysln\xE9ho \xFAniku dat. Mezi\
            \ p\u0159\xEDklady t\xE9mat pat\u0159\xED chybn\xE9 doru\u010Den\xED citliv\xFD\
            ch dat, ztr\xE1ta p\u0159enosn\xE9ho za\u0159\xEDzen\xED koncov\xE9ho\
            \ u\u017Eivatele, poskytnut\xED neopr\xE1vn\u011Bn\xE9ho p\u0159\xEDstupu\
            \ k p\u0159ipojen\xE9mu vozidlu subjektu a dat\u016Fm v n\u011Bm ulo\u017E\
            en\xFDm a publikov\xE1n\xED dat nezam\xFD\u0161len\xE9mu publiku.\n  \
            \  o \u0160kolen\xED person\xE1lu o nebezpe\u010D\xEDch p\u0159ipojen\xED\
            \ a p\u0159enosu dat prost\u0159ednictv\xEDm nezabezpe\u010Den\xFDch s\xED\
            t\xED pro \u010Dinnosti subjektu. Pokud m\xE1 subjekt vzd\xE1len\xE9 pracovn\xED\
            ky, m\u011Blo by \u0161kolen\xED zahrnovat pokyny, kter\xE9 zajist\xED\
            , aby v\u0161ichni u\u017Eivatel\xE9 bezpe\u010Dn\u011B konfigurovali\
            \ svou dom\xE1c\xED s\xED\u0165ovou infrastrukturu.\n    o \u0160kolit\
            \ person\xE1l v porozum\u011Bn\xED \u0161kodliv\xE9mu a neautorizovan\xE9\
            mu softwaru, o d\u016Fle\u017Eitosti detekce \u0161kodliv\xE9ho softwaru\
            \ a o rizic\xEDch a d\u016Fsledc\xEDch pou\u017E\xEDv\xE1n\xED neautorizovan\xE9\
            ho softwaru. \n\u2022 Nab\xEDdn\u011Bte zam\u011Bstnanc\u016Fm kontaktn\xED\
            \ m\xEDsta a zdroje pro dal\u0161\xED poradenstv\xED. \n\u2022 P\u0159\
            i prov\xE1d\u011Bn\xED programu zvy\u0161ov\xE1n\xED pov\u011Bdom\xED\
            \ konzultovat dostupn\xE9 zdroje, jako jsou zdroje od vnitrost\xE1tn\xED\
            ch nebo mezin\xE1rodn\xEDch organizac\xED pro kybernetickou bezpe\u010D\
            nost, AR-in-a-Box agentury ENISA (78) a Akademie dovednost\xED v oblasti\
            \ kybernetick\xE9 bezpe\u010Dnosti (79).\n\n(77) Viz 49., 50. a 89. bod\
            \ od\u016Fvodn\u011Bn\xED sm\u011Brnice NIS2, pokud jde o vysv\u011Btlen\xED\
            \ pojmu \"kybernetick\xE1 hygiena\". \n(78) https://www.enisa.europa.eu/topics/awareness-and-cyber-hygiene/ar-in-a-box.\n\
            (79) Sd\u011Blen\xED Komise Evropsk\xE9mu parlamentu a Rad\u011B \u2013\
            \ Odstran\u011Bn\xED nedostatku talent\u016F v oblasti kybernetick\xE9\
            \ bezpe\u010Dnosti s c\xEDlem pos\xEDlit konkurenceschopnost, r\u016F\
            st a odolnost EU (d\xE1le jen \"Akademie dovednost\xED v oblasti kybernetick\xE9\
            \ bezpe\u010Dnosti\"), COM(2023) 207 final, https://eur-lex.europa.eu/legal-\
            \ content/EN/TXT/?uri=COM%3A2023%3A207%3AFIN."
          typical_evidence: "\u2022 Program zvy\u0161ov\xE1n\xED pov\u011Bdom\xED\
            , tj. komplexn\xED n\xE1stin programu, kter\xFD podrobn\u011B popisuje\
            \ jeho c\xEDle, obsah, frekvenci, osnovy a harmonogram. \n\u2022 Kopie\
            \ osv\u011Btov\xFDch materi\xE1l\u016F distribuovan\xFDch zam\u011Bstnanc\u016F\
            m, v\u010Detn\u011B let\xE1k\u016F, e-mail\u016F, prezentac\xED a online\
            \ modul\u016F. \n\u2022 Protokoly, p\u0159ihla\u0161ovac\xED list, osv\u011B\
            d\u010Den\xED o absolvov\xE1n\xED nebo pod\u011Bkov\xE1n\xED p\u0159edan\xE1\
            \ zam\u011Bstnanc\u016Fm po dokon\u010Den\xED programu, kter\xE1 ukazuj\xED\
            , kte\u0159\xED zam\u011Bstnanci se do programu na zvy\u0161ov\xE1n\xED\
            \ pov\u011Bdom\xED zapojili."
        it:
          description: "Ai fini del punto 8.1.1, i soggetti pertinenti offrono ai\
            \ loro dipendenti, compresi i membri degli organi di gestione, nonch\xE9\
            , se del caso, ai fornitori diretti e ai prestatori di servizi, conformemente\
            \ al punto 5.1.4, un programma di sensibilizzazione che:"
          annotation: "\u2022 Includere pratiche di igiene informatica (77) per gli\
            \ utenti pertinenti (elenco indicativo e non esaustivo):\n    o Chiara\
            \ politica sulla scrivania e sullo schermo, o Uso di mezzi e metodi di\
            \ autenticazione forte pertinenti, password a pi\xF9 fattori, ecc., o\
            \ Segnalazione di eventi, o Uso sicuro della posta elettronica e navigazione\
            \ web, o Protezione dal phishing e dall'ingegneria sociale, o Uso sicuro\
            \ dei dispositivi mobili, o Uso sicuro dei veicoli connessi dell'entit\xE0\
            , o Pratiche di connessione sicura, o Pratiche di backup,  o Concetto\
            \ zero-trust, o Aggiornamenti software, o Configurazione sicura dei dispositivi,\
            \ o Segmentazione della rete, o Pratiche di telelavoro sicure. \n\u2022\
            \ Inserire nel programma (elenco indicativo, non esaustivo).\n    o Formare\
            \ il personale sulla politica di sicurezza delle reti e dei sistemi informativi.\n\
            \    o Formare il personale a riconoscere gli attacchi di ingegneria sociale,\
            \ come phishing, pre-texting e tailgating.\n    o Formare il personale\
            \ a essere consapevole delle cause dell'esposizione non intenzionale dei\
            \ dati. Gli argomenti di esempio includono la consegna errata di dati\
            \ sensibili, la perdita di un dispositivo portatile dell'utente finale,\
            \ la fornitura di accesso non autorizzato al veicolo connesso di un'entit\xE0\
            \ e ai dati memorizzati su di esso e la pubblicazione di dati a un pubblico\
            \ non previsto.\n    o Formare il personale sui pericoli della connessione\
            \ e della trasmissione di dati tramite reti non sicure per le attivit\xE0\
            \ dell'entit\xE0. Se l'entit\xE0 dispone di lavoratori remoti, la formazione\
            \ deve includere una guida per garantire che tutti gli utenti configurino\
            \ in modo sicuro l'infrastruttura di rete domestica.\n    o Formare il\
            \ personale sulla comprensione del software dannoso e non autorizzato,\
            \ sull'importanza del rilevamento di software dannoso e sui rischi e le\
            \ conseguenze dell'utilizzo di software non autorizzato. \n\u2022 Offrire\
            \ ai dipendenti punti di contatto e risorse per ulteriori consigli. \n\
            \u2022 Per attuare il programma di sensibilizzazione, consultare le fonti\
            \ disponibili, come quelle delle organizzazioni nazionali o internazionali\
            \ per la cibersicurezza, l'AR-in-a-Box dell'ENISA (78) e la Cybersecurity\
            \ Skills Academy (79).\n\n(77) Si rimanda ai considerando 49, 50 e 89\
            \ della direttiva NIS2 per chiarimenti sul termine \xABigiene informatica\xBB\
            . \n(78) https://www.enisa.europa.eu/topics/awareness-and-cyber-hygiene/ar-in-a-box.\n\
            (79) Comunicazione della Commissione al Parlamento europeo e al Consiglio\
            \ dal titolo \"Colmare il divario di talenti in materia di cibersicurezza\
            \ per rafforzare la competitivit\xE0, la crescita e la resilienza dell'UE\"\
            \ (\"Accademia delle competenze in materia di cibersicurezza\"), COM(2023)\
            \ 207 final, https://eur-lex.europa.eu/legal- content/EN/TXT/?uri=COM%3A2023%3A207%3AFIN."
          typical_evidence: "\u2022 Programma di sensibilizzazione, ovvero una descrizione\
            \ completa del programma, che ne specifichi gli obiettivi, il contenuto,\
            \ la frequenza, il programma e il calendario. \n\u2022 Copie dei materiali\
            \ di sensibilizzazione distribuiti ai dipendenti, tra cui dispense, e-mail,\
            \ presentazioni e moduli online. \n\u2022 Registri, fogli di registrazione,\
            \ certificati di completamento o riconoscimenti consegnati ai dipendenti\
            \ al termine del programma, che mostrino quali dipendenti hanno preso\
            \ parte al programma di sensibilizzazione."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:8.1.2.a
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:8.1.2
      ref_id: 8.1.2.a
      description: be scheduled over time, so that the activities are repeated and
        cover new employees;
      translations:
        fr:
          description: "s'\xE9chelonne dans le temps de mani\xE8re \xE0 ce que les\
            \ activit\xE9s soient r\xE9p\xE9t\xE9es et s'adressent aux nouveaux salari\xE9\
            s;"
        es:
          description: "se programar\xE1 a lo largo del tiempo, de forma que se repitan\
            \ las actividades e incluya a los nuevos empleados;"
        cs:
          description: "je napl\xE1nov\xE1n v \u010Dase tak, aby se \u010Dinnosti\
            \ opakovaly a zahrnovaly nov\xE9 zam\u011Bstnance;"
        it:
          description: "essere programmate nel tempo, in modo che le attivit\xE0 siano\
            \ ripetute e coprano i nuovi dipendenti;"
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:8.1.2.b
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:8.1.2
      ref_id: 8.1.2.b
      description: be established in line with the network and information security
        policy, topic- specific policies and relevant procedures on network and information
        security;
      translations:
        fr:
          description: "est \xE9tabli conform\xE9ment \xE0 la politique de s\xE9curit\xE9\
            \ des r\xE9seaux et de l\u2019information, aux politiques concernant des\
            \ domaines sp\xE9cifiques et aux proc\xE9dures pertinentes en mati\xE8\
            re de s\xE9curit\xE9 des r\xE9seaux et de l\u2019information;"
        es:
          description: "se establecer\xE1 en consonancia con la pol\xEDtica de seguridad\
            \ de las redes y la informaci\xF3n, las pol\xEDticas espec\xEDficas y\
            \ los procedimientos pertinentes en materia de seguridad de las redes\
            \ y de la informaci\xF3n;"
        cs:
          description: "bude vytvo\u0159en v souladu s politikou bezpe\u010Dnosti\
            \ s\xEDt\xED a informac\xED, tematicky zam\u011B\u0159en\xFDmi politikami\
            \ a p\u0159\xEDslu\u0161n\xFDmi postupy bezpe\u010Dnosti s\xEDt\xED a\
            \ informac\xED;"
        it:
          description: essere stabiliti in linea con la politica in materia di sicurezza
            delle reti e dell'informazione, con le politiche specifiche per argomento
            e con le procedure pertinenti in materia di sicurezza delle reti e dell'informazione;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:8.1.2.c
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:8.1.2
      ref_id: 8.1.2.c
      description: cover relevant cyber threats, the cybersecurity risk-management
        measures in place, contact points and resources for additional information
        and advice on cybersecurity matters, as well as cyber hygiene practices for
        users.
      translations:
        fr:
          description: "couvre les cybermenaces pertinentes, les mesures de gestion\
            \ des risques en mati\xE8re de cybers\xE9curit\xE9 en place, les points\
            \ de contact et les ressources pour obtenir des informations et des conseils\
            \ suppl\xE9mentaires sur les questions de cybers\xE9curit\xE9, ainsi que\
            \ les pratiques de cyberhygi\xE8ne \xE0 l\u2019intention des utilisateurs."
        es:
          description: "englobar\xE1 las ciberamenazas relevantes, las medidas para\
            \ la gesti\xF3n de riesgos de ciberseguridad en vigor, los puntos de contacto\
            \ y los recursos para obtener informaci\xF3n adicional y asesoramiento\
            \ sobre aspectos de ciberseguridad, as\xED como las pr\xE1cticas de ciberhigiene\
            \ para los usuarios."
        cs:
          description: "zahrnuje relevantn\xED kybernetick\xE9 hrozby, zaveden\xE1\
            \ opat\u0159en\xED k \u0159\xEDzen\xED kybernetick\xFDch bezpe\u010Dnostn\xED\
            ch rizik, kontaktn\xED m\xEDsta a zdroje pro dal\u0161\xED informace a\
            \ poradenstv\xED v ot\xE1zk\xE1ch kybernetick\xE9 bezpe\u010Dnosti a rovn\u011B\
            \u017E postupy v oblasti kybernetick\xE9 hygieny pro u\u017Eivatele."
        it:
          description: "coprire le minacce informatiche pertinenti, le misure di gestione\
            \ dei rischi di cibersicurezza in vigore, i punti di contatto e le risorse\
            \ per ulteriori informazioni e consigli su questioni di cibersicurezza,\
            \ nonch\xE9 le pratiche di igiene informatica per gli utenti."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:8.1.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:8.1
      ref_id: 8.1.3
      description: The awareness raising programme shall, where appropriate, be tested
        in terms of effectiveness. The awareness raising programme shall be updated
        and offered at planned intervals taking into account changes in cyber hygiene
        practices, and the current threat landscape and risks posed to the relevant
        entities.
      annotation: "\u2022 Offer cybersecurity awareness raising programmes periodically.\
        \  \n\u2022 Test the effectiveness of the awareness raising programme for\
        \ example by using quizzes or real scenarios. \n\u2022 Consider common KPIs\
        \ (Annex to the regulation, point 7.2) to measure the effectiveness of the\
        \ awareness-raising programme. \n\u2022 Review and update the awareness-raising\
        \ programme at least annually."
      typical_evidence: "\u2022 Logs, sign-in sheets, certificates of completion or\
        \ acknowledgements given to employees upon completing the programme showing\
        \ which employees have taken part in the awareness-raising programme. \n\u2022\
        \ Results from any quizzes or assessments conducted to measure the employees\u2019\
        \ understanding of the topics covered. \n\u2022 Employee feedback forms on\
        \ the awareness raising programme, which can provide insight into the effectiveness\
        \ of the programme and areas for improvement. \n\u2022 Reviewed and updated\
        \ records showing that the programme is reviewed regularly and updated as\
        \ necessary."
      translations:
        fr:
          description: "S\u2019il est besoin, l\u2019efficacit\xE9 du programme de\
            \ sensibilisation est soumise \xE0 des tests. Le programme de sensibilisation\
            \ est mis \xE0 jour et propos\xE9 \xE0 intervalles pr\xE9d\xE9finis en\
            \ tenant compte de l\u2019\xE9volution des pratiques de cyberhygi\xE8\
            ne, ainsi que du paysage actuel des menaces et des risques pour les entit\xE9\
            s concern\xE9es."
          annotation: "\u2022 Proposer p\xE9riodiquement des programmes de sensibilisation\
            \ \xE0 la cybers\xE9curit\xE9.  \n\u2022 Tester l\u2019efficacit\xE9 du\
            \ programme de sensibilisation, par exemple \xE0 l\u2019aide de quiz ou\
            \ de sc\xE9narios r\xE9els. \n\u2022 Envisager des indicateurs cl\xE9\
            s de performance communs (annexe du r\xE8glement, point 7.2) pour mesurer\
            \ l\u2019efficacit\xE9 du programme de sensibilisation. \n\u2022 Examiner\
            \ et mettre \xE0 jour le programme de sensibilisation au moins une fois\
            \ par an."
          typical_evidence: "\u2022 Registres, feuilles d\u2019\xE9margement, certificats\
            \ d\u2019ach\xE8vement ou remerciements remis aux employ\xE9s \xE0 la\
            \ fin du programme indiquant quels employ\xE9s ont particip\xE9 au programme\
            \ de sensibilisation. \n\u2022 Les r\xE9sultats de tous les quiz ou \xE9\
            valuations effectu\xE9s pour mesurer la compr\xE9hension des employ\xE9\
            s sur les sujets abord\xE9s. \n\u2022 Des formulaires de retour d\u2019\
            information des employ\xE9s sur le programme de sensibilisation, qui peuvent\
            \ donner un aper\xE7u de l\u2019efficacit\xE9 du programme et des domaines\
            \ \xE0 am\xE9liorer. \n\u2022 Examiner et mettre \xE0 jour les dossiers\
            \ montrant que le programme est r\xE9vis\xE9 r\xE9guli\xE8rement et mis\
            \ \xE0 jour si n\xE9cessaire."
        es:
          description: "El programa de mejora de la sensibilizaci\xF3n se probar\xE1\
            \ en t\xE9rminos de eficacia, seg\xFAn proceda. El programa de mejora\
            \ de la sensibilizaci\xF3n se actualizar\xE1 y se ofrecer\xE1 a intervalos\
            \ planificados teniendo en cuenta los cambios en las pr\xE1cticas de ciberhigiene\
            \ y el panorama actual de amenazas y de riesgos para las entidades pertinentes."
          annotation: "\u2022 Ofrecer peri\xF3dicamente programas de concienciaci\xF3\
            n en materia de ciberseguridad.  \n\u2022 Comprobar la eficacia del programa\
            \ de sensibilizaci\xF3n, por ejemplo, mediante el uso de cuestionarios\
            \ o escenarios reales. \n\u2022 Considerar indicadores clave de rendimiento\
            \ comunes (anexo del reglamento, punto 7.2) para medir la eficacia del\
            \ programa de sensibilizaci\xF3n. \n\u2022 Revisar y actualizar el programa\
            \ de sensibilizaci\xF3n al menos una vez al a\xF1o."
          typical_evidence: "\u2022 Registros, hojas de registro, certificados de\
            \ finalizaci\xF3n o reconocimientos entregados a los empleados al finalizar\
            \ el programa que muestren qu\xE9 empleados han participado en el programa\
            \ de sensibilizaci\xF3n. \n\u2022 Resultados de cualquier cuestionario\
            \ o evaluaci\xF3n realizada para medir la comprensi\xF3n de los empleados\
            \ sobre los temas tratados. \n\u2022 Formularios de comentarios de los\
            \ empleados sobre el programa de sensibilizaci\xF3n, que pueden proporcionar\
            \ informaci\xF3n sobre la eficacia del programa y las \xE1reas de mejora.\
            \ \n\u2022 Registros revisados y actualizados que muestran que el programa\
            \ se revisa peri\xF3dicamente y se actualiza seg\xFAn sea necesario."
        cs:
          description: "Program zvy\u0161ov\xE1n\xED pov\u011Bdom\xED se v p\u0159\
            \xEDpad\u011B pot\u0159eby testuje z hlediska \xFA\u010Dinnosti. Program\
            \ zvy\u0161ov\xE1n\xED informovanosti se v pl\xE1novan\xFDch intervalech\
            \ aktualizuje a nab\xEDz\xED, a to s p\u0159ihl\xE9dnut\xEDm ke zm\u011B\
            n\xE1m postup\u016F v oblasti kybernetick\xE9 hygieny a k aktu\xE1ln\xED\
            m hrozb\xE1m a rizik\u016Fm pro p\u0159\xEDslu\u0161n\xE9 subjekty."
          annotation: "\u2022 Pravideln\u011B nab\xEDzet programy na zvy\u0161ov\xE1\
            n\xED pov\u011Bdom\xED o kybernetick\xE9 bezpe\u010Dnosti.  \n\u2022 Testovat\
            \ \xFA\u010Dinnost osv\u011Btov\xE9ho programu, nap\u0159\xEDklad pomoc\xED\
            \ kv\xEDz\u016F nebo re\xE1ln\xFDch sc\xE9n\xE1\u0159\u016F. \n\u2022\
            \ Zv\xE1\u017Eit spole\u010Dn\xE9 kl\xED\u010Dov\xE9 ukazatele v\xFDkonnosti\
            \ (p\u0159\xEDloha na\u0159\xEDzen\xED, bod 7.2) pro m\u011B\u0159en\xED\
            \ \xFA\u010Dinnosti programu zvy\u0161ov\xE1n\xED pov\u011Bdom\xED. \n\
            \u2022 Alespo\u0148 jednou ro\u010Dn\u011B p\u0159ezkoumat a aktualizovat\
            \ program zvy\u0161ov\xE1n\xED pov\u011Bdom\xED."
          typical_evidence: "\u2022 Protokoly, p\u0159ihla\u0161ovac\xED listy, osv\u011B\
            d\u010Den\xED o absolvov\xE1n\xED nebo pod\u011Bkov\xE1n\xED p\u0159edan\xE1\
            \ zam\u011Bstnanc\u016Fm po dokon\u010Den\xED programu, kter\xE9 ukazuj\xED\
            , kte\u0159\xED zam\u011Bstnanci se do programu na zvy\u0161ov\xE1n\xED\
            \ pov\u011Bdom\xED zapojili. \n\u2022 V\xFDsledky v\u0161ech kv\xEDz\u016F\
            \ nebo hodnocen\xED proveden\xFDch za \xFA\u010Delem m\u011B\u0159en\xED\
            \ toho, jak zam\u011Bstnanci rozum\xED prob\xEDran\xFDm t\xE9mat\u016F\
            m. \n\u2022 Formul\xE1\u0159e zp\u011Btn\xE9 vazby od zam\u011Bstnanc\u016F\
            \ t\xFDkaj\xEDc\xED se programu zvy\u0161ov\xE1n\xED pov\u011Bdom\xED\
            , kter\xE9 mohou poskytnout p\u0159ehled o \xFA\u010Dinnosti programu\
            \ a oblastech pro zlep\u0161en\xED. \n\u2022 Zkontroloval a aktualizoval\
            \ z\xE1znamy o tom, \u017Ee program je pravideln\u011B p\u0159ezkoum\xE1\
            v\xE1n a podle pot\u0159eby aktualizov\xE1n."
        it:
          description: "Il programma di sensibilizzazione \xE8 verificato, se del\
            \ caso, in termini di efficacia. Il programma di sensibilizzazione \xE8\
            \ aggiornato e offerto a intervalli pianificati, tenendo conto dei cambiamenti\
            \ nelle pratiche di igiene informatica, dell'attuale panorama delle minacce\
            \ e dei rischi posti ai soggetti pertinenti."
          annotation: "\u2022 Offrire periodicamente programmi di sensibilizzazione\
            \ sulla sicurezza informatica.  \n\u2022 Testare l'efficacia del programma\
            \ di sensibilizzazione, ad esempio utilizzando quiz o scenari reali. \n\
            \u2022 Considerare KPI comuni (Allegato al regolamento, punto 7.2) per\
            \ misurare l'efficacia del programma di sensibilizzazione. \n\u2022 Riesaminare\
            \ e aggiornare il programma di sensibilizzazione almeno una volta all'anno."
          typical_evidence: "\u2022 Registri, fogli di firma, certificati di completamento\
            \ o riconoscimenti consegnati ai dipendenti al termine del programma che\
            \ mostrino quali dipendenti hanno partecipato al programma di sensibilizzazione.\
            \ \n\u2022 Risultati di eventuali quiz o valutazioni condotte per misurare\
            \ la comprensione dei dipendenti degli argomenti trattati. \n\u2022 Moduli\
            \ di feedback dei dipendenti sul programma di sensibilizzazione, che possono\
            \ fornire informazioni sull'efficacia del programma e sulle aree di miglioramento.\
            \ \n\u2022 Registrazioni riviste e aggiornate che dimostrino che il programma\
            \ viene rivisto regolarmente e aggiornato se necessario."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:8.2
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:8
      ref_id: '8.2'
      name: Security training
      translations:
        fr:
          name: "Formation de s\xE9curit\xE9"
        es:
          name: "Formaci\xF3n en seguridad"
        cs:
          name: "Bezpe\u010Dnostn\xED \u0161kolen\xED"
        it:
          name: Formazione sulla sicurezza
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:8.2.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:8.2
      ref_id: 8.2.1
      description: The relevant entities shall identify employees, whose roles require
        security relevant skill sets and expertise, and ensure that they receive regular
        training on network and information system security.
      annotation: "\u2022 Assess which roles within the entity require security-relevant\
        \ skills and expertise. \n\u2022 Offer training that focuses on the specific\
        \ security skills required by the identified roles. \n\u2022 Consider globally\
        \ recognized qualifications and certifications, and the ECSF (80).\n\n(80)\
        \ https://www.enisa.europa.eu/topics/skills-and-competences/skills-development/european-cybersecurity-skills-framework-ecsf."
      typical_evidence: "\u2022 A comprehensive outline of the training programme,\
        \ detailing the objectives for different roles and how to reach them, content\
        \ and frequency of the training."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es identifient les employ\xE9s dont\
            \ les r\xF4les n\xE9cessitent des comp\xE9tences et une expertise pertinentes\
            \ en mati\xE8re de s\xE9curit\xE9, et veillent \xE0 ce qu\u2019ils re\xE7\
            oivent r\xE9guli\xE8rement une formation sur la s\xE9curit\xE9 des r\xE9\
            seaux et des syst\xE8mes d\u2019information."
          annotation: "\u2022 \xC9valuer les r\xF4les au sein de l\u2019entit\xE9\
            \ qui n\xE9cessitent des comp\xE9tences et une expertise en mati\xE8re\
            \ de s\xE9curit\xE9. \n\u2022 Offrir une formation ax\xE9e sur les comp\xE9\
            tences sp\xE9cifiques en mati\xE8re de s\xE9curit\xE9 requises par les\
            \ r\xF4les identifi\xE9s. \n\u2022 Tenir compte des qualifications et\
            \ certifications reconnues \xE0 l\u2019\xE9chelle mondiale, ainsi que\
            \ de l\u2019ECSF (80).\n\n(80) https://www.enisa.europa.eu/topics/skills-and-competences/skills-development/european-cybersecurity-skills-framework-ecsf."
          typical_evidence: "\u2022 Un aper\xE7u complet du programme de formation,\
            \ d\xE9taillant les objectifs des diff\xE9rents r\xF4les et la mani\xE8\
            re de les atteindre, le contenu et la fr\xE9quence de la formation."
        es:
          description: "Las entidades pertinentes indicar\xE1n cu\xE1les son los empleados\
            \ cuyos roles exigen capacidades y conocimientos especializados de seguridad\
            \ y velar\xE1n por que reciban formaci\xF3n peri\xF3dica sobre la seguridad\
            \ de los sistemas de redes y de informaci\xF3n."
          annotation: "\u2022 Evaluar qu\xE9 roles dentro de la entidad requieren\
            \ habilidades y experiencia relevantes para la seguridad. \n\u2022 Ofrecer\
            \ formaci\xF3n que se centre en las habilidades de seguridad espec\xED\
            ficas requeridas por los roles identificados. \n\u2022 Considerar las\
            \ calificaciones y certificaciones reconocidas a nivel mundial, y el ECSF\
            \ (80).\n\n(80) https://www.enisa.europa.eu/topics/skills-and-competences/skills-development/european-cybersecurity-skills-framework-ecsf."
          typical_evidence: "\u2022 Un esquema completo del programa de formaci\xF3\
            n, en el que se detallan los objetivos de los diferentes puestos y c\xF3\
            mo alcanzarlos, el contenido y la frecuencia de la formaci\xF3n."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty ur\u010D\xED zam\u011B\
            stnance, jejich\u017E funkce vy\u017Eaduj\xED dovednosti a odborn\xE9\
            \ znalosti v oblasti bezpe\u010Dnosti, a zajist\xED, aby pravideln\u011B\
            \ absolvovali \u0161kolen\xED v oblasti bezpe\u010Dnosti s\xEDt\xED a\
            \ informa\u010Dn\xEDch syst\xE9m\u016F."
          annotation: "\u2022 Posoudit, kter\xE9 role v r\xE1mci entity vy\u017Eaduj\xED\
            \ dovednosti a odborn\xE9 znalosti souvisej\xEDc\xED s bezpe\u010Dnost\xED\
            . \n\u2022 Nab\xEDdn\u011Bte \u0161kolen\xED, kter\xE9 se zam\u011B\u0159\
            uje na specifick\xE9 bezpe\u010Dnostn\xED dovednosti vy\u017Eadovan\xE9\
            \ identifikovan\xFDmi rolemi. \n\u2022 Zva\u017Ete celosv\u011Btov\u011B\
            \ uzn\xE1van\xE9 kvalifikace a certifikace a ECSF (80).\n\n(80) https://www.enisa.europa.eu/topics/skills-and-competences/skills-development/european-cybersecurity-skills-framework-ecsf."
          typical_evidence: "\u2022 Komplexn\xED n\xE1stin \u0161kolic\xEDho programu,\
            \ podrobn\u011B popisuj\xEDc\xED c\xEDle pro r\u016Fzn\xE9 role a zp\u016F\
            sob, jak jich dos\xE1hnout, obsah a frekvenci \u0161kolen\xED."
        it:
          description: I soggetti pertinenti individuano i dipendenti i cui ruoli
            richiedono competenze e competenze pertinenti in materia di sicurezza
            e garantiscono che ricevano una formazione periodica sulla sicurezza delle
            reti e dei sistemi informativi.
          annotation: "\u2022 Valutare quali ruoli all'interno dell'entit\xE0 richiedono\
            \ competenze e competenze rilevanti per la sicurezza. \n\u2022 Offrire\
            \ una formazione focalizzata sulle competenze specifiche in materia di\
            \ sicurezza richieste dai ruoli individuati. \n\u2022 Prendere in considerazione\
            \ le qualifiche e le certificazioni riconosciute a livello mondiale e\
            \ l'ECSF (80).\n\n(80) https://www.enisa.europa.eu/topics/skills-and-competences/skills-development/european-cybersecurity-skills-framework-ecsf."
          typical_evidence: "\u2022 Una descrizione completa del programma di formazione,\
            \ con i dettagli degli obiettivi per i diversi ruoli e le modalit\xE0\
            \ per raggiungerli, il contenuto e la frequenza della formazione."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:8.2.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:8.2
      ref_id: 8.2.2
      description: The relevant entities shall establish, implement and apply a training
        program in line with the network and information security policy, topic-specific
        policies and other relevant procedures on network and information security
        which lays down the training needs for certain roles and positions based on
        criteria.
      annotation: "\u2022 Provide role-specific network and information security training\
        \ (81). \n\u2022 Consider various training methods, such as online courses,\
        \ workshops, hands-on labs and simulations. \n\u2022 Consider various types\
        \ of training, such as courses, certifications or attending security conferences\
        \ or webinars, and the maintenance of certifications.  \n\u2022 Examples of\
        \ training may include secure system administration courses for IT professionals,\
        \ Open Worldwide Application Security Project\xAE awareness and prevention\
        \ training for web application developers and advanced social engineering\
        \ awareness training for high-profile roles.\n\n(81) https://www.enisa.europa.eu/topics/skills-and-competences/skills-development/european-cybersecurity-skills-framework-ecsf."
      typical_evidence: "\u2022 A comprehensive outline of the training programme,\
        \ detailing the objectives for different roles and how to reach them, content\
        \ and frequency of the training. \n\u2022 Assessment of effect and feedback\
        \ from trainings."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es \xE9tablissent, mettent en \u0153\
            uvre et appliquent un programme de formation conforme \xE0 la politique\
            \ de s\xE9curit\xE9 des r\xE9seaux et de l\u2019information, aux politiques\
            \ concernant des domaines sp\xE9cifiques et aux autres proc\xE9dures pertinentes\
            \ en mati\xE8re de s\xE9curit\xE9 des r\xE9seaux et de l\u2019information,\
            \ qui d\xE9finit les besoins de formation pour certains r\xF4les et postes\
            \ sur la base de crit\xE8res."
          annotation: "\u2022 Fournir une formation sp\xE9cifique \xE0 la s\xE9curit\xE9\
            \ des r\xE9seaux et de l\u2019information (81). \n\u2022 Envisagez diverses\
            \ m\xE9thodes de formation, telles que des cours en ligne, des ateliers,\
            \ des laboratoires pratiques et des simulations. \n\u2022 Envisager diff\xE9\
            rents types de formations, telles que des cours, des certifications ou\
            \ la participation \xE0 des conf\xE9rences ou des webinaires sur la s\xE9\
            curit\xE9, et le maintien des certifications.  \n\u2022 Des exemples de\
            \ formation peuvent inclure des cours d\u2019administration de syst\xE8\
            mes s\xE9curis\xE9s pour les professionnels de l\u2019informatique, une\
            \ formation de sensibilisation et de pr\xE9vention du projet Open Worldwide\
            \ Application Security Project\xAE pour les d\xE9veloppeurs d\u2019applications\
            \ Web et une formation avanc\xE9e de sensibilisation \xE0 l\u2019ing\xE9\
            nierie sociale pour les postes de haut niveau.\n\n(81) https://www.enisa.europa.eu/topics/skills-and-competences/skills-development/european-cybersecurity-skills-framework-ecsf."
          typical_evidence: "\u2022 Un aper\xE7u complet du programme de formation,\
            \ d\xE9taillant les objectifs des diff\xE9rents r\xF4les et la mani\xE8\
            re de les atteindre, le contenu et la fr\xE9quence de la formation. \n\
            \u2022 \xC9valuation de l\u2019effet et retour d\u2019exp\xE9rience des\
            \ formations."
        es:
          description: "Las entidades pertinentes establecer\xE1n, pondr\xE1n en marcha\
            \ y ejecutar\xE1n un programa de formaci\xF3n en consonancia con la pol\xED\
            tica de seguridad de las redes y de la informaci\xF3n, las pol\xEDticas\
            \ espec\xEDficas y otros procedimientos pertinentes en materia de seguridad\
            \ de las redes y de la informaci\xF3n que determine las necesidades de\
            \ formaci\xF3n de ciertos roles y puestos de acuerdo con criterios concretos."
          annotation: "\u2022 Impartir formaci\xF3n sobre seguridad de la informaci\xF3\
            n y las redes espec\xEDficas de cada funci\xF3n (81). \n\u2022 Considere\
            \ varios m\xE9todos de capacitaci\xF3n, como cursos en l\xEDnea, talleres,\
            \ laboratorios pr\xE1cticos y simulaciones. \n\u2022 Considerar varios\
            \ tipos de capacitaci\xF3n, como cursos, certificaciones o asistir a conferencias\
            \ de seguridad o seminarios web, y el mantenimiento de certificaciones.\
            \  \n\u2022 Ejemplos de capacitaci\xF3n pueden incluir cursos de administraci\xF3\
            n de sistemas seguros para profesionales de TI, capacitaci\xF3n de concientizaci\xF3\
            n y prevenci\xF3n del Proyecto\xAE de Seguridad de Aplicaciones Abiertas\
            \ en todo el mundo para desarrolladores de aplicaciones web y capacitaci\xF3\
            n avanzada de concientizaci\xF3n de ingenier\xEDa social para roles de\
            \ alto perfil.\n\n(81) https://www.enisa.europa.eu/topics/skills-and-competences/skills-development/european-cybersecurity-skills-framework-ecsf."
          typical_evidence: "\u2022 Un esquema completo del programa de formaci\xF3\
            n, en el que se detallan los objetivos de los diferentes puestos y c\xF3\
            mo alcanzarlos, el contenido y la frecuencia de la formaci\xF3n. \n\u2022\
            \ Evaluaci\xF3n del efecto y retroalimentaci\xF3n de las capacitaciones."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty vytvo\u0159\xED, zavedou\
            \ a pou\u017Eij\xED program \u0161kolen\xED v souladu s politikou bezpe\u010D\
            nosti s\xEDt\xED a informac\xED, tematicky zam\u011B\u0159en\xFDmi politikami\
            \ a dal\u0161\xEDmi p\u0159\xEDslu\u0161n\xFDmi postupy v oblasti bezpe\u010D\
            nosti s\xEDt\xED a informac\xED, kter\xFD na z\xE1klad\u011B krit\xE9\
            ri\xED stanov\xED pot\u0159eby \u0161kolen\xED pro ur\u010Dit\xE9 funkce\
            \ a pozice."
          annotation: "\u2022 Poskytovat \u0161kolen\xED v oblasti bezpe\u010Dnosti\
            \ s\xEDt\xED a informac\xED pro konkr\xE9tn\xED role (81). \n\u2022 Zva\u017E\
            te r\u016Fzn\xE9 \u0161kolic\xED metody, jako jsou online kurzy, workshopy,\
            \ praktick\xE9 laborato\u0159e a simulace. \n\u2022 Zva\u017Ete r\u016F\
            zn\xE9 typy \u0161kolen\xED, jako jsou kurzy, certifikace nebo \xFA\u010D\
            ast na bezpe\u010Dnostn\xEDch konferenc\xEDch nebo webin\xE1\u0159\xED\
            ch, a udr\u017Eov\xE1n\xED certifikac\xED.  \nP\u0159\xEDklady \u0161\
            kolen\xED mohou zahrnovat kurzy spr\xE1vy zabezpe\u010Den\xE9ho syst\xE9\
            mu pro IT profesion\xE1ly, \u0161kolen\xED o pov\u011Bdom\xED a prevenci\
            \ projekt\u016F\xAE zabezpe\u010Den\xED aplikac\xED Open Worldwide pro\
            \ v\xFDvoj\xE1\u0159e webov\xFDch aplikac\xED a pokro\u010Dil\xE9 \u0161\
            kolen\xED o soci\xE1ln\xEDm in\u017Een\xFDrstv\xED pro vysoce postaven\xE9\
            \ pozice.\n\n(81) https://www.enisa.europa.eu/topics/skills-and-competences/skills-development/european-cybersecurity-skills-framework-ecsf."
          typical_evidence: "\u2022 Komplexn\xED n\xE1stin \u0161kolic\xEDho programu,\
            \ podrobn\u011B popisuj\xEDc\xED c\xEDle pro r\u016Fzn\xE9 role a zp\u016F\
            sob, jak jich dos\xE1hnout, obsah a frekvenci \u0161kolen\xED. \n\u2022\
            \ Vyhodnocen\xED efektu a zp\u011Btn\xE9 vazby ze \u0161kolen\xED."
        it:
          description: I soggetti pertinenti istituiscono, attuano e applicano un
            programma di formazione in linea con la politica in materia di sicurezza
            delle reti e dell'informazione, con le politiche specifiche per argomento
            e con altre procedure pertinenti in materia di sicurezza delle reti e
            dell'informazione, che stabilisca le esigenze di formazione per determinati
            ruoli e posizioni sulla base di criteri.
          annotation: "\u2022 Fornire una formazione specifica per il ruolo in materia\
            \ di sicurezza delle reti e dell'informazione (81). \n\u2022 Prendere\
            \ in considerazione vari metodi di formazione, come corsi online, workshop,\
            \ laboratori pratici e simulazioni. \n\u2022 Prendere in considerazione\
            \ vari tipi di formazione, come corsi, certificazioni o partecipazione\
            \ a conferenze o webinar sulla sicurezza e il mantenimento delle certificazioni.\
            \  \n\u2022 Esempi di formazione possono includere corsi di amministrazione\
            \ sicura dei sistemi per professionisti IT, corsi di sensibilizzazione\
            \ e prevenzione Open Worldwide Application Security Project\xAE per sviluppatori\
            \ di applicazioni Web e corsi di sensibilizzazione avanzati di ingegneria\
            \ sociale per ruoli di alto profilo.\n\n(81) https://www.enisa.europa.eu/topics/skills-and-competences/skills-development/european-cybersecurity-skills-framework-ecsf."
          typical_evidence: "\u2022 Una descrizione completa del programma di formazione,\
            \ con i dettagli degli obiettivi per i diversi ruoli e le modalit\xE0\
            \ per raggiungerli, il contenuto e la frequenza della formazione. \n\u2022\
            \ Valutazione dell'effetto e feedback dai corsi di formazione."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:8.2.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:8.2
      ref_id: 8.2.3
      description: 'The training referred to in point 8.2.1. shall be relevant to
        the job function of the employee and its effectiveness shall be assessed.
        Training shall take into consideration security measures in place and cover
        the following:'
      annotation: "\u2022 Topics to include in the programme may include the following\
        \ (indicative, non-exhaustive list).\n    o Train personnel in authentication\
        \ best practices, such as MFA, password creation and credential management.\n\
        \    o Train personnel in how to identify and properly store, transfer, archive\
        \ and destroy sensitive data.\n    o Train personnel to recognise a potential\
        \ incident, such as unusual email attachments, unexpected system behaviour\
        \ and suspicious network traffic.\n    o Train personnel in how to report\
        \ events promptly and accurately, including the use of designated communication\
        \ channels.\n    o Train personnel to understand how to verify and report\
        \ out-of-date software or any failures in automated processes and tools. Part\
        \ of this training should include notifying IT personnel of any failures in\
        \ automated processes and tools.\n    o Train relevant personnel in crisis\
        \ management and business continuity procedures. Incorporate simulated events\
        \ (82) into crisis management training to facilitate an effective response\
        \ by personnel in crisis situations.\n    o Train relevant personnel (e.g.\
        \ system administrators and software developers) in the secure configuration\
        \ and operation of the network and information systems. Provide regular updates\
        \ on the latest cyber threats. \n\u2022 Test the security knowledge of employees\
        \ to make sure that it is sufficient and up to date.\n\n(82) In its simplest\
        \ form, the exercise can mean simulating the continuity and recovery procedures\
        \ through discussion (known as a tabletop exercise)."
      typical_evidence: "\u2022 Comprehensive outline of the training programme, detailing\
        \ the objectives of different roles and how to reach them, and the content\
        \ and frequency of the training. \n\u2022 Results from any quizzes or assessments\
        \ conducted to measure the employees\u2019 understanding of the topics covered."
      translations:
        fr:
          description: "La formation vis\xE9e au point 8.2.1 est pertinente pour les\
            \ fonctions exerc\xE9es par l\u2019employ\xE9 et son efficacit\xE9 est\
            \ \xE9valu\xE9e. La formation prend en consid\xE9ration les mesures de\
            \ s\xFBret\xE9 en place et couvre les \xE9l\xE9ments suivants:"
          annotation: "\u2022 Les th\xE8mes \xE0 inclure dans le programme peuvent\
            \ inclure les suivants (liste indicative, non exhaustive).\n    o Former\
            \ le personnel aux meilleures pratiques d\u2019authentification, telles\
            \ que l\u2019authentification multifacteur, la cr\xE9ation de mots de\
            \ passe et la gestion des informations d\u2019identification.\n    o Former\
            \ le personnel \xE0 l\u2019identification et au stockage, transfert, archivage\
            \ et destruction des donn\xE9es sensibles.\n    o Former le personnel\
            \ \xE0 reconna\xEEtre un incident potentiel, tel que des pi\xE8ces jointes\
            \ inhabituelles, un comportement inattendu du syst\xE8me et un trafic\
            \ r\xE9seau suspect.\n    o Former le personnel sur la fa\xE7on de signaler\
            \ les \xE9v\xE9nements rapidement et avec pr\xE9cision, y compris l\u2019\
            utilisation des canaux de communication d\xE9sign\xE9s.\n    o Former\
            \ le personnel \xE0 comprendre comment v\xE9rifier et signaler les logiciels\
            \ obsol\xE8tes ou toute d\xE9faillance des processus et outils automatis\xE9\
            s. Une partie de cette formation devrait inclure la notification au personnel\
            \ informatique de toute d\xE9faillance des processus et outils automatis\xE9\
            s.\n    o Former le personnel concern\xE9 aux proc\xE9dures de gestion\
            \ de crise et de continuit\xE9 des activit\xE9s. Int\xE9grer des \xE9\
            v\xE9nements simul\xE9s (82) dans la formation \xE0 la gestion de crise\
            \ afin de faciliter une intervention efficace du personnel en situation\
            \ de crise.\n    o Former le personnel concern\xE9 (par exemple, les administrateurs\
            \ syst\xE8me et les d\xE9veloppeurs de logiciels) \xE0 la configuration\
            \ et \xE0 l\u2019exploitation s\xE9curis\xE9es du r\xE9seau et des syst\xE8\
            mes d\u2019information. Fournir des mises \xE0 jour r\xE9guli\xE8res sur\
            \ les derni\xE8res cybermenaces. \n\u2022 Tester les connaissances en\
            \ s\xE9curit\xE9 des employ\xE9s pour s\u2019assurer qu\u2019elles sont\
            \ suffisantes et \xE0 jour.\n\n(82) Dans sa forme la plus simple, l\u2019\
            exercice peut consister \xE0 simuler les proc\xE9dures de continuit\xE9\
            \ et de r\xE9cup\xE9ration par la discussion (connu sous le nom d\u2019\
            exercice de simulation)."
          typical_evidence: "\u2022 Aper\xE7u complet du programme de formation, d\xE9\
            taillant les objectifs des diff\xE9rents r\xF4les et la mani\xE8re de\
            \ les atteindre, ainsi que le contenu et la fr\xE9quence de la formation.\
            \ \n\u2022 Les r\xE9sultats de tous les quiz ou \xE9valuations effectu\xE9\
            s pour mesurer la compr\xE9hension des employ\xE9s sur les sujets abord\xE9\
            s."
        es:
          description: "La formaci\xF3n contemplada en el punto 8.2.1 se adecuar\xE1\
            \ a las funciones laborales de los empleados y se evaluar\xE1 su eficacia.\
            \ La formaci\xF3n tendr\xE1 en cuenta las medidas de seguridad en vigor\
            \ y englobar\xE1 lo siguiente:"
          annotation: "\u2022 Los temas a incluir en el programa pueden incluir los\
            \ siguientes (lista indicativa, no exhaustiva).\n    o Capacitar al personal\
            \ en las mejores pr\xE1cticas de autenticaci\xF3n, como MFA, creaci\xF3\
            n de contrase\xF1as y administraci\xF3n de credenciales.\n    o Capacitar\
            \ al personal en c\xF3mo identificar y almacenar, transferir, archivar\
            \ y destruir adecuadamente los datos confidenciales.\n    o Capacitar\
            \ al personal para que reconozca un incidente potencial, como archivos\
            \ adjuntos de correo electr\xF3nico inusuales, comportamiento inesperado\
            \ del sistema y tr\xE1fico de red sospechoso.\n    o Capacitar al personal\
            \ sobre c\xF3mo reportar eventos de manera pronta y precisa, incluyendo\
            \ el uso de los canales de comunicaci\xF3n designados.\n    o Capacitar\
            \ al personal para que comprenda c\xF3mo verificar y reportar software\
            \ desactualizado o cualquier falla en los procesos y herramientas automatizadas.\
            \ Parte de esta capacitaci\xF3n debe incluir notificar al personal de\
            \ TI de cualquier falla en los procesos y herramientas automatizados.\n\
            \    o Capacitar al personal relevante en procedimientos de gesti\xF3\
            n de crisis y continuidad del negocio. Incorporar eventos simulados (82)\
            \ en la capacitaci\xF3n en gesti\xF3n de crisis para facilitar una respuesta\
            \ efectiva del personal en situaciones de crisis.\n    o Capacitar al\
            \ personal pertinente (por ejemplo, administradores de sistemas y desarrolladores\
            \ de software) en la configuraci\xF3n y operaci\xF3n seguras de la red\
            \ y los sistemas de informaci\xF3n. Proporcione actualizaciones peri\xF3\
            dicas sobre las \xFAltimas amenazas cibern\xE9ticas. \n\u2022 Poner a\
            \ prueba los conocimientos de seguridad de los empleados para asegurarse\
            \ de que son suficientes y est\xE1n actualizados.\n\n(82) En su forma\
            \ m\xE1s simple, el ejercicio puede significar simular los procedimientos\
            \ de continuidad y recuperaci\xF3n a trav\xE9s de la discusi\xF3n (conocida\
            \ como ejercicio de mesa)."
          typical_evidence: "\u2022 Esquema completo del programa de formaci\xF3n,\
            \ detallando los objetivos de los diferentes roles y c\xF3mo alcanzarlos,\
            \ as\xED como el contenido y la frecuencia de la formaci\xF3n. \n\u2022\
            \ Resultados de cualquier cuestionario o evaluaci\xF3n realizada para\
            \ medir la comprensi\xF3n de los empleados sobre los temas tratados."
        cs:
          description: "\u0160kolen\xED uveden\xE9 v bod\u011B 8.2.1 mus\xED b\xFD\
            t relevantn\xED pro pracovn\xED funkci zam\u011Bstnance a mus\xED b\xFD\
            t posouzena jeho \xFA\u010Dinnost. \u0160kolen\xED by m\u011Blo zohled\u0148\
            ovat zaveden\xE1 bezpe\u010Dnostn\xED opat\u0159en\xED a zahrnovat:"
          annotation: "\u2022 T\xE9mata za\u0159azen\xE1 do programu mohou zahrnovat\
            \ n\xE1sleduj\xEDc\xED (orienta\u010Dn\xED, ne\xFApln\xFD seznam).\n \
            \   o Vy\u0161kolte person\xE1l v osv\u011Bd\u010Den\xFDch postupech ov\u011B\
            \u0159ov\xE1n\xED, jako je MFA, vytv\xE1\u0159en\xED hesel a spr\xE1va\
            \ p\u0159ihla\u0161ovac\xEDch \xFAdaj\u016F.\n    o \u0160kolit person\xE1\
            l v tom, jak identifikovat a spr\xE1vn\u011B uchov\xE1vat, p\u0159en\xE1\
            \u0161et, archivovat a ni\u010Dit citliv\xE1 data.\n    o Vy\u0161kolte\
            \ person\xE1l, aby rozpoznal potenci\xE1ln\xED incident, jako jsou neobvykl\xE9\
            \ p\u0159\xEDlohy e-mail\u016F, neo\u010Dek\xE1van\xE9 chov\xE1n\xED syst\xE9\
            mu a podez\u0159el\xFD s\xED\u0165ov\xFD provoz.\n    o \u0160kolit person\xE1\
            l v tom, jak rychle a p\u0159esn\u011B hl\xE1sit ud\xE1losti, v\u010D\
            etn\u011B pou\u017Eit\xED ur\u010Den\xFDch komunika\u010Dn\xEDch kan\xE1\
            l\u016F.\n    o Vy\u0161kolit person\xE1l, aby pochopil, jak ov\u011B\u0159\
            ovat a hl\xE1sit zastaral\xFD software nebo jak\xE1koli selh\xE1n\xED\
            \ v automatizovan\xFDch procesech a n\xE1stroj\xEDch. Sou\u010D\xE1st\xED\
            \ tohoto \u0161kolen\xED by m\u011Blo b\xFDt i informov\xE1n\xED pracovn\xED\
            k\u016F IT o jak\xFDchkoli selh\xE1n\xEDch v automatizovan\xFDch procesech\
            \ a n\xE1stroj\xEDch.\n    o Vy\u0161kolit p\u0159\xEDslu\u0161n\xFD person\xE1\
            l v postupech krizov\xE9ho \u0159\xEDzen\xED a kontinuity provozu. Za\u010D\
            lenit simulovan\xE9 ud\xE1losti (82) do odborn\xE9 p\u0159\xEDpravy v\
            \ oblasti krizov\xE9ho \u0159\xEDzen\xED, aby se usnadnila \xFA\u010D\
            inn\xE1 reakce person\xE1lu v krizov\xFDch situac\xEDch.\n    o Vy\u0161\
            kolit p\u0159\xEDslu\u0161n\xFD person\xE1l (nap\u0159. spr\xE1vce syst\xE9\
            mu a v\xFDvoj\xE1\u0159e softwaru) v bezpe\u010Dn\xE9 konfiguraci a provozu\
            \ s\xEDt\u011B a informa\u010Dn\xEDch syst\xE9m\u016F. Poskytujte pravideln\xE9\
            \ aktualizace o nejnov\u011Bj\u0161\xEDch kybernetick\xFDch hrozb\xE1\
            ch. \n\u2022 Otestujte znalosti zam\u011Bstnanc\u016F v oblasti bezpe\u010D\
            nosti, abyste se ujistili, \u017Ee jsou dostate\u010Dn\xE9 a aktu\xE1\
            ln\xED.\n\n(82) Ve sv\xE9 nejjednodu\u0161\u0161\xED form\u011B m\u016F\
            \u017Ee cvi\u010Den\xED znamenat simulaci postup\u016F kontinuity a obnovy\
            \ prost\u0159ednictv\xEDm diskuse (zn\xE1m\xE9 jako stoln\xED cvi\u010D\
            en\xED)."
          typical_evidence: "\u2022 Komplexn\xED n\xE1stin \u0161kolic\xEDho programu,\
            \ kter\xFD podrobn\u011B popisuje c\xEDle r\u016Fzn\xFDch rol\xED a zp\u016F\
            sob, jak jich dos\xE1hnout, a obsah a frekvenci \u0161kolen\xED. \n\u2022\
            \ V\xFDsledky v\u0161ech kv\xEDz\u016F nebo hodnocen\xED proveden\xFD\
            ch za \xFA\u010Delem m\u011B\u0159en\xED toho, jak zam\u011Bstnanci rozum\xED\
            \ prob\xEDran\xFDm t\xE9mat\u016Fm."
        it:
          description: 'La formazione di cui al punto 8.2.1. deve essere pertinente
            alla funzione lavorativa del dipendente e la sua efficacia deve essere
            valutata. La formazione deve prendere in considerazione le misure di sicurezza
            in atto e riguardare quanto segue:'
          annotation: "\u2022 Gli argomenti da inserire nel programma possono essere\
            \ i seguenti (elenco indicativo, non esaustivo).\n    o Formare il personale\
            \ sulle best practice di autenticazione, come l'autenticazione a pi\xF9\
            \ fattori, la creazione di password e la gestione delle credenziali.\n\
            \    o Formare il personale su come identificare e memorizzare, trasferire,\
            \ archiviare e distruggere correttamente i dati sensibili.\n    o Formare\
            \ il personale a riconoscere un potenziale incidente, come allegati e-mail\
            \ insoliti, comportamento imprevisto del sistema e traffico di rete sospetto.\n\
            \    o Formare il personale su come segnalare gli eventi in modo tempestivo\
            \ e accurato, compreso l'uso di canali di comunicazione designati.\n \
            \   o Formare il personale per capire come verificare e segnalare software\
            \ obsoleti o eventuali guasti nei processi e negli strumenti automatizzati.\
            \ Parte di questa formazione dovrebbe includere la notifica al personale\
            \ IT di eventuali errori nei processi e negli strumenti automatizzati.\n\
            \    o Formare il personale interessato alla gestione delle crisi e alle\
            \ procedure di continuit\xE0 operativa. Incorporare eventi simulati (82)\
            \ nella formazione in materia di gestione delle crisi per facilitare una\
            \ risposta efficace da parte del personale in situazioni di crisi.\n \
            \   o Formare il personale interessato (ad es. amministratori di sistema\
            \ e sviluppatori di software) alla configurazione e al funzionamento sicuri\
            \ della rete e dei sistemi informativi. Fornisci aggiornamenti regolari\
            \ sulle ultime minacce informatiche. \n\u2022 Testare le conoscenze di\
            \ sicurezza dei dipendenti per assicurarsi che siano sufficienti e aggiornate.\n\
            \n(82) Nella sua forma pi\xF9 semplice, l'esercizio pu\xF2 consistere\
            \ nel simulare le procedure di continuit\xE0 e di recupero attraverso\
            \ la discussione (noto come esercizio da tavolo)."
          typical_evidence: "\u2022 Schema completo del programma di formazione, con\
            \ l'indicazione degli obiettivi dei diversi ruoli e delle modalit\xE0\
            \ per raggiungerli, nonch\xE9 il contenuto e la frequenza della formazione.\
            \ \n\u2022 Risultati di eventuali quiz o valutazioni condotte per misurare\
            \ la comprensione dei dipendenti degli argomenti trattati."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:8.2.3.a
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:8.2.3
      ref_id: 8.2.3.a
      description: instructions regarding the secure configuration and operation of
        the network and information systems, including mobile devices;
      translations:
        fr:
          description: "instructions concernant la configuration et le fonctionnement\
            \ s\xE9curis\xE9s du r\xE9seau et des syst\xE8mes d\u2019information,\
            \ y compris les dispositifs mobiles;"
        es:
          description: "instrucciones relativas a la configuraci\xF3n y el funcionamiento\
            \ seguros de los sistemas de redes y de informaci\xF3n, incluidos los\
            \ dispositivos m\xF3viles;"
        cs:
          description: "pokyny t\xFDkaj\xEDc\xED se bezpe\u010Dn\xE9 konfigurace a\
            \ provozu s\xEDt\xED a informa\u010Dn\xEDch syst\xE9m\u016F, v\u010Detn\u011B\
            \ mobiln\xEDch za\u0159\xEDzen\xED;"
        it:
          description: istruzioni relative alla configurazione e al funzionamento
            sicuri della rete e dei sistemi informativi, compresi i dispositivi mobili;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:8.2.3.b
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:8.2.3
      ref_id: 8.2.3.b
      description: briefing on known cyber threats;
      translations:
        fr:
          description: informations sur les cybermenaces connues;
        es:
          description: "informaci\xF3n sobre ciberamenazas conocidas;"
        cs:
          description: "informov\xE1n\xED o zn\xE1m\xFDch kybernetick\xFDch hrozb\xE1\
            ch;"
        it:
          description: briefing sulle minacce informatiche note;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:8.2.3.c
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:8.2.3
      ref_id: 8.2.3.c
      description: training of the behaviour when security-relevant events occur.
      translations:
        fr:
          description: "formation sur le comportement \xE0 adopter en cas d\u2019\xE9\
            v\xE9nements touchant \xE0 la s\xE9curit\xE9."
        es:
          description: "formaci\xF3n relativa al comportamiento frente a sucesos relevantes\
            \ para la seguridad."
        cs:
          description: "\u0161kolen\xED t\xFDkaj\xEDc\xED se chov\xE1n\xED v p\u0159\
            \xEDpad\u011B v\xFDskytu bezpe\u010Dnostn\xEDch ud\xE1lost\xED."
        it:
          description: formazione del comportamento quando si verificano eventi rilevanti
            per la sicurezza.
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:8.2.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:8.2
      ref_id: 8.2.4
      description: The relevant entities shall apply training to staff members who
        transfer to new positions or roles which require security relevant skill sets
        and expertise.
      annotation: "\u2022 Examine whether the new position or role of an employee\
        \ requires role-specific network and information security training."
      typical_evidence: "\u2022 Logs, sign-in sheets, certificates of completion or\
        \ acknowledgements given to employees upon completing the training, showing\
        \ that employees who transferred to new positions or roles attended training\
        \ sessions relevant to the new position or role. \n\u2022 Evidence of maintenance\
        \ of certifications obtained."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es dispensent des formations aux\
            \ membres du personnel qui assument de nouveaux postes ou de nouveaux\
            \ r\xF4les n\xE9cessitant des comp\xE9tences et une expertise pertinentes\
            \ en mati\xE8re de s\xE9curit\xE9."
          annotation: "\u2022 Examinez si le nouveau poste ou le r\xF4le d\u2019un\
            \ employ\xE9 n\xE9cessite une formation sp\xE9cifique \xE0 la s\xE9curit\xE9\
            \ des r\xE9seaux et de l\u2019information."
          typical_evidence: "\u2022 Registres, feuilles d\u2019\xE9margement, certificats\
            \ d\u2019ach\xE8vement ou reconnaissances remis aux employ\xE9s \xE0 la\
            \ fin de la formation, montrant que les employ\xE9s qui ont \xE9t\xE9\
            \ transf\xE9r\xE9s \xE0 de nouveaux postes ou r\xF4les ont assist\xE9\
            \ \xE0 des s\xE9ances de formation pertinentes au nouveau poste ou r\xF4\
            le. \n\u2022 Preuve de maintien des certifications obtenues."
        es:
          description: "Las entidades pertinentes llevar\xE1n a cabo la formaci\xF3\
            n para los miembros del personal que se trasladen a nuevos puestos o roles\
            \ que requieran capacidades y conocimientos especializados en seguridad."
          annotation: "\u2022 Examinar si el nuevo puesto o rol de un empleado requiere\
            \ capacitaci\xF3n en seguridad de la informaci\xF3n y la red espec\xED\
            fica del rol."
          typical_evidence: "\u2022 Registros, hojas de registro, certificados de\
            \ finalizaci\xF3n o reconocimientos entregados a los empleados al completar\
            \ la capacitaci\xF3n, que muestren que los empleados que se transfirieron\
            \ a nuevos puestos o roles asistieron a sesiones de capacitaci\xF3n relevantes\
            \ para el nuevo puesto o rol. \n\u2022 Evidencias de mantenimiento de\
            \ las certificaciones obtenidas."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty vzt\xE1hnou \u0161kolen\xED\
            \ na zam\u011Bstnance, kte\u0159\xED p\u0159ech\xE1zej\xED na nov\xE9\
            \ pozice nebo funkce vy\u017Eaduj\xEDc\xED dovednosti a odborn\xE9 znalosti\
            \ v oblasti bezpe\u010Dnosti."
          annotation: "\u2022 Prozkoumejte, zda nov\xE1 pozice nebo role zam\u011B\
            stnance vy\u017Eaduje \u0161kolen\xED v oblasti zabezpe\u010Den\xED s\xED\
            t\xED a informac\xED specifick\xFDch pro danou roli."
          typical_evidence: "\u2022 Protokoly, p\u0159ihla\u0161ovac\xED listy, osv\u011B\
            d\u010Den\xED o absolvov\xE1n\xED nebo pod\u011Bkov\xE1n\xED p\u0159edan\xE9\
            \ zam\u011Bstnanc\u016Fm po dokon\u010Den\xED \u0161kolen\xED, kter\xE9\
            \ prokazuj\xED, \u017Ee zam\u011Bstnanci, kte\u0159\xED p\u0159e\u0161\
            li na nov\xE9 pozice nebo role, se z\xFA\u010Dastnili \u0161kolen\xED\
            \ relevantn\xEDch pro novou pozici nebo roli. \n\u2022 Doklad o zachov\xE1\
            n\xED z\xEDskan\xFDch certifikac\xED."
        it:
          description: I soggetti pertinenti applicano la formazione ai membri del
            personale che si trasferiscono a nuove posizioni o ruoli che richiedono
            competenze e competenze pertinenti in materia di sicurezza.
          annotation: "\u2022 Esaminare se la nuova posizione o il ruolo di un dipendente\
            \ richiede una formazione specifica sulla sicurezza delle reti e delle\
            \ informazioni."
          typical_evidence: "\u2022 Registri, fogli di accesso, certificati di completamento\
            \ o riconoscimenti forniti ai dipendenti al termine della formazione,\
            \ che dimostrino che i dipendenti che si sono trasferiti a nuove posizioni\
            \ o ruoli hanno partecipato a sessioni di formazione pertinenti alla nuova\
            \ posizione o ruolo. \n\u2022 Prova del mantenimento delle certificazioni\
            \ ottenute."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:8.2.5
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:8.2
      ref_id: 8.2.5
      description: The program shall be updated and run periodically taking into account
        applicable policies and rules, assigned roles, responsibilities, as well as
        known cyber threats and technological developments.
      annotation: "\u2022 Provide cybersecurity training periodically. \n\u2022 Review\
        \ and update the training programme at least annually.\n\n[TIPS]\n\n\u2022\
        \ Encourage participation in threat-intelligence-sharing communities to stay\
        \ informed about emerging threats."
      typical_evidence: "\u2022 Logs, sign-in sheets, certificates of completion or\
        \ acknowledgements given to employees upon completing the training, showing\
        \ which employees attended the training sessions. \n\u2022 Information materials\
        \ distributed to employees, including handouts, presentations and online modules.\
        \ \n\u2022 Updates showing that the training programme is reviewed and updated\
        \ regularly to keep up with the latest cybersecurity threats and best practices.\
        \ \n\u2022 Employee feedback forms on the training sessions, which can provide\
        \ insight into the effectiveness of the training and areas for improvement."
      translations:
        fr:
          description: "Le programme est mis \xE0 jour et organis\xE9 p\xE9riodiquement\
            \ en tenant compte des politiques et des r\xE8gles applicables, des r\xF4\
            les et responsabilit\xE9s assign\xE9s, ainsi que des cybermenaces connues\
            \ et des \xE9volutions technologiques."
          annotation: "\u2022 Fournir p\xE9riodiquement des formations en cybers\xE9\
            curit\xE9. \n\u2022 Examiner et mettre \xE0 jour le programme de formation\
            \ au moins une fois par an.\n\n[CONSEILS]\n\n\u2022 Encourager la participation\
            \ aux communaut\xE9s de partage de renseignements sur les menaces afin\
            \ de rester inform\xE9 des menaces \xE9mergentes."
          typical_evidence: "\u2022 Registres, feuilles d\u2019\xE9margement, certificats\
            \ d\u2019ach\xE8vement ou reconnaissances remis aux employ\xE9s \xE0 la\
            \ fin de la formation, indiquant quels employ\xE9s ont assist\xE9 aux\
            \ s\xE9ances de formation. \n\u2022 Distribution de documents d\u2019\
            information aux employ\xE9s, y compris des documents, des pr\xE9sentations\
            \ et des modules en ligne. \n\u2022 Des mises \xE0 jour montrant que le\
            \ programme de formation est revu et mis \xE0 jour r\xE9guli\xE8rement\
            \ pour suivre les derni\xE8res menaces et les meilleures pratiques en\
            \ mati\xE8re de cybers\xE9curit\xE9. \n\u2022 Des formulaires de r\xE9\
            troaction des employ\xE9s sur les sessions de formation, qui peuvent donner\
            \ un aper\xE7u de l\u2019efficacit\xE9 de la formation et des domaines\
            \ \xE0 am\xE9liorer."
        es:
          description: "El programa se actualizar\xE1 y desarrollar\xE1 de manera\
            \ peri\xF3dica teniendo en cuenta las normas y reglas aplicables, los\
            \ roles asignados, las responsabilidades, as\xED como las ciberamenazas\
            \ conocidas y los avances tecnol\xF3gicos."
          annotation: "\u2022 Impartir formaci\xF3n en ciberseguridad de forma peri\xF3\
            dica. \n\u2022 Revisar y actualizar el programa de formaci\xF3n al menos\
            \ una vez al a\xF1o.\n\n[CONSEJOS]\n\n\u2022 Fomentar la participaci\xF3\
            n en comunidades de intercambio de inteligencia sobre amenazas para mantenerse\
            \ informado sobre las amenazas emergentes."
          typical_evidence: "\u2022 Registros, hojas de registro, certificados de\
            \ finalizaci\xF3n o reconocimientos entregados a los empleados al completar\
            \ la capacitaci\xF3n, que muestren qu\xE9 empleados asistieron a las sesiones\
            \ de capacitaci\xF3n. \n\u2022 Distribuci\xF3n de materiales informativos\
            \ a los empleados, incluyendo folletos, presentaciones y m\xF3dulos en\
            \ l\xEDnea. \n\u2022 Actualizaciones que muestran que el programa de capacitaci\xF3\
            n se revisa y actualiza peri\xF3dicamente para mantenerse al d\xEDa con\
            \ las \xFAltimas amenazas de ciberseguridad y las mejores pr\xE1cticas.\
            \ \n\u2022 Formularios de retroalimentaci\xF3n de los empleados sobre\
            \ las sesiones de capacitaci\xF3n, que pueden proporcionar informaci\xF3\
            n sobre la efectividad de la capacitaci\xF3n y las \xE1reas de mejora."
        cs:
          description: "Program je pravideln\u011B aktualizov\xE1n a prov\xE1d\u011B\
            n s p\u0159ihl\xE9dnut\xEDm k platn\xFDm politik\xE1m a pravidl\u016F\
            m, p\u0159id\u011Blen\xFDm \xFAkol\u016Fm a odpov\u011Bdnostem, ale i\
            \ ke zn\xE1m\xFDm kybernetick\xFDm hrozb\xE1m a technologick\xE9mu v\xFD\
            voji."
          annotation: "\u2022 Pravideln\u011B poskytovat \u0161kolen\xED v oblasti\
            \ kybernetick\xE9 bezpe\u010Dnosti. \n\u2022 Alespo\u0148 jednou ro\u010D\
            n\u011B p\u0159ezkoumat a aktualizovat \u0161kolic\xED program.\n\n[TIPY]\n\
            \n\u2022 Podporovat \xFA\u010Dast v komunit\xE1ch pro sd\xEDlen\xED informac\xED\
            \ o hrozb\xE1ch, aby byly informov\xE1ny o nov\xFDch hrozb\xE1ch."
          typical_evidence: "\u2022 Protokoly, p\u0159ihla\u0161ovac\xED listy, osv\u011B\
            d\u010Den\xED o absolvov\xE1n\xED nebo potvrzen\xED p\u0159edan\xE1 zam\u011B\
            stnanc\u016Fm po dokon\u010Den\xED \u0161kolen\xED, kter\xE1 ukazuj\xED\
            , kte\u0159\xED zam\u011Bstnanci se \u0161kolen\xED z\xFA\u010Dastnili.\
            \ \n\u2022 Informa\u010Dn\xED materi\xE1ly distribuovan\xE9 zam\u011B\
            stnanc\u016Fm, v\u010Detn\u011B let\xE1k\u016F, prezentac\xED a online\
            \ modul\u016F. \n\u2022 Aktualizace ukazuj\xEDc\xED, \u017Ee \u0161kolic\xED\
            \ program je pravideln\u011B revidov\xE1n a aktualizov\xE1n, aby dr\u017E\
            el krok s nejnov\u011Bj\u0161\xEDmi kybernetick\xFDmi hrozbami a osv\u011B\
            d\u010Den\xFDmi postupy. \n\u2022 Formul\xE1\u0159e zp\u011Btn\xE9 vazby\
            \ od zam\u011Bstnanc\u016F t\xFDkaj\xEDc\xED se \u0161kolen\xED, kter\xE9\
            \ mohou poskytnout p\u0159ehled o efektivit\u011B \u0161kolen\xED a oblastech\
            \ pro zlep\u0161en\xED."
        it:
          description: "Il programma deve essere aggiornato ed eseguito periodicamente\
            \ tenendo conto delle politiche e delle regole applicabili, dei ruoli\
            \ assegnati, delle responsabilit\xE0, nonch\xE9 delle minacce informatiche\
            \ note e degli sviluppi tecnologici."
          annotation: "\u2022 Fornire periodicamente formazione sulla sicurezza informatica.\
            \ \n\u2022 Rivedere e aggiornare il programma di formazione almeno una\
            \ volta all'anno.\n\n[CONSIGLI]\n\n\u2022 Incoraggiare la partecipazione\
            \ alle comunit\xE0 di condivisione dell'intelligence sulle minacce per\
            \ rimanere informati sulle minacce emergenti."
          typical_evidence: "\u2022 Registri, fogli di registrazione, certificati\
            \ di completamento o riconoscimenti rilasciati ai dipendenti al termine\
            \ della formazione, che mostrino quali dipendenti hanno partecipato alle\
            \ sessioni di formazione. \n\u2022 Distribuzione di materiale informativo\
            \ ai dipendenti, tra cui dispense, presentazioni e moduli online. \n\u2022\
            \ Aggiornamenti che dimostrano che il programma di formazione viene rivisto\
            \ e aggiornato regolarmente per stare al passo con le ultime minacce alla\
            \ sicurezza informatica e le migliori pratiche. \n\u2022 Moduli di feedback\
            \ dei dipendenti sulle sessioni di formazione, che possono fornire informazioni\
            \ sull'efficacia della formazione e sulle aree di miglioramento."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:9
      assessable: false
      depth: 1
      ref_id: '9'
      name: CRYPTOGRAPHY (ARTICLE 21(2), POINT (H), OF DIRECTIVE (EU) 2022/2555)
      translations:
        fr:
          name: Cryptographie [article 21, paragraphe 2, point h), de la directive
            (UE) 2022/2555]
        es:
          name: "CRIPTOGRAF\xCDA [Art\xEDculo 21, Apartado 2, Letra H), de la directiva\
            \ (UE) 2022/2555]"
        cs:
          name: "Kryptografie (\u010Dl. 21 odst. 2 p\xEDsm. h) sm\u011Brnice (EU)\
            \ 2022/2555)"
        it:
          name: CRITTOGRAFIA [ARTICOLO 21, PARAGRAFO 2, LETTERA H), DELLA DIRETTIVA
            (UE) 2022/2555]
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:9.1
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:9
      ref_id: '9.1'
      description: "For the purpose of Article 21(2), point (h) of Directive (EU)\
        \ 2022/2555, the relevant entities shall establish, implement and apply a\
        \ policy and procedures related to cryptography, with a view to ensuring adequate\
        \ and effective use of cryptography to protect the confidentiality, authenticity\
        \ and integrity of data in line with the relevant entities\u2019 asset classification\
        \ and the results of the risk assessment carried out pursuant to point 2.1."
      annotation: "\u2022 Ensure that the comprehensive policy and procedures related\
        \ to cryptography are in line with relevant regulations and state-of-the-art\
        \ standards (83).\n\n(83) Non-exhaustive list of standards: \n\u2022 NIST\
        \ special publications: SP 800-175A, SP 800-175B, SP 800-56A/B, SP 800-57;\
        \ \n\u2022 Federal Information Processing Standards 197, 202, 186-4; \n\u2022\
        \ ISO/IEC: 19790, 18033; \n\u2022 BSI TR-02102-1 \u2018Cryptographic Mechanisms:\
        \ Recommendations and Key Lengths\u2019, Version: 2025-1, January 31, 2025."
      typical_evidence: "\u2022 Documented policy on cryptography and procedures related\
        \ to cryptography."
      translations:
        fr:
          description: "Aux fins de l\u2019article 21, paragraphe 2, point h), de\
            \ la directive (UE) 2022/2555, les entit\xE9s concern\xE9es \xE9tablissent,\
            \ mettent en \u0153uvre et appliquent une politique et des proc\xE9dures\
            \ relatives \xE0 la cryptographie, en vue de garantir une utilisation\
            \ ad\xE9quate et efficace de la cryptographie afin de prot\xE9ger la confidentialit\xE9\
            , l\u2019authenticit\xE9 et l\u2019int\xE9grit\xE9 des donn\xE9es conform\xE9\
            ment \xE0 la classification des actifs des entit\xE9s concern\xE9es et\
            \ aux r\xE9sultats de l\u2019\xE9valuation des risques effectu\xE9e conform\xE9\
            ment au point 2.1."
          annotation: "\u2022 Veiller \xE0 ce que la politique et les proc\xE9dures\
            \ globales relatives \xE0 la cryptographie soient conformes aux r\xE9\
            glementations pertinentes et aux normes les plus r\xE9centes (83).\n\n\
            (83) Liste non exhaustive de normes\_: \n\u2022 Publications sp\xE9ciales\
            \ du NIST : SP 800-175A, SP 800-175B, SP 800-56A/B, SP 800-57 ; \n\u2022\
            \ Normes f\xE9d\xE9rales de traitement de l\u2019information 197, 202,\
            \ 186-4 ; \n\u2022 ISO/CEI : 19790, 18033 ; \n\u2022 BSI TR-02102-1 \xAB\
            \ M\xE9canismes cryptographiques : recommandations et longueurs de cl\xE9\
            \ \xBB, version : 2025-1, 31 janvier 2025."
          typical_evidence: "\u2022 Politique document\xE9e sur la cryptographie et\
            \ les proc\xE9dures li\xE9es \xE0 la cryptographie."
        es:
          description: "A los efectos del art\xEDculo 21, apartado 2, letra h), de\
            \ la Directiva (UE) 2022/2555, las entidades pertinentes establecer\xE1\
            n, llevar\xE1n a la pr\xE1ctica y aplicar\xE1n orientaciones y procedimientos\
            \ relativos a la criptograf\xEDa, con el objetivo de asegurar un uso adecuado\
            \ y eficaz de la misma para proteger la confidencialidad, autenticidad\
            \ e integridad de la informaci\xF3n en consonancia con la clasificaci\xF3\
            n de activos de las entidades pertinentes y los resultados de la evaluaci\xF3\
            n de riesgos realizada de conformidad con el punto 2.1."
          annotation: "\u2022 Garantizar que la pol\xEDtica y los procedimientos exhaustivos\
            \ relacionados con la criptograf\xEDa est\xE9n en consonancia con los\
            \ reglamentos pertinentes y las normas m\xE1s avanzadas (83).\n\n(83)\
            \ Lista no exhaustiva de normas: \n\u2022 Publicaciones especiales del\
            \ NIST: SP 800-175A, SP 800-175B, SP 800-56A/B, SP 800-57; \n\u2022 Normas\
            \ Federales de Procesamiento de Informaci\xF3n 197, 202, 186-4; \n\u2022\
            \ ISO/CEI: 19790, 18033; \n\u2022 BSI TR-02102-1 'Mecanismos criptogr\xE1\
            ficos: recomendaciones y longitudes de clave', versi\xF3n: 2025-1, 31\
            \ de enero de 2025."
          typical_evidence: "\u2022 Pol\xEDtica documentada sobre criptograf\xEDa\
            \ y procedimientos relacionados con la criptograf\xEDa."
        cs:
          description: "Pro \xFA\u010Dely \u010Dl. 21 odst. 2 p\xEDsm. h) sm\u011B\
            rnice (EU) 2022/2555 p\u0159\xEDslu\u0161n\xE9 subjekty stanov\xED, zavedou\
            \ a uplat\u0148uj\xED politiku a postupy t\xFDkaj\xEDc\xED se kryptografie\
            \ s c\xEDlem zajistit p\u0159im\u011B\u0159en\xE9 a \xFA\u010Dinn\xE9\
            \ pou\u017E\xEDv\xE1n\xED kryptografie k ochran\u011B d\u016Fv\u011Brnosti,\
            \ autenticity a integrity informac\xED v souladu s klasifikac\xED aktiv\
            \ p\u0159\xEDslu\u0161n\xFDch subjekt\u016F a v\xFDsledky posouzen\xED\
            \ rizik proveden\xE9ho podle bodu 2.1."
          annotation: "\u2022 Zajistit, aby komplexn\xED politika a postupy t\xFD\
            kaj\xEDc\xED se kryptografie byly v souladu s p\u0159\xEDslu\u0161n\xFD\
            mi p\u0159edpisy a nejmodern\u011Bj\u0161\xEDmi normami (83).\n\n(83)\
            \ Ne\xFApln\xFD seznam norem: \n\u2022 Speci\xE1ln\xED publikace NIST:\
            \ SP 800-175A, SP 800-175B, SP 800-56A/B, SP 800-57; \n\u2022 Feder\xE1\
            ln\xED standardy zpracov\xE1n\xED informac\xED 197, 202, 186-4; \n\u2022\
            \ ISO/IEC: 19790, 18033; \n\u2022 BSI TR-02102-1 \"Kryptografick\xE9 mechanismy:\
            \ doporu\u010Den\xED a d\xE9lky kl\xED\u010D\u016F\", verze: 2025-1, 31.\
            \ ledna 2025."
          typical_evidence: "\u2022 Zdokumentovan\xE9 z\xE1sady t\xFDkaj\xEDc\xED\
            \ se kryptografie a postup\u016F souvisej\xEDc\xEDch s kryptografi\xED\
            ."
        it:
          description: "Ai fini dell'articolo 21, paragrafo 2, lettera h), della direttiva\
            \ (UE) 2022/2555, i soggetti pertinenti stabiliscono, attuano e applicano\
            \ una politica e procedure relative alla crittografia, al fine di garantire\
            \ un uso adeguato ed efficace della crittografia per proteggere la riservatezza,\
            \ l'autenticit\xE0 e l'integrit\xE0 dei dati in linea con la classificazione\
            \ delle attivit\xE0 dei soggetti pertinenti e con i risultati della valutazione\
            \ del rischio effettuata a norma del punto 2.1."
          annotation: "\u2022 Garantire che la politica e le procedure complete relative\
            \ alla crittografia siano in linea con le normative pertinenti e le norme\
            \ all'avanguardia (83).\n\n(83) Elenco non esaustivo delle norme: \n\u2022\
            \ Pubblicazioni speciali NIST: SP 800-175A, SP 800-175B, SP 800-56A/B,\
            \ SP 800-57; \n\u2022 Standard federali per l'elaborazione delle informazioni\
            \ 197, 202, 186-4; \n\u2022 ISO/IEC: 19790, 18033; \n\u2022 BSI TR-02102-1\
            \ \"Meccanismi crittografici: raccomandazioni e lunghezze delle chiavi\"\
            , versione: 2025-1, 31 gennaio 2025."
          typical_evidence: "\u2022 Politica documentata sulla crittografia e procedure\
            \ relative alla crittografia."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:9.2
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:9
      ref_id: '9.2'
      description: 'The policy and procedures referred to in point 9.1 shall establish:'
      annotation: "\u2022 Ensure that the policy and procedures cover cryptographic\
        \ mechanisms, such as digital signatures (84) and hashes (85), to:\n    o\
        \ protect the confidentiality and integrity of data in transit and at rest;\n\
        \    o detect unauthorized changes to data at rest marked as critical; and\n\
        \    o ensure secure disposal of the data after its lawful use. \n\u2022 Set\
        \ up a mechanism (either manual or automated) for the selection, establishment\
        \ and management (including updating) of cryptographic keys. \n\u2022 Apply\
        \ encryption in sensitive information transfer (e.g. key generation and key\
        \ management). \n\u2022 Consider the encryption of electronic media that contain\
        \ confidential/sensitive information. \n\u2022 Ensure the confidentiality\
        \ and integrity of the data with cryptographic mechanisms, when, for example\
        \ (indicative, non-exhaustive list):\n    o sharing information;\n    o scanning\
        \ network traffic;\n    o using secure online (e.g. client-side cloud encryption)\
        \ and offline storage; and\n    o removing sensitive data from storage media.\
        \ \n\u2022 Maintain availability of information in the event of the loss of\
        \ cryptographic keys, for example by escrowing encryption keys. \n\u2022 Produce,\
        \ control and distribute symmetric and asymmetric cryptographic keys using\
        \ key management technology and processes. \n\u2022 Consider automated cryptographic\
        \ key management mechanisms to:\n    o generate keys for different cryptographic\
        \ systems and different applications;\n    o generate and obtaining public\
        \ key certificates;\n    o distribute keys to intended users; and\n    o deal\
        \ with compromised keys. \n\u2022 Keep logs of cryptographic key management\
        \ activities to ensure accountability, traceability and support for incident\
        \ response and audit activities. As a minimum, logging should include key\
        \ generation or renewal, key transmission and key destruction or revocation.\
        \ \n\u2022 Where applicable, key retrieval, archiving and storage activities\
        \ should also be logged, particularly in environments where manual handling\
        \ or high-assurance key protection is required. \n\u2022 Ensure the protection\
        \ of cryptographic keys against modification and loss. \n\u2022 Ensure the\
        \ protection of secret and private keys against unauthorized use and disclosure.\
        \ \n\u2022 Ensure the authenticity of public keys. \n\u2022 Physically protect\
        \ equipment used to generate, store and archive keys. \n\u2022 Limit the use\
        \ of ad hoc cryptographic processes. \n\u2022 Consider, where appropriate,\
        \ a cryptographic agility approach (86). Key features of this approach are:\n\
        \    o flexibility in algorithm selection;\n    o modular design of the architecture\
        \ whereby cryptographic components can be changed or updated independently\
        \ without affecting the entire system;\n    o regular updates and patching;\n\
        \    o compliance with the legislative frameworks and governance of the use\
        \ of cryptography within the entity\u2019s networks and information systems;\n\
        \    o future-proofing by considering quantum cryptographic algorithms. \n\
        \u2022 Consider evaluating the chosen encryption methods to verify that they\
        \ meet industry standards for secure methods (87).\n\n(84) Key digital signature\
        \ use case areas are (indicative, non-exhaustive list): document/software\
        \ code signing, authentication, data integrity and workflow automation and\
        \ compliance.\n(85) Use cases for the use of secure hash algorithms are (indicative,\
        \ non-exhaustive list): backup integrity, secure password storage, log integrity.\n\
        (86) Cryptographic agility, or crypto-agility, is the ability of a system\
        \ to quickly and seamlessly switch between different cryptographic algorithms\
        \ and protocols without significant changes to the system\u2019s infrastructure.\
        \ For example, the X.509 public key certificate system demonstrates crypto-\
        \ agility by allowing the use of different cryptographic parameters, such\
        \ as key types and hash algorithms. \n(87) For example NIST 800-175 and 800-57."
      typical_evidence: "\u2022 Documented policy on cryptography in line with relevant\
        \ regulations and state-of-the-art standards. \n\u2022 Documented guidelines\
        \ for encryption. \n\u2022 Acceptable encryption algorithms, key lengths,\
        \ protocols (88) or family of protocols (89) in line with the state of the\
        \ art. \n\u2022 Safeguards to protect the secrecy of secret (private) key(s)\
        \ in place. \n\u2022 Evidence of the existence of cryptographic mechanisms\
        \ that support ensuring the confidentiality and integrity of the data at rest\
        \ and in transit. \n\u2022 Evidence of the existence of a mechanism (either\
        \ manual or automated) for the establishment and management of cryptographic\
        \ keys. \n\u2022 Evidence of encryption implementation on various systems\
        \ (e.g. databases, files, communications). \n\u2022 Access control mechanisms\
        \ for cryptographic keys and encrypted data. \n\u2022 Verification that access\
        \ is restricted to authorized personnel and that actions related to cryptographic\
        \ keys are logged and monitored. \n\u2022 Assessments of cryptographic measures\
        \ for protecting data privacy. \n\u2022 Evidence of secure key generation.\
        \ \n\u2022 Internal or external audit reports focusing on cryptographic measures.\
        \ \n\u2022 Evidence that the entity follows cryptographic best practices,\
        \ including documentation of how new best practices are identified and incorporated.\n\
        \n(88) A cryptographic protocol is a set of rules and procedures that use\
        \ cryptographic algorithms to achieve specific security objectives in communication\
        \ and data exchange. Examples of such protocols are secure sockets layer /\
        \ transport layer security (SSL/TLS) and secure shell protocol (SSH).\n(89)\
        \ A family of cryptographic protocols is a group of related protocols that\
        \ share common cryptographic techniques and principles to achieve various\
        \ security objectives. Examples are (a) key establishment (e.g. Diffie-Helman\
        \ and RSA), (b) identification (e.g. Kerberos), (c) message authentication\
        \ (e.g. hash-based message authentication code), (d) secret sharing (e.g.\
        \ Shamir\u2019s Secret Sharing) and (e) zero knowledge proof (e.g. Schnorr)\
        \ protocols."
      translations:
        fr:
          description: "La politique et les proc\xE9dures vis\xE9es au point 9.1 \xE9\
            tablissent:"
          annotation: "\u2022 Veiller \xE0 ce que la politique et les proc\xE9dures\
            \ couvrent les m\xE9canismes cryptographiques, tels que les signatures\
            \ num\xE9riques (84) et les hachages (85), pour :\n    o prot\xE9ger la\
            \ confidentialit\xE9 et l'int\xE9grit\xE9 des donn\xE9es en transit et\
            \ au repos ;\n    o d\xE9tecter les modifications non autoris\xE9es des\
            \ donn\xE9es au repos marqu\xE9es comme critiques ; et\n    o assurer\
            \ l'\xE9limination s\xE9curis\xE9e des donn\xE9es apr\xE8s leur utilisation\
            \ l\xE9gale.\n\u2022 Mettre en place un m\xE9canisme (manuel ou automatis\xE9\
            ) pour la s\xE9lection, l'\xE9tablissement et la gestion (y compris la\
            \ mise \xE0 jour) des cl\xE9s cryptographiques. \n\u2022 Appliquer le\
            \ chiffrement au transfert d'informations sensibles (par exemple, g\xE9\
            n\xE9ration et gestion des cl\xE9s). \n\u2022 Envisager le cryptage des\
            \ supports \xE9lectroniques contenant des informations confidentielles/sensibles.\
            \ \n\u2022 Garantir la confidentialit\xE9 et l'int\xE9grit\xE9 des donn\xE9\
            es \xE0 l'aide de m\xE9canismes cryptographiques, par exemple (liste indicative\
            \ et non exhaustive) :\n    o en partageant des informations ;\n    o\
            \ en analysant le trafic r\xE9seau ;\n    o en utilisant un stockage s\xE9\
            curis\xE9 en ligne (par exemple, le cryptage du nuage c\xF4t\xE9 client)\
            \ et hors ligne ; et\n    o en supprimant les donn\xE9es sensibles des\
            \ supports de stockage.\n\u2022 Maintenir la disponibilit\xE9 des informations\
            \ en cas de perte des cl\xE9s cryptographiques, par exemple en mettant\
            \ sous s\xE9questre les cl\xE9s de chiffrement. \n\u2022 Produire, contr\xF4\
            ler et distribuer des cl\xE9s cryptographiques sym\xE9triques et asym\xE9\
            triques \xE0 l'aide de technologies et de processus de gestion des cl\xE9\
            s. \n\u2022 Envisager des m\xE9canismes automatis\xE9s de gestion des\
            \ cl\xE9s cryptographiques pour :\n    o g\xE9n\xE9rer des cl\xE9s pour\
            \ diff\xE9rents syst\xE8mes cryptographiques et diff\xE9rentes applications\
            \ ;\n    o g\xE9n\xE9rer et obtenir des certificats de cl\xE9 publique\
            \ ;\n    o distribuer des cl\xE9s aux utilisateurs pr\xE9vus ; et\n  \
            \  o traiter les cl\xE9s compromises.\n\u2022 Conserver des journaux des\
            \ activit\xE9s de gestion des cl\xE9s cryptographiques afin de garantir\
            \ la responsabilit\xE9, la tra\xE7abilit\xE9 et la prise en charge des\
            \ interventions en cas d'incident et des activit\xE9s d'audit. Au minimum,\
            \ la journalisation doit porter sur la g\xE9n\xE9ration ou le renouvellement\
            \ des cl\xE9s, leur transmission et leur destruction ou r\xE9vocation.\
            \ \n\u2022 Le cas \xE9ch\xE9ant, les activit\xE9s de r\xE9cup\xE9ration,\
            \ d'archivage et de stockage des cl\xE9s doivent \xE9galement \xEAtre\
            \ consign\xE9es, en particulier dans les environnements n\xE9cessitant\
            \ une manipulation manuelle ou une protection des cl\xE9s \xE0 haut niveau\
            \ d'assurance. \n\u2022 Assurer la protection des cl\xE9s cryptographiques\
            \ contre la modification et la perte. \n\u2022 Assurer la protection des\
            \ cl\xE9s secr\xE8tes et priv\xE9es contre l'utilisation et la divulgation\
            \ non autoris\xE9es. \n\u2022 Garantir l'authenticit\xE9 des cl\xE9s publiques.\
            \ \n\u2022 Prot\xE9ger physiquement les \xE9quipements utilis\xE9s pour\
            \ g\xE9n\xE9rer, stocker et archiver les cl\xE9s. \n\u2022 Limiter l'utilisation\
            \ de proc\xE9d\xE9s cryptographiques ad hoc. \n\u2022 Envisager, le cas\
            \ \xE9ch\xE9ant, une approche d'agilit\xE9 cryptographique (86). Les principales\
            \ caract\xE9ristiques de cette approche sont les suivantes :\n    o souplesse\
            \ dans le choix des algorithmes ;\n    o conception modulaire de l'architecture,\
            \ les composants cryptographiques pouvant \xEAtre modifi\xE9s ou mis \xE0\
            \ jour ind\xE9pendamment sans affecter l'ensemble du syst\xE8me ;\n  \
            \  o mises \xE0 jour et correctifs r\xE9guliers ;\n    o conformit\xE9\
            \ avec les cadres l\xE9gislatifs et la gouvernance de l'utilisation de\
            \ la cryptographie dans les r\xE9seaux et les syst\xE8mes d'information\
            \ de l'entit\xE9 ;\n    o pr\xE9paration de l'avenir en envisageant des\
            \ algorithmes de cryptographie quantique.\n\u2022 Envisager d'\xE9valuer\
            \ les m\xE9thodes de chiffrement choisies pour v\xE9rifier qu'elles r\xE9\
            pondent aux normes industrielles en mati\xE8re de m\xE9thodes s\xE9curis\xE9\
            es (87).\n\n(84) Les principaux cas d'utilisation de la signature num\xE9\
            rique sont (liste indicative et non exhaustive) : la signature de documents/de\
            \ codes de logiciels, l'authentification, l'int\xE9grit\xE9 des donn\xE9\
            es, l'automatisation des flux de travail et la conformit\xE9.\n(85) Les\
            \ cas d'utilisation des algorithmes de hachage s\xE9curis\xE9s sont (liste\
            \ indicative non exhaustive) : int\xE9grit\xE9 des sauvegardes, stockage\
            \ s\xE9curis\xE9 des mots de passe, int\xE9grit\xE9 des journaux.\n(86)\
            \ L'agilit\xE9 cryptographique, ou crypto-agilit\xE9, est la capacit\xE9\
            \ d'un syst\xE8me \xE0 passer rapidement et de mani\xE8re transparente\
            \ d'un algorithme et d'un protocole cryptographique \xE0 l'autre sans\
            \ modification importante de l'infrastructure du syst\xE8me. Par exemple,\
            \ le syst\xE8me de certificats de cl\xE9 publique X.509 fait preuve de\
            \ crypto-agilit\xE9 en permettant l'utilisation de diff\xE9rents param\xE8\
            tres cryptographiques, tels que les types de cl\xE9s et les algorithmes\
            \ de hachage. \n(87) Par exemple NIST 800-175 et 800-57."
          typical_evidence: "\u2022 Politique document\xE9e en mati\xE8re de cryptographie\
            \ conform\xE9ment aux r\xE9glementations en vigueur et aux normes de pointe.\
            \ \n\u2022 Directives document\xE9es pour le cryptage. \n\u2022 Algorithmes\
            \ de chiffrement, longueurs de cl\xE9, protocoles (88) ou familles de\
            \ protocoles (89) acceptables, conform\xE9ment \xE0 l\u2019\xE9tat de\
            \ l\u2019art. \n\u2022 Des mesures de protection pour prot\xE9ger le secret\
            \ des cl\xE9s secr\xE8tes (priv\xE9es) en place. \n\u2022 La preuve de\
            \ l\u2019existence de m\xE9canismes cryptographiques permettant d\u2019\
            assurer la confidentialit\xE9 et l\u2019int\xE9grit\xE9 des donn\xE9es\
            \ au repos et en transit. \n\u2022 La preuve de l\u2019existence d\u2019\
            un m\xE9canisme (manuel ou automatis\xE9) d\u2019\xE9tablissement et de\
            \ gestion des cl\xE9s cryptographiques. \n\u2022 Preuve de la mise en\
            \ \u0153uvre du cryptage sur divers syst\xE8mes (par exemple, bases de\
            \ donn\xE9es, fichiers, communications). \n\u2022 M\xE9canismes de contr\xF4\
            le d\u2019acc\xE8s aux cl\xE9s cryptographiques et aux donn\xE9es chiffr\xE9\
            es. \n\u2022 V\xE9rification que l\u2019acc\xE8s est limit\xE9 au personnel\
            \ autoris\xE9 et que les actions li\xE9es aux cl\xE9s cryptographiques\
            \ sont enregistr\xE9es et surveill\xE9es. \n\u2022 \xC9valuations des\
            \ mesures cryptographiques pour la protection de la confidentialit\xE9\
            \ des donn\xE9es. \n\u2022 Preuve de g\xE9n\xE9ration de cl\xE9s s\xE9\
            curis\xE9es. \n\u2022 Rapports d\u2019audit interne ou externe portant\
            \ sur les mesures cryptographiques. \n\u2022 Preuve que l\u2019entit\xE9\
            \ suit les meilleures pratiques cryptographiques, y compris la documentation\
            \ sur la mani\xE8re dont les nouvelles meilleures pratiques sont identifi\xE9\
            es et int\xE9gr\xE9es.\n\n(88) Un protocole cryptographique est un ensemble\
            \ de r\xE8gles et de proc\xE9dures qui utilisent des algorithmes cryptographiques\
            \ pour atteindre des objectifs de s\xE9curit\xE9 sp\xE9cifiques dans les\
            \ domaines de la communication et de l\u2019\xE9change de donn\xE9es.\
            \ Des exemples de tels protocoles sont SSL/TLS (Secure Sockets Layer Layer\
            \ Security) et SSH (Secure Shell Protocol).\n(89) Une famille de protocoles\
            \ cryptographiques est un groupe de protocoles apparent\xE9s qui partagent\
            \ des techniques et des principes cryptographiques communs pour atteindre\
            \ divers objectifs de s\xE9curit\xE9. Des exemples sont (a) l\u2019\xE9\
            tablissement de cl\xE9s (par exemple, Diffie-Helman et RSA), (b) l\u2019\
            identification (par exemple, Kerberos), (c) l\u2019authentification des\
            \ messages (par exemple, le code d\u2019authentification des messages\
            \ bas\xE9 sur le hachage), (d) le partage de secrets (par exemple, le\
            \ partage de secrets de Shamir) et (e) les protocoles de preuve \xE0 divulgation\
            \ de connaissance nulle (par exemple, Schnorr)."
        es:
          description: "Las orientaciones y procedimientos a que hace referencia el\
            \ punto 9.1 establecer\xE1n:"
          annotation: "\u2022 Garantizar que la pol\xEDtica y los procedimientos cubren\
            \ los mecanismos criptogr\xE1ficos, como las firmas digitales (84) y los\
            \ hashes (85), para:\n    o proteger la confidencialidad e integridad\
            \ de los datos en tr\xE1nsito y en reposo;\n    o detectar cambios no\
            \ autorizados en los datos en reposo marcados como cr\xEDticos; y\n  \
            \  o garantizar la eliminaci\xF3n segura de los datos tras su uso legal.\n\
            \u2022 Establecer un mecanismo (manual o automatizado) para la selecci\xF3\
            n, establecimiento y gesti\xF3n (incluida la actualizaci\xF3n) de claves\
            \ criptogr\xE1ficas. \n\u2022 Aplicar el cifrado en la transferencia de\
            \ informaci\xF3n sensible (por ejemplo, generaci\xF3n y gesti\xF3n de\
            \ claves). \n\u2022 Considerar el cifrado de soportes electr\xF3nicos\
            \ que contengan informaci\xF3n confidencial/sensible. \n\u2022 Garantizar\
            \ la confidencialidad e integridad de los datos con mecanismos criptogr\xE1\
            ficos, cuando, por ejemplo (lista indicativa, no exhaustiva):\n    o se\
            \ comparta informaci\xF3n;\n    o se analice el tr\xE1fico de red;\n \
            \   o se utilice almacenamiento seguro en l\xEDnea (por ejemplo, cifrado\
            \ en la nube del lado del cliente) y fuera de l\xEDnea; y\n    o se eliminen\
            \ datos sensibles de los medios de almacenamiento.\n\u2022 Mantener la\
            \ disponibilidad de la informaci\xF3n en caso de p\xE9rdida de claves\
            \ criptogr\xE1ficas, por ejemplo, custodiando las claves de cifrado. \n\
            \u2022 Producir, controlar y distribuir claves criptogr\xE1ficas sim\xE9\
            tricas y asim\xE9tricas utilizando tecnolog\xEDa y procesos de gesti\xF3\
            n de claves. \n\u2022 Considerar mecanismos automatizados de gesti\xF3\
            n de claves criptogr\xE1ficas para:\n    o generar claves para diferentes\
            \ sistemas criptogr\xE1ficos y diferentes aplicaciones;\n    o generar\
            \ y obtener certificados de clave p\xFAblica;\n    o distribuir claves\
            \ a los usuarios previstos; y\n    o tratar las claves comprometidas.\n\
            \u2022 Mantener registros de las actividades de gesti\xF3n de claves criptogr\xE1\
            ficas para garantizar la responsabilidad, la trazabilidad y el apoyo a\
            \ las actividades de respuesta a incidentes y auditor\xEDa. Como m\xED\
            nimo, los registros deben incluir la generaci\xF3n o renovaci\xF3n de\
            \ claves, la transmisi\xF3n de claves y la destrucci\xF3n o revocaci\xF3\
            n de claves. \n\u2022 Cuando proceda, tambi\xE9n deber\xE1n registrarse\
            \ las actividades de recuperaci\xF3n, archivo y almacenamiento de claves,\
            \ especialmente en entornos en los que se requiera una manipulaci\xF3\
            n manual o una protecci\xF3n de claves de alta seguridad. \n\u2022 Garantizar\
            \ la protecci\xF3n de las claves criptogr\xE1ficas contra modificaciones\
            \ y p\xE9rdidas. \n\u2022 Garantizar la protecci\xF3n de las claves secretas\
            \ y privadas contra el uso y la divulgaci\xF3n no autorizados. \n\u2022\
            \ Garantizar la autenticidad de las claves p\xFAblicas. \n\u2022 Proteger\
            \ f\xEDsicamente los equipos utilizados para generar, almacenar y archivar\
            \ claves. \n\u2022 Limitar el uso de procesos criptogr\xE1ficos ad hoc.\
            \ \n\u2022 Considerar, en su caso, un enfoque de agilidad criptogr\xE1\
            fica (86). Las caracter\xEDsticas clave de este enfoque son:\n    o flexibilidad\
            \ en la selecci\xF3n de algoritmos;\n    o dise\xF1o modular de la arquitectura\
            \ por el que los componentes criptogr\xE1ficos puedan cambiarse o actualizarse\
            \ independientemente sin afectar a todo el sistema;\n    o actualizaciones\
            \ y parches peri\xF3dicos;\n    o conformidad con los marcos legislativos\
            \ y la gobernanza del uso de la criptograf\xEDa en las redes y sistemas\
            \ de informaci\xF3n de la entidad;\n    o preparaci\xF3n para el futuro\
            \ considerando algoritmos criptogr\xE1ficos cu\xE1nticos.\n\u2022 Considerar\
            \ la posibilidad de evaluar los m\xE9todos de cifrado elegidos para verificar\
            \ que cumplen las normas del sector en materia de m\xE9todos seguros (87).\n\
            \n(84) Las principales \xE1reas de uso de la firma digital son (lista\
            \ indicativa, no exhaustiva): firma de c\xF3digo de documentos/software,\
            \ autenticaci\xF3n, integridad de datos y automatizaci\xF3n y cumplimiento\
            \ del flujo de trabajo.\n(85) Los casos de uso de algoritmos hash seguros\
            \ son (lista indicativa, no exhaustiva): integridad de las copias de seguridad,\
            \ almacenamiento seguro de contrase\xF1as, integridad de los registros.\n\
            (86) La agilidad criptogr\xE1fica, o criptoagilidad, es la capacidad de\
            \ un sistema para cambiar r\xE1pidamente y sin problemas entre diferentes\
            \ algoritmos y protocolos criptogr\xE1ficos sin cambios significativos\
            \ en la infraestructura del sistema. Por ejemplo, el sistema de certificados\
            \ de clave p\xFAblica X.509 demuestra la criptoagilidad al permitir el\
            \ uso de diferentes par\xE1metros criptogr\xE1ficos, como tipos de clave\
            \ y algoritmos hash. \n(87) Por ejemplo, NIST 800-175 y 800-57."
          typical_evidence: "\u2022 Pol\xEDtica documentada sobre criptograf\xEDa\
            \ en l\xEDnea con las regulaciones relevantes y los est\xE1ndares m\xE1\
            s avanzados. \n\u2022 Directrices documentadas para el cifrado. \n\u2022\
            \ Algoritmos de cifrado, longitudes de clave, protocolos (88) o familia\
            \ de protocolos (89) aceptables en l\xEDnea con el estado de la t\xE9\
            cnica. \n\u2022 Salvaguardas para proteger la confidencialidad de las\
            \ claves secretas (privadas) en su lugar. \n\u2022 Evidencia de la existencia\
            \ de mecanismos criptogr\xE1ficos que apoyen asegurar la confidencialidad\
            \ e integridad de los datos en reposo y en tr\xE1nsito. \n\u2022 Evidencia\
            \ de la existencia de un mecanismo (manual o automatizado) para el establecimiento\
            \ y gesti\xF3n de claves criptogr\xE1ficas. \n\u2022 Evidencia de la implementaci\xF3\
            n de cifrado en varios sistemas (por ejemplo, bases de datos, archivos,\
            \ comunicaciones). \n\u2022 Mecanismos de control de acceso a claves criptogr\xE1\
            ficas y datos cifrados. \n\u2022 Verificaci\xF3n de que el acceso est\xE9\
            \ restringido al personal autorizado y que las acciones relacionadas con\
            \ las claves criptogr\xE1ficas se registren y supervisen. \n\u2022 Evaluaciones\
            \ de medidas criptogr\xE1ficas para proteger la privacidad de los datos.\
            \ \n\u2022 Evidencia de generaci\xF3n de claves seguras. \n\u2022 Informes\
            \ de auditor\xEDa interna o externa centrados en medidas criptogr\xE1\
            ficas. \n\u2022 Evidencia de que la entidad sigue las mejores pr\xE1cticas\
            \ criptogr\xE1ficas, incluida la documentaci\xF3n de c\xF3mo se identifican\
            \ e incorporan las nuevas mejores pr\xE1cticas.\n\n(88) Un protocolo criptogr\xE1\
            fico es un conjunto de normas y procedimientos que utilizan algoritmos\
            \ criptogr\xE1ficos para alcanzar objetivos espec\xEDficos de seguridad\
            \ en la comunicaci\xF3n y el intercambio de datos. Ejemplos de estos protocolos\
            \ son la capa de sockets seguros/seguridad de la capa de transporte (SSL/TLS)\
            \ y el protocolo de shell seguro (SSH).\n(89) Una familia de protocolos\
            \ criptogr\xE1ficos es un grupo de protocolos relacionados que comparten\
            \ t\xE9cnicas y principios criptogr\xE1ficos comunes para alcanzar diversos\
            \ objetivos de seguridad. Algunos ejemplos son (a) el establecimiento\
            \ de claves (por ejemplo, Diffie-Helman y RSA), (b) la identificaci\xF3\
            n (por ejemplo, Kerberos), (c) la autenticaci\xF3n de mensajes (por ejemplo,\
            \ el c\xF3digo de autenticaci\xF3n de mensajes basado en hash), (d) el\
            \ intercambio de secretos (por ejemplo, Shamir's Secret Sharing) y (e)\
            \ los protocolos de prueba de conocimiento cero (por ejemplo, Schnorr)."
        cs:
          description: "Politika a postupy uveden\xE9 v bod\u011B 9.1 stanov\xED:"
          annotation: "\u2022 Zajist\u011Bte, aby z\xE1sady a postupy zahrnovaly kryptografick\xE9\
            \ mechanismy, jako jsou digit\xE1ln\xED podpisy (84) a hashe (85), kter\xE9\
            :\n    o chr\xE1n\xED d\u016Fv\u011Brnost a integritu dat p\u0159i p\u0159\
            enosu a v klidov\xE9m stavu;\n    o odhaluj\xED neopr\xE1vn\u011Bn\xE9\
            \ zm\u011Bny dat v klidov\xE9m stavu ozna\u010Den\xFDch jako kritick\xE1\
            ; a\n    o zaji\u0161\u0165uj\xED bezpe\u010Dnou likvidaci dat po jejich\
            \ z\xE1konn\xE9m pou\u017Eit\xED.\n\u2022 Nastavte mechanismus (manu\xE1\
            ln\xED nebo automatizovan\xFD) pro v\xFDb\u011Br, zaveden\xED a spr\xE1\
            vu (v\u010Detn\u011B aktualizace) kryptografick\xFDch kl\xED\u010D\u016F\
            . \n\u2022 Pou\u017E\xEDvejte \u0161ifrov\xE1n\xED p\u0159i p\u0159enosu\
            \ citliv\xFDch informac\xED (nap\u0159. generov\xE1n\xED a spr\xE1va kl\xED\
            \u010D\u016F). \n\u2022 Zva\u017Ete \u0161ifrov\xE1n\xED elektronick\xFD\
            ch m\xE9di\xED, kter\xE1 obsahuj\xED d\u016Fv\u011Brn\xE9/citliv\xE9 informace.\
            \ \n\u2022 Zajist\u011Bte d\u016Fv\u011Brnost a integritu dat pomoc\xED\
            \ kryptografick\xFDch mechanism\u016F, nap\u0159\xEDklad p\u0159i (orienta\u010D\
            n\xED, ne\xFApln\xFD seznam):\n    o sd\xEDlen\xED informac\xED;\n   \
            \ o skenov\xE1n\xED s\xED\u0165ov\xE9ho provozu;\n    o pou\u017E\xED\
            v\xE1n\xED bezpe\u010Dn\xE9ho online (nap\u0159. \u0161ifrov\xE1n\xED\
            \ v cloudu na stran\u011B klienta) a offline \xFAlo\u017Ei\u0161t\u011B\
            \ a\n    o odstra\u0148ov\xE1n\xED citliv\xFDch dat z pam\u011B\u0165\
            ov\xFDch m\xE9di\xED.\n\u2022 Zachov\xE1n\xED dostupnosti informac\xED\
            \ v p\u0159\xEDpad\u011B ztr\xE1ty kryptografick\xFDch kl\xED\u010D\u016F\
            , nap\u0159\xEDklad ulo\u017Een\xEDm \u0161ifrovac\xEDch kl\xED\u010D\u016F\
            . \n\u2022 Vytv\xE1\u0159et, kontrolovat a distribuovat symetrick\xE9\
            \ a asymetrick\xE9 kryptografick\xE9 kl\xED\u010De pomoc\xED technologie\
            \ a proces\u016F spr\xE1vy kl\xED\u010D\u016F. \n\u2022 Zva\u017Ete automatizovan\xE9\
            \ mechanismy spr\xE1vy kryptografick\xFDch kl\xED\u010D\u016F pro:\n \
            \   o generov\xE1n\xED kl\xED\u010D\u016F pro r\u016Fzn\xE9 kryptografick\xE9\
            \ syst\xE9my a r\u016Fzn\xE9 aplikace;\n    o generov\xE1n\xED a z\xED\
            sk\xE1v\xE1n\xED certifik\xE1t\u016F ve\u0159ejn\xFDch kl\xED\u010D\u016F\
            ;\n    o distribuci kl\xED\u010D\u016F ur\u010Den\xFDm u\u017Eivatel\u016F\
            m; a\n    o \u0159e\u0161en\xED kompromitovan\xFDch kl\xED\u010D\u016F\
            .\n\u2022 Uchov\xE1vejte protokoly o \u010Dinnostech spr\xE1vy kryptografick\xFD\
            ch kl\xED\u010D\u016F, abyste zajistili odpov\u011Bdnost, sledovatelnost\
            \ a podporu pro reakci na incidenty a auditn\xED \u010Dinnosti. Protokolov\xE1\
            n\xED by m\u011Blo zahrnovat minim\xE1ln\u011B generov\xE1n\xED nebo obnoven\xED\
            \ kl\xED\u010De, p\u0159ed\xE1n\xED kl\xED\u010De a zni\u010Den\xED nebo\
            \ odvol\xE1n\xED kl\xED\u010De. \n\u2022 P\u0159\xEDpadn\u011B by se m\u011B\
            ly zaznamen\xE1vat tak\xE9 \u010Dinnosti spojen\xE9 s vyhled\xE1v\xE1\
            n\xEDm, archivac\xED a ukl\xE1d\xE1n\xEDm kl\xED\u010D\u016F, zejm\xE9\
            na v prost\u0159ed\xEDch, kde je vy\u017Eadov\xE1na ru\u010Dn\xED manipulace\
            \ nebo vysoce spolehliv\xE1 ochrana kl\xED\u010D\u016F. \n\u2022 Zajist\u011B\
            te ochranu kryptografick\xFDch kl\xED\u010D\u016F proti modifikaci a ztr\xE1\
            t\u011B. \n\u2022 Zajist\u011Bte ochranu tajn\xFDch a soukrom\xFDch kl\xED\
            \u010D\u016F proti neopr\xE1vn\u011Bn\xE9mu pou\u017Eit\xED a vyzrazen\xED\
            . \n\u2022 Zajist\u011Bte pravost ve\u0159ejn\xFDch kl\xED\u010D\u016F\
            . \n\u2022 Fyzicky chr\xE1nit za\u0159\xEDzen\xED pou\u017E\xEDvan\xE9\
            \ ke generov\xE1n\xED, ukl\xE1d\xE1n\xED a archivaci kl\xED\u010D\u016F\
            . \n\u2022 Omezte pou\u017E\xEDv\xE1n\xED kryptografick\xFDch proces\u016F\
            \ ad hoc. \n\u2022 V p\u0159\xEDpad\u011B pot\u0159eby zva\u017Ete p\u0159\
            \xEDstup kryptografick\xE9 agility (86). Kl\xED\u010Dov\xFDmi rysy tohoto\
            \ p\u0159\xEDstupu jsou:\n    o flexibilita p\u0159i v\xFDb\u011Bru algoritm\u016F\
            ;\n    o modul\xE1rn\xED n\xE1vrh architektury, kdy lze kryptografick\xE9\
            \ komponenty m\u011Bnit nebo aktualizovat nez\xE1visle na sob\u011B, ani\u017E\
            \ by to ovlivnilo cel\xFD syst\xE9m;\n    o pravideln\xE9 aktualizace\
            \ a z\xE1platov\xE1n\xED;\n    o soulad s legislativn\xEDmi r\xE1mci a\
            \ \u0159\xEDzen\xEDm pou\u017E\xEDv\xE1n\xED kryptografie v r\xE1mci s\xED\
            t\xED a informa\u010Dn\xEDch syst\xE9m\u016F subjektu;\n    o zaji\u0161\
            t\u011Bn\xED budoucnosti zv\xE1\u017Een\xEDm kvantov\xFDch kryptografick\xFD\
            ch algoritm\u016F.\n\u2022 Zva\u017Ete vyhodnocen\xED zvolen\xFDch \u0161\
            ifrovac\xEDch metod, abyste ov\u011B\u0159ili, zda spl\u0148uj\xED pr\u016F\
            myslov\xE9 standardy pro bezpe\u010Dn\xE9 metody (87).\n\n(84) Kl\xED\u010D\
            ov\xE9 oblasti pou\u017Eit\xED digit\xE1ln\xEDho podpisu jsou (orienta\u010D\
            n\xED, ne\xFApln\xFD seznam): podepisov\xE1n\xED dokument\u016F/softwarov\xE9\
            ho k\xF3du, ov\u011B\u0159ov\xE1n\xED, integrita dat a automatizace a\
            \ dodr\u017Eov\xE1n\xED pracovn\xEDch postup\u016F.\n(85) P\u0159\xED\
            pady u\u017Eit\xED pro pou\u017Eit\xED bezpe\u010Dn\xFDch hashovac\xED\
            ch algoritm\u016F jsou (orienta\u010Dn\xED, ne\xFApln\xFD seznam): integrita\
            \ z\xE1lohov\xE1n\xED, bezpe\u010Dn\xE9 ukl\xE1d\xE1n\xED hesel, integrita\
            \ protokol\u016F.\n(86) Kryptografick\xE1 agilita neboli kryptoagilita\
            \ je schopnost syst\xE9mu rychle a plynule p\u0159ech\xE1zet mezi r\u016F\
            zn\xFDmi kryptografick\xFDmi algoritmy a protokoly bez v\xFDznamn\xFD\
            ch zm\u011Bn v infrastruktu\u0159e syst\xE9mu. Nap\u0159\xEDklad syst\xE9\
            m certifik\xE1t\u016F s ve\u0159ejn\xFDm kl\xED\u010Dem X.509 vykazuje\
            \ kryptoagilitu t\xEDm, \u017Ee umo\u017E\u0148uje pou\u017E\xEDvat r\u016F\
            zn\xE9 kryptografick\xE9 parametry, jako jsou typy kl\xED\u010D\u016F\
            \ a algoritmy hash. \n(87) Nap\u0159\xEDklad normy NIST 800-175 a 800-57."
          typical_evidence: "\u2022 Zdokumentovan\xE1 politika kryptografie v souladu\
            \ s p\u0159\xEDslu\u0161n\xFDmi p\u0159edpisy a nejmodern\u011Bj\u0161\
            \xEDmi standardy. \n\u2022 Zdokumentovan\xE9 pokyny pro \u0161ifrov\xE1\
            n\xED. \n\u2022 P\u0159ijateln\xE9 \u0161ifrovac\xED algoritmy, d\xE9\
            lky kl\xED\u010D\u016F, protokoly (88) nebo rodina protokol\u016F (89)\
            \ v souladu se sou\u010Dasn\xFDm stavem techniky. \n\u2022 Ochrann\xE1\
            \ opat\u0159en\xED na ochranu utajen\xED tajn\xFDch (soukrom\xFDch) kl\xED\
            \u010D\u016F na m\xEDst\u011B. \n\u2022 D\u016Fkazy o existenci kryptografick\xFD\
            ch mechanism\u016F, kter\xE9 podporuj\xED zaji\u0161t\u011Bn\xED d\u016F\
            v\u011Brnosti a integrity dat v klidu i p\u0159i p\u0159enosu. \n\u2022\
            \ D\u016Fkaz o existenci mechanismu (bu\u010F manu\xE1ln\xEDho nebo automatizovan\xE9\
            ho) pro vytvo\u0159en\xED a spr\xE1vu kryptografick\xFDch kl\xED\u010D\
            \u016F. \n\u2022 D\u016Fkaz implementace \u0161ifrov\xE1n\xED na r\u016F\
            zn\xFDch syst\xE9mech (nap\u0159. datab\xE1ze, soubory, komunikace). \n\
            \u2022 Mechanismy \u0159\xEDzen\xED p\u0159\xEDstupu pro kryptografick\xE9\
            \ kl\xED\u010De a \u0161ifrovan\xE1 data. \n\u2022 Ov\u011B\u0159en\xED\
            , \u017Ee p\u0159\xEDstup je omezen na opr\xE1vn\u011Bn\xE9 pracovn\xED\
            ky a \u017Ee jsou zaznamen\xE1v\xE1ny a monitorov\xE1ny akce souvisej\xED\
            c\xED s kryptografick\xFDmi kl\xED\u010Di. \n\u2022 Posouzen\xED kryptografick\xFD\
            ch opat\u0159en\xED pro ochranu osobn\xEDch \xFAdaj\u016F. \n\u2022 D\u016F\
            kaz o bezpe\u010Dn\xE9m generov\xE1n\xED kl\xED\u010De. \n\u2022 Intern\xED\
            \ nebo extern\xED auditn\xED zpr\xE1vy zam\u011B\u0159en\xE9 na kryptografick\xE1\
            \ opat\u0159en\xED. \n\u2022 D\u016Fkaz, \u017Ee subjekt dodr\u017Euje\
            \ kryptografick\xE9 osv\u011Bd\u010Den\xE9 postupy, v\u010Detn\u011B dokumentace\
            \ o tom, jak jsou identifikov\xE1ny a za\u010Dlen\u011Bny nov\xE9 osv\u011B\
            d\u010Den\xE9 postupy.\n\n(88) Kryptografick\xFD protokol je soubor pravidel\
            \ a postup\u016F, kter\xE9 pou\u017E\xEDvaj\xED kryptografick\xE9 algoritmy\
            \ k dosa\u017Een\xED konkr\xE9tn\xEDch bezpe\u010Dnostn\xEDch c\xEDl\u016F\
            \ v komunikaci a v\xFDm\u011Bn\u011B dat. P\u0159\xEDklady takov\xFDch\
            \ protokol\u016F jsou Secure Sockets Layer / Transport Layer Security\
            \ (SSL/TLS) a Secure Shell Protocol (SSH).\n(89) Rodina kryptografick\xFD\
            ch protokol\u016F je skupina souvisej\xEDc\xEDch protokol\u016F, kter\xE9\
            \ sd\xEDlej\xED spole\u010Dn\xE9 kryptografick\xE9 techniky a z\xE1sady\
            \ k dosa\u017Een\xED r\u016Fzn\xFDch bezpe\u010Dnostn\xEDch c\xEDl\u016F\
            . P\u0159\xEDklady jsou (a) nastaven\xED kl\xED\u010De (nap\u0159. Diffie-Helman\
            \ a RSA), (b) identifikace (nap\u0159. Kerberos), (c) autentizace zpr\xE1\
            vy (nap\u0159. ov\u011B\u0159ovac\xED k\xF3d zpr\xE1vy zalo\u017Een\xFD\
            \ na hashi), (d) sd\xEDlen\xED tajn\xFDch (nap\u0159. Shamir's Secret\
            \ Sharing) a (e) protokoly s nulovou znalost\xED (nap\u0159. Schnorr)."
        it:
          description: 'La politica e le procedure di cui al punto 9.1 stabiliscono:'
          annotation: "\u2022 Assicurarsi che la politica e le procedure coprano i\
            \ meccanismi crittografici, come le firme digitali (84) e gli hash (85),\
            \ per:\n    o proteggere la riservatezza e l'integrit\xE0 dei dati in\
            \ transito e a riposo;\n    o rilevare le modifiche non autorizzate ai\
            \ dati a riposo contrassegnati come critici; e\n    o garantire lo smaltimento\
            \ sicuro dei dati dopo il loro uso legittimo.\n\u2022 Predisporre un meccanismo\
            \ (manuale o automatizzato) per la selezione, la creazione e la gestione\
            \ (compreso l'aggiornamento) delle chiavi crittografiche. \n\u2022 Applicare\
            \ la crittografia nel trasferimento di informazioni sensibili (ad esempio,\
            \ generazione e gestione delle chiavi). \n\u2022 Considerare la crittografia\
            \ dei supporti elettronici che contengono informazioni riservate/sensibili.\
            \ \n\u2022 Garantire la riservatezza e l'integrit\xE0 dei dati con meccanismi\
            \ crittografici, ad esempio quando (elenco indicativo e non esaustivo):\n\
            \    o si condividono le informazioni;\n    o si analizza il traffico\
            \ di rete;\n    o si utilizza un'archiviazione sicura online (ad es. crittografia\
            \ cloud lato client) e offline; e\n    o si rimuovono i dati sensibili\
            \ dai supporti di archiviazione.\n\u2022 Mantenere la disponibilit\xE0\
            \ delle informazioni in caso di perdita delle chiavi crittografiche, ad\
            \ esempio conservando le chiavi di crittografia. \n\u2022 Produrre, controllare\
            \ e distribuire chiavi crittografiche simmetriche e asimmetriche utilizzando\
            \ tecnologie e processi di gestione delle chiavi. \n\u2022 Considerare\
            \ meccanismi di gestione automatizzata delle chiavi crittografiche per:\n\
            \    o generare chiavi per diversi sistemi crittografici e diverse applicazioni;\n\
            \    o generare e ottenere certificati di chiave pubblica;\n    o distribuire\
            \ le chiavi agli utenti previsti; e\n    o gestire le chiavi compromesse.\n\
            \u2022 Conservare i registri delle attivit\xE0 di gestione delle chiavi\
            \ crittografiche per garantire la responsabilit\xE0, la tracciabilit\xE0\
            \ e il supporto alle attivit\xE0 di risposta agli incidenti e di revisione.\
            \ Come minimo, i registri devono includere la generazione o il rinnovo\
            \ delle chiavi, la trasmissione delle chiavi e la loro distruzione o revoca.\
            \ \n\u2022 Se del caso, devono essere registrate anche le attivit\xE0\
            \ di recupero, archiviazione e conservazione delle chiavi, in particolare\
            \ negli ambienti in cui \xE8 richiesta una gestione manuale o una protezione\
            \ delle chiavi ad alta sicurezza. \n\u2022 Garantire la protezione delle\
            \ chiavi crittografiche contro la modifica e la perdita. \n\u2022 Garantire\
            \ la protezione delle chiavi segrete e private contro l'uso e la divulgazione\
            \ non autorizzati. \n\u2022 Garantire l'autenticit\xE0 delle chiavi pubbliche.\
            \ \n\u2022 Proteggere fisicamente le apparecchiature utilizzate per generare,\
            \ conservare e archiviare le chiavi. \n\u2022 Limitare l'uso di processi\
            \ crittografici ad hoc. \n\u2022 Considerare, ove opportuno, un approccio\
            \ di agilit\xE0 crittografica (86). Le caratteristiche principali di questo\
            \ approccio sono:\n    o flessibilit\xE0 nella selezione degli algoritmi;\n\
            \    o progettazione modulare dell'architettura in base alla quale i componenti\
            \ crittografici possono essere modificati o aggiornati in modo indipendente\
            \ senza influire sull'intero sistema;\n    o aggiornamenti e patch regolari;\n\
            \    o conformit\xE0 con i quadri legislativi e la governance dell'uso\
            \ della crittografia all'interno delle reti e dei sistemi informativi\
            \ dell'ente;\n    o protezione per il futuro prendendo in considerazione\
            \ algoritmi crittografici quantistici.\n\u2022 Considerare la possibilit\xE0\
            \ di valutare i metodi di crittografia scelti per verificare che siano\
            \ conformi agli standard industriali per i metodi sicuri (87).\n\n(84)\
            \ I principali casi d'uso della firma digitale sono (elenco indicativo\
            \ e non esaustivo): firma di codici di documenti/software, autenticazione,\
            \ integrit\xE0 dei dati e automazione e conformit\xE0 dei flussi di lavoro.\n\
            (85) I casi d'uso degli algoritmi di hash sicuri sono (elenco indicativo\
            \ e non esaustivo): integrit\xE0 dei backup, archiviazione sicura delle\
            \ password, integrit\xE0 dei registri.\n(86) L'agilit\xE0 crittografica,\
            \ o cripto-agilit\xE0, \xE8 la capacit\xE0 di un sistema di passare rapidamente\
            \ e senza soluzione di continuit\xE0 da un algoritmo crittografico all'altro\
            \ e da un protocollo all'altro senza modifiche significative all'infrastruttura\
            \ del sistema. Ad esempio, il sistema di certificati a chiave pubblica\
            \ X.509 dimostra la cripto-agilit\xE0 consentendo l'uso di diversi parametri\
            \ crittografici, come i tipi di chiave e gli algoritmi di hash. \n(87)\
            \ Ad esempio NIST 800-175 e 800-57."
          typical_evidence: "\u2022 Politica documentata sulla crittografia in linea\
            \ con le normative pertinenti e gli standard all'avanguardia. \n\u2022\
            \ Linee guida documentate per la crittografia. \n\u2022 Algoritmi di crittografia,\
            \ lunghezze delle chiavi, protocolli (88) o famiglie di protocolli (89)\
            \ accettabili in linea con lo stato dell'arte. \n\u2022 Misure di salvaguardia\
            \ per proteggere la segretezza delle chiavi segrete (private) in atto.\
            \ \n\u2022 Evidenza dell'esistenza di meccanismi crittografici che supportano\
            \ la garanzia della riservatezza e dell'integrit\xE0 dei dati a riposo\
            \ e in transito. \n\u2022 Evidenza dell'esistenza di un meccanismo (manuale\
            \ o automatizzato) per l'istituzione e la gestione delle chiavi crittografiche.\
            \ \n\u2022 Prova dell'implementazione della crittografia su vari sistemi\
            \ (ad es. database, file, comunicazioni). \n\u2022 Meccanismi di controllo\
            \ degli accessi per chiavi crittografiche e dati crittografati. \n\u2022\
            \ Verifica che l'accesso sia limitato al personale autorizzato e che le\
            \ azioni relative alle chiavi crittografiche siano registrate e monitorate.\
            \ \n\u2022 Valutazioni delle misure crittografiche per la protezione della\
            \ privacy dei dati. \n\u2022 Prova della generazione di chiavi sicure.\
            \ \n\u2022 Rapporti di audit interni o esterni incentrati sulle misure\
            \ crittografiche. \n\u2022 Prova che l'entit\xE0 segue le migliori pratiche\
            \ crittografiche, compresa la documentazione su come vengono identificate\
            \ e incorporate le nuove migliori pratiche.\n\n(88) Un protocollo crittografico\
            \ \xE8 un insieme di norme e procedure che utilizzano algoritmi crittografici\
            \ per conseguire specifici obiettivi di sicurezza nella comunicazione\
            \ e nello scambio di dati. Esempi di tali protocolli sono Secure Sockets\
            \ Layer / Transport Layer Security (SSL/TLS) e Secure Shell Protocol (SSH).\n\
            (89) Una famiglia di protocolli crittografici \xE8 un gruppo di protocolli\
            \ correlati che condividono tecniche e principi crittografici comuni per\
            \ conseguire vari obiettivi di sicurezza. Esempi sono (a) l'istituzione\
            \ di chiavi (ad es. Diffie-Helman e RSA), (b) l'identificazione (ad es.\
            \ Kerberos), (c) l'autenticazione dei messaggi (ad es. codice di autenticazione\
            \ dei messaggi basato su hash), (d) la condivisione segreta (ad es. Shamir's\
            \ Secret Sharing) e (e) i protocolli a prova di conoscenza zero (ad es.\
            \ Schnorr)."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:9.2.a
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:9.2
      ref_id: 9.2.a
      description: "in accordance with the relevant entities\u2019 classification\
        \ of assets, the type, strength and quality of the cryptographic measures\
        \ required to protect the relevant entities\u2019 assets, including data at\
        \ rest and data in transit;"
      translations:
        fr:
          description: "conform\xE9ment \xE0 la classification des actifs des entit\xE9\
            s concern\xE9es, le type, la solidit\xE9 et la qualit\xE9 des mesures\
            \ cryptographiques requises pour prot\xE9ger les actifs des entit\xE9\
            s concern\xE9es, y compris les donn\xE9es au repos et les donn\xE9es en\
            \ transit;"
        es:
          description: "de acuerdo con la clasificaci\xF3n de activos de las entidades\
            \ pertinentes, el tipo, la firmeza y la calidad de las medidas criptogr\xE1\
            ficas necesarias para proteger los activos de dichas entidades, incluidos\
            \ los datos en reposo y los datos en tr\xE1nsito;"
        cs:
          description: "v souladu s klasifikac\xED aktiv p\u0159\xEDslu\u0161n\xFD\
            ch subjekt\u016F typ, s\xEDlu a kvalitu kryptografick\xFDch opat\u0159\
            en\xED pot\u0159ebn\xFDch k ochran\u011B aktiv p\u0159\xEDslu\u0161n\xFD\
            ch subjekt\u016F, v\u010Detn\u011B \xFAdaj\u016F, kter\xE9 jsou ulo\u017E\
            eny a p\u0159ed\xE1v\xE1ny;"
        it:
          description: "conformemente alla classificazione delle attivit\xE0 dei soggetti\
            \ pertinenti, il tipo, la forza e la qualit\xE0 delle misure crittografiche\
            \ necessarie per proteggere i beni dei soggetti pertinenti, compresi i\
            \ dati a riposo e i dati in transito;"
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:9.2.b
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:9.2
      ref_id: 9.2.b
      description: based on point (a), the protocols or families of protocols to be
        adopted, as well as cryptographic algorithms, cipher strength, cryptographic
        solutions and usage practices to be approved and required for use in the relevant
        entities, following, where appropriate, a cryptographic agility approach;
      translations:
        fr:
          description: "sur la base du point a), les protocoles ou familles de protocoles\
            \ \xE0 adopter, ainsi que les algorithmes cryptographiques, la puissance\
            \ du chiffrement, les solutions cryptographiques et les pratiques d\u2019\
            utilisation \xE0 approuver et \xE0 utiliser dans les entit\xE9s concern\xE9\
            es, suivant, s\u2019il est besoin, une approche d\u2019agilit\xE9 cryptographique;"
        es:
          description: "teniendo en cuenta la letra a), los protocolos o las familias\
            \ de protocolos que deben adoptarse, as\xED como los algoritmos criptogr\xE1\
            ficos, la solidez del cifrado, las soluciones criptogr\xE1ficas y las\
            \ pr\xE1cticas de uso que deben aprobarse y exigirse para su uso en las\
            \ entidades, siguiendo, cuando proceda, un enfoque de agilidad criptogr\xE1\
            fica;"
        cs:
          description: "na z\xE1klad\u011B p\xEDsmene a) protokoly nebo rodiny protokol\u016F\
            , kter\xE9 maj\xED b\xFDt p\u0159ijaty, a d\xE1le kryptografick\xE9 algoritmy,\
            \ \xFArove\u0148 \u0161ifrov\xE1n\xED, kryptografick\xE1 \u0159e\u0161\
            en\xED a postupy pou\u017E\xEDv\xE1n\xED, kter\xE9 maj\xED b\xFDt schv\xE1\
            leny a jejich\u017E pou\u017Eit\xED v p\u0159\xEDslu\u0161n\xFDch subjektech\
            \ se po\u017Eaduje, p\u0159\xEDpadn\u011B v souladu s p\u0159\xEDstupem\
            \ zalo\u017Een\xFDm na kryptografick\xE9 agilit\u011B;"
        it:
          description: "sulla base della lettera a), i protocolli o le famiglie di\
            \ protocolli da adottare, nonch\xE9 gli algoritmi crittografici, la forza\
            \ di cifratura, le soluzioni crittografiche e le pratiche di utilizzo\
            \ da approvare e richiedere per l'uso nelle entit\xE0 pertinenti, seguendo,\
            \ se del caso, un approccio di agilit\xE0 crittografica;"
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:9.2.c
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:9.2
      ref_id: 9.2.c
      description: "the relevant entities\u2019 approach to key management, including,\
        \ where appropriate, methods for the following:"
      translations:
        fr:
          description: "l\u2019approche des entit\xE9s concern\xE9es en mati\xE8re\
            \ de gestion des cl\xE9s, y compris, le cas \xE9ch\xE9ant, les m\xE9thodes\
            \ destin\xE9es \xE0:"
        es:
          description: "el enfoque de las entidades pertinentes sobre la gesti\xF3\
            n de claves, que incluya, cuando proceda, m\xE9todos para lo siguiente:"
        cs:
          description: "p\u0159\xEDstup p\u0159\xEDslu\u0161n\xFDch subjekt\u016F\
            \ k \u0159\xEDzen\xED kl\xED\u010D\u016F, v\u010Detn\u011B p\u0159\xED\
            padn\xFDch metod pro:"
        it:
          description: "l'approccio dei soggetti pertinenti alla gestione con responsabilit\xE0\
            \ strategiche, compresi, se del caso, i metodi per:"
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:9.2.c.i
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:9.2.c
      ref_id: 9.2.c.i
      description: generating different keys for cryptographic systems and applications;
      translations:
        fr:
          description: "g\xE9n\xE9rer diff\xE9rentes cl\xE9s pour les syst\xE8mes\
            \ et applications cryptographiques;"
        es:
          description: "generar distintas claves para sistemas y aplicaciones criptogr\xE1\
            ficos;"
        cs:
          description: "generov\xE1n\xED r\u016Fzn\xFDch kl\xED\u010D\u016F pro kryptografick\xE9\
            \ syst\xE9my a aplikace;"
        it:
          description: generazione di chiavi diverse per sistemi e applicazioni crittografiche;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:9.2.c.ii
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:9.2.c
      ref_id: 9.2.c.ii
      description: issuing and obtaining public key certificates;
      translations:
        fr:
          description: "d\xE9livrer et obtenir des certificats \xE0 cl\xE9 publique;"
        es:
          description: "expedir y obtener certificados de clave p\xFAblica;"
        cs:
          description: "vyd\xE1v\xE1n\xED a z\xEDsk\xE1v\xE1n\xED certifik\xE1t\u016F\
            \ ve\u0159ejn\xFDch kl\xED\u010D\u016F;"
        it:
          description: emissione e ottenimento di certificati a chiave pubblica;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:9.2.c.iii
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:9.2.c
      ref_id: 9.2.c.iii
      description: distributing keys to intended entities, including how to activate
        keys when received;
      translations:
        fr:
          description: "distribuer des cl\xE9s aux entit\xE9s pr\xE9vues, y compris\
            \ la mani\xE8re d\u2019activer les cl\xE9s lorsqu\u2019elles sont re\xE7\
            ues;"
        es:
          description: "distribuir claves a las entidades en cuesti\xF3n, incluida\
            \ informaci\xF3n sobre c\xF3mo activar las claves cuando se reciban;"
        cs:
          description: "distribuci kl\xED\u010D\u016F ur\u010Den\xFDm subjekt\u016F\
            m, v\u010Detn\u011B zp\u016Fsobu aktivace kl\xED\u010D\u016F po jejich\
            \ obdr\u017Een\xED;"
        it:
          description: "distribuzione delle chiavi alle entit\xE0 previste, comprese\
            \ le modalit\xE0 di attivazione delle chiavi quando ricevute;"
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:9.2.c.iv
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:9.2.c
      ref_id: 9.2.c.iv
      description: storing keys, including how authorised users obtain access to keys;
      translations:
        fr:
          description: "stocker les cl\xE9s, y compris la mani\xE8re dont les utilisateurs\
            \ autoris\xE9s obtiennent l\u2019acc\xE8s aux cl\xE9s;"
        es:
          description: "almacenar claves, incluida informaci\xF3n sobre c\xF3mo acceden\
            \ a ellas los usuarios autorizados;"
        cs:
          description: "ukl\xE1d\xE1n\xED kl\xED\u010D\u016F, v\u010Detn\u011B zp\u016F\
            sobu, jak\xFDm opr\xE1vn\u011Bn\xED u\u017Eivatel\xE9 z\xEDsk\xE1vaj\xED\
            \ p\u0159\xEDstup ke kl\xED\u010D\u016Fm;"
        it:
          description: conservazione delle chiavi, compreso il modo in cui gli utenti
            autorizzati ottengono l'accesso alle chiavi;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:9.2.c.v
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:9.2.c
      ref_id: 9.2.c.v
      description: changing or updating keys, including rules on when and how to change
        keys;
      translations:
        fr:
          description: "modifier ou mettre \xE0 jour les cl\xE9s, y compris les r\xE8\
            gles relatives au moment et \xE0 la mani\xE8re de modifier les cl\xE9\
            s;"
        es:
          description: "cambiar o actualizar las claves, incluida informaci\xF3n sobre\
            \ cu\xE1ndo y c\xF3mo modificarlas;"
        cs:
          description: "zm\u011Bnu nebo aktualizaci kl\xED\u010D\u016F, v\u010Detn\u011B\
            \ pravidel, kdy a jak kl\xED\u010De m\u011Bnit;"
        it:
          description: modifica o aggiornamento delle chiavi, comprese le regole su
            quando e come cambiare le chiavi;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:9.2.c.vi
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:9.2.c
      ref_id: 9.2.c.vi
      description: dealing with compromised keys;
      translations:
        fr:
          description: "traiter les cl\xE9s compromises;"
        es:
          description: gestionar las claves en riesgo;
        cs:
          description: "nakl\xE1d\xE1n\xED s napaden\xFDmi kl\xED\u010Di;"
        it:
          description: gestione delle chiavi compromesse;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:9.2.c.vii
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:9.2.c
      ref_id: 9.2.c.vii
      description: revoking keys including how to withdraw or deactivate keys;
      translations:
        fr:
          description: "r\xE9voquer les cl\xE9s, y compris la mani\xE8re de retirer\
            \ ou de d\xE9sactiver les cl\xE9s;"
        es:
          description: "anular claves, incluida informaci\xF3n sobre c\xF3mo retirarlas\
            \ o desactivarlas;"
        cs:
          description: "zru\u0161en\xED kl\xED\u010D\u016F v\u010Detn\u011B zp\u016F\
            sobu jejich odebr\xE1n\xED nebo deaktivace;"
        it:
          description: "revoca delle chiavi, comprese le modalit\xE0 di prelievo o\
            \ disattivazione delle chiavi;"
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:9.2.c.viii
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:9.2.c
      ref_id: 9.2.c.viii
      description: recovering lost or corrupted keys;
      translations:
        fr:
          description: "r\xE9cup\xE9rer les cl\xE9s perdues ou corrompues;"
        es:
          description: recuperar las claves perdidas o corrompidas;
        cs:
          description: "obnoven\xED ztracen\xFDch nebo po\u0161kozen\xFDch kl\xED\u010D\
            \u016F;"
        it:
          description: recupero di chiavi perse o danneggiate;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:9.2.c.ix
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:9.2.c
      ref_id: 9.2.c.ix
      description: backing up or archiving keys;
      translations:
        fr:
          description: "effectuer des copies de sauvegarde ou proc\xE9der \xE0 l\u2019\
            archivage des cl\xE9s;"
        es:
          description: hacer copias de seguridad y crear archivos de las claves;
        cs:
          description: "z\xE1lohov\xE1n\xED nebo archivaci kl\xED\u010D\u016F;"
        it:
          description: backup o archiviazione delle chiavi;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:9.2.c.x
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:9.2.c
      ref_id: 9.2.c.x
      description: destroying keys;
      translations:
        fr:
          description: "d\xE9truire les cl\xE9s;"
        es:
          description: destruir claves;
        cs:
          description: "ni\u010Den\xED kl\xED\u010D\u016F;"
        it:
          description: distruggere le chiavi;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:9.2.c.xi
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:9.2.c
      ref_id: 9.2.c.xi
      description: logging and auditing of key management-related activities;
      translations:
        fr:
          description: "r\xE9aliser la journalisation et l\u2019audit des principales\
            \ activit\xE9s li\xE9es \xE0 la gestion;"
        es:
          description: "hacer un registro y auditar las actividades relativas a la\
            \ gesti\xF3n de claves."
        cs:
          description: "veden\xED protokol\u016F a prov\xE1d\u011Bn\xED auditu kl\xED\
            \u010Dov\xFDch \u010Dinnost\xED souvisej\xEDc\xEDch s \u0159\xEDzen\xED\
            m;"
        it:
          description: "registrazione e verifica delle attivit\xE0 chiave relative\
            \ alla gestione;"
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:9.2.c.xii
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:9.2.c
      ref_id: 9.2.c.xii
      description: setting activation and deactivation dates for keys ensuring that
        the keys can only be used for the specified period of time according to the
        organization's rules on key management.
      translations:
        fr:
          description: "fixer des dates d\u2019activation et de d\xE9sactivation pour\
            \ les cl\xE9s, afin que celles-ci ne puissent \xEAtre utilis\xE9es que\
            \ pendant la p\xE9riode sp\xE9cifi\xE9e, conform\xE9ment aux r\xE8gles\
            \ de l\u2019organisation en mati\xE8re de gestion des cl\xE9s."
        es:
          description: "fijar las fechas de activaci\xF3n y desactivaci\xF3n de las\
            \ claves asegur\xE1ndose de que estas solo pueden utilizarse durante el\
            \ per\xEDodo de tiempo especificado de acuerdo con las normas de gesti\xF3\
            n de claves de la organizaci\xF3n."
        cs:
          description: "nastaven\xED dat pro aktivaci a deaktivaci kl\xED\u010D\u016F\
            , aby se zajistilo, \u017Ee kl\xED\u010De lze pou\u017E\xEDvat pouze po\
            \ stanovenou dobu v souladu s pravidly organizace pro spr\xE1vu kl\xED\
            \u010D\u016F."
        it:
          description: Impostazione delle date di attivazione e disattivazione delle
            chiavi, garantendo che le chiavi possano essere utilizzate solo per il
            periodo di tempo specificato in base alle regole dell'organizzazione sulla
            gestione delle chiavi.
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:9.3
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:9
      ref_id: '9.3'
      description: The relevant entities shall review and, where appropriate, update
        their policy and procedures at planned intervals, taking into account the
        state of the art in cryptography.
      annotation: "\u2022 Ensure the cryptography policy aligns with relevant industry\
        \ standards and with advancements in the field. \n\u2022 Review the cryptography\
        \ policy and procedures at least annually. \n\u2022 Maintain a procedure that\
        \ specifies how reviews of the cryptography policy and procedures are conducted,\
        \ including responsible personnel and review intervals.  \n\u2022 Ensure that\
        \ changes to the cryptographic measures are tested before being applied. \n\
        \u2022 Ensure that changes to the cryptographic measures are communicated\
        \ to employees.\n\n[TIPS]\n\n\u2022 Train employees and make them aware of\
        \ the use of cryptographic measures in the entity. \n\u2022 Make sure network\
        \ and information systems automatically encrypt and secure all portable and\
        \ removable media. \n\u2022 Where appropriate, consider implementing a key\
        \ management system to ensure the secure handling of cryptographic keys."
      typical_evidence: "\u2022 Logs of changes made to the cryptography policy and\
        \ procedures \n\u2022 Test plans and results that demonstrate the implementation\
        \ and effectiveness of updated cryptographic measures. \n\u2022 Records of\
        \ notifications or reminders sent to relevant personnel about upcoming reviews\
        \ of the cryptography policy and procedures. \n\u2022 Communication records\
        \ informing personnel about updates to the cryptography policy following advancements\
        \ in the field or significant changes. \n\u2022 Evidence that the entity remains\
        \ up to date with the latest developments in cryptography (e.g. member of\
        \ cryptographic bodies or consortia (e.g. Internet Engineering Task Force\
        \ and cryptographic research groups) and subscriptions to cryptographic journals/feeds,\
        \ mailing lists or news feeds).\n\n[TIPS]\n\n\u2022 Records of training programmes\
        \ related to cryptography for employees. \n\u2022 Employees aware of the confidentiality\
        \ and integrity of data, communications and procedures and what they imply\
        \ for their work. \n\u2022 Employees handling sensitive information aware\
        \ of and understanding the cryptography policies and procedures. \n\u2022\
        \ Key management system in place."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es r\xE9examinent et, s\u2019il\
            \ est besoin, mettent \xE0 jour leur politique et leurs proc\xE9dures\
            \ \xE0 des intervalles pr\xE9d\xE9finis, en tenant compte de l\u2019\xE9\
            tat des connaissances en mati\xE8re de cryptographie."
          annotation: "\u2022 S\u2019assurer que la politique de cryptographie s\u2019\
            aligne sur les normes pertinentes de l\u2019industrie et sur les progr\xE8\
            s dans le domaine. \n\u2022 Examiner la politique et les proc\xE9dures\
            \ de cryptographie au moins une fois par an. \n\u2022 Maintenir une proc\xE9\
            dure qui pr\xE9cise comment les examens de la politique et des proc\xE9\
            dures de cryptographie sont effectu\xE9s, y compris le personnel responsable\
            \ et les intervalles d\u2019examen.  \n\u2022 S\u2019assurer que les modifications\
            \ apport\xE9es aux mesures cryptographiques sont test\xE9es avant d\u2019\
            \xEAtre appliqu\xE9es. \n\u2022 S\u2019assurer que les modifications apport\xE9\
            es aux mesures cryptographiques sont communiqu\xE9es aux employ\xE9s.\n\
            \n[CONSEILS]\n\n\u2022 Former les collaborateurs et les sensibiliser \xE0\
            \ l\u2019utilisation des mesures cryptographiques dans l\u2019entit\xE9\
            . \n\u2022 Assurez-vous que le r\xE9seau et les syst\xE8mes d\u2019information\
            \ cryptent et s\xE9curisent automatiquement tous les supports portables\
            \ et amovibles. \n\u2022 Le cas \xE9ch\xE9ant, envisager la mise en place\
            \ d\u2019un syst\xE8me de gestion des cl\xE9s pour assurer la manipulation\
            \ s\xE9curis\xE9e des cl\xE9s cryptographiques."
          typical_evidence: "\u2022 Registres des modifications apport\xE9es \xE0\
            \ la politique et aux proc\xE9dures de cryptographie \n\u2022 Tester des\
            \ plans et des r\xE9sultats qui d\xE9montrent la mise en \u0153uvre et\
            \ l\u2019efficacit\xE9 de mesures cryptographiques mises \xE0 jour. \n\
            \u2022 Des enregistrements des notifications ou des rappels envoy\xE9\
            s au personnel concern\xE9 au sujet des examens \xE0 venir de la politique\
            \ et des proc\xE9dures de cryptographie. \n\u2022 Dossiers de communication\
            \ informant le personnel des mises \xE0 jour de la politique de cryptographie\
            \ \xE0 la suite d\u2019avanc\xE9es dans le domaine ou de changements importants.\
            \ \n\u2022 La preuve que l\u2019entit\xE9 se tient au courant des derniers\
            \ d\xE9veloppements en mati\xE8re de cryptographie (par exemple, membre\
            \ d\u2019organismes ou de consortiums cryptographiques (par exemple, Internet\
            \ Engineering Task Force et groupes de recherche cryptographique) et abonnements\
            \ \xE0 des revues/flux cryptographiques, des listes de diffusion ou des\
            \ flux d\u2019actualit\xE9s).\n\n[CONSEILS]\n\n\u2022 Registres des programmes\
            \ de formation li\xE9s \xE0 la cryptographie pour les employ\xE9s. \n\u2022\
            \ Les employ\xE9s sont conscients de la confidentialit\xE9 et de l\u2019\
            int\xE9grit\xE9 des donn\xE9es, des communications et des proc\xE9dures\
            \ et de ce qu\u2019ils impliquent pour leur travail. \n\u2022 Les employ\xE9\
            s qui manipulent des informations sensibles connaissent et comprennent\
            \ les politiques et proc\xE9dures de cryptographie. \n\u2022 Syst\xE8\
            me de gestion des cl\xE9s en place."
        es:
          description: "Las entidades pertinentes revisar\xE1n y, cuando proceda,\
            \ actualizar\xE1n las orientaciones y los procedimientos a intervalos\
            \ planificados teniendo en cuenta los \xFAltimos avances en criptograf\xED\
            a."
          annotation: "\u2022 Garantizar que la pol\xEDtica de criptograf\xEDa se\
            \ alinee con los est\xE1ndares relevantes de la industria y con los avances\
            \ en el campo. \n\u2022 Revisar la pol\xEDtica y los procedimientos de\
            \ criptograf\xEDa al menos una vez al a\xF1o. \n\u2022 Mantener un procedimiento\
            \ que especifique c\xF3mo se llevan a cabo las revisiones de la pol\xED\
            tica y los procedimientos de criptograf\xEDa, incluido el personal responsable\
            \ y los intervalos de revisi\xF3n.  \n\u2022 Aseg\xFArese de que los cambios\
            \ en las medidas criptogr\xE1ficas se prueben antes de aplicarlos. \n\u2022\
            \ Asegurarse de que los cambios en las medidas criptogr\xE1ficas se comuniquen\
            \ a los empleados.\n\n[CONSEJOS]\n\n\u2022 Formar a los empleados y concienciarlos\
            \ del uso de medidas criptogr\xE1ficas en la entidad. \n\u2022 Aseg\xFA\
            rese de que los sistemas de red e informaci\xF3n encripten y protejan\
            \ autom\xE1ticamente todos los medios port\xE1tiles y extra\xEDbles. \n\
            \u2022 Cuando proceda, considere la posibilidad de implementar un sistema\
            \ de gesti\xF3n de claves para garantizar el manejo seguro de las claves\
            \ criptogr\xE1ficas."
          typical_evidence: "\u2022 Registros de los cambios realizados en la pol\xED\
            tica y los procedimientos de criptograf\xEDa \n\u2022 Planes de pruebas\
            \ y resultados que demuestren la implementaci\xF3n y efectividad de medidas\
            \ criptogr\xE1ficas actualizadas. \n\u2022 Registros de notificaciones\
            \ o recordatorios enviados al personal pertinente sobre las pr\xF3ximas\
            \ revisiones de la pol\xEDtica y los procedimientos de criptograf\xED\
            a. \n\u2022 Registros de comunicaci\xF3n que informan al personal sobre\
            \ las actualizaciones de la pol\xEDtica de criptograf\xEDa tras los avances\
            \ en el campo o los cambios significativos. \n\u2022 Evidencia de que\
            \ la entidad se mantiene al d\xEDa con los \xFAltimos desarrollos en criptograf\xED\
            a (por ejemplo, miembro de organismos o consorcios criptogr\xE1ficos (por\
            \ ejemplo, Grupo de Trabajo de Ingenier\xEDa de Internet y grupos de investigaci\xF3\
            n criptogr\xE1fica) y suscripciones a revistas/fuentes criptogr\xE1ficas,\
            \ listas de correo o fuentes de noticias).\n\n[CONSEJOS]\n\n\u2022 Registros\
            \ de programas de formaci\xF3n relacionados con la criptograf\xEDa para\
            \ los empleados. \n\u2022 Empleados conscientes de la confidencialidad\
            \ e integridad de los datos, comunicaciones y procedimientos y de lo que\
            \ implican para su trabajo. \n\u2022 Los empleados que manejan informaci\xF3\
            n confidencial conocen y comprenden las pol\xEDticas y procedimientos\
            \ de criptograf\xEDa. \n\u2022 Sistema de gesti\xF3n de llaves implantado."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty v pl\xE1novan\xFDch intervalech\
            \ p\u0159ezkoum\xE1vaj\xED a v p\u0159\xEDpad\u011B pot\u0159eby aktualizuj\xED\
            \ sv\xE9 z\xE1sady a postupy s ohledem na nejnov\u011Bj\u0161\xED poznatky\
            \ v oblasti kryptografie."
          annotation: "\u2022 Zajistit, aby z\xE1sady kryptografie byly v souladu\
            \ s p\u0159\xEDslu\u0161n\xFDmi pr\u016Fmyslov\xFDmi standardy a s pokrokem\
            \ v t\xE9to oblasti. \n\u2022 Alespo\u0148 jednou ro\u010Dn\u011B p\u0159\
            ezkoum\xE1vat z\xE1sady a postupy kryptografie. \n\u2022 Udr\u017Eovat\
            \ postup, kter\xFD specifikuje, jak jsou prov\xE1d\u011Bny kontroly kryptografick\xFD\
            ch z\xE1sad a postup\u016F, v\u010Detn\u011B odpov\u011Bdn\xE9ho person\xE1\
            lu a interval\u016F kontrol.  \n\u2022 Zajist\u011Bte, aby zm\u011Bny\
            \ kryptografick\xFDch opat\u0159en\xED byly p\u0159ed pou\u017Eit\xED\
            m otestov\xE1ny. \n\u2022 Zajist\u011Bte, aby zm\u011Bny kryptografick\xFD\
            ch opat\u0159en\xED byly sd\u011Bleny zam\u011Bstnanc\u016Fm.\n\n[TIPY]\n\
            \n\u2022 Pro\u0161kolte zam\u011Bstnance a upozorn\u011Bte je na pou\u017E\
            \xEDv\xE1n\xED kryptografick\xFDch opat\u0159en\xED v entit\u011B. \n\u2022\
            \ Zajist\u011Bte, aby s\xED\u0165ov\xE9 a informa\u010Dn\xED syst\xE9\
            my automaticky \u0161ifrovaly a zabezpe\u010Dily v\u0161echna p\u0159\
            enosn\xE1 a vym\u011Bniteln\xE1 m\xE9dia. \n\u2022 V p\u0159\xEDpad\u011B\
            \ pot\u0159eby zva\u017Ete implementaci syst\xE9mu spr\xE1vy kl\xED\u010D\
            \u016F, kter\xFD zajist\xED bezpe\u010Dn\xE9 nakl\xE1d\xE1n\xED s kryptografick\xFD\
            mi kl\xED\u010Di."
          typical_evidence: "\u2022 Protokoly zm\u011Bn proveden\xFDch v kryptografick\xFD\
            ch z\xE1sad\xE1ch a postupech \n\u2022 Testovac\xED pl\xE1ny a v\xFDsledky,\
            \ kter\xE9 prokazuj\xED implementaci a \xFA\u010Dinnost aktualizovan\xFD\
            ch kryptografick\xFDch opat\u0159en\xED. \n\u2022 Z\xE1znamy ozn\xE1men\xED\
            \ nebo upom\xEDnek zaslan\xFDch p\u0159\xEDslu\u0161n\xFDm pracovn\xED\
            k\u016Fm o nadch\xE1zej\xEDc\xEDch reviz\xEDch z\xE1sad a postup\u016F\
            \ kryptografie. \n\u2022 Komunika\u010Dn\xED z\xE1znamy informuj\xEDc\xED\
            \ zam\u011Bstnance o aktualizac\xEDch kryptografick\xFDch z\xE1sad v n\xE1\
            vaznosti na pokrok v oboru nebo v\xFDznamn\xE9 zm\u011Bny. \n\u2022 D\u016F\
            kaz, \u017Ee subjekt m\xE1 st\xE1le aktu\xE1ln\xED informace o nejnov\u011B\
            j\u0161\xEDm v\xFDvoji v kryptografii (nap\u0159. \u010Dlen kryptografick\xFD\
            ch org\xE1n\u016F nebo konsorci\xED (nap\u0159. Internet Engineering Task\
            \ Force a kryptografick\xE9 v\xFDzkumn\xE9 skupiny) a p\u0159edplatn\xE9\
            \ kryptografick\xFDch \u010Dasopis\u016F/kan\xE1l\u016F, mailing list\u016F\
            \ nebo zpravodajsk\xFDch kan\xE1l\u016F).\n\n[TIPY]\n\n\u2022 Z\xE1znamy\
            \ o vzd\u011Bl\xE1vac\xEDch programech souvisej\xEDc\xEDch s kryptografi\xED\
            \ pro zam\u011Bstnance. \n\u2022 Zam\u011Bstnanci si jsou v\u011Bdomi\
            \ d\u016Fv\u011Brnosti a integrity dat, komunikace a postup\u016F a toho,\
            \ co znamenaj\xED pro jejich pr\xE1ci. \n\u2022 Zam\u011Bstnanci, kte\u0159\
            \xED nakl\xE1daj\xED s citliv\xFDmi informacemi, jsou si v\u011Bdomi z\xE1\
            sad a postup\u016F v oblasti kryptografie a rozum\xED jim. \n\u2022 Syst\xE9\
            m spr\xE1vy kl\xED\u010D\u016F na m\xEDst\u011B."
        it:
          description: I soggetti pertinenti riesaminano e, se del caso, aggiornano
            la loro politica e le loro procedure a intervalli pianificati, tenendo
            conto dello stato dell'arte della crittografia.
          annotation: "\u2022 Assicurarsi che la politica di crittografia sia in linea\
            \ con gli standard di settore pertinenti e con i progressi nel campo.\
            \ \n\u2022 Rivedere la politica e le procedure di crittografia almeno\
            \ una volta all'anno. \n\u2022 Mantenere una procedura che specifichi\
            \ come vengono condotte le revisioni della politica e delle procedure\
            \ di crittografia, compreso il personale responsabile e gli intervalli\
            \ di revisione.  \n\u2022 Assicurarsi che le modifiche alle misure crittografiche\
            \ vengano testate prima di essere applicate. \n\u2022 Assicurarsi che\
            \ le modifiche alle misure crittografiche siano comunicate ai dipendenti.\n\
            \n[CONSIGLI]\n\n\u2022 Formare i dipendenti e renderli consapevoli dell'uso\
            \ delle misure crittografiche nell'entit\xE0. \n\u2022 Assicurarsi che\
            \ la rete e i sistemi informativi crittografino e proteggano automaticamente\
            \ tutti i supporti portatili e rimovibili. \n\u2022 Se del caso, prendere\
            \ in considerazione l'implementazione di un sistema di gestione delle\
            \ chiavi per garantire la gestione sicura delle chiavi crittografiche."
          typical_evidence: "\u2022 Registri delle modifiche apportate alla politica\
            \ e alle procedure di crittografia \n\u2022 Piani di test e risultati\
            \ che dimostrano l'implementazione e l'efficacia di misure crittografiche\
            \ aggiornate. \n\u2022 Registrazioni di notifiche o promemoria inviati\
            \ al personale competente in merito a future revisioni della politica\
            \ e delle procedure di crittografia. \n\u2022 Registri di comunicazione\
            \ che informano il personale sugli aggiornamenti della politica di crittografia\
            \ a seguito di progressi nel campo o cambiamenti significativi. \n\u2022\
            \ Prova che l'entit\xE0 rimane aggiornata con gli ultimi sviluppi nel\
            \ campo della crittografia (ad esempio, membro di organismi o consorzi\
            \ crittografici (ad esempio, Internet Engineering Task Force e gruppi\
            \ di ricerca crittografica) e abbonamenti a riviste/feed crittografici,\
            \ mailing list o feed di notizie).\n\n[CONSIGLI]\n\n\u2022 Registrazioni\
            \ dei programmi di formazione relativi alla crittografia per i dipendenti.\
            \ \n\u2022 Dipendenti consapevoli della riservatezza e dell'integrit\xE0\
            \ dei dati, delle comunicazioni e delle procedure e di ci\xF2 che implicano\
            \ per il loro lavoro. \n\u2022 Dipendenti che gestiscono informazioni\
            \ sensibili consapevoli e comprensivi delle politiche e delle procedure\
            \ di crittografia. \n\u2022 Sistema di gestione delle chiavi in atto."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:10
      assessable: false
      depth: 1
      ref_id: '10'
      name: HUMAN RESOURCES SECURITY (ARTICLE 21(2), POINT (I), OF DIRECTIVE (EU)
        2022/2555)
      translations:
        fr:
          name: "S\xE9curit\xE9 des ressources humaines [article 21, paragraphe 2,\
            \ point i), de la directive (UE) 2022/2555]"
        es:
          name: "SEGURIDAD DE LOS RECURSOS HUMANOS [Art\xEDculo 21, Apartado 2, Letra\
            \ I), de la directiva (UE) 2022/2555]"
        cs:
          name: "Bezpe\u010Dnost lidsk\xFDch zdroj\u016F (\u010Dl. 21 odst. 2 p\xED\
            sm. i) sm\u011Brnice (EU) 2022/2555)"
        it:
          name: SICUREZZA DELLE RISORSE UMANE [ARTICOLO 21, PARAGRAFO 2, LETTERA I),
            DELLA DIRETTIVA (UE) 2022/2555]
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:10.1
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:10
      ref_id: '10.1'
      name: Human resources security
      translations:
        fr:
          name: "S\xE9curit\xE9 des ressources humaines"
        es:
          name: Seguridad de los recursos humanos
        cs:
          name: "Bezpe\u010Dnost lidsk\xFDch zdroj\u016F"
        it:
          name: Sicurezza delle risorse umane
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:10.1.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:10.1
      ref_id: 10.1.1
      description: "For the purpose of Article 21(2), point (i) of Directive (EU)\
        \ 2022/2555, the relevant entities shall ensure that their employees and direct\
        \ suppliers and service providers, wherever applicable, understand and commit\
        \ to their security responsibilities, as appropriate for the offered services\
        \ and the job and in line with the relevant entities\u2019 policy on the security\
        \ of network and information systems."
      annotation: "\u2022 Define clear security roles and responsibilities for employees,\
        \ aligned with the entity\u2019s security policies and each employee\u2019\
        s functional role. Define relevant security responsibilities for direct suppliers\
        \ and service providers, within the scope of contractual obligations, ensuring\
        \ they are appropriate to the nature of the services provided and aligned\
        \ with the entity\u2019s overall security requirements. \n\u2022 Establish\
        \ onboarding and continuous education programmes that include both security\
        \ awareness and role-specific cybersecurity training tailored to different\
        \ risk exposures. \n\u2022 Implement periodic assessments to evaluate understanding\
        \ of security responsibilities, supported by mandatory refresher training\
        \ as needed. \n\u2022 Ensure that security responsibilities are formally documented\
        \ and integrated into job descriptions, contractual agreements and performance\
        \ review processes. Incorporate relevant security responsibilities into contractual\
        \ agreements or service-level agreements (SLA), for direct suppliers and service\
        \ providers with clear language regarding expectations and compliance requirements.\
        \ \n\u2022 Promote a culture of accountability by requiring formal acknowledgement\
        \ of security obligations and by linking compliance to incentives and disciplinary\
        \ measures, where appropriate. \n\u2022 Develop and maintain a centralized\
        \ repository of training records, acknowledgements, certifications and contractual\
        \ clauses to demonstrate compliance and facilitate audits. \n\u2022 Require\
        \ suppliers and service providers to designate responsible contacts for cybersecurity\
        \ and encourage or mandate participation in relevant security briefings or\
        \ training programmes provided by the entity."
      typical_evidence: "\u2022 List of employees whose roles require specific security\
        \ skills and their assignment to roles. \n\u2022 Documented evidence of regular\
        \ training sessions on security of network and information systems for employees,\
        \ direct suppliers and service providers, wherever applicable. This includes\
        \ attendance records, training materials and feedback forms. \n\u2022 Signed\
        \ acknowledgements from employees, direct suppliers and service providers,\
        \ wherever applicable, confirming they have read, understood and agreed to\
        \ comply with the policy. \n\u2022 Reports from internal or external audits\
        \ assessing the understanding and implementation of security responsibilities\
        \ among employees, direct suppliers and service providers, wherever applicable.\
        \ \n\u2022 Inclusion of security responsibilities, where relevant, in employee\
        \ performance reviews and evaluations.   \n\u2022 Contracts with direct suppliers\
        \ and service providers that include clauses on security responsibilities\
        \ and compliance with the entity\u2019s policies or written justifications\
        \ by the direct supplier or service provider in cases where these clauses\
        \ do not exist in the contract. \n\u2022 Certifications or attestations of\
        \ cybersecurity skills from nationally recognized or accredited bodies confirming\
        \ that a person fulfils specific requirements regarding cybersecurity knowledge\
        \ and skills."
      translations:
        fr:
          description: "Aux fins de l\u2019article 21, paragraphe 2, point i), de\
            \ la directive (UE) 2022/2555, les entit\xE9s concern\xE9es veillent \xE0\
            \ ce que leurs employ\xE9s et leurs fournisseurs et prestataires de services\
            \ directs, s\u2019il est besoin, comprennent et s\u2019engagent \xE0 assumer\
            \ leurs responsabilit\xE9s en mati\xE8re de s\xE9curit\xE9, selon qu\u2019\
            il convient pour les services et l\u2019emploi propos\xE9s et conform\xE9\
            ment \xE0 la politique des entit\xE9s concern\xE9es en mati\xE8re de s\xE9\
            curit\xE9 des r\xE9seaux et des syst\xE8mes d\u2019information."
          annotation: "\u2022 D\xE9finir clairement les r\xF4les et responsabilit\xE9\
            s des employ\xE9s en mati\xE8re de s\xE9curit\xE9, en fonction des politiques\
            \ de s\xE9curit\xE9 de l\u2019entit\xE9 et du r\xF4le fonctionnel de chaque\
            \ employ\xE9. D\xE9finir les responsabilit\xE9s de s\xE9curit\xE9 pertinentes\
            \ pour les fournisseurs directs et les prestataires de services, dans\
            \ le cadre des obligations contractuelles, en veillant \xE0 ce qu\u2019\
            elles soient adapt\xE9es \xE0 la nature des services fournis et align\xE9\
            es sur les exigences globales de l\u2019entit\xE9 en mati\xE8re de s\xE9\
            curit\xE9. \n\u2022 Mettre en place des programmes d\u2019int\xE9gration\
            \ et de formation continue qui comprennent \xE0 la fois une sensibilisation\
            \ \xE0 la s\xE9curit\xE9 et une formation \xE0 la cybers\xE9curit\xE9\
            \ sp\xE9cifique \xE0 un r\xF4le, adapt\xE9e aux diff\xE9rentes expositions\
            \ aux risques. \n\u2022 Mettre en \u0153uvre des \xE9valuations p\xE9\
            riodiques pour \xE9valuer la compr\xE9hension des responsabilit\xE9s en\
            \ mati\xE8re de s\xE9curit\xE9, appuy\xE9es par une formation de recyclage\
            \ obligatoire au besoin. \n\u2022 Veiller \xE0 ce que les responsabilit\xE9\
            s en mati\xE8re de s\xE9curit\xE9 soient officiellement document\xE9es\
            \ et int\xE9gr\xE9es dans les descriptions de poste, les ententes contractuelles\
            \ et les processus d\u2019\xE9valuation du rendement. Int\xE9grez les\
            \ responsabilit\xE9s de s\xE9curit\xE9 pertinentes dans les accords contractuels\
            \ ou les accords de niveau de service (SLA), pour les fournisseurs directs\
            \ et les prestataires de services, avec un langage clair concernant les\
            \ attentes et les exigences de conformit\xE9. \n\u2022 Promouvoir une\
            \ culture de responsabilisation en exigeant une reconnaissance formelle\
            \ des obligations en mati\xE8re de s\xE9curit\xE9 et en liant le respect\
            \ de la loi \xE0 des incitations et \xE0 des mesures disciplinaires, le\
            \ cas \xE9ch\xE9ant. \n\u2022 D\xE9velopper et maintenir un r\xE9f\xE9\
            rentiel centralis\xE9 des dossiers de formation, des reconnaissances,\
            \ des certifications et des clauses contractuelles pour d\xE9montrer la\
            \ conformit\xE9 et faciliter les audits. \n\u2022 Exiger des fournisseurs\
            \ et des prestataires de services qu\u2019ils d\xE9signent des contacts\
            \ responsables en mati\xE8re de cybers\xE9curit\xE9 et encourager ou rendre\
            \ obligatoire la participation \xE0 des s\xE9ances d\u2019information\
            \ sur la s\xE9curit\xE9 ou \xE0 des programmes de formation dispens\xE9\
            s par l\u2019entit\xE9."
          typical_evidence: "\u2022 Liste des employ\xE9s dont les r\xF4les n\xE9\
            cessitent des comp\xE9tences sp\xE9cifiques en mati\xE8re de s\xE9curit\xE9\
            \ et leur attribution \xE0 des r\xF4les. \n\u2022 Preuve document\xE9\
            e de sessions de formation r\xE9guli\xE8res sur la s\xE9curit\xE9 des\
            \ r\xE9seaux et des syst\xE8mes d\u2019information pour les employ\xE9\
            s, les fournisseurs directs et les prestataires de services, le cas \xE9\
            ch\xE9ant. Cela comprend les registres de pr\xE9sence, le mat\xE9riel\
            \ de formation et les formulaires de r\xE9troaction. \n\u2022 Des accus\xE9\
            s de r\xE9ception sign\xE9s de la part des employ\xE9s, des fournisseurs\
            \ directs et des fournisseurs de services, le cas \xE9ch\xE9ant, confirmant\
            \ qu\u2019ils ont lu, compris et accept\xE9 de se conformer \xE0 la politique.\
            \ \n\u2022 Rapports d\u2019audits internes ou externes \xE9valuant la\
            \ compr\xE9hension et la mise en \u0153uvre des responsabilit\xE9s en\
            \ mati\xE8re de s\xE9curit\xE9 parmi les employ\xE9s, les fournisseurs\
            \ directs et les prestataires de services, le cas \xE9ch\xE9ant. \n\u2022\
            \ Inclusion des responsabilit\xE9s en mati\xE8re de s\xE9curit\xE9, le\
            \ cas \xE9ch\xE9ant, dans les examens et les \xE9valuations du rendement\
            \ des employ\xE9s.   \n\u2022 Contrats avec des fournisseurs directs et\
            \ des prestataires de services qui comprennent des clauses sur les responsabilit\xE9\
            s en mati\xE8re de s\xE9curit\xE9 et le respect des politiques de l\u2019\
            entit\xE9 ou des justifications \xE9crites par le fournisseur direct ou\
            \ le prestataire de services dans les cas o\xF9 ces clauses n\u2019existent\
            \ pas dans le contrat. \n\u2022 Certifications ou attestations de comp\xE9\
            tences en cybers\xE9curit\xE9 d\u2019organismes reconnus ou accr\xE9dit\xE9\
            s au niveau national confirmant qu\u2019une personne r\xE9pond \xE0 des\
            \ exigences sp\xE9cifiques en mati\xE8re de connaissances et de comp\xE9\
            tences en cybers\xE9curit\xE9."
        es:
          description: "A los efectos del art\xEDculo 21, apartado 2, letra i), de\
            \ la Directiva (UE) 2022/2555, las entidades pertinentes se asegurar\xE1\
            n de que sus empleados y sus proveedores y prestadores de servicios directos,\
            \ cuando proceda, entiendan sus responsabilidades en materia de seguridad\
            \ y se comprometan a ellas, seg\xFAn convenga con relaci\xF3n a los servicios\
            \ ofrecidos y el puesto de trabajo y en consonancia con la pol\xEDtica\
            \ de seguridad de los sistemas de redes y de informaci\xF3n de la entidad\
            \ pertinente."
          annotation: "\u2022 Definir roles y responsabilidades de seguridad claros\
            \ para los empleados, alineados con las pol\xEDticas de seguridad de la\
            \ entidad y el rol funcional de cada empleado. Definir las responsabilidades\
            \ de seguridad relevantes para los proveedores directos y los proveedores\
            \ de servicios, dentro del alcance de las obligaciones contractuales,\
            \ asegurando que sean adecuadas a la naturaleza de los servicios prestados\
            \ y alineadas con los requisitos generales de seguridad de la entidad.\
            \ \n\u2022 Establecer programas de incorporaci\xF3n y educaci\xF3n continua\
            \ que incluyan tanto la concienciaci\xF3n en materia de seguridad como\
            \ la formaci\xF3n en ciberseguridad espec\xEDfica de cada funci\xF3n,\
            \ adaptada a las diferentes exposiciones al riesgo. \n\u2022 Implementar\
            \ evaluaciones peri\xF3dicas para evaluar la comprensi\xF3n de las responsabilidades\
            \ de seguridad, respaldadas por capacitaci\xF3n obligatoria de actualizaci\xF3\
            n seg\xFAn sea necesario. \n\u2022 Asegurar que las responsabilidades\
            \ en materia de seguridad se documenten formalmente y se integren en las\
            \ descripciones de puestos, los acuerdos contractuales y los procesos\
            \ de evaluaci\xF3n del desempe\xF1o. Incorporar las responsabilidades\
            \ de seguridad pertinentes en los acuerdos contractuales o en los acuerdos\
            \ de nivel de servicio (SLA), para los proveedores directos y los proveedores\
            \ de servicios, con un lenguaje claro en cuanto a las expectativas y los\
            \ requisitos de cumplimiento. \n\u2022 Promover una cultura de rendici\xF3\
            n de cuentas exigiendo el reconocimiento oficial de las obligaciones en\
            \ materia de seguridad y vinculando su cumplimiento a incentivos y medidas\
            \ disciplinarias, cuando proceda. \n\u2022 Desarrollar y mantener un repositorio\
            \ centralizado de registros de capacitaci\xF3n, reconocimientos, certificaciones\
            \ y cl\xE1usulas contractuales para demostrar el cumplimiento y facilitar\
            \ las auditor\xEDas. \n\u2022 Exigir a los proveedores y prestadores de\
            \ servicios que designen contactos responsables en materia de ciberseguridad\
            \ y fomentar o exigir la participaci\xF3n en sesiones informativas o programas\
            \ de formaci\xF3n en materia de seguridad pertinentes impartidos por la\
            \ entidad."
          typical_evidence: "\u2022 Lista de empleados cuyas funciones requieren habilidades\
            \ de seguridad espec\xEDficas y su asignaci\xF3n a roles. \n\u2022 Evidencia\
            \ documentada de sesiones peri\xF3dicas de capacitaci\xF3n sobre seguridad\
            \ de redes y sistemas de informaci\xF3n para empleados, proveedores directos\
            \ y proveedores de servicios, cuando corresponda. Esto incluye registros\
            \ de asistencia, materiales de capacitaci\xF3n y formularios de comentarios.\
            \ \n\u2022 Agradecimientos firmados por empleados, proveedores directos\
            \ y prestadores de servicios, en su caso, que confirmen que han le\xED\
            do, entendido y acordado cumplir con la pol\xEDtica. \n\u2022 Informes\
            \ de auditor\xEDas internas o externas que eval\xFAen la comprensi\xF3\
            n e implementaci\xF3n de las responsabilidades de seguridad entre empleados,\
            \ proveedores directos y prestadores de servicios, cuando corresponda.\
            \ \n\u2022 Inclusi\xF3n de responsabilidades de seguridad, cuando corresponda,\
            \ en las revisiones y evaluaciones del desempe\xF1o de los empleados.\
            \   \n\u2022 Contratos con proveedores directos y prestadores de servicios\
            \ que incluyan cl\xE1usulas sobre responsabilidades de seguridad y cumplimiento\
            \ de las pol\xEDticas de la entidad o justificaciones escritas por parte\
            \ del proveedor directo o prestador de servicios en los casos en que estas\
            \ cl\xE1usulas no existan en el contrato. \n\u2022 Certificaciones o atestaciones\
            \ de habilidades en ciberseguridad de organismos reconocidos o acreditados\
            \ a nivel nacional que confirmen que una persona cumple con requisitos\
            \ espec\xEDficos en cuanto a conocimientos y habilidades de ciberseguridad."
        cs:
          description: "Pro \xFA\u010Dely \u010Dl. 21 odst. 2 p\xEDsm. i) sm\u011B\
            rnice (EU) 2022/2555 p\u0159\xEDslu\u0161n\xE9 subjekty zajist\xED, aby\
            \ jejich zam\u011Bstnanci a p\u0159\xEDpadn\u011B p\u0159\xEDm\xED dodavatel\xE9\
            \ a poskytovatel\xE9 slu\u017Eeb porozum\u011Bli sv\xFDm povinnostem t\xFD\
            kaj\xEDc\xEDm se bezpe\u010Dnosti a aby se k jejich dodr\u017Eov\xE1n\xED\
            \ zav\xE1zali, a to v n\xE1vaznosti na poskytovan\xE9 slu\u017Eby a pracovn\xED\
            \ m\xEDsta a v souladu s politikou p\u0159\xEDslu\u0161n\xFDch subjekt\u016F\
            \ v oblasti bezpe\u010Dnosti s\xEDt\xED a informa\u010Dn\xEDch syst\xE9\
            m\u016F."
          annotation: "\u2022 Definujte jasn\xE9 bezpe\u010Dnostn\xED role a odpov\u011B\
            dnosti pro zam\u011Bstnance, kter\xE9 jsou v souladu s bezpe\u010Dnostn\xED\
            mi z\xE1sadami subjektu a funk\u010Dn\xED rol\xED ka\u017Ed\xE9ho zam\u011B\
            stnance. Definovat p\u0159\xEDslu\u0161n\xE9 odpov\u011Bdnosti p\u0159\
            \xEDm\xFDch dodavatel\u016F a poskytovatel\u016F slu\u017Eeb v oblasti\
            \ bezpe\u010Dnosti v r\xE1mci smluvn\xEDch z\xE1vazk\u016F a zajistit,\
            \ aby byly p\u0159im\u011B\u0159en\xE9 povaze poskytovan\xFDch slu\u017E\
            eb a v souladu s celkov\xFDmi bezpe\u010Dnostn\xEDmi po\u017Eadavky subjektu.\
            \ \n\u2022 Zave\u010Fte programy n\xE1stupu a pr\u016Fb\u011B\u017En\xE9\
            ho vzd\u011Bl\xE1v\xE1n\xED, kter\xE9 zahrnuj\xED jak pov\u011Bdom\xED\
            \ o bezpe\u010Dnosti, tak \u0161kolen\xED v oblasti kybernetick\xE9 bezpe\u010D\
            nosti specifick\xE9 pro jednotliv\xE9 role p\u0159izp\u016Fsoben\xE9 r\u016F\
            zn\xFDm rizik\u016Fm. \n\u2022 Zav\xE9st pravideln\xE1 hodnocen\xED k\
            \ vyhodnocen\xED porozum\u011Bn\xED bezpe\u010Dnostn\xEDm odpov\u011B\
            dnostem, podle pot\u0159eby podporovan\xE1 povinn\xFDm opakovac\xEDm \u0161\
            kolen\xEDm. \n\u2022 Zajistit, aby odpov\u011Bdnosti za bezpe\u010Dnost\
            \ byly form\xE1ln\u011B zdokumentov\xE1ny a integrov\xE1ny do popis\u016F\
            \ pracovn\xEDch pozic, smluvn\xEDch dohod a proces\u016F hodnocen\xED\
            \ v\xFDkonu. Za\u010Dle\u0148te p\u0159\xEDslu\u0161n\xE9 odpov\u011B\
            dnosti za bezpe\u010Dnost do smluvn\xEDch dohod nebo dohod o \xFArovni\
            \ slu\u017Eeb (SLA) pro p\u0159\xEDm\xE9 dodavatele a poskytovatele slu\u017E\
            eb s jasn\xFDm jazykem t\xFDkaj\xEDc\xEDm se o\u010Dek\xE1v\xE1n\xED a\
            \ po\u017Eadavk\u016F na dodr\u017Eov\xE1n\xED p\u0159edpis\u016F. \n\u2022\
            \ Podporovat kulturu odpov\u011Bdnosti vy\u017Eadov\xE1n\xEDm form\xE1\
            ln\xEDho uzn\xE1n\xED bezpe\u010Dnostn\xEDch z\xE1vazk\u016F a propojen\xED\
            m jejich dodr\u017Eov\xE1n\xED s pob\xEDdkami a disciplin\xE1rn\xEDmi\
            \ opat\u0159en\xEDmi, kde je to vhodn\xE9. \n\u2022 Vyv\xEDjejte a udr\u017E\
            ujte centralizovan\xE9 \xFAlo\u017Ei\u0161t\u011B z\xE1znam\u016F o \u0161\
            kolen\xED, potvrzen\xED, certifikac\xED a smluvn\xEDch dolo\u017Eek k\
            \ prok\xE1z\xE1n\xED shody a usnadn\u011Bn\xED audit\u016F. \n\u2022 Po\u017E\
            adovat, aby dodavatel\xE9 a poskytovatel\xE9 slu\u017Eeb ur\u010Dili odpov\u011B\
            dn\xE9 kontaktn\xED osoby pro kybernetickou bezpe\u010Dnost a podporovali\
            \ nebo na\u0159izovali \xFA\u010Dast na p\u0159\xEDslu\u0161n\xFDch bezpe\u010D\
            nostn\xEDch br\xEDfinc\xEDch nebo \u0161kolic\xEDch programech poskytovan\xFD\
            ch subjektem."
          typical_evidence: "\u2022 Seznam zam\u011Bstnanc\u016F, jejich\u017E role\
            \ vy\u017Eaduj\xED specifick\xE9 bezpe\u010Dnostn\xED dovednosti a jejich\
            \ p\u0159i\u0159azen\xED k rol\xEDm. \n\u2022 Zdokumentovan\xE9 d\u016F\
            kazy o pravideln\xFDch \u0161kolen\xEDch o bezpe\u010Dnosti s\xEDt\xED\
            \ a informa\u010Dn\xEDch syst\xE9m\u016F pro zam\u011Bstnance, p\u0159\
            \xEDm\xE9 dodavatele a poskytovatele slu\u017Eeb, kdekoli je to mo\u017E\
            n\xE9. To zahrnuje z\xE1znamy o doch\xE1zce, \u0161kolic\xED materi\xE1\
            ly a formul\xE1\u0159e zp\u011Btn\xE9 vazby. \n\u2022 Podepsan\xE9 potvrzen\xED\
            \ od zam\u011Bstnanc\u016F, p\u0159\xEDm\xFDch dodavatel\u016F a poskytovatel\u016F\
            \ slu\u017Eeb, pokud je to mo\u017En\xE9, potvrzuj\xEDc\xED, \u017Ee si\
            \ z\xE1sady p\u0159e\u010Detli, porozum\u011Bli jim a souhlasili s nimi.\
            \ \n\u2022 Zpr\xE1vy z intern\xEDch nebo extern\xEDch audit\u016F hodnot\xED\
            c\xEDch pochopen\xED a implementaci odpov\u011Bdnosti za bezpe\u010Dnost\
            \ mezi zam\u011Bstnanci, p\u0159\xEDm\xFDmi dodavateli a poskytovateli\
            \ slu\u017Eeb, kdekoli je to mo\u017En\xE9. \n\u2022 Zahrnut\xED odpov\u011B\
            dnosti za bezpe\u010Dnost, pokud je to relevantn\xED, do hodnocen\xED\
            \ a hodnocen\xED v\xFDkonu zam\u011Bstnanc\u016F.   \n\u2022 Smlouvy s\
            \ p\u0159\xEDm\xFDmi dodavateli a poskytovateli slu\u017Eeb, kter\xE9\
            \ obsahuj\xED ustanoven\xED o odpov\u011Bdnosti za bezpe\u010Dnost a dodr\u017E\
            ov\xE1n\xED z\xE1sad subjektu nebo p\xEDsemn\xE1 od\u016Fvodn\u011Bn\xED\
            \ ze strany p\u0159\xEDm\xE9ho dodavatele nebo poskytovatele slu\u017E\
            eb v p\u0159\xEDpadech, kdy tyto dolo\u017Eky ve smlouv\u011B neexistuj\xED\
            . \n\u2022 Certifikace nebo osv\u011Bd\u010Den\xED o dovednostech v oblasti\
            \ kybernetick\xE9 bezpe\u010Dnosti od n\xE1rodn\u011B uzn\xE1van\xFDch\
            \ nebo akreditovan\xFDch org\xE1n\u016F potvrzuj\xEDc\xED, \u017Ee osoba\
            \ spl\u0148uje specifick\xE9 po\u017Eadavky t\xFDkaj\xEDc\xED se znalost\xED\
            \ a dovednost\xED v oblasti kybernetick\xE9 bezpe\u010Dnosti."
        it:
          description: "Ai fini dell'articolo 21, paragrafo 2, lettera i), della direttiva\
            \ (UE) 2022/2555, i soggetti pertinenti garantiscono che i loro dipendenti\
            \ e fornitori diretti e prestatori di servizi, ove applicabile, comprendano\
            \ e si impegnino ad assumersi le loro responsabilit\xE0 in materia di\
            \ sicurezza, come appropriato per i servizi offerti e il lavoro e in linea\
            \ con la politica dei soggetti pertinenti in materia di sicurezza delle\
            \ reti e dei sistemi informativi."
          annotation: "\u2022 Definire ruoli e responsabilit\xE0 di sicurezza chiari\
            \ per i dipendenti, in linea con le politiche di sicurezza dell'entit\xE0\
            \ e il ruolo funzionale di ciascun dipendente. Definire le pertinenti\
            \ responsabilit\xE0 in materia di sicurezza per i fornitori diretti e\
            \ i prestatori di servizi, nell'ambito degli obblighi contrattuali, assicurandosi\
            \ che siano adeguate alla natura dei servizi forniti e allineate ai requisiti\
            \ generali di sicurezza dell'entit\xE0. \n\u2022 Stabilire programmi di\
            \ onboarding e formazione continua che includano sia la consapevolezza\
            \ della sicurezza che la formazione specifica per ruolo in materia di\
            \ sicurezza informatica su misura per le diverse esposizioni al rischio.\
            \ \n\u2022 Implementare valutazioni periodiche per valutare la comprensione\
            \ delle responsabilit\xE0 in materia di sicurezza, supportate da corsi\
            \ di aggiornamento obbligatori, se necessario. \n\u2022 Garantire che\
            \ le responsabilit\xE0 in materia di sicurezza siano formalmente documentate\
            \ e integrate nelle descrizioni delle mansioni, negli accordi contrattuali\
            \ e nei processi di valutazione delle prestazioni. Incorporare le responsabilit\xE0\
            \ di sicurezza pertinenti negli accordi contrattuali o negli accordi sul\
            \ livello di servizio (SLA), per i fornitori diretti e i fornitori di\
            \ servizi con un linguaggio chiaro in merito alle aspettative e ai requisiti\
            \ di conformit\xE0. \n\u2022 Promuovere una cultura della responsabilit\xE0\
            \ richiedendo il riconoscimento formale degli obblighi di sicurezza e\
            \ collegando il rispetto a incentivi e misure disciplinari, se del caso.\
            \ \n\u2022 Sviluppare e mantenere un archivio centralizzato di registri\
            \ di formazione, riconoscimenti, certificazioni e clausole contrattuali\
            \ per dimostrare la conformit\xE0 e facilitare gli audit. \n\u2022 Richiedere\
            \ ai fornitori e ai fornitori di servizi di designare contatti responsabili\
            \ per la sicurezza informatica e incoraggiare o imporre la partecipazione\
            \ a briefing o programmi di formazione sulla sicurezza pertinenti forniti\
            \ dall'entit\xE0."
          typical_evidence: "\u2022 Elenco dei dipendenti i cui ruoli richiedono competenze\
            \ specifiche in materia di sicurezza e la loro assegnazione ai ruoli.\
            \ \n\u2022 Prove documentate di sessioni di formazione periodiche sulla\
            \ sicurezza della rete e dei sistemi informativi per dipendenti, fornitori\
            \ diretti e fornitori di servizi, ove applicabile. Ci\xF2 include registri\
            \ delle presenze, materiali di formazione e moduli di feedback. \n\u2022\
            \ Conferme firmate da dipendenti, fornitori diretti e fornitori di servizi,\
            \ ove applicabile, che confermino di aver letto, compreso e accettato\
            \ di rispettare la politica. \n\u2022 Rapporti di audit interni o esterni\
            \ che valutano la comprensione e l'attuazione delle responsabilit\xE0\
            \ in materia di sicurezza tra dipendenti, fornitori diretti e fornitori\
            \ di servizi, ove applicabile. \n\u2022 Inclusione delle responsabilit\xE0\
            \ in materia di sicurezza, se del caso, nelle revisioni e nelle valutazioni\
            \ delle prestazioni dei dipendenti.   \n\u2022 Contratti con fornitori\
            \ diretti e fornitori di servizi che includono clausole sulle responsabilit\xE0\
            \ di sicurezza e sul rispetto delle politiche dell'entit\xE0 o giustificazioni\
            \ scritte da parte del fornitore diretto o del fornitore di servizi nei\
            \ casi in cui tali clausole non esistano nel contratto. \n\u2022 Certificazioni\
            \ o attestazioni di competenze in materia di sicurezza informatica da\
            \ parte di organismi riconosciuti o accreditati a livello nazionale che\
            \ confermino che una persona soddisfa requisiti specifici in materia di\
            \ conoscenze e competenze in materia di sicurezza informatica."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:10.1.2
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:10.1
      ref_id: 10.1.2
      description: 'The requirement referred to in point 10.1.1. shall include the
        following:'
      annotation: "\u2022 Implement regular awareness raising on cyber hygiene practices\
        \ for users, tailored to different roles and responsibilities (Annex to the\
        \ regulation, point 8.1). Wherever applicable, require employees of direct\
        \ suppliers and service providers, to follow similar awareness raising on\
        \ cyber hygiene via contractual clauses. \n\u2022 Communicate clear and concise\
        \ cyber hygiene practices for users to all employees, suppliers and service\
        \ providers. Require acknowledgement of receipt and understanding (Annex to\
        \ the regulation, point 8.1). \n\u2022 Consider specialised training for users\
        \ with administrative or privileged access, focusing on their specific responsibilities\
        \ (Annex to the regulation, point 8.2). \n\u2022 Establish performance metrics\
        \ related to security responsibilities and include them in management evaluations.\
        \ \n\u2022 Hold regular briefings for members of management bodies on the\
        \ importance of network and information system security, their specific responsibilities\
        \ and the potential impact of incidents (section 8.2). \n\u2022 Conduct thorough\
        \ reference checks, where appropriate, to verify the candidate\u2019s previous\
        \ experience and performance in similar roles. \n\u2022 Consider vetting procedures,\
        \ including background checks (section 10.2), to ensure the candidate\u2019\
        s suitability for the role. \n\u2022 Validate any relevant certifications\
        \ claimed by the candidate, to ensure they are current and legitimate. \n\u2022\
        \ Use written tests or practical assessments to evaluate the candidate\u2019\
        s knowledge and skills related to network and information system security.\
        \ \n\u2022 Use interview panels, where appropriate, that also include security\
        \ experts, to assess the candidate\u2019s technical and behavioural competencies."
      typical_evidence: "\u2022 Training and awareness raising material such as videos,\
        \ slides, emails, newsletters, posters and intranet announcements.   \n\u2022\
        \ Documented records showing that all users with administrative or privileged\
        \ access were properly informed and are aware of and are following their network\
        \ and information security roles, responsibilities and authorities. \n\u2022\
        \ Contractual agreements, the policy on the security of network and information\
        \ systems, terms and conditions, code of conduct and other documentation confirming\
        \ that all users have understood and are following the standard cyber hygiene\
        \ practices for users (signed employment contracts and any proof of employees\
        \ having been informed of their responsibilities relating to network and information\
        \ security). \n\u2022 Records of security training sessions provided to employees,\
        \ including attendance logs and training schedules. \n\u2022 Evidence, for\
        \ example attendance certificates where relevant, that suppliers and service\
        \ providers receive security training relevant to their roles. \n\u2022 Mechanisms\
        \ for hiring qualified personnel (e.g. reference check, validation of certifications\
        \ and written tests) in place. \n\u2022 Use of relevant cybersecurity frameworks\
        \ and standards along with widely recognised quality management and capability\
        \ maturity models and standards."
      translations:
        fr:
          description: "L\u2019exigence pr\xE9vue au point 10.1.1 comprend les \xE9\
            l\xE9ments suivants:"
          annotation: "\u2022 Mettre en \u0153uvre des campagnes de sensibilisation\
            \ r\xE9guli\xE8res des utilisateurs aux pratiques de cyberhygi\xE8ne,\
            \ adapt\xE9es aux diff\xE9rents r\xF4les et responsabilit\xE9s (annexe\
            \ du r\xE8glement, point 8.1). Le cas \xE9ch\xE9ant, exiger des employ\xE9\
            s des fournisseurs directs et des prestataires de services qu\u2019ils\
            \ suivent des sensibilisations similaires sur la cyberhygi\xE8ne par le\
            \ biais de clauses contractuelles. \n\u2022 Communiquer des pratiques\
            \ de cyberhygi\xE8ne claires et concises pour les utilisateurs \xE0 tous\
            \ les employ\xE9s, fournisseurs et prestataires de services. Exiger un\
            \ accus\xE9 de r\xE9ception et de compr\xE9hension (annexe du r\xE8glement,\
            \ point 8.1). \n\u2022 Envisager une formation sp\xE9cialis\xE9e pour\
            \ les utilisateurs disposant d\u2019un acc\xE8s administratif ou privil\xE9\
            gi\xE9, en mettant l\u2019accent sur leurs responsabilit\xE9s sp\xE9cifiques\
            \ (annexe du r\xE8glement, point 8.2). \n\u2022 \xC9tablir des indicateurs\
            \ de performance li\xE9s aux responsabilit\xE9s en mati\xE8re de s\xE9\
            curit\xE9 et les inclure dans les \xE9valuations de la direction. \n\u2022\
            \ Organiser r\xE9guli\xE8rement des r\xE9unions d\u2019information \xE0\
            \ l\u2019intention des membres des organes de direction sur l\u2019importance\
            \ de la s\xE9curit\xE9 des r\xE9seaux et des syst\xE8mes d\u2019information,\
            \ leurs responsabilit\xE9s sp\xE9cifiques et l\u2019impact potentiel des\
            \ incidents (section 8.2). \n\u2022 Effectuer des v\xE9rifications approfondies\
            \ des r\xE9f\xE9rences, le cas \xE9ch\xE9ant, pour v\xE9rifier l\u2019\
            exp\xE9rience ant\xE9rieure du candidat et son rendement dans des r\xF4\
            les similaires. \n\u2022 Envisager des proc\xE9dures de v\xE9rification,\
            \ y compris la v\xE9rification des ant\xE9c\xE9dents (section 10.2), pour\
            \ s\u2019assurer que le candidat convient au poste. \n\u2022 Valider toutes\
            \ les certifications pertinentes revendiqu\xE9es par le candidat, afin\
            \ de s\u2019assurer qu\u2019elles sont \xE0 jour et l\xE9gitimes. \n\u2022\
            \ Utiliser des tests \xE9crits ou des \xE9valuations pratiques pour \xE9\
            valuer les connaissances et les comp\xE9tences du candidat en mati\xE8\
            re de s\xE9curit\xE9 des r\xE9seaux et des syst\xE8mes d\u2019information.\
            \ \n\u2022 Utiliser des jurys d\u2019entretien, le cas \xE9ch\xE9ant,\
            \ qui comprennent \xE9galement des experts en s\xE9curit\xE9, pour \xE9\
            valuer les comp\xE9tences techniques et comportementales du candidat."
          typical_evidence: "\u2022 Du mat\xE9riel de formation et de sensibilisation\
            \ tel que des vid\xE9os, des diapositives, des e-mails, des bulletins\
            \ d\u2019information, des affiches et des annonces intranet.   \n\u2022\
            \ Des documents montrant que tous les utilisateurs disposant d\u2019un\
            \ acc\xE8s administratif ou privil\xE9gi\xE9 ont \xE9t\xE9 correctement\
            \ inform\xE9s et connaissent et respectent leurs r\xF4les, responsabilit\xE9\
            s et pouvoirs en mati\xE8re de s\xE9curit\xE9 du r\xE9seau et de l\u2019\
            information. \n\u2022 Les ententes contractuelles, la politique sur la\
            \ s\xE9curit\xE9 des r\xE9seaux et des syst\xE8mes d\u2019information,\
            \ les conditions g\xE9n\xE9rales, le code de conduite et d\u2019autres\
            \ documents confirmant que tous les utilisateurs ont compris et suivent\
            \ les pratiques habituelles d\u2019hygi\xE8ne en mati\xE8re de cybers\xE9\
            curit\xE9 pour les utilisateurs (contrats de travail sign\xE9s et toute\
            \ preuve que les employ\xE9s ont \xE9t\xE9 inform\xE9s de leurs responsabilit\xE9\
            s en mati\xE8re de s\xE9curit\xE9 des r\xE9seaux et de l\u2019information).\
            \ \n\u2022 Registres des sessions de formation \xE0 la s\xE9curit\xE9\
            \ fournies aux employ\xE9s, y compris les registres de pr\xE9sence et\
            \ les calendriers de formation. \n\u2022 Prouver, par exemple des certificats\
            \ de pr\xE9sence, le cas \xE9ch\xE9ant, que les fournisseurs et les prestataires\
            \ de services re\xE7oivent une formation en mati\xE8re de s\xE9curit\xE9\
            \ adapt\xE9e \xE0 leurs r\xF4les. \n\u2022 Des m\xE9canismes d\u2019embauche\
            \ de personnel qualifi\xE9 (ex. : v\xE9rification des r\xE9f\xE9rences,\
            \ validation des certifications et tests \xE9crits) sont en place. \n\u2022\
            \ Utilisation de cadres et de normes de cybers\xE9curit\xE9 pertinents\
            \ ainsi que de mod\xE8les et de normes de gestion de la qualit\xE9 et\
            \ de maturit\xE9 des capacit\xE9s largement reconnus."
        es:
          description: "El requisito contemplado en el punto 10.1.1 incluir\xE1 lo\
            \ siguiente:"
          annotation: "\u2022 Llevar a cabo una sensibilizaci\xF3n peri\xF3dica de\
            \ los usuarios sobre las pr\xE1cticas de ciberhigiene, adaptadas a las\
            \ diferentes funciones y responsabilidades (anexo del Reglamento, punto\
            \ 8.1). Cuando proceda, exigir a los empleados de los proveedores directos\
            \ y de los prestadores de servicios que sigan una sensibilizaci\xF3n similar\
            \ sobre la ciberhigiene a trav\xE9s de cl\xE1usulas contractuales. \n\u2022\
            \ Comunicar pr\xE1cticas de higiene cibern\xE9tica claras y concisas para\
            \ los usuarios a todos los empleados, proveedores y prestadores de servicios.\
            \ Exigir acuse de recibo y comprensi\xF3n (anexo del Reglamento, punto\
            \ 8.1). \n\u2022 Considerar la posibilidad de una formaci\xF3n especializada\
            \ para los usuarios con acceso administrativo o privilegiado, centrada\
            \ en sus responsabilidades espec\xEDficas (anexo del Reglamento, punto\
            \ 8.2). \n\u2022 Establecer m\xE9tricas de desempe\xF1o relacionadas con\
            \ las responsabilidades de seguridad e incluirlas en las evaluaciones\
            \ de gesti\xF3n. \n\u2022 Celebrar sesiones informativas peri\xF3dicas\
            \ para los miembros de los \xF3rganos de direcci\xF3n sobre la importancia\
            \ de la seguridad de las redes y los sistemas de informaci\xF3n, sus responsabilidades\
            \ espec\xEDficas y el impacto potencial de los incidentes (secci\xF3n\
            \ 8.2). \n\u2022 Realizar comprobaciones exhaustivas de referencias, cuando\
            \ proceda, para verificar la experiencia previa y el rendimiento del candidato\
            \ en puestos similares. \n\u2022 Considere la posibilidad de establecer\
            \ procedimientos de investigaci\xF3n, incluidas las verificaciones de\
            \ antecedentes (secci\xF3n 10.2), para garantizar la idoneidad del candidato\
            \ para el puesto. \n\u2022 Validar las certificaciones pertinentes reclamadas\
            \ por el candidato, para asegurarse de que est\xE1n vigentes y son leg\xED\
            timas. \n\u2022 Utilizar pruebas escritas o evaluaciones pr\xE1cticas\
            \ para evaluar los conocimientos y habilidades del candidato relacionados\
            \ con la seguridad de las redes y los sistemas de informaci\xF3n. \n\u2022\
            \ Utilizar paneles de entrevistas, cuando proceda, que tambi\xE9n incluyan\
            \ expertos en seguridad, para evaluar las competencias t\xE9cnicas y conductuales\
            \ del candidato."
          typical_evidence: "\u2022 Material de formaci\xF3n y sensibilizaci\xF3n,\
            \ como v\xEDdeos, diapositivas, correos electr\xF3nicos, boletines informativos,\
            \ carteles y anuncios en la intranet.   \n\u2022 Registros documentados\
            \ que demuestren que todos los usuarios con acceso administrativo o privilegiado\
            \ fueron debidamente informados y conocen y est\xE1n cumpliendo sus funciones,\
            \ responsabilidades y autoridades de seguridad de la red y la informaci\xF3\
            n. \n\u2022 Acuerdos contractuales, la pol\xEDtica de seguridad de las\
            \ redes y los sistemas de informaci\xF3n, los t\xE9rminos y condiciones,\
            \ el c\xF3digo de conducta y otra documentaci\xF3n que confirme que todos\
            \ los usuarios han comprendido y siguen las pr\xE1cticas est\xE1ndar de\
            \ higiene cibern\xE9tica para los usuarios (contratos de trabajo firmados\
            \ y cualquier prueba de que los empleados han sido informados de sus responsabilidades\
            \ relacionadas con la seguridad de la red y la informaci\xF3n). \n\u2022\
            \ Registros de las sesiones de capacitaci\xF3n en seguridad proporcionadas\
            \ a los empleados, incluidos los registros de asistencia y los horarios\
            \ de capacitaci\xF3n. \n\u2022 Pruebas, por ejemplo, certificados de asistencia\
            \ cuando proceda, de que los proveedores y prestadores de servicios reciben\
            \ formaci\xF3n en materia de seguridad pertinente a sus funciones. \n\u2022\
            \ Mecanismos para la contrataci\xF3n de personal cualificado (por ejemplo,\
            \ verificaci\xF3n de referencias, validaci\xF3n de certificaciones y pruebas\
            \ escritas). \n\u2022 Uso de marcos y est\xE1ndares de ciberseguridad\
            \ relevantes, junto con modelos y est\xE1ndares de gesti\xF3n de calidad\
            \ y madurez de capacidades ampliamente reconocidos."
        cs:
          description: "Po\u017Eadavek uveden\xFD v bod\u011B 10.1.1 mus\xED zahrnovat:"
          annotation: "\u2022 Prov\xE1d\u011Bt pravideln\xE9 zvy\u0161ov\xE1n\xED\
            \ pov\u011Bdom\xED u\u017Eivatel\u016F o postupech kybernetick\xE9 hygieny,\
            \ kter\xE9 jsou p\u0159izp\u016Fsobeny r\u016Fzn\xFDm rol\xEDm a povinnostem\
            \ (p\u0159\xEDloha na\u0159\xEDzen\xED, bod 8.1). Kdykoli je to mo\u017E\
            n\xE9, vy\u017Eadovat, aby zam\u011Bstnanci p\u0159\xEDm\xFDch dodavatel\u016F\
            \ a poskytovatel\u016F slu\u017Eeb sledovali podobn\xE9 zvy\u0161ov\xE1\
            n\xED pov\u011Bdom\xED o kybernetick\xE9 hygien\u011B prost\u0159ednictv\xED\
            m smluvn\xEDch dolo\u017Eek. \n\u2022 Sd\u011Blovat jasn\xE9 a stru\u010D\
            n\xE9 postupy kybernetick\xE9 hygieny pro u\u017Eivatele v\u0161em zam\u011B\
            stnanc\u016Fm, dodavatel\u016Fm a poskytovatel\u016Fm slu\u017Eeb. Vy\u017E\
            aduj\xED potvrzen\xED o p\u0159ijet\xED a porozum\u011Bn\xED (p\u0159\xED\
            loha na\u0159\xEDzen\xED, bod 8.1). \n\u2022 zv\xE1\u017Eit specializovan\xE9\
            \ \u0161kolen\xED pro u\u017Eivatele s administrativn\xEDm nebo privilegovan\xFD\
            m p\u0159\xEDstupem se zam\u011B\u0159en\xEDm na jejich konkr\xE9tn\xED\
            \ povinnosti (p\u0159\xEDloha na\u0159\xEDzen\xED, bod 8.2). \n\u2022\
            \ Stanovte metriky v\xFDkonu souvisej\xEDc\xED s odpov\u011Bdnost\xED\
            \ za bezpe\u010Dnost a zahr\u0148te je do hodnocen\xED managementu. \n\
            \u2022 Po\u0159\xE1dat pravideln\xE9 br\xEDfinky pro \u010Dleny \u0159\
            \xEDd\xEDc\xEDch org\xE1n\u016F o v\xFDznamu bezpe\u010Dnosti s\xEDt\xED\
            \ a informa\u010Dn\xEDch syst\xE9m\u016F, jejich konkr\xE9tn\xEDch povinnostech\
            \ a potenci\xE1ln\xEDm dopadu incident\u016F (odd\xEDl 8.2). \n\u2022\
            \ V p\u0159\xEDpad\u011B pot\u0159eby prov\xE9st d\u016Fkladn\xE9 ov\u011B\
            \u0159en\xED referenc\xED, abyste ov\u011B\u0159ili p\u0159edchoz\xED\
            \ zku\u0161enosti a v\xFDkon uchaze\u010De na podobn\xFDch pozic\xEDch.\
            \ \n\u2022 Zva\u017Ete postupy prov\u011B\u0159ov\xE1n\xED, v\u010Detn\u011B\
            \ prov\u011B\u0159en\xED spolehlivosti (odd\xEDl 10.2), abyste se ujistili,\
            \ \u017Ee je kandid\xE1t pro danou pozici vhodn\xFD. \n\u2022 Ov\u011B\
            \u0159te v\u0161echny relevantn\xED certifikace n\xE1rokovan\xE9 kandid\xE1\
            tem, abyste se ujistili, \u017Ee jsou aktu\xE1ln\xED a legitimn\xED. \n\
            \u2022 Pou\u017E\xEDt p\xEDsemn\xE9 testy nebo praktick\xE9 testy k vyhodnocen\xED\
            \ znalost\xED a dovednost\xED uchaze\u010De souvisej\xEDc\xEDch s bezpe\u010D\
            nost\xED s\xEDt\xED a informa\u010Dn\xEDch syst\xE9m\u016F. \n\u2022 Tam,\
            \ kde je to vhodn\xE9, pou\u017Eijte panely pro pohovory, kter\xE9 zahrnuj\xED\
            \ tak\xE9 bezpe\u010Dnostn\xED odborn\xEDky, aby posoudili technick\xE9\
            \ kompetence a kompetence uchaze\u010De v oblasti chov\xE1n\xED."
          typical_evidence: "\u2022 \u0160kolic\xED a osv\u011Btov\xE9 materi\xE1\
            ly, jako jsou videa, prezentace, e-maily, zpravodaje, plak\xE1ty a ozn\xE1\
            men\xED na intranetu.   \n\u2022 Zdokumentovan\xE9 z\xE1znamy prokazuj\xED\
            c\xED, \u017Ee v\u0161ichni u\u017Eivatel\xE9 s administrativn\xEDm nebo\
            \ privilegovan\xFDm p\u0159\xEDstupem byli \u0159\xE1dn\u011B informov\xE1\
            ni a jsou si v\u011Bdomi sv\xFDch rol\xED, odpov\u011Bdnost\xED a pravomoc\xED\
            \ v oblasti bezpe\u010Dnosti s\xEDt\xED a informac\xED a dodr\u017Euj\xED\
            \ je. \n\u2022 Smluvn\xED ujedn\xE1n\xED, z\xE1sady bezpe\u010Dnosti s\xED\
            t\xED a informa\u010Dn\xEDch syst\xE9m\u016F, podm\xEDnky, kodex chov\xE1\
            n\xED a dal\u0161\xED dokumenty potvrzuj\xEDc\xED, \u017Ee v\u0161ichni\
            \ u\u017Eivatel\xE9 porozum\u011Bli standardn\xEDm postup\u016Fm kybernetick\xE9\
            \ hygieny pro u\u017Eivatele a dodr\u017Euj\xED je (podepsan\xE9 pracovn\xED\
            \ smlouvy a jak\xFDkoli doklad o tom, \u017Ee zam\u011Bstnanci byli informov\xE1\
            ni o sv\xFDch povinnostech t\xFDkaj\xEDc\xEDch se bezpe\u010Dnosti s\xED\
            t\xED a informac\xED). \n\u2022 Evidence bezpe\u010Dnostn\xEDch \u0161\
            kolen\xED poskytnut\xFDch zam\u011Bstnanc\u016Fm, v\u010Detn\u011B evidence\
            \ doch\xE1zky a harmonogram\u016F \u0161kolen\xED. \n\u2022 D\u016Fkazy,\
            \ nap\u0159\xEDklad certifik\xE1ty o doch\xE1zce, pokud je to relevantn\xED\
            , \u017Ee dodavatel\xE9 a poskytovatel\xE9 slu\u017Eeb absolvuj\xED bezpe\u010D\
            nostn\xED \u0161kolen\xED relevantn\xED pro jejich role. \n\u2022 Zavedeny\
            \ mechanismy pro naj\xEDm\xE1n\xED kvalifikovan\xFDch pracovn\xEDk\u016F\
            \ (nap\u0159. kontrola referenc\xED, validace certifik\xE1t\u016F a p\xED\
            semn\xE9 testy). \n\u2022 Vyu\u017E\xEDv\xE1n\xED p\u0159\xEDslu\u0161\
            n\xFDch r\xE1mc\u016F a standard\u016F kybernetick\xE9 bezpe\u010Dnosti\
            \ spolu s \u0161iroce uzn\xE1van\xFDmi modely a standardy \u0159\xEDzen\xED\
            \ kvality a vysp\u011Blosti schopnost\xED."
        it:
          description: 'Il requisito di cui al punto 10.1.1. comprendono quanto segue:'
          annotation: "\u2022 Attuare una regolare attivit\xE0 di sensibilizzazione\
            \ sulle pratiche di igiene informatica per gli utenti, adattata ai diversi\
            \ ruoli e responsabilit\xE0 (Allegato al regolamento, punto 8.1). Ove\
            \ applicabile, richiedere ai dipendenti dei fornitori diretti e dei fornitori\
            \ di servizi di seguire un'analoga sensibilizzazione sull'igiene informatica\
            \ tramite clausole contrattuali. \n\u2022 Comunicare pratiche di igiene\
            \ informatica chiare e concise per gli utenti a tutti i dipendenti, fornitori\
            \ e fornitori di servizi. Esigere l'avviso di ricevimento e la comprensione\
            \ (allegato al regolamento, punto 8.1). \n\u2022 Prendere in considerazione\
            \ una formazione specializzata per gli utenti con accesso amministrativo\
            \ o privilegiato, concentrandosi sulle loro responsabilit\xE0 specifiche\
            \ (Allegato al regolamento, punto 8.2). \n\u2022 Stabilire metriche di\
            \ performance relative alle responsabilit\xE0 di sicurezza e includerle\
            \ nelle valutazioni della gestione. \n\u2022 Tenere regolarmente briefing\
            \ per i membri degli organi di gestione sull'importanza della sicurezza\
            \ delle reti e dei sistemi informativi, sulle loro responsabilit\xE0 specifiche\
            \ e sul potenziale impatto degli incidenti (sezione 8.2). \n\u2022 Condurre\
            \ controlli approfonditi delle referenze, se del caso, per verificare\
            \ l'esperienza e le prestazioni pregresse del candidato in ruoli simili.\
            \ \n\u2022 Prendere in considerazione le procedure di verifica, compresi\
            \ i controlli dei precedenti (sezione 10.2), per garantire l'idoneit\xE0\
            \ del candidato al ruolo. \n\u2022 Convalidare tutte le certificazioni\
            \ pertinenti rivendicate dal candidato, per assicurarsi che siano aggiornate\
            \ e legittime. \n\u2022 Utilizzare prove scritte o valutazioni pratiche\
            \ per valutare le conoscenze e le competenze del candidato relative alla\
            \ sicurezza delle reti e dei sistemi informativi. \n\u2022 Utilizzare\
            \ panel di colloqui, se del caso, che includano anche esperti di sicurezza,\
            \ per valutare le competenze tecniche e comportamentali del candidato."
          typical_evidence: "\u2022 Materiale di formazione e sensibilizzazione come\
            \ video, diapositive, e-mail, newsletter, poster e annunci intranet. \
            \  \n\u2022 Registrazioni documentate che dimostrino che tutti gli utenti\
            \ con accesso amministrativo o privilegiato sono stati adeguatamente informati\
            \ e sono consapevoli e stanno seguendo i loro ruoli, responsabilit\xE0\
            \ e autorit\xE0 in materia di sicurezza della rete e delle informazioni.\
            \ \n\u2022 Accordi contrattuali, politica sulla sicurezza delle reti e\
            \ dei sistemi informativi, termini e condizioni, codice di condotta e\
            \ altra documentazione che confermi che tutti gli utenti hanno compreso\
            \ e seguono le pratiche standard di igiene informatica per gli utenti\
            \ (contratti di lavoro firmati e qualsiasi prova che i dipendenti siano\
            \ stati informati delle loro responsabilit\xE0 relative alla sicurezza\
            \ delle reti e delle informazioni). \n\u2022 Registrazioni delle sessioni\
            \ di formazione sulla sicurezza fornite ai dipendenti, inclusi registri\
            \ delle presenze e programmi di formazione. \n\u2022 Prova, ad esempio\
            \ certificati di presenza, se del caso, che i fornitori e i fornitori\
            \ di servizi ricevono una formazione sulla sicurezza pertinente ai loro\
            \ ruoli. \n\u2022 Meccanismi per l'assunzione di personale qualificato\
            \ (ad esempio, controllo delle referenze, convalida delle certificazioni\
            \ e prove scritte). \n\u2022 Utilizzo di quadri e standard pertinenti\
            \ in materia di sicurezza informatica, nonch\xE9 di modelli e standard\
            \ ampiamente riconosciuti per la gestione della qualit\xE0 e la maturit\xE0\
            \ delle capacit\xE0."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:10.1.2.a
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:10.1.2
      ref_id: 10.1.2.a
      description: mechanisms to ensure that all employees, direct suppliers and service
        providers, wherever applicable, understand and follow the standard cyber hygiene
        practices that the relevant entities apply pursuant to point 8.1.;
      translations:
        fr:
          description: "des m\xE9canismes garantissant que tous les employ\xE9s, fournisseurs\
            \ et prestataires de services directs, s\u2019il y a lieu, comprennent\
            \ et suivent les pratiques standard de cyberhygi\xE8ne que les entit\xE9\
            s concern\xE9es appliquent conform\xE9ment au point 8.1;"
        es:
          description: "mecanismos para garantizar que todos los empleados, proveedores\
            \ y prestadores de servicios directos, cuando proceda, entiendan y respeten\
            \ las pr\xE1cticas est\xE1ndar de ciberhigiene aplicadas por las entidades\
            \ pertinentes de acuerdo con el punto 8.1;"
        cs:
          description: "mechanismy, kter\xE9 zajist\xED, aby v\u0161ichni zam\u011B\
            stnanci, p\u0159\xEDpadn\u011B p\u0159\xEDm\xED dodavatel\xE9 a poskytovatel\xE9\
            \ slu\u017Eeb porozum\u011Bli standardn\xEDm postup\u016Fm v oblasti kybernetick\xE9\
            \ hygieny, kter\xE9 p\u0159\xEDslu\u0161n\xE9 subjekty uplat\u0148uj\xED\
            \ podle bodu 8.1, a aby je dodr\u017Eovali;"
        it:
          description: meccanismi per garantire che tutti i dipendenti, i fornitori
            diretti e i fornitori di servizi, ove applicabile, comprendano e seguano
            le pratiche standard di igiene informatica che i soggetti pertinenti applicano
            ai sensi del punto 8.1.;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:10.1.2.b
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:10.1.2
      ref_id: 10.1.2.b
      description: mechanisms to ensure that all users with administrative or privileged
        access are aware of and act in accordance with their roles, responsibilities
        and authorities;
      translations:
        fr:
          description: "des m\xE9canismes visant \xE0 garantir que tous les utilisateurs\
            \ ayant un acc\xE8s d\u2019administration ou privil\xE9gi\xE9 connaissent\
            \ les r\xF4les, responsabilit\xE9s et pouvoirs qui leur sont confi\xE9\
            s et agissent en cons\xE9quence;"
        es:
          description: "mecanismos para garantizar que todos los usuarios que dispongan\
            \ de acceso de administraci\xF3n o privilegiado conozcan sus roles, responsabilidades\
            \ y autoridades y act\xFAen de conformidad con ellos;"
        cs:
          description: "mechanismy, kter\xE9 zajist\xED, aby si v\u0161ichni u\u017E\
            ivatel\xE9 s administr\xE1torsk\xFDm nebo privilegovan\xFDm p\u0159\xED\
            stupem byli v\u011Bdomi sv\xFDch \xFAkol\u016F, odpov\u011Bdnost\xED a\
            \ pravomoc\xED a jednali v souladu s nimi;"
        it:
          description: "meccanismi per garantire che tutti gli utenti con accesso\
            \ amministrativo o privilegiato siano consapevoli dei loro ruoli, responsabilit\xE0\
            \ e autorit\xE0 e agiscano in conformit\xE0 con essi;"
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:10.1.2.c
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:10.1.2
      ref_id: 10.1.2.c
      description: mechanisms to ensure that members of management bodies understand
        and act in accordance with their role, responsibilities and authorities regarding
        network and information system security;
      translations:
        fr:
          description: "des m\xE9canismes garantissant que les membres des organes\
            \ de direction comprennent le r\xF4le, les responsabilit\xE9s et les pouvoirs\
            \ qui leur sont confi\xE9s en mati\xE8re de s\xE9curit\xE9 des r\xE9seaux\
            \ et des syst\xE8mes d\u2019information et agissent en cons\xE9quence;"
        es:
          description: "mecanismos para garantizar que los miembros de los \xF3rganos\
            \ de direcci\xF3n conozcan sus roles, responsabilidades y autoridades\
            \ y act\xFAen de conformidad con ellos en lo que se refiere a la seguridad\
            \ de los sistemas de redes y de informaci\xF3n;"
        cs:
          description: "mechanismy, kter\xE9 zajist\xED, aby \u010Dlenov\xE9 \u0159\
            \xEDd\xEDc\xEDch org\xE1n\u016F porozum\u011Bli sv\xFDm \xFAkol\u016F\
            m, odpov\u011Bdnostem a pravomoc\xEDm v oblasti bezpe\u010Dnosti s\xED\
            t\xED a informa\u010Dn\xEDch syst\xE9m\u016F a aby jednali v souladu s\
            \ nimi;"
        it:
          description: "meccanismi per garantire che i membri degli organi di gestione\
            \ comprendano e agiscano in conformit\xE0 con il loro ruolo, le loro responsabilit\xE0\
            \ e le loro autorit\xE0 in materia di sicurezza delle reti e dei sistemi\
            \ informativi;"
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:10.1.2.d
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:10.1.2
      ref_id: 10.1.2.d
      description: mechanisms for hiring personnel qualified for the respective roles,
        such as reference checks, vetting procedures, validation of certifications,
        or written tests.
      translations:
        fr:
          description: "des m\xE9canismes de recrutement de personnel qualifi\xE9\
            \ pour les r\xF4les respectifs, tels que des contr\xF4les de r\xE9f\xE9\
            rence, des proc\xE9dures de v\xE9rification, une validation des certifications\
            \ ou des \xE9preuves \xE9crites."
        es:
          description: "mecanismos para contratar personal cualificado para los roles\
            \ correspondientes, como por ejemplo, los controles de referencia, los\
            \ procedimientos de evaluaci\xF3n, la validaci\xF3n de certificaciones\
            \ o las pruebas escritas."
        cs:
          description: "mechanismy pro n\xE1bor pracovn\xEDk\u016F maj\xEDc\xEDch\
            \ kvalifikaci pro p\u0159\xEDslu\u0161n\xE9 funkce, jako jsou ov\u011B\
            \u0159en\xED referenc\xED, postupy prov\u011B\u0159ov\xE1n\xED, ov\u011B\
            \u0159ov\xE1n\xED certifik\xE1t\u016F nebo p\xEDsemn\xE9 testy."
        it:
          description: meccanismi per l'assunzione di personale qualificato per i
            rispettivi ruoli, come controlli delle referenze, procedure di controllo,
            convalida delle certificazioni o prove scritte.
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:10.1.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:10.1
      ref_id: 10.1.3
      description: The relevant entities shall review the assignment of personnel
        to specific roles as referred to in point 1.2., as well as their commitment
        of human resources in that regard, at planned intervals and at least annually.
        They shall update the assignment where necessary.
      annotation: "\u2022 Set up a formal schedule for reviewing personnel assignments\
        \ and resource commitments. This should occur at least annually."
      typical_evidence: "\u2022 Up-to-date list of employees and their assignment\
        \ to roles. \n\u2022 Records of the review process, including the criteria\
        \ used, the findings and any changes made."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es r\xE9examinent l\u2019affectation\
            \ du personnel aux fonctions sp\xE9cifiques vis\xE9es au point 1.2, ainsi\
            \ que la mobilisation de leurs ressources humaines \xE0 cet \xE9gard,\
            \ \xE0 intervalles pr\xE9d\xE9finis et au moins une fois par an. Elles\
            \ adaptent l\u2019affectation si n\xE9cessaire."
          annotation: "\u2022 \xC9tablir un calendrier formel pour l\u2019examen des\
            \ affectations du personnel et des engagements en mati\xE8re de ressources.\
            \ Cela devrait se produire au moins une fois par an."
          typical_evidence: "\u2022 Liste \xE0 jour des employ\xE9s et de leur affectation\
            \ aux r\xF4les. \n\u2022 Des dossiers du processus d\u2019examen, y compris\
            \ les crit\xE8res utilis\xE9s, les constatations et les modifications\
            \ apport\xE9es."
        es:
          description: "Las entidades pertinentes revisar\xE1n la asignaci\xF3n de\
            \ personal a roles espec\xEDficos, tal como se recoge en el punto 1.2,\
            \ as\xED como su atribuci\xF3n de recursos humanos a este respecto, a\
            \ intervalos planificados y al menos una vez al a\xF1o. Las entidades\
            \ actualizar\xE1n la asignaci\xF3n cuando sea necesario."
          annotation: "\u2022 Establecer un cronograma formal para revisar las asignaciones\
            \ de personal y los compromisos de recursos. Esto debe ocurrir al menos\
            \ una vez al a\xF1o."
          typical_evidence: "\u2022 Lista actualizada de empleados y su asignaci\xF3\
            n de roles. \n\u2022 Registros del proceso de revisi\xF3n, incluidos los\
            \ criterios utilizados, los hallazgos y los cambios realizados."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty v pl\xE1novan\xFDch intervalech,\
            \ nejm\xE9n\u011B v\u0161ak jednou ro\u010Dn\u011B, p\u0159ezkoumaj\xED\
            \ za\u0159azen\xED pracovn\xEDk\u016F na konkr\xE9tn\xED funkce uveden\xE9\
            \ v bod\u011B 1.2 a vy\u010Dlen\u011Bn\xED lidsk\xFDch zdroj\u016F v tomto\
            \ ohledu. V p\u0159\xEDpad\u011B pot\u0159eby za\u0159azen\xED aktualizuj\xED\
            ."
          annotation: "\u2022 Nastavte form\xE1ln\xED pl\xE1n pro kontrolu person\xE1\
            ln\xEDch \xFAkol\u016F a z\xE1vazk\u016F ke zdroj\u016Fm. K tomu by m\u011B\
            lo doch\xE1zet alespo\u0148 jednou ro\u010Dn\u011B."
          typical_evidence: "\u2022 Aktu\xE1ln\xED seznam zam\u011Bstnanc\u016F a\
            \ jejich p\u0159i\u0159azen\xED k rol\xEDm. \n\u2022 Z\xE1znamy o recenzn\xED\
            m \u0159\xEDzen\xED, v\u010Detn\u011B pou\u017Eit\xFDch krit\xE9ri\xED\
            , zji\u0161t\u011Bn\xED a p\u0159\xEDpadn\xFDch proveden\xFDch zm\u011B\
            n."
        it:
          description: "I soggetti pertinenti riesaminano l'assegnazione del personale\
            \ a ruoli specifici di cui al punto 1.2, nonch\xE9 l'impegno delle risorse\
            \ umane al riguardo, a intervalli programmati e almeno una volta all'anno.\
            \ Essi aggiornano l'incarico ove necessario."
          annotation: "\u2022 Impostare un programma formale per la revisione delle\
            \ assegnazioni del personale e degli impegni delle risorse. Questo dovrebbe\
            \ avvenire almeno una volta all'anno."
          typical_evidence: "\u2022 Elenco aggiornato dei dipendenti e loro assegnazione\
            \ ai ruoli. \n\u2022 Registrazioni del processo di revisione, inclusi\
            \ i criteri utilizzati, i risultati e le eventuali modifiche apportate."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:10.2
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:10
      ref_id: '10.2'
      name: Vulnerability handling and disclosure
      translations:
        fr:
          name: "V\xE9rification des ant\xE9c\xE9dents"
        es:
          name: "Comprobaci\xF3n de antecedentes"
        cs:
          name: "Ov\u011B\u0159en\xED spolehlivosti"
        it:
          name: "Gestione e divulgazione delle vulnerabilit\xE0"
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:10.2.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:10.2
      ref_id: 10.2.1
      description: The relevant entities shall ensure to the extent feasible verification
        of the background of their employees, and where applicable of direct suppliers
        and service providers in accordance with point 5.1.4, if necessary for their
        role, responsibilities and authorisations.
      annotation: "\u2022 Identify which roles, responsibilities and authorities require\
        \ verification of background, based on the criteria in point 10.2.2 (a) of\
        \ the Annex to the regulation. \n\u2022 Perform background verification on\
        \ employees and, where applicable, direct suppliers and service providers\
        \ in accordance with point 5.1.4 (c) of the Annex to the regulation."
      typical_evidence: "\u2022 Documented background verification process. \n\u2022\
        \ Results of background verification on employees and, where applicable, direct\
        \ suppliers and service providers in accordance with point 5.1.4 (c)."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es veillent dans la mesure du possible\
            \ \xE0 \xE9tendre la v\xE9rification des ant\xE9c\xE9dents de leurs employ\xE9\
            s et, le cas \xE9ch\xE9ant, des fournisseurs et prestataires de services\
            \ directs conform\xE9ment au point 5.1.4, si leur r\xF4le, leurs responsabilit\xE9\
            s et leurs autorisations l\u2019exigent."
          annotation: "\u2022 Identifier les r\xF4les, responsabilit\xE9s et pouvoirs\
            \ qui n\xE9cessitent une v\xE9rification des ant\xE9c\xE9dents, sur la\
            \ base des crit\xE8res \xE9nonc\xE9s au point 10.2.2 a) de l\u2019annexe\
            \ du r\xE8glement. \n\u2022 Effectuer une v\xE9rification des ant\xE9\
            c\xE9dents des employ\xE9s et, le cas \xE9ch\xE9ant, des fournisseurs\
            \ directs et des prestataires de services conform\xE9ment au point 5.1.4\
            \ (c) de l\u2019annexe du r\xE8glement."
          typical_evidence: "\u2022 Processus document\xE9 de v\xE9rification des\
            \ ant\xE9c\xE9dents. \n\u2022 R\xE9sultats de la v\xE9rification des ant\xE9\
            c\xE9dents des employ\xE9s et, le cas \xE9ch\xE9ant, des fournisseurs\
            \ directs et des prestataires de services conform\xE9ment au point 5.1.4\
            \ (c)."
        es:
          description: "Las entidades pertinentes se asegurar\xE1n, en la medida posible,\
            \ de comprobar los antecedentes personales de sus empleados y, cuando\
            \ proceda, de sus proveedores y prestadores de servicios directos, de\
            \ conformidad con el apartado 5.1.4, cuando resulte necesario para sus\
            \ roles, responsabilidades y autoridades."
          annotation: "\u2022 Identificar qu\xE9 funciones, responsabilidades y autoridades\
            \ requieren verificaci\xF3n de antecedentes, sobre la base de los criterios\
            \ del punto 10.2.2 (a) del anexo del Reglamento. \n\u2022 Realizar la\
            \ verificaci\xF3n de antecedentes de los empleados y, en su caso, de los\
            \ proveedores directos y prestadores de servicios de conformidad con el\
            \ punto 5.1.4 c) del Anexo del Reglamento."
          typical_evidence: "\u2022 Proceso de verificaci\xF3n de antecedentes documentados.\
            \ \n\u2022 Resultados de la verificaci\xF3n de antecedentes de los empleados\
            \ y, en su caso, de los proveedores directos y prestadores de servicios\
            \ de conformidad con el punto 5.1.4 c)."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty v provediteln\xE9m rozsahu\
            \ zajist\xED, aby se u jejich zam\u011Bstnanc\u016F a v p\u0159\xEDslu\u0161\
            n\xFDch p\u0159\xEDpadech u p\u0159\xEDm\xFDch dodavatel\u016F a poskytovatel\u016F\
            \ slu\u017Eeb prov\xE1d\u011Blo ov\u011B\u0159ov\xE1n\xED spolehlivosti\
            \ v souladu s bodem 5.1.4, pokud to vy\u017Eaduj\xED jejich \xFAkoly,\
            \ povinnosti a opr\xE1vn\u011Bn\xED."
          annotation: "\u2022 Ur\u010Dit, kter\xE9 \xFAlohy, povinnosti a org\xE1\
            ny vy\u017Eaduj\xED ov\u011B\u0159en\xED spolehlivosti, a to na z\xE1\
            klad\u011B krit\xE9ri\xED uveden\xFDch v bod\u011B 10.2.2 p\xEDsm. a)\
            \ p\u0159\xEDlohy na\u0159\xEDzen\xED. \n\u2022 Prov\xE1d\u011Bt ov\u011B\
            \u0159en\xED spolehlivosti zam\u011Bstnanc\u016F a p\u0159\xEDpadn\u011B\
            \ p\u0159\xEDm\xFDch dodavatel\u016F a poskytovatel\u016F slu\u017Eeb\
            \ v souladu s bodem 5.1.4 p\xEDsm. c) p\u0159\xEDlohy na\u0159\xEDzen\xED\
            ."
          typical_evidence: "\u2022 Zdokumentovan\xFD proces ov\u011B\u0159en\xED\
            \ spolehlivosti. \n\u2022 V\xFDsledky ov\u011B\u0159en\xED spolehlivosti\
            \ zam\u011Bstnanc\u016F a p\u0159\xEDpadn\u011B p\u0159\xEDm\xFDch dodavatel\u016F\
            \ a poskytovatel\u016F slu\u017Eeb v souladu s bodem 5.1.4 p\xEDsm. c)."
        it:
          description: "I soggetti pertinenti garantiscono, per quanto possibile,\
            \ la verifica dei precedenti dei loro dipendenti e, se del caso, dei fornitori\
            \ diretti e dei prestatori di servizi conformemente al punto 5.1.4, se\
            \ necessario in funzione del loro ruolo, delle loro responsabilit\xE0\
            \ e delle loro autorizzazioni."
          annotation: "\u2022 Identificare quali ruoli, responsabilit\xE0 e autorit\xE0\
            \ richiedono la verifica del background, sulla base dei criteri di cui\
            \ al punto 10.2.2 (a) dell'allegato al regolamento. \n\u2022 Effettuare\
            \ la verifica dei precedenti dei dipendenti e, ove applicabile, dei fornitori\
            \ diretti e dei fornitori di servizi in conformit\xE0 al punto 5.1.4 (c)\
            \ dell'Allegato al regolamento."
          typical_evidence: "\u2022 Processo documentato di verifica dei precedenti.\
            \ \n\u2022 Risultati della verifica dei precedenti sui dipendenti e, se\
            \ del caso, sui fornitori diretti e sui fornitori di servizi in conformit\xE0\
            \ al punto 5.1.4 (c)."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:10.2.2
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:10.2
      ref_id: 10.2.2
      description: 'For the purpose of point 10.2.1., the relevant entities shall:'
      annotation: "\u2022 Where applicable, define criteria for roles, responsibilities\
        \ and authorities that will be exercised only by persons who have undergone\
        \ background verification. An indicative, non-exhaustive list is the following:\n\
        \    o executives and senior management, o roles with access to sensitive\
        \ information, o roles with financial responsibilities, o roles involving\
        \ procurement and vendor management, o roles that grant access to physical\
        \ assets or are responsible for physical security. \n\u2022 Define criteria\
        \ and limitations for background verification (e.g. who is eligible to screen\
        \ people, and how, when and why verification reviews are carried out). \n\u2022\
        \ For background verification, consider checking the criminal records of the\
        \ person concerned with regard to offences that would be relevant to a specific\
        \ position. \n\u2022 Ensure that checks of criminal records align with legal\
        \ and regulatory requirements (e.g. national (labour) laws and the GDPR).\
        \ \n\u2022 Collect and handle information on job candidates, taking into consideration\
        \ any applicable laws, regulations and ethics, including the protection of\
        \ personal data. This may include collecting professional references. \n\u2022\
        \ Consider screening requirements in the contractual agreements between the\
        \ entity and the direct suppliers and service providers in cases of personnel\
        \ contracted with an external supplier. \n\u2022 Periodically repeat verification\
        \ to confirm the ongoing suitability of personnel, depending on the criticality\
        \ of a person\u2019s role, responsibilities and authorities. \n\u2022 Entities\
        \ should be permitted to rely on background checks of contractors employed\
        \ by a third-party talent agency with which the entity covered has contracts\
        \ for performing services."
      typical_evidence: "\u2022 Records of an analysis conducted to determine which\
        \ roles, responsibilities and authorities require background verification.\
        \ \n\u2022 Guidance for employees about when/how to perform background verification.\
        \ \n\u2022 Records of completed verifications of professional references for\
        \ employees or, where applicable, for direct suppliers and service providers.\
        \ \n\u2022 Signed consent forms from employees or job candidates, confirming\
        \ their agreement to undergo background verification. \n\u2022 Documentation\
        \ of follow-up actions taken in response to any issues or discrepancies identified\
        \ during background verification. \n\u2022 Agreements with third-parties that\
        \ perform background verification services, if used, to ensure they comply\
        \ with legal and policy requirements."
      translations:
        fr:
          description: "Aux fins du point 10.2.1, les entit\xE9s concern\xE9es:"
          annotation: "\u2022 Le cas \xE9ch\xE9ant, d\xE9finir des crit\xE8res pour\
            \ les r\xF4les, les responsabilit\xE9s et les pouvoirs qui ne seront exerc\xE9\
            s que par des personnes ayant fait l\u2019objet d\u2019une v\xE9rification\
            \ des ant\xE9c\xE9dents. Une liste indicative et non exhaustive est la\
            \ suivante :\n    o Cadres sup\xE9rieurs et cadres sup\xE9rieurs, o R\xF4\
            les ayant acc\xE8s \xE0 des informations sensibles, o R\xF4les ayant des\
            \ responsabilit\xE9s financi\xE8res, o R\xF4les impliquant l\u2019approvisionnement\
            \ et la gestion des fournisseurs, o R\xF4les qui accordent l\u2019acc\xE8\
            s aux actifs physiques ou sont responsables de la s\xE9curit\xE9 physique.\
            \ \n\u2022 D\xE9finir les crit\xE8res et les limites de la v\xE9rification\
            \ des ant\xE9c\xE9dents (par exemple, qui est \xE9ligible au d\xE9pistage\
            \ des personnes, et comment, quand et pourquoi les examens de v\xE9rification\
            \ sont effectu\xE9s). \n\u2022 Pour la v\xE9rification des ant\xE9c\xE9\
            dents, envisagez de v\xE9rifier le casier judiciaire de la personne concern\xE9\
            e en ce qui concerne les infractions qui seraient pertinentes pour un\
            \ poste sp\xE9cifique. \n\u2022 Veiller \xE0 ce que les v\xE9rifications\
            \ des casiers judiciaires soient conformes aux exigences l\xE9gales et\
            \ r\xE9glementaires (par exemple, les lois nationales (du travail) et\
            \ le RGPD). \n\u2022 Collecter et traiter des informations sur les candidats,\
            \ en tenant compte des lois, r\xE9glementations et \xE9thiques applicables,\
            \ y compris la protection des donn\xE9es personnelles. Cela peut inclure\
            \ la collecte de r\xE9f\xE9rences professionnelles. \n\u2022 Envisager\
            \ des exigences de filtrage dans les accords contractuels entre l\u2019\
            entit\xE9 et les fournisseurs directs et les prestataires de services\
            \ dans le cas de personnel sous contrat avec un fournisseur externe. \n\
            \u2022 R\xE9p\xE9ter p\xE9riodiquement les v\xE9rifications pour confirmer\
            \ l\u2019aptitude continue du personnel, en fonction de la criticit\xE9\
            \ du r\xF4le, des responsabilit\xE9s et des pouvoirs d\u2019une personne.\
            \ \n\u2022 Les entit\xE9s devraient \xEAtre autoris\xE9es \xE0 s\u2019\
            appuyer sur les v\xE9rifications des ant\xE9c\xE9dents des sous-traitants\
            \ employ\xE9s par une agence de talents tierce avec laquelle l\u2019entit\xE9\
            \ couverte a des contrats pour la prestation de services."
          typical_evidence: "\u2022 Dossiers d\u2019une analyse effectu\xE9e pour\
            \ d\xE9terminer les r\xF4les, les responsabilit\xE9s et les pouvoirs qui\
            \ n\xE9cessitent une v\xE9rification des ant\xE9c\xE9dents. \n\u2022 Des\
            \ conseils pour les employ\xE9s sur le moment et la mani\xE8re d\u2019\
            effectuer la v\xE9rification des ant\xE9c\xE9dents. \n\u2022 Registres\
            \ des v\xE9rifications effectu\xE9es des r\xE9f\xE9rences professionnelles\
            \ pour les employ\xE9s ou, le cas \xE9ch\xE9ant, pour les fournisseurs\
            \ directs et les prestataires de services. \n\u2022 Formulaires de consentement\
            \ sign\xE9s par des employ\xE9s ou des candidats, confirmant leur accord\
            \ pour se soumettre \xE0 une v\xE9rification des ant\xE9c\xE9dents. \n\
            \u2022 Documentation des mesures de suivi prises en r\xE9ponse \xE0 tout\
            \ probl\xE8me ou anomalie identifi\xE9 lors de la v\xE9rification des\
            \ ant\xE9c\xE9dents. \n\u2022 Accords avec des tiers qui effectuent des\
            \ services de v\xE9rification des ant\xE9c\xE9dents, le cas \xE9ch\xE9\
            ant, pour s\u2019assurer qu\u2019ils sont conformes aux exigences l\xE9\
            gales et politiques."
        es:
          description: 'A los efectos del punto 10.2.1, las entidades pertinentes:'
          annotation: "\u2022 Cuando corresponda, definir los criterios para las funciones,\
            \ responsabilidades y autoridades que ser\xE1n ejercidos \xFAnicamente\
            \ por personas que hayan sido sometidas a una verificaci\xF3n de antecedentes.\
            \ Una lista indicativa y no exhaustiva es la siguiente:\n    o Ejecutivos\
            \ y alta direcci\xF3n, o roles con acceso a informaci\xF3n confidencial,\
            \ o roles con responsabilidades financieras, o roles relacionados con\
            \ compras y gesti\xF3n de proveedores, o roles que otorgan acceso a activos\
            \ f\xEDsicos o son responsables de la seguridad f\xEDsica. \n\u2022 Definir\
            \ criterios y limitaciones para la verificaci\xF3n de antecedentes (por\
            \ ejemplo, qui\xE9n es elegible para examinar a las personas y c\xF3mo,\
            \ cu\xE1ndo y por qu\xE9 se llevan a cabo las revisiones de verificaci\xF3\
            n). \n\u2022 Para la verificaci\xF3n de antecedentes, considere la posibilidad\
            \ de verificar los antecedentes penales de la persona en cuesti\xF3n con\
            \ respecto a los delitos que ser\xEDan relevantes para un puesto espec\xED\
            fico. \n\u2022 Garantizar que las comprobaciones de los antecedentes penales\
            \ se ajusten a los requisitos legales y reglamentarios (por ejemplo, las\
            \ leyes nacionales (laborales) y el RGPD). \n\u2022 Recopilar y manejar\
            \ informaci\xF3n sobre los candidatos a un puesto de trabajo, teniendo\
            \ en cuenta las leyes, reglamentos y normas \xE9ticas aplicables, incluida\
            \ la protecci\xF3n de datos personales. Esto puede incluir la recopilaci\xF3\
            n de referencias profesionales. \n\u2022 Considerar los requisitos de\
            \ selecci\xF3n en los acuerdos contractuales entre la entidad y los proveedores\
            \ directos y prestadores de servicios en los casos de personal contratado\
            \ con un proveedor externo. \n\u2022 Repetir peri\xF3dicamente la verificaci\xF3\
            n para confirmar la idoneidad continua del personal, en funci\xF3n de\
            \ la criticidad de la funci\xF3n, las responsabilidades y las autoridades\
            \ de una persona. \n\u2022 Se debe permitir a las entidades confiar en\
            \ la verificaci\xF3n de antecedentes de los contratistas empleados por\
            \ una agencia de talentos externa con la que la entidad cubierta tiene\
            \ contratos para la prestaci\xF3n de servicios."
          typical_evidence: "\u2022 Registros de un an\xE1lisis realizado para determinar\
            \ qu\xE9 roles, responsabilidades y autoridades requieren verificaci\xF3\
            n de antecedentes. \n\u2022 Orientaci\xF3n para los empleados sobre cu\xE1\
            ndo y c\xF3mo realizar la verificaci\xF3n de antecedentes. \n\u2022 Registros\
            \ de verificaciones completadas de referencias profesionales para empleados\
            \ o, en su caso, para proveedores directos y prestadores de servicios.\
            \ \n\u2022 Formularios de consentimiento firmados por empleados o candidatos\
            \ a un puesto de trabajo, confirmando su acuerdo para someterse a la verificaci\xF3\
            n de antecedentes. \n\u2022 Documentaci\xF3n de las acciones de seguimiento\
            \ tomadas en respuesta a cualquier problema o discrepancia identificada\
            \ durante la verificaci\xF3n de antecedentes. \n\u2022 Acuerdos con terceros\
            \ que realizan servicios de verificaci\xF3n de antecedentes, si se utilizan,\
            \ para garantizar que cumplan con los requisitos legales y de pol\xED\
            ticas."
        cs:
          description: "Pro \xFA\u010Dely bodu 10.2.1 p\u0159\xEDslu\u0161n\xE9 subjekty:"
          annotation: "\u2022 Tam, kde je to mo\u017En\xE9, definovat krit\xE9ria\
            \ pro role, odpov\u011Bdnosti a pravomoci, kter\xE9 budou vykon\xE1vat\
            \ pouze osoby, kter\xE9 pro\u0161ly ov\u011B\u0159en\xEDm spolehlivosti.\
            \ Orienta\u010Dn\xED, ne\xFApln\xFD seznam je n\xE1sleduj\xEDc\xED:\n\
            \    o Vedouc\xED pracovn\xEDci a vy\u0161\u0161\xED management, o Role\
            \ s p\u0159\xEDstupem k citliv\xFDm informac\xEDm, o Role s finan\u010D\
            n\xED odpov\u011Bdnost\xED, o Role zahrnuj\xEDc\xED zad\xE1v\xE1n\xED\
            \ zak\xE1zek a \u0159\xEDzen\xED dodavatel\u016F, o Role, kter\xE9 poskytuj\xED\
            \ p\u0159\xEDstup k fyzick\xFDm aktiv\u016Fm nebo jsou zodpov\u011Bdn\xE9\
            \ za fyzickou bezpe\u010Dnost. \n\u2022 Definujte krit\xE9ria a omezen\xED\
            \ pro ov\u011B\u0159ov\xE1n\xED spolehlivosti (nap\u0159. kdo je opr\xE1\
            vn\u011Bn prov\u011B\u0159ovat osoby a jak, kdy a pro\u010D se ov\u011B\
            \u0159ovac\xED kontroly prov\xE1d\u011Bj\xED). \n\u2022 Pro ov\u011B\u0159\
            en\xED spolehlivosti zva\u017Ete kontrolu rejst\u0159\xEDku trest\u016F\
            \ doty\u010Dn\xE9 osoby s ohledem na trestn\xE9 \u010Diny, kter\xE9 by\
            \ byly relevantn\xED pro konkr\xE9tn\xED pozici. \n\u2022 Zajistit, aby\
            \ kontroly rejst\u0159\xEDk\u016F trest\u016F byly v souladu s pr\xE1\
            vn\xEDmi a regula\u010Dn\xEDmi po\u017Eadavky (nap\u0159. vnitrost\xE1\
            tn\xEDmi (pracovn\xEDmi) z\xE1kony a GDPR). \n\u2022 Shroma\u017E\u010F\
            ovat a nakl\xE1dat s informacemi o uchaze\u010D\xEDch o zam\u011Bstn\xE1\
            n\xED s p\u0159ihl\xE9dnut\xEDm k platn\xFDm z\xE1kon\u016Fm, p\u0159\
            edpis\u016Fm a etice, v\u010Detn\u011B ochrany osobn\xEDch \xFAdaj\u016F\
            . To m\u016F\u017Ee zahrnovat shroma\u017E\u010Fov\xE1n\xED odborn\xFD\
            ch referenc\xED. \n\u2022 Zv\xE1\u017Eit po\u017Eadavky na prov\u011B\u0159\
            en\xED ve smluvn\xEDch dohod\xE1ch mezi subjektem a p\u0159\xEDm\xFDmi\
            \ dodavateli a poskytovateli slu\u017Eeb v p\u0159\xEDpadech, kdy jsou\
            \ zam\u011Bstnanci smluvn\u011B v\xE1z\xE1ni s extern\xEDm dodavatelem.\
            \ \n\u2022 Pravideln\u011B opakovat ov\u011B\u0159ov\xE1n\xED pro potvrzen\xED\
            \ trval\xE9 vhodnosti person\xE1lu v z\xE1vislosti na kriti\u010Dnosti\
            \ role, odpov\u011Bdnosti a pravomoc\xED dan\xE9 osoby. \n\u2022 Subjekt\u016F\
            m by m\u011Blo b\xFDt umo\u017En\u011Bno spol\xE9hat se na ov\u011B\u0159\
            en\xED spolehlivosti dodavatel\u016F zam\u011Bstnan\xFDch agenturou pro\
            \ talenty t\u0159et\xED strany, s n\xED\u017E m\xE1 dan\xFD subjekt uzav\u0159\
            eny smlouvy o poskytov\xE1n\xED slu\u017Eeb."
          typical_evidence: "\u2022 Z\xE1znamy o anal\xFDze proveden\xE9 za \xFA\u010D\
            elem ur\u010Den\xED, kter\xE9 role, odpov\u011Bdnosti a pravomoci vy\u017E\
            aduj\xED ov\u011B\u0159en\xED spolehlivosti. \n\u2022 Pokyny pro zam\u011B\
            stnance o tom, kdy/jak prov\xE1d\u011Bt ov\u011B\u0159en\xED spolehlivosti.\
            \ \n\u2022 Evidence vypln\u011Bn\xFDch ov\u011B\u0159en\xED odborn\xFD\
            ch referenc\xED pro zam\u011Bstnance, p\u0159\xEDpadn\u011B pro p\u0159\
            \xEDm\xE9 dodavatele a poskytovatele slu\u017Eeb. \n\u2022 Podepsan\xE9\
            \ formul\xE1\u0159e souhlasu od zam\u011Bstnanc\u016F nebo uchaze\u010D\
            \u016F o zam\u011Bstn\xE1n\xED, potvrzuj\xEDc\xED jejich souhlas s ov\u011B\
            \u0159en\xEDm spolehlivosti. \n\u2022 Dokumentace n\xE1sledn\xFDch opat\u0159\
            en\xED p\u0159ijat\xFDch v reakci na jak\xE9koli probl\xE9my nebo nesrovnalosti\
            \ zji\u0161t\u011Bn\xE9 b\u011Bhem ov\u011B\u0159ov\xE1n\xED spolehlivosti.\
            \ \n\u2022 Smlouvy s t\u0159et\xEDmi stranami, kter\xE9 poskytuj\xED slu\u017E\
            by ov\u011B\u0159ov\xE1n\xED spolehlivosti, pokud jsou pou\u017Eity, aby\
            \ bylo zaji\u0161t\u011Bno, \u017Ee spl\u0148uj\xED z\xE1konn\xE9 a politick\xE9\
            \ po\u017Eadavky."
        it:
          description: 'Ai fini del punto 10.2.1, i soggetti interessati:'
          annotation: "\u2022 Se del caso, definire criteri per i ruoli, le responsabilit\xE0\
            \ e le autorit\xE0 che saranno esercitati solo da persone che si sono\
            \ sottoposte a verifica dei precedenti. Un elenco indicativo e non esaustivo\
            \ \xE8 il seguente:\n    o dirigenti e senior management, o ruoli con\
            \ accesso a informazioni sensibili, o ruoli con responsabilit\xE0 finanziarie,\
            \ o ruoli che coinvolgono l'approvvigionamento e la gestione dei fornitori,\
            \ o ruoli che concedono l'accesso alle risorse fisiche o sono responsabili\
            \ della sicurezza fisica. \n\u2022 Definire criteri e limitazioni per\
            \ la verifica dei precedenti (ad esempio, chi \xE8 idoneo a selezionare\
            \ le persone e come, quando e perch\xE9 vengono effettuate le revisioni\
            \ di verifica). \n\u2022 Per la verifica dei precedenti, prendere in considerazione\
            \ la possibilit\xE0 di controllare i precedenti penali della persona interessata\
            \ in relazione a reati che sarebbero rilevanti per una posizione specifica.\
            \ \n\u2022 Garantire che i controlli dei casellari giudiziari siano in\
            \ linea con i requisiti legali e normativi (ad esempio, le leggi nazionali\
            \ (sul lavoro) e il GDPR). \n\u2022 Raccogliere e gestire le informazioni\
            \ sui candidati, tenendo in considerazione le leggi, i regolamenti e l'etica\
            \ applicabili, inclusa la protezione dei dati personali. Ci\xF2 pu\xF2\
            \ includere la raccolta di referenze professionali. \n\u2022 Prendere\
            \ in considerazione i requisiti di screening negli accordi contrattuali\
            \ tra l'entit\xE0 e i fornitori diretti e i fornitori di servizi in caso\
            \ di personale assunto con un fornitore esterno. \n\u2022 Ripetere periodicamente\
            \ le verifiche per confermare l'idoneit\xE0 continua del personale, in\
            \ funzione della criticit\xE0 del ruolo, delle responsabilit\xE0 e delle\
            \ autorit\xE0 di una persona. \n\u2022 Gli enti dovrebbero essere autorizzati\
            \ a fare affidamento sui controlli dei precedenti degli appaltatori impiegati\
            \ da un'agenzia di talenti di terze parti con cui l'ente interessato ha\
            \ contratti per l'esecuzione di servizi."
          typical_evidence: "\u2022 Registrazioni di un'analisi condotta per determinare\
            \ quali ruoli, responsabilit\xE0 e autorit\xE0 richiedono la verifica\
            \ dei precedenti. \n\u2022 Guida per i dipendenti su quando/come eseguire\
            \ la verifica dei precedenti. \n\u2022 Registrazioni delle verifiche completate\
            \ delle referenze professionali per i dipendenti o, se del caso, per i\
            \ fornitori diretti e i fornitori di servizi. \n\u2022 Moduli di consenso\
            \ firmati da dipendenti o candidati, che confermano il loro consenso a\
            \ sottoporsi alla verifica dei precedenti. \n\u2022 Documentazione delle\
            \ azioni di follow-up intraprese in risposta a eventuali problemi o discrepanze\
            \ identificati durante la verifica dei precedenti. \n\u2022 Accordi con\
            \ terze parti che eseguono servizi di verifica dei precedenti, se utilizzati,\
            \ per garantire che siano conformi ai requisiti legali e normativi."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:10.2.2.a
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:10.2.2
      ref_id: 10.2.2.a
      description: put in place criteria, which set out which roles, responsibilities
        and authorities shall only be exercised by persons whose background has been
        verified;
      translations:
        fr:
          description: "mettent en place des crit\xE8res d\xE9finissant les r\xF4\
            les, les responsabilit\xE9s et les pouvoirs qui ne peuvent \xEAtre exerc\xE9\
            s que par des personnes dont les ant\xE9c\xE9dents ont \xE9t\xE9 v\xE9\
            rifi\xE9s;"
        es:
          description: "aplicar\xE1n criterios que establezcan qu\xE9 roles, responsabilidades\
            \ y autoridades deben ejercer exclusivamente aquellas personas cuyos antecedentes\
            \ hayan sido comprobados;"
        cs:
          description: "zavedou krit\xE9ria, kter\xE1 stanov\xED, kter\xE9 \xFAkoly,\
            \ odpov\u011Bdnosti a pravomoci mohou vykon\xE1vat pouze osoby, jejich\u017E\
            \ spolehlivost byla ov\u011B\u0159ena;"
        it:
          description: "mettere in atto criteri che stabiliscano quali ruoli, responsabilit\xE0\
            \ e autorit\xE0 devono essere esercitati solo da persone di cui \xE8 stato\
            \ accertato il background;"
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:10.2.2.b
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:10.2.2
      ref_id: 10.2.2.b
      description: ensure that verification referred to in point 10.2.1 is performed
        on these persons before they start exercising these roles, responsibilities
        and authorities, which shall take into consideration the applicable laws,
        regulations, and ethics in proportion to the business requirements, the asset
        classification as referred to in point 12.1. and the network and information
        systems to be accessed, and the perceived risks.
      translations:
        fr:
          description: "veillent \xE0 ce que ces personnes fassent l\u2019objet de\
            \ la v\xE9rification vis\xE9e au point 10.2.1 avant qu\u2019elles commencent\
            \ \xE0 exercer ces r\xF4les, responsabilit\xE9s et pouvoirs; ces v\xE9\
            rifications tiennent compte des lois, r\xE9glementations et r\xE8gles\
            \ d\xE9ontologiques applicables en proportion des exigences commerciales,\
            \ de la classification des actifs vis\xE9e au point 12.1 et des r\xE9\
            seaux et syst\xE8mes d\u2019information auxquels il convient d\u2019acc\xE9\
            der, ainsi que des risques per\xE7us."
        es:
          description: "se asegurar\xE1n de que estas comprobaciones contempladas\
            \ en el punto 10.2.1 se lleven a cabo antes de que estas personas empiecen\
            \ a ejercer dichos roles, responsabilidades y autoridades, que tendr\xE1\
            n en cuenta las disposiciones legales, normativas y \xE9ticas aplicables\
            \ en proporci\xF3n a los requisitos operativos, la clasificaci\xF3n de\
            \ activos contemplada en el apartado 12.1 y los sistemas de redes y de\
            \ informaci\xF3n a los que va a accederse, as\xED como los riesgos percibidos."
        cs:
          description: "zajist\xED, aby ov\u011B\u0159en\xED spolehlivosti t\u011B\
            chto osob uveden\xE9 v bod\u011B 10.2.1, kter\xE9 vezme v potaz platn\xE9\
            \ z\xE1kony, p\u0159edpisy a etick\xE9 z\xE1sady \xFAm\u011Brn\u011B k\
            \ obchodn\xEDm po\u017Eadavk\u016Fm, ke klasifikaci aktiv podle bodu 12.1,\
            \ k s\xEDt\xEDm a informa\u010Dn\xEDm syst\xE9m\u016Fm, k nim\u017E maj\xED\
            \ m\xEDt p\u0159\xEDstup, a vn\xEDman\xFDm rizik\u016Fm bylo provedeno\
            \ p\u0159ed t\xEDm, ne\u017E tyto osoby za\u010Dnou vykon\xE1vat dan\xE9\
            \ \xFAkoly, odpov\u011Bdnosti a pravomoci."
        it:
          description: "assicurare che la verifica di cui al punto 10.2.1 sia effettuata\
            \ su tali soggetti prima che inizino ad esercitare tali ruoli, responsabilit\xE0\
            \ e autorit\xE0, che devono tenere in considerazione le leggi, i regolamenti\
            \ e l'etica applicabili in proporzione ai requisiti aziendali, alla classificazione\
            \ degli asset di cui al punto 12.1. e la rete e i sistemi informativi\
            \ a cui accedere, nonch\xE9 i rischi percepiti."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:10.2.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:10.2
      ref_id: 10.2.3
      description: The relevant entities shall review and, where appropriate, update
        the policy at planned intervals and update it where necessary.
      annotation: "\u2022 Where necessary, review and update background verification\
        \ procedure at least annually."
      typical_evidence: "\u2022 Records of background verification for roles requiring\
        \ ongoing clearance. \n\u2022 Review comments or change logs of the procedure."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es r\xE9examinent et, s\u2019il\
            \ est besoin, mettent \xE0 jour leur politique \xE0 intervalles pr\xE9\
            d\xE9finis et lorsque cela est n\xE9cessaire."
          annotation: "\u2022 Si n\xE9cessaire, revoir et mettre \xE0 jour la proc\xE9\
            dure de v\xE9rification des ant\xE9c\xE9dents au moins une fois par an."
          typical_evidence: "\u2022 Dossiers de v\xE9rification des ant\xE9c\xE9dents\
            \ pour les r\xF4les n\xE9cessitant une habilitation continue. \n\u2022\
            \ Examiner les commentaires ou les journaux de modification de la proc\xE9\
            dure."
        es:
          description: "Las entidades pertinentes revisar\xE1n la pol\xEDtica a intervalos\
            \ planificados y la actualizar\xE1n seg\xFAn proceda."
          annotation: "\u2022 Cuando sea necesario, revisar y actualizar el procedimiento\
            \ de verificaci\xF3n de antecedentes al menos una vez al a\xF1o."
          typical_evidence: "\u2022 Registros de verificaci\xF3n de antecedentes para\
            \ roles que requieren autorizaci\xF3n continua. \n\u2022 Revisar los comentarios\
            \ o cambiar los registros del procedimiento."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty tuto politiku v pl\xE1\
            novan\xFDch intervalech p\u0159ezkoum\xE1vaj\xED a v p\u0159\xEDpad\u011B\
            \ pot\u0159eby aktualizuj\xED a v p\u0159\xEDpad\u011B pot\u0159eby ji\
            \ aktualizuj\xED."
          annotation: "\u2022 V p\u0159\xEDpad\u011B pot\u0159eby p\u0159ezkoum\xE1\
            vat a aktualizovat postup ov\u011B\u0159ov\xE1n\xED spolehlivosti alespo\u0148\
            \ jednou ro\u010Dn\u011B."
          typical_evidence: "\u2022 Z\xE1znamy o ov\u011B\u0159en\xED spolehlivosti\
            \ pro pozice vy\u017Eaduj\xEDc\xED pr\u016Fb\u011B\u017Enou prov\u011B\
            rku. \n\u2022 Zkontrolujte koment\xE1\u0159e nebo zm\u011B\u0148te protokoly\
            \ postupu."
        it:
          description: I soggetti pertinenti riesaminano e, se del caso, aggiornano
            la politica a intervalli pianificati e la aggiornano ove necessario.
          annotation: "\u2022 Se necessario, rivedere e aggiornare la procedura di\
            \ verifica dei precedenti almeno una volta all'anno."
          typical_evidence: "\u2022 Registrazioni di verifica dei precedenti per i\
            \ ruoli che richiedono un'autorizzazione continua. \n\u2022 Rivedere i\
            \ commenti o i registri delle modifiche della procedura."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:10.3
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:10
      ref_id: '10.3'
      name: Termination or change of employment procedures
      translations:
        fr:
          name: "Proc\xE9dures en cas de cessation ou de changement d\u2019emploi"
        es:
          name: "Terminaci\xF3n o cambio de los procedimientos de contrataci\xF3n"
        cs:
          name: "Postup p\u0159i ukon\u010Den\xED nebo zm\u011Bn\u011B pracovn\xED\
            ho pom\u011Bru"
        it:
          name: Procedure di cessazione o cambiamento di rapporto di lavoro
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:10.3.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:10.3
      ref_id: 10.3.1
      description: The relevant entities shall ensure that network and information
        system security responsibilities and duties that remain valid after termination
        or change of employment of their employees are contractually defined and enforced.
      annotation: "\u2022 Include specific clauses in employment contracts that outline\
        \ the ongoing security responsibilities and duties of employees after their\
        \ employment ends or their role changes."
      typical_evidence: "\u2022 Documents, such as terms and conditions of employment,\
        \ contracts or agreements, outlining responsibilities and duties still valid\
        \ after termination of employment or contract."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es veillent \xE0 ce que les responsabilit\xE9\
            s et les t\xE2ches en mati\xE8re de s\xE9curit\xE9 des r\xE9seaux et des\
            \ syst\xE8mes d\u2019information qui restent valables apr\xE8s la cessation\
            \ ou le changement d\u2019emploi de leur personnel soient d\xE9finies\
            \ et ex\xE9cut\xE9es contractuellement."
          annotation: "\u2022 Inclure dans les contrats de travail des clauses pr\xE9\
            cises qui d\xE9crivent les responsabilit\xE9s et les obligations continues\
            \ des employ\xE9s en mati\xE8re de s\xE9curit\xE9 apr\xE8s la fin de leur\
            \ emploi ou les changements de r\xF4le."
          typical_evidence: "\u2022 Des documents, tels que des conditions d\u2019\
            emploi, des contrats ou des ententes, d\xE9crivant les responsabilit\xE9\
            s et les obligations toujours valables apr\xE8s la cessation d\u2019emploi\
            \ ou de contrat."
        es:
          description: "Las entidades pertinentes se asegurar\xE1n de que la seguridad\
            \ de los sistemas de redes y de informaci\xF3n y las tareas que sigan\
            \ siendo v\xE1lidas tras la terminaci\xF3n o el cambio de empleo de sus\
            \ empleados se definan y ejecuten contractualmente."
          annotation: "\u2022 Incluir cl\xE1usulas espec\xEDficas en los contratos\
            \ de trabajo que describan las responsabilidades y deberes de seguridad\
            \ continuos de los empleados despu\xE9s de que finalice su empleo o cambien\
            \ sus funciones."
          typical_evidence: "\u2022 Documentos, como t\xE9rminos y condiciones de\
            \ empleo, contratos o acuerdos, que describan las responsabilidades y\
            \ deberes que a\xFAn son v\xE1lidos despu\xE9s de la terminaci\xF3n del\
            \ empleo o contrato."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty zajist\xED, aby byly smluvn\u011B\
            \ vymezeny a vym\xE1h\xE1ny odpov\u011Bdnosti a povinnosti v oblasti bezpe\u010D\
            nosti s\xEDt\xED a informa\u010Dn\xEDch syst\xE9m\u016F, kter\xE9 z\u016F\
            st\xE1vaj\xED v platnosti i po ukon\u010Den\xED nebo zm\u011Bn\u011B pracovn\xED\
            ho pom\u011Bru jejich zam\u011Bstnanc\u016F."
          annotation: "\u2022 Zahrnout do pracovn\xEDch smluv konkr\xE9tn\xED ustanoven\xED\
            , kter\xE1 nasti\u0148uj\xED pokra\u010Duj\xEDc\xED bezpe\u010Dnostn\xED\
            \ odpov\u011Bdnost a povinnosti zam\u011Bstnanc\u016F po skon\u010Den\xED\
            \ jejich pracovn\xEDho pom\u011Bru nebo po zm\u011Bn\u011B jejich role."
          typical_evidence: "\u2022 Dokumenty, jako jsou pracovn\xED podm\xEDnky,\
            \ smlouvy nebo dohody, kter\xE9 popisuj\xED odpov\u011Bdnosti a povinnosti\
            \ st\xE1le platn\xE9 po skon\u010Den\xED pracovn\xEDho pom\u011Bru nebo\
            \ smlouvy."
        it:
          description: "I soggetti pertinenti provvedono affinch\xE9 le responsabilit\xE0\
            \ e i doveri in materia di sicurezza delle reti e dei sistemi informativi\
            \ che rimangono validi dopo la cessazione o il cambiamento di rapporto\
            \ di lavoro dei loro dipendenti siano definiti e applicati contrattualmente."
          annotation: "\u2022 Includere clausole specifiche nei contratti di lavoro\
            \ che delineino le responsabilit\xE0 e i doveri in materia di sicurezza\
            \ dei dipendenti dopo la fine del loro rapporto di lavoro o il cambio\
            \ di ruolo."
          typical_evidence: "\u2022 Documenti, quali termini e condizioni di lavoro,\
            \ contratti o accordi, che illustrino le responsabilit\xE0 e i doveri\
            \ ancora validi dopo la cessazione del rapporto di lavoro o del contratto."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:10.3.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:10.3
      ref_id: 10.3.2
      description: "For the purpose of point 10.3.1., the relevant entities shall\
        \ include in the individual\u2019s terms and conditions of employment, contract\
        \ or agreement the responsibilities and duties that are still valid after\
        \ termination of employment or contract, such as confidentiality clauses."
      annotation: "\u2022 Ensure these clauses cover the protection of confidential\
        \ information, return of company property and restrictions on accessing the\
        \ entity\u2019s network and information systems. \n\u2022 Revoke access to\
        \ network and information systems in a timely manner upon termination or role\
        \ change. \n\u2022 Identify and document all assets to be returned upon termination\
        \ or change of employment. \n\u2022 After a change of employment, brief and\
        \ inform personnel on the procedures in place.\n\n[TIPS]\n\n\u2022 Identify\
        \ and transfer to another individual network and information security roles\
        \ and responsibilities held by any individual who leaves the organisation.\
        \ \n\u2022 Where deemed reasonably necessary, conduct thorough exit interviews\
        \ to remind departing employees of their ongoing security responsibilities.\
        \   \n\u2022 Collect company property and revoke access to systems. \n\u2022\
        \ Monitor for any unauthorized access attempts by former employees. Use security\
        \ tools to detect and respond to suspicious activities. Maintain logs of access\
        \ attempts and investigate any anomalies. \n\u2022 Regularly review and update\
        \ policies related to post-employment security responsibilities to ensure\
        \ they remain effective and aligned with current legal and regulatory requirements.\
        \ Keep a record of changes and ensure that it is up to date. \n\u2022 Take\
        \ into account changes or past incidents when reviewing the process \n\u2022\
        \ Involve legal and human resources (HR) departments in the review process\
        \ to ensure comprehensive coverage."
      typical_evidence: "\u2022 Records confirming the timely return of the entity\u2019\
        s assets. \n\u2022 Records confirming the timely revocation of access rights.\
        \ \n\u2022 Copies of written notifications to the employee about the termination\
        \ of or change in employment status.\n\n[TIPS]\n\n\u2022 Records of all contractual\
        \ agreements, non-disclosure agreements, exit interviews and access revocations,\
        \ and any legal action taken. \n\u2022 Documentation showing that the process\
        \ is reviewed regularly and updated as necessary. \n\u2022 Evidence that the\
        \ employee\u2019s access to the entity\u2019s systems and facilities has been\
        \ revoked or altered in accordance with a process. \n\u2022 Documentation\
        \ of the process for personnel changes, including responsibilities for managing\
        \ changes, description of rights of access and possession of assets for each\
        \ role, and procedures for briefing and training personnel in new roles (e.g.\
        \ standardised checklists used during the termination process to ensure all\
        \ necessary steps are taken)."
      translations:
        fr:
          description: "Aux fins du point 10.3.1, les entit\xE9s concern\xE9es incluent\
            \ dans les conditions d'emploi, le contrat ou la convention conclus avec\
            \ la personne concern\xE9e les responsabilit\xE9s et les t\xE2ches qui\
            \ restent valables apr\xE8s la cessation de l\u2019emploi ou du contrat,\
            \ telles que les clauses de confidentialit\xE9."
          annotation: "\u2022 S\u2019assurer que ces clauses couvrent la protection\
            \ des informations confidentielles, la restitution des biens de l\u2019\
            entreprise et les restrictions d\u2019acc\xE8s au r\xE9seau et aux syst\xE8\
            mes d\u2019information de l\u2019entit\xE9. \n\u2022 R\xE9voquer l\u2019\
            acc\xE8s au r\xE9seau et aux syst\xE8mes d\u2019information en temps opportun\
            \ en cas de licenciement ou de changement de r\xF4le. \n\u2022 Identifier\
            \ et documenter tous les biens \xE0 restituer lors de la cessation d\u2019\
            emploi ou d\u2019un changement d\u2019emploi. \n\u2022 Apr\xE8s un changement\
            \ d\u2019emploi, informer le personnel sur les proc\xE9dures en place.\n\
            \n[CONSEILS]\n\n\u2022 Identifier et transf\xE9rer \xE0 une autre personne\
            \ les r\xF4les et responsabilit\xE9s en mati\xE8re de s\xE9curit\xE9 des\
            \ r\xE9seaux et de l\u2019information occup\xE9s par toute personne qui\
            \ quitte l\u2019organisation. \n\u2022 Lorsque cela est jug\xE9 raisonnablement\
            \ n\xE9cessaire, mener des entrevues de d\xE9part approfondies pour rappeler\
            \ aux employ\xE9s qui partent leurs responsabilit\xE9s continues en mati\xE8\
            re de s\xE9curit\xE9.   \n\u2022 Collecter les biens de l\u2019entreprise\
            \ et r\xE9voquer l\u2019acc\xE8s aux syst\xE8mes. \n\u2022 Surveiller\
            \ toute tentative d\u2019acc\xE8s non autoris\xE9e par d\u2019anciens\
            \ employ\xE9s. Utilisez des outils de s\xE9curit\xE9 pour d\xE9tecter\
            \ les activit\xE9s suspectes et y r\xE9pondre. Tenir des registres des\
            \ tentatives d\u2019acc\xE8s et enqu\xEAter sur toute anomalie. \n\u2022\
            \ Examiner et mettre \xE0 jour r\xE9guli\xE8rement les politiques relatives\
            \ aux responsabilit\xE9s en mati\xE8re de s\xE9curit\xE9 d\u2019apr\xE8\
            s-mandat pour s\u2019assurer qu\u2019elles demeurent efficaces et conformes\
            \ aux exigences l\xE9gales et r\xE9glementaires actuelles. Tenez un registre\
            \ des modifications et assurez-vous qu\u2019il est \xE0 jour. \n\u2022\
            \ Prendre en compte les changements ou les incidents pass\xE9s lors de\
            \ l\u2019examen du processus \n\u2022 Impliquer les services juridiques\
            \ et des ressources humaines (RH) dans le processus d\u2019examen afin\
            \ d\u2019assurer une couverture compl\xE8te."
          typical_evidence: "\u2022 Registres confirmant la restitution en temps opportun\
            \ des actifs de l\u2019entit\xE9. \n\u2022 Registres confirmant la r\xE9\
            vocation en temps opportun des droits d\u2019acc\xE8s. \n\u2022 Copies\
            \ des notifications \xE9crites \xE0 l\u2019employ\xE9 concernant la cessation\
            \ d\u2019emploi ou le changement de statut d\u2019emploi.\n\n[CONSEILS]\n\
            \n\u2022 Enregistrements de tous les accords contractuels, accords de\
            \ non-divulgation, entretiens de d\xE9part et r\xE9vocations d\u2019acc\xE8\
            s, et de toute action en justice entreprise. \n\u2022 Documentation montrant\
            \ que le processus est r\xE9vis\xE9 r\xE9guli\xE8rement et mis \xE0 jour\
            \ au besoin. \n\u2022 La preuve que l\u2019acc\xE8s de l\u2019employ\xE9\
            \ aux syst\xE8mes et aux installations de l\u2019entit\xE9 a \xE9t\xE9\
            \ r\xE9voqu\xE9 ou modifi\xE9 conform\xE9ment \xE0 un processus. \n\u2022\
            \ Documentation du processus de changement de personnel, y compris les\
            \ responsabilit\xE9s en mati\xE8re de gestion des changements, la description\
            \ des droits d\u2019acc\xE8s et de possession des biens pour chaque r\xF4\
            le, et les proc\xE9dures d\u2019information et de formation du personnel\
            \ aux nouveaux r\xF4les (par exemple, des listes de contr\xF4le normalis\xE9\
            es utilis\xE9es pendant le processus de licenciement pour s\u2019assurer\
            \ que toutes les mesures n\xE9cessaires sont prises)."
        es:
          description: "A los efectos del punto 10.3.1, las entidades pertinentes\
            \ recoger\xE1n en las condiciones de empleo, contrato o acuerdo de cada\
            \ persona, las responsabilidades y funciones que siguen teniendo validez\
            \ una vez finalizado el empleo o contrato, como por ejemplo las cl\xE1\
            usulas de confidencialidad."
          annotation: "\u2022 Asegurar que estas cl\xE1usulas cubran la protecci\xF3\
            n de la informaci\xF3n confidencial, la devoluci\xF3n de la propiedad\
            \ de la empresa y las restricciones de acceso a la red y los sistemas\
            \ de informaci\xF3n de la entidad. \n\u2022 Revocar el acceso a la red\
            \ y a los sistemas de informaci\xF3n de manera oportuna tras la terminaci\xF3\
            n o el cambio de rol. \n\u2022 Identificar y documentar todos los activos\
            \ que se devolver\xE1n al momento de la terminaci\xF3n o cambio de empleo.\
            \ \n\u2022 Despu\xE9s de un cambio de empleo, informar e informar al personal\
            \ sobre los procedimientos establecidos.\n\n[CONSEJOS]\n\n\u2022 Identificar\
            \ y transferir a otra persona las funciones y responsabilidades de seguridad\
            \ de la red y de la informaci\xF3n que tenga cualquier persona que abandone\
            \ la organizaci\xF3n. \n\u2022 Cuando se considere razonablemente necesario,\
            \ realizar entrevistas de salida exhaustivas para recordar a los empleados\
            \ que se van sus responsabilidades de seguridad continuas.   \n\u2022\
            \ Cobrar la propiedad de la empresa y revocar el acceso a los sistemas.\
            \ \n\u2022 Monitorear cualquier intento de acceso no autorizado por parte\
            \ de ex empleados. Utilice herramientas de seguridad para detectar y responder\
            \ a actividades sospechosas. Mantenga registros de los intentos de acceso\
            \ e investigue cualquier anomal\xEDa. \n\u2022 Revisar y actualizar peri\xF3\
            dicamente las pol\xEDticas relacionadas con las responsabilidades de seguridad\
            \ post-empleo para garantizar que sigan siendo efectivas y est\xE9n alineadas\
            \ con los requisitos legales y reglamentarios actuales. Mantenga un registro\
            \ de los cambios y aseg\xFArese de que est\xE9 actualizado. \n\u2022 Tener\
            \ en cuenta los cambios o incidencias pasadas a la hora de revisar el\
            \ proceso \n\u2022 Involucrar a los departamentos legales y de recursos\
            \ humanos (RR.HH.) en el proceso de revisi\xF3n para garantizar una cobertura\
            \ integral."
          typical_evidence: "\u2022 Registros que confirmen la devoluci\xF3n oportuna\
            \ de los activos de la entidad. \n\u2022 Registros que confirmen la revocaci\xF3\
            n oportuna de los derechos de acceso. \n\u2022 Copias de las notificaciones\
            \ escritas al empleado sobre la terminaci\xF3n o cambio en el estado laboral.\n\
            \n[CONSEJOS]\n\n\u2022 Registros de todos los acuerdos contractuales,\
            \ acuerdos de confidencialidad, entrevistas de salida y revocaciones de\
            \ acceso, y cualquier acci\xF3n legal tomada. \n\u2022 Documentaci\xF3\
            n que demuestre que el proceso se revisa peri\xF3dicamente y se actualiza\
            \ seg\xFAn sea necesario. \n\u2022 Evidencia de que el acceso del empleado\
            \ a los sistemas e instalaciones de la entidad ha sido revocado o alterado\
            \ de acuerdo con un proceso. \n\u2022 Documentaci\xF3n del proceso de\
            \ cambios de personal, incluidas las responsabilidades para gestionar\
            \ los cambios, la descripci\xF3n de los derechos de acceso y posesi\xF3\
            n de activos para cada funci\xF3n, y los procedimientos para informar\
            \ y formar al personal en las nuevas funciones (por ejemplo, listas de\
            \ verificaci\xF3n estandarizadas utilizadas durante el proceso de terminaci\xF3\
            n para garantizar que se tomen todas las medidas necesarias)."
        cs:
          description: "Pro \xFA\u010Dely bodu 10.3.1 p\u0159\xEDslu\u0161n\xE9 subjekty\
            \ za\u010Dlen\xED do pracovn\xEDch podm\xEDnek, smlouvy nebo dohody fyzick\xE9\
            \ osoby odpov\u011Bdnosti a povinnosti, kter\xE9 z\u016Fst\xE1vaj\xED\
            \ v platnosti i po ukon\u010Den\xED pracovn\xEDho pom\u011Bru nebo smlouvy,\
            \ nap\u0159\xEDklad ustanoven\xED o d\u016Fv\u011Brnosti."
          annotation: "\u2022 Zajistit, aby tyto dolo\u017Eky pokr\xFDvaly ochranu\
            \ d\u016Fv\u011Brn\xFDch informac\xED, navr\xE1cen\xED majetku spole\u010D\
            nosti a omezen\xED p\u0159\xEDstupu k s\xEDti a informa\u010Dn\xEDm syst\xE9\
            m\u016Fm subjektu. \n\u2022 V\u010Das zru\u0161it p\u0159\xEDstup k s\xED\
            t\xEDm a informa\u010Dn\xEDm syst\xE9m\u016Fm p\u0159i ukon\u010Den\xED\
            \ nebo zm\u011Bn\u011B role. \n\u2022 Identifikujte a zdokumentujte ve\u0161\
            ker\xFD majetek, kter\xFD m\xE1 b\xFDt vr\xE1cen p\u0159i ukon\u010Den\xED\
            \ nebo zm\u011Bn\u011B pracovn\xEDho pom\u011Bru. \n\u2022 Po zm\u011B\
            n\u011B zam\u011Bstn\xE1n\xED informujte a informujte person\xE1l o zaveden\xFD\
            ch postupech.\n\n[TIPY]\n\n\u2022 Identifikovat a p\u0159en\xE9st na jin\xE9\
            ho jednotlivce role a odpov\u011Bdnosti v oblasti zabezpe\u010Den\xED\
            \ s\xEDt\xED a informac\xED, kter\xE9 zast\xE1v\xE1 ka\u017Ed\xFD jednotlivec,\
            \ kter\xFD opust\xED organizaci. \n\u2022 Pokud to pova\u017Eujete za\
            \ p\u0159im\u011B\u0159en\u011B nutn\xE9, prove\u010Fte d\u016Fkladn\xE9\
            \ v\xFDstupn\xED pohovory, abyste odch\xE1zej\xEDc\xEDm zam\u011Bstnanc\u016F\
            m p\u0159ipomn\u011Bli jejich p\u0159etrv\xE1vaj\xEDc\xED bezpe\u010D\
            nostn\xED povinnosti.   \n\u2022 Shroma\u017E\u010Fovat majetek spole\u010D\
            nosti a ru\u0161it p\u0159\xEDstup k syst\xE9m\u016Fm. \n\u2022 Sledovat\
            \ jak\xE9koli pokusy o neopr\xE1vn\u011Bn\xFD p\u0159\xEDstup ze strany\
            \ b\xFDval\xFDch zam\u011Bstnanc\u016F. Pou\u017E\xEDvejte bezpe\u010D\
            nostn\xED n\xE1stroje k detekci podez\u0159el\xFDch aktivit a reagov\xE1\
            n\xED na n\u011B. Udr\u017Eujte protokoly pokus\u016F o p\u0159\xEDstup\
            \ a pro\u0161et\u0159ujte p\u0159\xEDpadn\xE9 anom\xE1lie. \n\u2022 Pravideln\u011B\
            \ p\u0159ezkoum\xE1vat a aktualizovat z\xE1sady t\xFDkaj\xEDc\xED se odpov\u011B\
            dnosti za bezpe\u010Dnost po skon\u010Den\xED pracovn\xEDho pom\u011B\
            ru, aby bylo zaji\u0161t\u011Bno, \u017Ee z\u016Fstanou \xFA\u010Dinn\xE9\
            \ a v souladu se sou\u010Dasn\xFDmi pr\xE1vn\xEDmi a regula\u010Dn\xED\
            mi po\u017Eadavky. Ve\u010Fte si z\xE1znamy o zm\u011Bn\xE1ch a ujist\u011B\
            te se, \u017Ee jsou aktu\xE1ln\xED. \n\u2022 P\u0159i p\u0159ezkoum\xE1\
            n\xED procesu vz\xEDt v \xFAvahu zm\u011Bny nebo minul\xE9 incidenty \n\
            \u2022 Zapojte odd\u011Blen\xED pr\xE1vn\xEDch a lidsk\xFDch zdroj\u016F\
            \ (HR) do procesu p\u0159ezkumu, abyste zajistili komplexn\xED pokryt\xED\
            ."
          typical_evidence: "\u2022 Z\xE1znamy potvrzuj\xEDc\xED v\u010Dasn\xE9 navr\xE1\
            cen\xED majetku subjektu. \n\u2022 Z\xE1znamy potvrzuj\xEDc\xED v\u010D\
            asn\xE9 zru\u0161en\xED p\u0159\xEDstupov\xFDch pr\xE1v. \n\u2022 Kopie\
            \ p\xEDsemn\xFDch ozn\xE1men\xED zam\u011Bstnanci o ukon\u010Den\xED pracovn\xED\
            ho pom\u011Bru nebo zm\u011Bn\u011B pracovn\xEDho pom\u011Bru.\n\n[TIPY]\n\
            \n\u2022 Z\xE1znamy o v\u0161ech smluvn\xEDch dohod\xE1ch, dohod\xE1ch\
            \ o ml\u010Denlivosti, v\xFDstupn\xEDch pohovorech a zru\u0161en\xED p\u0159\
            \xEDstupu a v\u0161ech podniknut\xFDch pr\xE1vn\xEDch kroc\xEDch. \n\u2022\
            \ Dokumentace prokazuj\xEDc\xED, \u017Ee proces je pravideln\u011B p\u0159\
            ezkoum\xE1v\xE1n a podle pot\u0159eby aktualizov\xE1n. \n\u2022 D\u016F\
            kaz, \u017Ee p\u0159\xEDstup zam\u011Bstnance k syst\xE9m\u016Fm a za\u0159\
            \xEDzen\xEDm subjektu byl zru\u0161en nebo zm\u011Bn\u011Bn v souladu\
            \ s procesem. \n\u2022 Dokumentace procesu person\xE1ln\xEDch zm\u011B\
            n, v\u010Detn\u011B odpov\u011Bdnosti za \u0159\xEDzen\xED zm\u011Bn,\
            \ popisu pr\xE1v p\u0159\xEDstupu a vlastnictv\xED aktiv pro ka\u017E\
            dou roli a postup\u016F pro instrukt\xE1\u017E a \u0161kolen\xED person\xE1\
            lu v nov\xFDch rol\xEDch (nap\u0159. standardizovan\xE9 kontroln\xED seznamy\
            \ pou\u017E\xEDvan\xE9 b\u011Bhem procesu ukon\u010Den\xED k zaji\u0161\
            t\u011Bn\xED v\u0161ech nezbytn\xFDch krok\u016F)."
        it:
          description: "Ai fini del punto 10.3.1, i soggetti pertinenti devono includere\
            \ nei termini e nelle condizioni di impiego, nel contratto o nell'accordo\
            \ della persona le responsabilit\xE0 e i doveri che sono ancora validi\
            \ dopo la cessazione del rapporto di lavoro o del contratto, come le clausole\
            \ di riservatezza."
          annotation: "\u2022 Assicurarsi che queste clausole coprano la protezione\
            \ delle informazioni riservate, la restituzione della propriet\xE0 aziendale\
            \ e le restrizioni all'accesso alla rete e ai sistemi informativi dell'entit\xE0\
            . \n\u2022 Revocare tempestivamente l'accesso alla rete e ai sistemi informativi\
            \ in caso di cessazione o cambio di ruolo. \n\u2022 Identificare e documentare\
            \ tutti i beni da restituire in caso di cessazione o cambio di lavoro.\
            \ \n\u2022 Dopo un cambio di impiego, informare e informare il personale\
            \ sulle procedure in atto.\n\n[CONSIGLI]\n\n\u2022 Identificare e trasferire\
            \ a un altro individuo i ruoli e le responsabilit\xE0 di sicurezza delle\
            \ reti e delle informazioni ricoperti da qualsiasi individuo che lascia\
            \ l'organizzazione. \n\u2022 Ove ritenuto ragionevolmente necessario,\
            \ condurre colloqui di uscita approfonditi per ricordare ai dipendenti\
            \ in partenza le loro continue responsabilit\xE0 in materia di sicurezza.\
            \   \n\u2022 Raccogliere la propriet\xE0 aziendale e revocare l'accesso\
            \ ai sistemi. \n\u2022 Monitorare eventuali tentativi di accesso non autorizzato\
            \ da parte di ex dipendenti. Utilizza gli strumenti di sicurezza per rilevare\
            \ e rispondere alle attivit\xE0 sospette. Conserva i registri dei tentativi\
            \ di accesso e indaga su eventuali anomalie. \n\u2022 Rivedere e aggiornare\
            \ regolarmente le politiche relative alle responsabilit\xE0 di sicurezza\
            \ post-assunzione per garantire che rimangano efficaci e allineate con\
            \ i requisiti legali e normativi vigenti. Tieni un registro delle modifiche\
            \ e assicurati che sia aggiornato. \n\u2022 Tenere conto delle modifiche\
            \ o degli incidenti passati durante la revisione del processo \n\u2022\
            \ Coinvolgere i dipartimenti legali e delle risorse umane (HR) nel processo\
            \ di revisione per garantire una copertura completa."
          typical_evidence: "\u2022 Registrazioni che confermano la restituzione tempestiva\
            \ delle attivit\xE0 dell'entit\xE0. \n\u2022 Registrazioni che confermano\
            \ la revoca tempestiva dei diritti di accesso. \n\u2022 Copie delle notifiche\
            \ scritte al dipendente in merito alla cessazione o al cambiamento della\
            \ situazione lavorativa.\n\n[CONSIGLI]\n\n\u2022 Registrazioni di tutti\
            \ gli accordi contrattuali, degli accordi di non divulgazione, dei colloqui\
            \ di uscita e delle revoche di accesso e di qualsiasi azione legale intrapresa.\
            \ \n\u2022 Documentazione che dimostri che il processo viene rivisto regolarmente\
            \ e aggiornato se necessario. \n\u2022 Prova che l'accesso del dipendente\
            \ ai sistemi e alle strutture dell'entit\xE0 \xE8 stato revocato o alterato\
            \ in conformit\xE0 con un processo. \n\u2022 Documentazione del processo\
            \ di modifica del personale, comprese le responsabilit\xE0 per la gestione\
            \ dei cambiamenti, la descrizione dei diritti di accesso e di possesso\
            \ dei beni per ciascun ruolo, nonch\xE9 le procedure per l'informazione\
            \ e la formazione del personale nei nuovi ruoli (ad esempio, liste di\
            \ controllo standardizzate utilizzate durante il processo di cessazione\
            \ del rapporto di lavoro per garantire l'adozione di tutte le misure necessarie)."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:10.4
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:10
      ref_id: '10.4'
      name: Disciplinary process
      translations:
        fr:
          name: "Proc\xE9dure disciplinaire"
        es:
          name: Procedimiento disciplinario
        cs:
          name: "Disciplin\xE1rn\xED \u0159\xEDzen\xED"
        it:
          name: Processo disciplinare
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:10.4.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:10.4
      ref_id: 10.4.1
      description: The relevant entities shall establish, communicate and maintain
        a disciplinary process for handling violations of network and information
        system security policies. The process shall take into consideration relevant
        legal, statutory, contractual and business requirements.
      annotation: "\u2022 Make sure that the process holds employees accountable for\
        \ violations of the network and information system security policies. \n\u2022\
        \ Involve human resources in implementing the disciplinary process, ensuring\
        \ it aligns with legal and regulatory requirements (e.g. national labour laws\
        \ and the GDPR). \n\u2022 Communicate and raise awareness of the process among\
        \ employees. \n\u2022 Protect the identity of individuals subject to disciplinary\
        \ action, where possible, in line with applicable requirements."
      typical_evidence: "\u2022 Disciplinary process documentation outlining the types\
        \ of violations that may be subject to disciplinary actions, and what steps\
        \ to take when a violation occurs. \n\u2022 Evidence that the policy has been\
        \ communicated to all employees, which could include email records, meeting\
        \ minutes or training session materials. \n\u2022 Records of any violations\
        \ of the network and information system security policies that have occurred\
        \ and the corresponding disciplinary actions taken, demonstrating adherence\
        \ to the disciplinary process. Examples of such records may include interviews\
        \ with employees, witness statements, e-mails, paperwork, digital records,\
        \ system logs and phone records."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es \xE9tablissent, communiquent\
            \ et maintiennent une proc\xE9dure disciplinaire pour le traitement des\
            \ violations des politiques de s\xE9curit\xE9 des r\xE9seaux et des syst\xE8\
            mes d\u2019information. La proc\xE9dure tient compte des exigences l\xE9\
            gales, statutaires, contractuelles et commerciales pertinentes."
          annotation: "\u2022 Assurez-vous que le processus tient les employ\xE9s\
            \ responsables des violations des politiques de s\xE9curit\xE9 du r\xE9\
            seau et du syst\xE8me d\u2019information. \n\u2022 Impliquer les ressources\
            \ humaines dans la mise en \u0153uvre du processus disciplinaire, en veillant\
            \ \xE0 ce qu\u2019il soit conforme aux exigences l\xE9gales et r\xE9glementaires\
            \ (par exemple, les lois nationales du travail et le RGPD). \n\u2022 Communiquer\
            \ et sensibiliser les employ\xE9s au processus. \n\u2022 Prot\xE9ger l\u2019\
            identit\xE9 des personnes faisant l\u2019objet de mesures disciplinaires,\
            \ dans la mesure du possible, conform\xE9ment aux exigences applicables."
          typical_evidence: "\u2022 Documentation du processus disciplinaire d\xE9\
            crivant les types d\u2019infractions qui peuvent faire l\u2019objet de\
            \ mesures disciplinaires et les mesures \xE0 prendre lorsqu\u2019une violation\
            \ se produit. \n\u2022 Preuve que la politique a \xE9t\xE9 communiqu\xE9\
            e \xE0 tous les employ\xE9s, ce qui peut inclure des courriels, des proc\xE8\
            s-verbaux de r\xE9unions ou des documents de formation. \n\u2022 Registres\
            \ de toutes les violations des politiques de s\xE9curit\xE9 du r\xE9seau\
            \ et du syst\xE8me d\u2019information qui ont eu lieu et des mesures disciplinaires\
            \ correspondantes prises, d\xE9montrant le respect du processus disciplinaire.\
            \ Il peut s\u2019agir, par exemple, d\u2019entrevues avec des employ\xE9\
            s, de d\xE9clarations de t\xE9moins, de courriels, de documents, de documents\
            \ num\xE9riques, de journaux du syst\xE8me et de relev\xE9s t\xE9l\xE9\
            phoniques."
        es:
          description: "Las entidades pertinentes establecer\xE1n, comunicar\xE1n\
            \ y mantendr\xE1n un procedimiento disciplinario para gestionar los incumplimientos\
            \ de las pol\xEDticas de seguridad de los sistemas de redes y de informaci\xF3\
            n. El proceso tendr\xE1 en cuenta los requisitos legales, estatutarios,\
            \ contractuales y empresariales pertinentes."
          annotation: "\u2022 Aseg\xFArese de que el proceso responsabilice a los\
            \ empleados por las violaciones de las pol\xEDticas de seguridad de la\
            \ red y el sistema de informaci\xF3n. \n\u2022 Involucrar a los recursos\
            \ humanos en la implementaci\xF3n del proceso disciplinario, asegur\xE1\
            ndose de que se alinee con los requisitos legales y reglamentarios (por\
            \ ejemplo, las leyes laborales nacionales y el GDPR). \n\u2022 Comunicar\
            \ y dar a conocer el proceso a los empleados. \n\u2022 Proteger la identidad\
            \ de las personas sujetas a medidas disciplinarias, cuando sea posible,\
            \ de conformidad con los requisitos aplicables."
          typical_evidence: "\u2022 Documentaci\xF3n del proceso disciplinario que\
            \ describa los tipos de violaciones que pueden estar sujetas a medidas\
            \ disciplinarias y qu\xE9 pasos tomar cuando ocurre una violaci\xF3n.\
            \ \n\u2022 Evidencia de que la pol\xEDtica se ha comunicado a todos los\
            \ empleados, lo que podr\xEDa incluir registros de correo electr\xF3nico,\
            \ actas de reuniones o materiales de sesiones de capacitaci\xF3n. \n\u2022\
            \ Registros de cualquier violaci\xF3n de las pol\xEDticas de seguridad\
            \ de la red y del sistema de informaci\xF3n que se haya producido y las\
            \ acciones disciplinarias correspondientes tomadas, demostrando el cumplimiento\
            \ del proceso disciplinario. Ejemplos de dichos registros pueden incluir\
            \ entrevistas con empleados, declaraciones de testigos, correos electr\xF3\
            nicos, papeleo, registros digitales, registros del sistema y registros\
            \ telef\xF3nicos."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty zavedou, sd\u011Bl\xED\
            \ a udr\u017Euj\xED disciplin\xE1rn\xED postup pro \u0159e\u0161en\xED\
            \ poru\u0161en\xED politik bezpe\u010Dnosti s\xEDt\xED a informa\u010D\
            n\xEDch syst\xE9m\u016F. Tento postup zohled\u0148uje p\u0159\xEDslu\u0161\
            n\xE9 pr\xE1vn\xED, z\xE1konn\xE9, smluvn\xED a obchodn\xED po\u017Eadavky."
          annotation: "\u2022 Zajist\u011Bte, aby tento proces vedl zam\u011Bstnance\
            \ k odpov\u011Bdnosti za poru\u0161en\xED z\xE1sad zabezpe\u010Den\xED\
            \ s\xEDt\xED a informa\u010Dn\xEDch syst\xE9m\u016F. \n\u2022 Zapojit\
            \ lidsk\xE9 zdroje do prov\xE1d\u011Bn\xED disciplin\xE1rn\xEDho procesu\
            \ a zajistit jeho soulad s pr\xE1vn\xEDmi a regula\u010Dn\xEDmi po\u017E\
            adavky (nap\u0159. vnitrost\xE1tn\xEDmi pracovn\xEDmi z\xE1kony a GDPR).\
            \ \n\u2022 Komunikovat a zvy\u0161ovat pov\u011Bdom\xED o procesu mezi\
            \ zam\u011Bstnanci. \n\u2022 Chr\xE1nit identitu jednotlivc\u016F podl\xE9\
            haj\xEDc\xEDch disciplin\xE1rn\xEDmu \u0159\xEDzen\xED, pokud je to mo\u017E\
            n\xE9, v souladu s platn\xFDmi po\u017Eadavky."
          typical_evidence: "\u2022 Dokumentace disciplin\xE1rn\xEDho \u0159\xEDzen\xED\
            \ popisuj\xEDc\xED typy poru\u0161en\xED, kter\xE1 mohou b\xFDt p\u0159\
            edm\u011Btem disciplin\xE1rn\xEDch opat\u0159en\xED, a jak\xE9 kroky je\
            \ t\u0159eba podniknout, kdy\u017E dojde k poru\u0161en\xED. \n\u2022\
            \ D\u016Fkaz, \u017Ee z\xE1sady byly sd\u011Bleny v\u0161em zam\u011B\
            stnanc\u016Fm, co\u017E m\u016F\u017Ee zahrnovat e-mailov\xE9 z\xE1znamy,\
            \ z\xE1pisy ze sch\u016Fzek nebo materi\xE1ly ze \u0161kolen\xED. \n\u2022\
            \ Z\xE1znamy o jak\xE9mkoli poru\u0161en\xED z\xE1sad zabezpe\u010Den\xED\
            \ s\xEDt\xED a informa\u010Dn\xEDch syst\xE9m\u016F, ke kter\xFDm do\u0161\
            lo, a o p\u0159ijat\xFDch disciplin\xE1rn\xEDch opat\u0159en\xEDch, kter\xE9\
            \ prokazuj\xED dodr\u017Eov\xE1n\xED disciplin\xE1rn\xEDho \u0159\xED\
            zen\xED. P\u0159\xEDklady takov\xFDch z\xE1znam\u016F mohou zahrnovat\
            \ rozhovory se zam\u011Bstnanci, sv\u011Bdeck\xE9 v\xFDpov\u011Bdi, e-maily,\
            \ pap\xEDrov\xE1n\xED, digit\xE1ln\xED z\xE1znamy, syst\xE9mov\xE9 protokoly\
            \ a telefonn\xED z\xE1znamy."
        it:
          description: Gli enti pertinenti istituiscono, comunicano e mantengono un
            processo disciplinare per la gestione delle violazioni delle politiche
            di sicurezza delle reti e dei sistemi informativi. Il processo deve prendere
            in considerazione i pertinenti requisiti legali, statutari, contrattuali
            e commerciali.
          annotation: "\u2022 Assicurarsi che il processo ritenga i dipendenti responsabili\
            \ delle violazioni delle politiche di sicurezza della rete e del sistema\
            \ informativo. \n\u2022 Coinvolgere le risorse umane nell'attuazione del\
            \ processo disciplinare, assicurandosi che sia in linea con i requisiti\
            \ legali e normativi (ad es. leggi nazionali sul lavoro e GDPR). \n\u2022\
            \ Comunicare e sensibilizzare i dipendenti sul processo. \n\u2022 Tutelare\
            \ l'identit\xE0 delle persone oggetto di azione disciplinare, ove possibile,\
            \ in linea con i requisiti applicabili."
          typical_evidence: "\u2022 Documentazione del processo disciplinare che delinea\
            \ i tipi di violazioni che possono essere soggette ad azioni disciplinari\
            \ e quali misure adottare quando si verifica una violazione. \n\u2022\
            \ Prova che la politica \xE8 stata comunicata a tutti i dipendenti, che\
            \ potrebbe includere registrazioni di e-mail, verbali di riunioni o materiali\
            \ per sessioni di formazione. \n\u2022 Registrazioni di eventuali violazioni\
            \ delle politiche di sicurezza della rete e del sistema informativo che\
            \ si sono verificate e delle corrispondenti azioni disciplinari intraprese,\
            \ dimostrando l'aderenza al processo disciplinare. Esempi di tali registrazioni\
            \ possono includere interviste con i dipendenti, dichiarazioni di testimoni,\
            \ e-mail, scartoffie, registrazioni digitali, registri di sistema e tabulati\
            \ telefonici."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:10.4.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:10.4
      ref_id: 10.4.2
      description: The relevant entities shall review and, where appropriate, update
        the disciplinary process at planned intervals, and when necessary due to legal
        changes or significant changes to operations or risks.
      annotation: "\u2022 Regularly review and update the disciplinary process at\
        \ planned intervals and promptly when legal changes or significant operational\
        \ or risk changes occur.\n\n[TIPS]\n\n\u2022 Include the disciplinary process\
        \ for handling violations of network and information system security policies\
        \ in the entity\u2019s overall disciplinary process, if available. \n\u2022\
        \ Recognize that deliberate violations of the policy on the security of network\
        \ and information systems may require immediate actions. \n\u2022 Do not initiate\
        \ the disciplinary process without verifying that a violation of network and\
        \ information system security policies has occurred. \n\u2022 Consider the\
        \ following factors for the process:\n    o the nature (who, what, when, how)\
        \ and gravity of the violation and its consequences;\n    o whether the offence\
        \ was intentional (malicious) or unintentional (accidental);\n    o whether\
        \ this is a first or repeated offence;\n    o whether or not the employee\
        \ who committed the violation was properly trained. \n\u2022 Use the process\
        \ as a deterrent to prevent employees from violating the network and information\
        \ system security policies. \n\u2022 Reward individuals who demonstrate excellent\
        \ behaviour regarding network and information security as a means of promoting\
        \ and encouraging good behaviour."
      typical_evidence: "\u2022 Records of reviews and updates showing that the disciplinary\
        \ process is reviewed regularly and updated as necessary.\n\n[TIPS]\n\n\u2022\
        \ Disciplinary process documentation outlining the types of violations that\
        \ may be subject to disciplinary actions, and what steps to take when a violation\
        \ occurs."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es r\xE9examinent et, s\u2019il\
            \ est besoin, mettent \xE0 jour les proc\xE9dures disciplinaires \xE0\
            \ intervalles pr\xE9d\xE9finis, ainsi que lorsque des changements l\xE9\
            gislatifs ou des changements majeurs concernant les op\xE9rations ou les\
            \ risques l\u2019imposent."
          annotation: "\u2022 Examiner et mettre \xE0 jour r\xE9guli\xE8rement le\
            \ processus disciplinaire \xE0 intervalles r\xE9guliers et rapidement\
            \ lorsque des changements juridiques ou des changements op\xE9rationnels\
            \ ou de risque importants se produisent.\n\n[CONSEILS]\n\n\u2022 Inclure\
            \ le processus disciplinaire pour le traitement des violations des politiques\
            \ de s\xE9curit\xE9 des r\xE9seaux et des syst\xE8mes d\u2019information\
            \ dans le processus disciplinaire global de l\u2019entit\xE9, le cas \xE9\
            ch\xE9ant. \n\u2022 Reconna\xEEtre que les violations d\xE9lib\xE9r\xE9\
            es de la politique sur la s\xE9curit\xE9 des r\xE9seaux et des syst\xE8\
            mes d\u2019information peuvent n\xE9cessiter des actions imm\xE9diates.\
            \ \n\u2022 Ne pas engager le processus disciplinaire sans v\xE9rifier\
            \ qu\u2019une violation des politiques de s\xE9curit\xE9 du r\xE9seau\
            \ et du syst\xE8me d\u2019information a eu lieu. \n\u2022 Tenez compte\
            \ des facteurs suivants pour le processus :\n    o la nature (qui, quoi,\
            \ quand, comment) et la gravit\xE9 de la violation et de ses cons\xE9\
            quences ;\n    o si l\u2019infraction \xE9tait intentionnelle (malveillante)\
            \ ou non intentionnelle (accidentelle) ;\n    o s\u2019il s\u2019agit\
            \ d\u2019une premi\xE8re infraction ou d\u2019une r\xE9cidive\_;\n   \
            \ o si l\u2019employ\xE9 qui a commis l\u2019infraction a re\xE7u une\
            \ formation ad\xE9quate. \n\u2022 Utiliser le processus comme moyen de\
            \ dissuasion pour emp\xEAcher les employ\xE9s d\u2019enfreindre les politiques\
            \ de s\xE9curit\xE9 du r\xE9seau et du syst\xE8me d\u2019information.\
            \ \n\u2022 R\xE9compenser les personnes qui font preuve d\u2019un excellent\
            \ comportement en mati\xE8re de s\xE9curit\xE9 des r\xE9seaux et de l\u2019\
            information afin de promouvoir et d\u2019encourager un bon comportement."
          typical_evidence: "\u2022 Des registres d\u2019examens et de mises \xE0\
            \ jour montrant que le processus disciplinaire est examin\xE9 r\xE9guli\xE8\
            rement et mis \xE0 jour au besoin.\n\n[CONSEILS]\n\n\u2022 Documentation\
            \ du processus disciplinaire d\xE9crivant les types d\u2019infractions\
            \ qui peuvent faire l\u2019objet de mesures disciplinaires et les mesures\
            \ \xE0 prendre lorsqu\u2019une violation se produit."
        es:
          description: "Las entidades pertinentes revisar\xE1n y, cuando proceda,\
            \ actualizar\xE1n los procedimientos disciplinarios a intervalos planificados\
            \ o cuando resulte necesario debido a cambios jur\xEDdicos o cambios significativos\
            \ en las operaciones o los riesgos."
          annotation: "\u2022 Revisar y actualizar peri\xF3dicamente el proceso disciplinario\
            \ a intervalos planificados y con prontitud cuando se produzcan cambios\
            \ legales o cambios operativos o de riesgo significativos.\n\n[CONSEJOS]\n\
            \n\u2022 Incluir el proceso disciplinario para manejar las violaciones\
            \ de las pol\xEDticas de seguridad de la red y el sistema de informaci\xF3\
            n en el proceso disciplinario general de la entidad, si est\xE1 disponible.\
            \ \n\u2022 Reconocer que las violaciones deliberadas de la pol\xEDtica\
            \ de seguridad de las redes y los sistemas de informaci\xF3n pueden requerir\
            \ medidas inmediatas. \n\u2022 No inicie el proceso disciplinario sin\
            \ verificar que se ha producido una violaci\xF3n de las pol\xEDticas de\
            \ seguridad de la red y del sistema de informaci\xF3n. \n\u2022 Tenga\
            \ en cuenta los siguientes factores para el proceso:\n    o la naturaleza\
            \ (qui\xE9n, qu\xE9, cu\xE1ndo, c\xF3mo) y la gravedad de la violaci\xF3\
            n y sus consecuencias;\n    o si el delito fue intencional (malicioso)\
            \ o no intencional (accidental);\n    o si se trata de una primera ofensa\
            \ o de una reincidencia;\n    o si el empleado que cometi\xF3 la violaci\xF3\
            n estaba o no debidamente capacitado. \n\u2022 Utilice el proceso como\
            \ elemento disuasorio para evitar que los empleados violen las pol\xED\
            ticas de seguridad de la red y el sistema de informaci\xF3n. \n\u2022\
            \ Recompensar a las personas que demuestren un comportamiento excelente\
            \ en relaci\xF3n con la seguridad de las redes y de la informaci\xF3n\
            \ como medio para promover y fomentar el buen comportamiento."
          typical_evidence: "\u2022 Registros de revisiones y actualizaciones que\
            \ muestren que el proceso disciplinario se revisa regularmente y se actualiza\
            \ seg\xFAn sea necesario.\n\n[CONSEJOS]\n\n\u2022 Documentaci\xF3n del\
            \ proceso disciplinario que describa los tipos de violaciones que pueden\
            \ estar sujetas a medidas disciplinarias y qu\xE9 pasos tomar cuando ocurre\
            \ una violaci\xF3n."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty v pl\xE1novan\xFDch intervalech\
            \ a v p\u0159\xEDpad\u011B pot\u0159eby v d\u016Fsledku pr\xE1vn\xEDch\
            \ zm\u011Bn nebo v\xFDznamn\xFDch zm\u011Bn operac\xED \u010Di rizik disciplin\xE1\
            rn\xED postup p\u0159ezkoum\xE1vaj\xED a v p\u0159\xEDpad\u011B pot\u0159\
            eby aktualizuj\xED."
          annotation: "\u2022 Pravideln\u011B p\u0159ezkoum\xE1vat a aktualizovat\
            \ disciplin\xE1rn\xED \u0159\xEDzen\xED v pl\xE1novan\xFDch intervalech\
            \ a neprodlen\u011B, kdy\u017E dojde k pr\xE1vn\xEDm zm\u011Bn\xE1m nebo\
            \ v\xFDznamn\xFDm provozn\xEDm zm\u011Bn\xE1m nebo zm\u011Bn\xE1m rizik.\n\
            \n[TIPY]\n\n\u2022 Zahrnout disciplin\xE1rn\xED proces pro \u0159e\u0161\
            en\xED poru\u0161en\xED z\xE1sad zabezpe\u010Den\xED s\xEDt\xED a informa\u010D\
            n\xEDch syst\xE9m\u016F do celkov\xE9ho disciplin\xE1rn\xEDho \u0159\xED\
            zen\xED subjektu, pokud je k dispozici. \nUv\u011Bdomuj\xED si, \u017E\
            e \xFAmysln\xE9 poru\u0161en\xED z\xE1sad bezpe\u010Dnosti s\xEDt\xED\
            \ a informa\u010Dn\xEDch syst\xE9m\u016F m\u016F\u017Ee vy\u017Eadovat\
            \ okam\u017Eit\xE1 opat\u0159en\xED. \n\u2022 Zahajujte disciplin\xE1\
            rn\xED \u0159\xEDzen\xED, ani\u017E byste si ov\u011B\u0159ili, \u017E\
            e do\u0161lo k poru\u0161en\xED z\xE1sad zabezpe\u010Den\xED s\xEDt\u011B\
            \ a informa\u010Dn\xEDho syst\xE9mu. \n\u2022 Zva\u017Ete n\xE1sleduj\xED\
            c\xED faktory procesu:\n    o povaze (kdo, co, kdy, jak) a z\xE1va\u017E\
            nosti poru\u0161en\xED a jeho n\xE1sledc\xEDch;\n    o zda byl trestn\xFD\
            \ \u010Din \xFAmysln\xFD (zlomysln\xFD) nebo ne\xFAmysln\xFD (n\xE1hodn\xFD\
            );\n    o zda se jedn\xE1 o prvn\xED nebo opakovan\xFD trestn\xFD \u010D\
            in;\n    o zda zam\u011Bstnanec, kter\xFD se dopustil poru\u0161en\xED\
            , byl \u010Di nebyl \u0159\xE1dn\u011B pro\u0161kolen. \n\u2022 Pou\u017E\
            \xEDt tento proces jako odstra\u0161uj\xEDc\xED prost\u0159edek, aby se\
            \ zabr\xE1nilo zam\u011Bstnanc\u016Fm v poru\u0161ov\xE1n\xED z\xE1sad\
            \ zabezpe\u010Den\xED s\xEDt\u011B a informa\u010Dn\xEDho syst\xE9mu.\
            \ \n\u2022 Odm\u011B\u0148ovat jednotlivce, kte\u0159\xED prokazuj\xED\
            \ vynikaj\xEDc\xED chov\xE1n\xED v oblasti bezpe\u010Dnosti s\xEDt\xED\
            \ a informac\xED jako prost\u0159edku propagace a povzbuzov\xE1n\xED dobr\xE9\
            ho chov\xE1n\xED."
          typical_evidence: "\u2022 Z\xE1znamy o p\u0159ezkumech a aktualizac\xED\
            ch prokazuj\xEDc\xED, \u017Ee disciplin\xE1rn\xED \u0159\xEDzen\xED je\
            \ pravideln\u011B p\u0159ezkoum\xE1v\xE1no a podle pot\u0159eby aktualizov\xE1\
            no.\n\n[TIPY]\n\n\u2022 Dokumentace disciplin\xE1rn\xEDho \u0159\xEDzen\xED\
            \ popisuj\xEDc\xED typy poru\u0161en\xED, kter\xE1 mohou b\xFDt p\u0159\
            edm\u011Btem disciplin\xE1rn\xEDch opat\u0159en\xED, a jak\xE9 kroky je\
            \ t\u0159eba podniknout, kdy\u017E dojde k poru\u0161en\xED."
        it:
          description: Gli enti pertinenti riesaminano e, se del caso, aggiornano
            il processo disciplinare a intervalli pianificati e, se necessario, a
            causa di modifiche giuridiche o di modifiche significative delle operazioni
            o dei rischi.
          annotation: "\u2022 Riesaminare e aggiornare regolarmente il processo disciplinare\
            \ a intervalli pianificati e tempestivamente quando si verificano modifiche\
            \ legali o cambiamenti operativi o di rischio significativi.\n\n[CONSIGLI]\n\
            \n\u2022 Includere il processo disciplinare per la gestione delle violazioni\
            \ delle politiche di sicurezza delle reti e dei sistemi informativi nel\
            \ processo disciplinare generale dell'ente, se disponibile. \n\u2022 Riconoscere\
            \ che le violazioni deliberate della politica sulla sicurezza delle reti\
            \ e dei sistemi informativi possono richiedere azioni immediate. \n\u2022\
            \ Non avviare il processo disciplinare senza verificare che si sia verificata\
            \ una violazione delle politiche di sicurezza della rete e del sistema\
            \ informativo. \n\u2022 Considerare i seguenti fattori per il processo:\n\
            \    o la natura (chi, cosa, quando, come) e la gravit\xE0 della violazione\
            \ e le sue conseguenze;\n    o se il reato \xE8 stato intenzionale (doloso)\
            \ o non intenzionale (accidentale);\n    o se si tratta di un primo reato\
            \ o di una recidiva;\n    o se il dipendente che ha commesso la violazione\
            \ \xE8 stato adeguatamente formato o meno. \n\u2022 Utilizzare il processo\
            \ come deterrente per impedire ai dipendenti di violare le politiche di\
            \ sicurezza della rete e del sistema informativo. \n\u2022 Premiare le\
            \ persone che dimostrano un comportamento eccellente in materia di sicurezza\
            \ delle reti e delle informazioni come mezzo per promuovere e incoraggiare\
            \ un buon comportamento."
          typical_evidence: "\u2022 Registrazioni di revisioni e aggiornamenti che\
            \ dimostrino che il processo disciplinare viene rivisto regolarmente e\
            \ aggiornato se necessario.\n\n[CONSIGLI]\n\n\u2022 Documentazione del\
            \ processo disciplinare che delinea i tipi di violazioni che possono essere\
            \ soggette ad azioni disciplinari e quali misure adottare quando si verifica\
            \ una violazione."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11
      assessable: false
      depth: 1
      ref_id: '11'
      name: ACCESS CONTROL (ARTICLE 21(2), POINTS (I) AND (J), OF DIRECTIVE (EU) 2022/2555)
      translations:
        fr:
          name: "Contr\xF4le d\u2019acc\xE8s [article 21, paragraphe 2, points i)\
            \ et j), de la directive (UE) 2022/2555]"
        es:
          name: "CONTROL DE ACCESOS [Art\xEDculo 21, Apartado 2, Letras I) y J), de\
            \ la directiva (UE) 2022/2555]"
        cs:
          name: "Kontrola p\u0159\xEDstupu (\u010Dl. 21 odst. 2 p\xEDsm. i) a j) sm\u011B\
            rnice (EU) 2022/2555)"
        it:
          name: CONTROLLO DELL'ACCESSO [ARTICOLO 21, PARAGRAFO 2, LETTERE I) E J),
            DELLA DIRETTIVA (UE) 2022/2555]
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.1
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11
      ref_id: '11.1'
      name: Access control policy
      translations:
        fr:
          name: "Politique de contr\xF4le des acc\xE8s"
        es:
          name: "Pol\xEDtica de control de accesos"
        cs:
          name: "Postup kontroly p\u0159\xEDstupu"
        it:
          name: Criteri di controllo degli accessi
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.1.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.1
      ref_id: 11.1.1
      description: For the purpose of Article 21(2), point (i) of Directive (EU) 2022/2555,
        the relevant entities shall establish, document and implement logical and
        physical access control policies for the access to their network and information
        systems, based on business requirements as well as network and information
        system security requirements.
      annotation: "\u2022 Implement and maintain logical and physical access restrictions\
        \ to network and information system based on access-control policies that\
        \ take into account industry good practices. \n\u2022 Ensure that these policies\
        \ are documented, communicated to all relevant stakeholders and include clear\
        \ guidelines on the appropriate use of access privileges."
      typical_evidence: "\u2022 Access control policy document or documents outlining\
        \ the access control requirements, procedures and responsibilities."
      translations:
        fr:
          description: "Aux fins de l\u2019article 21, paragraphe 2, point i), de\
            \ la directive (UE) 2022/2555, les entit\xE9s concern\xE9es \xE9tablissent,\
            \ documentent et mettent en \u0153uvre des politiques de contr\xF4le de\
            \ l\u2019acc\xE8s logique et physique \xE0 leurs r\xE9seaux et syst\xE8\
            mes d\u2019information, sur la base des exigences commerciales ainsi que\
            \ des exigences en mati\xE8re de s\xE9curit\xE9 des r\xE9seaux et des\
            \ syst\xE8mes d\u2019information."
          annotation: "\u2022 Mettre en \u0153uvre et maintenir des restrictions d\u2019\
            acc\xE8s logiques et physiques au r\xE9seau et au syst\xE8me d\u2019information\
            \ bas\xE9es sur des politiques de contr\xF4le d\u2019acc\xE8s qui tiennent\
            \ compte des bonnes pratiques de l\u2019industrie. \n\u2022 Veiller \xE0\
            \ ce que ces politiques soient document\xE9es, communiqu\xE9es \xE0 toutes\
            \ les parties prenantes concern\xE9es et qu\u2019elles comprennent des\
            \ directives claires sur l\u2019utilisation appropri\xE9e des privil\xE8\
            ges d\u2019acc\xE8s."
          typical_evidence: "\u2022 Document de politique de contr\xF4le d\u2019acc\xE8\
            s ou documents d\xE9crivant les exigences, les proc\xE9dures et les responsabilit\xE9\
            s en mati\xE8re de contr\xF4le d\u2019acc\xE8s."
        es:
          description: "A los efectos del art\xEDculo 21, apartado 2, letra i), de\
            \ la Directiva (UE) 2022/2555, las entidades pertinentes establecer\xE1\
            n, documentar\xE1n y pondr\xE1n en marcha pol\xEDticas de control de acceso\
            \ l\xF3gico y f\xEDsico relativas al acceso a sus sistemas de redes y\
            \ de informaci\xF3n; bas\xE1ndose en requisitos empresariales y en requisitos\
            \ de seguridad de los sistemas de redes y de informaci\xF3n."
          annotation: "\u2022 Implementar y mantener restricciones de acceso l\xF3\
            gico y f\xEDsico a la red y al sistema de informaci\xF3n con base en pol\xED\
            ticas de control de acceso que tengan en cuenta las buenas pr\xE1cticas\
            \ de la industria. \n\u2022 Garantizar que estas pol\xEDticas est\xE9\
            n documentadas, se comuniquen a todas las partes interesadas pertinentes\
            \ e incluyan directrices claras sobre el uso adecuado de los privilegios\
            \ de acceso."
          typical_evidence: "\u2022 Documento o documentos de pol\xEDtica de control\
            \ de acceso que describan los requisitos, procedimientos y responsabilidades\
            \ del control de acceso."
        cs:
          description: "Pro \xFA\u010Dely \u010Dl. 21 odst. 2 p\xEDsm. i) sm\u011B\
            rnice (EU) 2022/2555 p\u0159\xEDslu\u0161n\xE9 subjekty stanov\xED, zdokumentuj\xED\
            \ a zavedou politiky \u0159\xEDzen\xED logick\xE9ho a fyzick\xE9ho p\u0159\
            \xEDstupu k jejich s\xEDt\xEDm a informa\u010Dn\xEDm syst\xE9m\u016Fm\
            \ na z\xE1klad\u011B obchodn\xEDch po\u017Eadavk\u016F a po\u017Eadavk\u016F\
            \ na bezpe\u010Dnost s\xEDt\xED a informa\u010Dn\xEDho syst\xE9mu."
          annotation: "\u2022 Implementovat a udr\u017Eovat logick\xE1 a fyzick\xE1\
            \ omezen\xED p\u0159\xEDstupu k s\xEDti a informa\u010Dn\xEDmu syst\xE9\
            mu na z\xE1klad\u011B z\xE1sad \u0159\xEDzen\xED p\u0159\xEDstupu, kter\xE9\
            \ berou v \xFAvahu osv\u011Bd\u010Den\xE9 postupy v oboru. \n\u2022 Zajistit,\
            \ aby tyto z\xE1sady byly zdokumentov\xE1ny, sd\u011Bleny v\u0161em p\u0159\
            \xEDslu\u0161n\xFDm z\xFA\u010Dastn\u011Bn\xFDm stran\xE1m a obsahovaly\
            \ jasn\xE9 pokyny pro vhodn\xE9 pou\u017E\xEDv\xE1n\xED p\u0159\xEDstupov\xFD\
            ch opr\xE1vn\u011Bn\xED."
          typical_evidence: "\u2022 Dokument nebo dokumenty z\xE1sad \u0159\xEDzen\xED\
            \ p\u0159\xEDstupu popisuj\xEDc\xED po\u017Eadavky, postupy a odpov\u011B\
            dnosti kontroly p\u0159\xEDstupu."
        it:
          description: Ai fini dell'articolo 21, paragrafo 2, lettera i), della direttiva
            (UE) 2022/2555, i soggetti pertinenti stabiliscono, documentano e attuano
            politiche di controllo dell'accesso logico e fisico per l'accesso alle
            loro reti e ai loro sistemi informativi, sulla base di requisiti aziendali
            e di sicurezza delle reti e dei sistemi informativi.
          annotation: "\u2022 Implementare e mantenere restrizioni logiche e fisiche\
            \ all'accesso alla rete e al sistema informativo sulla base di politiche\
            \ di controllo degli accessi che tengano conto delle buone pratiche del\
            \ settore. \n\u2022 Garantire che queste politiche siano documentate,\
            \ comunicate a tutte le parti interessate e includano linee guida chiare\
            \ sull'uso appropriato dei privilegi di accesso."
          typical_evidence: "\u2022 Documento o documenti sulla politica di controllo\
            \ degli accessi che illustrano i requisiti, le procedure e le responsabilit\xE0\
            \ di controllo degli accessi."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.1.2
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.1
      ref_id: 11.1.2
      description: 'The policies referred to in point 11.1.1. shall:'
      annotation: "\u2022 Implement access control rules by defining and mapping appropriate\
        \ access rights and restrictions to human users or network and information\
        \ system processes (e.g. a machine, device or a service). To simplify access\
        \ control management, assign specific roles to groups.\n    o Access control\
        \ rules can be implemented in different granularities, ranging from covering\
        \ whole networks or systems to specific data fields and can also consider\
        \ properties, such as user location or the type of network connection that\
        \ is used for access.\n    o Use business requirements and risk assessment\
        \ results to define which access control rules are applied and which granularity\
        \ is required. \n\u2022 Take into account the following when defining and\
        \ implementing access control rules:\n    o consistency between access rights\
        \ and asset classification;\n    o consistency between access rights and physical\
        \ perimeter security needs and requirements;\n    o consideration of all types\
        \ of available connections in distributed environments so entities are only\
        \ provided with access to associated assets, including networks and network\
        \ services, that they are authorized to use;\n    o consideration of how elements\
        \ or factors relevant to dynamic access control can be reflected. \n\u2022\
        \ Develop documented procedures and defined responsibilities to support the\
        \ access control rules."
      typical_evidence: "\u2022 Access control policy document outlining the access\
        \ control requirements, procedures and responsibilities.   \n\u2022 User access\
        \ records showing the list of users and their corresponding levels of access\
        \ to various network and information systems. \n\u2022 Authentication protocols,\
        \ meaning documentation of the authentication methods in place, such as MFA.\
        \ \n\u2022 Authorization mechanisms with details on how permissions are granted,\
        \ reviewed and revoked, ensuring that access rights are in line with users\u2019\
        \ roles, responsibilities and authorities. \n\u2022 Access logs that record\
        \ user access activities, which can be used to track and audit user behaviour\
        \ within the system in the event of suspected misconduct. \n\u2022 Access\
        \ rights review records showing alignment with asset classifications. \n\u2022\
        \ Records of access control assessments that align access rights with physical\
        \ security requirements. \n\u2022 Network diagrams showing access control\
        \ measures for different connection types and network access control policies.\
        \ \n\u2022 Logs showing dynamic access control decisions based on user behaviour\
        \ or environment factors"
      translations:
        fr:
          description: "Les politiques vis\xE9es au point 11.1.1:"
          annotation: "\u2022 Mettre en \u0153uvre des r\xE8gles de contr\xF4le d\u2019\
            acc\xE8s en d\xE9finissant et en cartographiant les droits et les restrictions\
            \ d\u2019acc\xE8s appropri\xE9s aux utilisateurs humains ou aux processus\
            \ du r\xE9seau et du syst\xE8me d\u2019information (par exemple, une machine,\
            \ un appareil ou un service). Pour simplifier la gestion du contr\xF4\
            le d\u2019acc\xE8s, attribuez des r\xF4les sp\xE9cifiques aux groupes.\n\
            \    o Les r\xE8gles de contr\xF4le d\u2019acc\xE8s peuvent \xEAtre mises\
            \ en \u0153uvre dans diff\xE9rentes granularit\xE9s, allant de la couverture\
            \ de r\xE9seaux ou de syst\xE8mes entiers \xE0 des champs de donn\xE9\
            es sp\xE9cifiques, et peuvent \xE9galement prendre en compte des propri\xE9\
            t\xE9s, telles que l\u2019emplacement de l\u2019utilisateur ou le type\
            \ de connexion r\xE9seau utilis\xE9 pour l\u2019acc\xE8s.\n    o Utiliser\
            \ les exigences de l\u2019entreprise et les r\xE9sultats de l\u2019\xE9\
            valuation des risques pour d\xE9finir les r\xE8gles de contr\xF4le d\u2019\
            acc\xE8s appliqu\xE9es et la granularit\xE9 requise. \n\u2022 Prendre\
            \ en compte les \xE9l\xE9ments suivants lors de la d\xE9finition et de\
            \ la mise en \u0153uvre des r\xE8gles de contr\xF4le d\u2019acc\xE8s :\n\
            \    o la coh\xE9rence entre les droits d\u2019acc\xE8s et la classification\
            \ des actifs ;\n    o la coh\xE9rence entre les droits d\u2019acc\xE8\
            s et les besoins et exigences de s\xE9curit\xE9 du p\xE9rim\xE8tre physique\
            \ ;\n    o la prise en compte de tous les types de connexions disponibles\
            \ dans les environnements distribu\xE9s afin que les entit\xE9s n\u2019\
            aient acc\xE8s qu\u2019aux actifs associ\xE9s, y compris les r\xE9seaux\
            \ et les services r\xE9seau, qu\u2019elles sont autoris\xE9es \xE0 utiliser\
            \ ;\n    o la prise en compte de la mani\xE8re dont les \xE9l\xE9ments\
            \ ou les facteurs pertinents pour le contr\xF4le d\u2019acc\xE8s dynamique\
            \ peuvent \xEAtre pris en compte. \n\u2022 \xC9laborer des proc\xE9dures\
            \ document\xE9es et d\xE9finir les responsabilit\xE9s pour soutenir les\
            \ r\xE8gles de contr\xF4le d\u2019acc\xE8s."
          typical_evidence: "\u2022 Document de politique de contr\xF4le d\u2019acc\xE8\
            s d\xE9crivant les exigences, les proc\xE9dures et les responsabilit\xE9\
            s en mati\xE8re de contr\xF4le d\u2019acc\xE8s.   \n\u2022 Registres d\u2019\
            acc\xE8s des utilisateurs indiquant la liste des utilisateurs et leurs\
            \ niveaux d\u2019acc\xE8s correspondants aux diff\xE9rents r\xE9seaux\
            \ et syst\xE8mes d\u2019information. \n\u2022 Protocoles d\u2019authentification,\
            \ c\u2019est-\xE0-dire documentation des m\xE9thodes d\u2019authentification\
            \ mises en place, telles que l\u2019authentification multifacteur. \n\u2022\
            \ Des m\xE9canismes d\u2019autorisation avec des d\xE9tails sur la fa\xE7\
            on dont les autorisations sont accord\xE9es, examin\xE9es et r\xE9voqu\xE9\
            es, garantissant que les droits d\u2019acc\xE8s sont conformes aux r\xF4\
            les, responsabilit\xE9s et pouvoirs des utilisateurs. \n\u2022 Des journaux\
            \ d\u2019acc\xE8s qui enregistrent les activit\xE9s d\u2019acc\xE8s des\
            \ utilisateurs, qui peuvent \xEAtre utilis\xE9s pour suivre et v\xE9rifier\
            \ le comportement des utilisateurs dans le syst\xE8me en cas de suspicion\
            \ d\u2019inconduite. \n\u2022 Examen des droits d\u2019acc\xE8s aux dossiers\
            \ montrant l\u2019alignement avec les classifications des actifs. \n\u2022\
            \ Des enregistrements d\u2019\xE9valuations du contr\xF4le d\u2019acc\xE8\
            s qui alignent les droits d\u2019acc\xE8s sur les exigences de s\xE9curit\xE9\
            \ physique. \n\u2022 Diagrammes de r\xE9seau montrant les mesures de contr\xF4\
            le d\u2019acc\xE8s pour diff\xE9rents types de connexion et les politiques\
            \ de contr\xF4le d\u2019acc\xE8s au r\xE9seau. \n\u2022 Journaux montrant\
            \ les d\xE9cisions de contr\xF4le d\u2019acc\xE8s dynamiques en fonction\
            \ du comportement de l\u2019utilisateur ou de facteurs environnementaux"
        es:
          description: "La pol\xEDtica a que hace referencia el punto 11.1.1 se encargar\xE1\
            \ de lo siguiente:"
          annotation: "\u2022 Implementar reglas de control de acceso definiendo y\
            \ mapeando los derechos de acceso apropiados y las restricciones a los\
            \ usuarios humanos o a los procesos de la red y del sistema de informaci\xF3\
            n (por ejemplo, una m\xE1quina, un dispositivo o un servicio). Para simplificar\
            \ la administraci\xF3n del control de acceso, asigne roles espec\xEDficos\
            \ a los grupos.\n    Las reglas de control de acceso se pueden implementar\
            \ en diferentes granularidades, que van desde cubrir redes o sistemas\
            \ completos hasta campos de datos espec\xEDficos y tambi\xE9n pueden considerar\
            \ propiedades, como la ubicaci\xF3n del usuario o el tipo de conexi\xF3\
            n de red que se utiliza para el acceso.\n    o Utilice los requisitos\
            \ empresariales y los resultados de la evaluaci\xF3n de riesgos para definir\
            \ qu\xE9 reglas de control de acceso se aplican y qu\xE9 granularidad\
            \ se requiere. \n\u2022 Tenga en cuenta lo siguiente a la hora de definir\
            \ e implementar reglas de control de acceso:\n    o coherencia entre los\
            \ derechos de acceso y la clasificaci\xF3n de los activos;\n    o coherencia\
            \ entre los derechos de acceso y las necesidades y requisitos de seguridad\
            \ del per\xEDmetro f\xEDsico;\n    o consideraci\xF3n de todos los tipos\
            \ de conexiones disponibles en entornos distribuidos para que las entidades\
            \ solo tengan acceso a los activos asociados, incluidas las redes y los\
            \ servicios de red, que est\xE9n autorizadas a utilizar;\n    o Consideraci\xF3\
            n de c\xF3mo se pueden reflejar los elementos o factores relevantes para\
            \ el control de acceso din\xE1mico. \n\u2022 Desarrollar procedimientos\
            \ documentados y responsabilidades definidas para respaldar las reglas\
            \ de control de acceso."
          typical_evidence: "\u2022 Documento de pol\xEDtica de control de acceso\
            \ que describe los requisitos, procedimientos y responsabilidades de control\
            \ de acceso.   \n\u2022 Registros de acceso de usuarios que muestren la\
            \ lista de usuarios y sus correspondientes niveles de acceso a diversas\
            \ redes y sistemas de informaci\xF3n. \n\u2022 Protocolos de autenticaci\xF3\
            n, es decir, documentaci\xF3n de los m\xE9todos de autenticaci\xF3n implementados,\
            \ como MFA. \n\u2022 Mecanismos de autorizaci\xF3n con detalles sobre\
            \ c\xF3mo se otorgan, revisan y revocan los permisos, asegurando que los\
            \ derechos de acceso est\xE9n en l\xEDnea con las funciones, responsabilidades\
            \ y autoridades de los usuarios. \n\u2022 Registros de acceso que registran\
            \ las actividades de acceso de los usuarios, que se pueden utilizar para\
            \ rastrear y auditar el comportamiento de los usuarios dentro del sistema\
            \ en caso de sospecha de mala conducta. \n\u2022 Registros de revisi\xF3\
            n de derechos de acceso que muestren alineaci\xF3n con las clasificaciones\
            \ de activos. \n\u2022 Registros de evaluaciones de control de acceso\
            \ que alinean los derechos de acceso con los requisitos de seguridad f\xED\
            sica. \n\u2022 Diagramas de red que muestran las medidas de control de\
            \ acceso para diferentes tipos de conexi\xF3n y las pol\xEDticas de control\
            \ de acceso a la red. \n\u2022 Registros que muestran decisiones din\xE1\
            micas de control de acceso basadas en el comportamiento del usuario o\
            \ factores del entorno"
        cs:
          description: "Politiky uveden\xE9 v bod\u011B 11.1.1:"
          annotation: "\u2022 Implementujte pravidla \u0159\xEDzen\xED p\u0159\xED\
            stupu definov\xE1n\xEDm a mapov\xE1n\xEDm vhodn\xFDch p\u0159\xEDstupov\xFD\
            ch pr\xE1v a omezen\xED na lidsk\xE9 u\u017Eivatele nebo procesy s\xED\
            t\u011B a informa\u010Dn\xEDho syst\xE9mu (nap\u0159. stroj, za\u0159\xED\
            zen\xED nebo slu\u017Ebu). Chcete-li zjednodu\u0161it spr\xE1vu \u0159\
            \xEDzen\xED p\u0159\xEDstupu, p\u0159i\u0159a\u010Fte skupin\xE1m konkr\xE9\
            tn\xED role.\n    o Pravidla \u0159\xEDzen\xED p\u0159\xEDstupu mohou\
            \ b\xFDt implementov\xE1na v r\u016Fzn\xFDch granularit\xE1ch, od pokryt\xED\
            \ cel\xFDch s\xEDt\xED nebo syst\xE9m\u016F a\u017E po konkr\xE9tn\xED\
            \ datov\xE1 pole, a mohou tak\xE9 br\xE1t v \xFAvahu vlastnosti, jako\
            \ je um\xEDst\u011Bn\xED u\u017Eivatele nebo typ s\xED\u0165ov\xE9ho p\u0159\
            ipojen\xED, kter\xE9 se pou\u017E\xEDv\xE1 pro p\u0159\xEDstup.\n    o\
            \ Pou\u017Eijte obchodn\xED po\u017Eadavky a v\xFDsledky posouzen\xED\
            \ rizik k definov\xE1n\xED, kter\xE1 pravidla \u0159\xEDzen\xED p\u0159\
            \xEDstupu se pou\u017Eij\xED a jak\xE1 granularita je vy\u017Eadov\xE1\
            na. \n\u2022 P\u0159i definov\xE1n\xED a implementaci pravidel \u0159\xED\
            zen\xED p\u0159\xEDstupu vezm\u011Bte v \xFAvahu n\xE1sleduj\xEDc\xED\
            :\n    o soulad mezi p\u0159\xEDstupov\xFDmi pr\xE1vy a klasifikac\xED\
            \ aktiv;\n    o soulad mezi p\u0159\xEDstupov\xFDmi pr\xE1vy a pot\u0159\
            ebami a po\u017Eadavky na zabezpe\u010Den\xED fyzick\xE9ho perimetru;\n\
            \    o zv\xE1\u017Een\xED v\u0161ech typ\u016F dostupn\xFDch p\u0159ipojen\xED\
            \ v distribuovan\xFDch prost\u0159ed\xEDch, aby byl subjekt\u016Fm poskytnut\
            \ p\u0159\xEDstup pouze k p\u0159idru\u017Een\xFDm prost\u0159edk\u016F\
            m, v\u010Detn\u011B s\xEDt\xED a s\xED\u0165ov\xFDch slu\u017Eeb, kter\xE9\
            \ jsou opr\xE1vn\u011Bny pou\u017E\xEDvat;\n    o zv\xE1\u017Een\xED toho,\
            \ jak mohou b\xFDt zohledn\u011Bny prvky nebo faktory relevantn\xED pro\
            \ dynamick\xE9 \u0159\xEDzen\xED p\u0159\xEDstupu. \n\u2022 Vypracovat\
            \ dokumentovan\xE9 postupy a definovat odpov\u011Bdnosti na podporu pravidel\
            \ kontroly p\u0159\xEDstupu."
          typical_evidence: "\u2022 Dokument o z\xE1sad\xE1ch \u0159\xEDzen\xED p\u0159\
            \xEDstupu, kter\xFD popisuje po\u017Eadavky, postupy a odpov\u011Bdnosti\
            \ v oblasti \u0159\xEDzen\xED p\u0159\xEDstupu.   \n\u2022 Z\xE1znamy\
            \ o p\u0159\xEDstupech u\u017Eivatel\u016F zobrazuj\xEDc\xED seznam u\u017E\
            ivatel\u016F a jim odpov\xEDdaj\xEDc\xED \xFArovn\u011B p\u0159\xEDstupu\
            \ k r\u016Fzn\xFDm s\xED\u0165ov\xFDm a informa\u010Dn\xEDm syst\xE9m\u016F\
            m. \n\u2022 Autentiza\u010Dn\xED protokoly, co\u017E znamen\xE1 dokumentaci\
            \ zaveden\xFDch metod autentizace, jako je MFA. \n\u2022 Autoriza\u010D\
            n\xED mechanismy s podrobnostmi o tom, jak jsou opr\xE1vn\u011Bn\xED ud\u011B\
            lov\xE1na, kontrolov\xE1na a odvol\xE1v\xE1na, co\u017E zaji\u0161\u0165\
            uje, \u017Ee p\u0159\xEDstupov\xE1 pr\xE1va jsou v souladu s rolemi, odpov\u011B\
            dnostmi a opr\xE1vn\u011Bn\xEDmi u\u017Eivatel\u016F. \n\u2022 P\u0159\
            \xEDstupov\xE9 logy, kter\xE9 zaznamen\xE1vaj\xED aktivity p\u0159\xED\
            stupu u\u017Eivatel\u016F, kter\xE9 lze pou\u017E\xEDt ke sledov\xE1n\xED\
            \ a auditu chov\xE1n\xED u\u017Eivatel\u016F v syst\xE9mu v p\u0159\xED\
            pad\u011B podez\u0159en\xED na pochyben\xED. \n\u2022 Z\xE1znamy kontroly\
            \ p\u0159\xEDstupov\xFDch pr\xE1v zobrazuj\xEDc\xED soulad s klasifikacemi\
            \ aktiv. \n\u2022 Z\xE1znamy o posouzen\xED \u0159\xEDzen\xED p\u0159\xED\
            stupu, kter\xE9 slad\xED p\u0159\xEDstupov\xE1 pr\xE1va s po\u017Eadavky\
            \ na fyzickou bezpe\u010Dnost. \n\u2022 S\xED\u0165ov\xE9 diagramy zn\xE1\
            zor\u0148uj\xEDc\xED opat\u0159en\xED \u0159\xEDzen\xED p\u0159\xEDstupu\
            \ pro r\u016Fzn\xE9 typy p\u0159ipojen\xED a politiky \u0159\xEDzen\xED\
            \ p\u0159\xEDstupu k s\xEDti. \n\u2022 Protokoly zobrazuj\xEDc\xED dynamick\xE1\
            \ rozhodnut\xED o \u0159\xEDzen\xED p\u0159\xEDstupu na z\xE1klad\u011B\
            \ chov\xE1n\xED u\u017Eivatel\u016F nebo faktor\u016F prost\u0159ed\xED"
        it:
          description: 'Le politiche di cui al punto 11.1.1. dovere:'
          annotation: "\u2022 Implementare regole di controllo degli accessi definendo\
            \ e mappando i diritti e le restrizioni di accesso appropriati agli utenti\
            \ umani o ai processi di rete e dei sistemi informativi (ad esempio una\
            \ macchina, un dispositivo o un servizio). Per semplificare la gestione\
            \ del controllo degli accessi, assegnare ruoli specifici ai gruppi.\n\
            \    o Le regole di controllo degli accessi possono essere implementate\
            \ in diverse granularit\xE0, che vanno dalla copertura di intere reti\
            \ o sistemi a campi di dati specifici e possono anche considerare propriet\xE0\
            , come la posizione dell'utente o il tipo di connessione di rete utilizzata\
            \ per l'accesso.\n    o Utilizzare i requisiti aziendali e i risultati\
            \ della valutazione dei rischi per definire quali regole di controllo\
            \ degli accessi vengono applicate e quale granularit\xE0 \xE8 richiesta.\
            \ \n\u2022 Nella definizione e nell'attuazione delle regole di controllo\
            \ degli accessi, tenere conto di quanto segue:\n    o coerenza tra i diritti\
            \ di accesso e la classificazione delle attivit\xE0;\n    o coerenza tra\
            \ i diritti di accesso e le esigenze e i requisiti di sicurezza del perimetro\
            \ fisico;\n    o considerazione di tutti i tipi di connessioni disponibili\
            \ in ambienti distribuiti in modo che alle entit\xE0 venga fornito solo\
            \ l'accesso alle risorse associate, comprese le reti e i servizi di rete,\
            \ che sono autorizzate a utilizzare;\n    o considerazione di come gli\
            \ elementi o i fattori rilevanti per il controllo dinamico degli accessi\
            \ possano essere riflessi. \n\u2022 Sviluppare procedure documentate e\
            \ responsabilit\xE0 definite per supportare le regole di controllo degli\
            \ accessi."
          typical_evidence: "\u2022 Documento di politica di controllo degli accessi\
            \ che delinea i requisiti, le procedure e le responsabilit\xE0 di controllo\
            \ degli accessi.   \n\u2022 Registri di accesso degli utenti che mostrano\
            \ l'elenco degli utenti e i corrispondenti livelli di accesso alle varie\
            \ reti e sistemi informativi. \n\u2022 Protocolli di autenticazione, ovvero\
            \ documentazione dei metodi di autenticazione in atto, come l'MFA. \n\u2022\
            \ Meccanismi di autorizzazione con dettagli su come le autorizzazioni\
            \ vengono concesse, riviste e revocate, garantendo che i diritti di accesso\
            \ siano in linea con i ruoli, le responsabilit\xE0 e le autorit\xE0 degli\
            \ utenti. \n\u2022 Log di accesso che registrano le attivit\xE0 di accesso\
            \ degli utenti, che possono essere utilizzati per tracciare e controllare\
            \ il comportamento degli utenti all'interno del sistema in caso di sospetta\
            \ cattiva condotta. \n\u2022 Accedere ai record di revisione dei diritti\
            \ che mostrano l'allineamento con le classificazioni degli asset. \n\u2022\
            \ Registrazioni delle valutazioni del controllo degli accessi che allineano\
            \ i diritti di accesso ai requisiti di sicurezza fisica. \n\u2022 Diagrammi\
            \ di rete che mostrano le misure di controllo degli accessi per diversi\
            \ tipi di connessione e le politiche di controllo degli accessi alla rete.\
            \ \n\u2022 Registri che mostrano le decisioni di controllo dinamico degli\
            \ accessi in base al comportamento dell'utente o a fattori ambientali"
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.1.2.a
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.1.2
      ref_id: 11.1.2.a
      description: address access by persons, including staff, visitors, and external
        entities such as suppliers and service providers;
      translations:
        fr:
          description: "couvrent l\u2019acc\xE8s par les personnes, y compris le personnel,\
            \ les visiteurs et les entit\xE9s externes telles que les fournisseurs\
            \ et les prestataires de services;"
        es:
          description: el acceso de personas, como el personal, los visitantes y las
            entidades externas, como los proveedores y prestadores de servicios;
        cs:
          description: "\u0159e\u0161\xED p\u0159\xEDstup ze strany osob, v\u010D\
            etn\u011B zam\u011Bstnanc\u016F, n\xE1v\u0161t\u011Bvn\xEDk\u016F a extern\xED\
            ch subjekt\u016F, jako jsou dodavatel\xE9 a poskytovatel\xE9 slu\u017E\
            eb;"
        it:
          description: "gestire l'accesso da parte di persone, inclusi personale,\
            \ visitatori ed entit\xE0 esterne come fornitori e fornitori di servizi;"
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.1.2.b
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.1.2
      ref_id: 11.1.2.b
      description: address access by network and information systems;
      translations:
        fr:
          description: "couvrent l\u2019acc\xE8s par les r\xE9seaux et les syst\xE8\
            mes d\u2019information;"
        es:
          description: "el acceso por parte de los sistemas de redes y de informaci\xF3\
            n;"
        cs:
          description: "\u0159e\u0161\xED p\u0159\xEDstup prost\u0159ednictv\xEDm\
            \ s\xEDt\xED a informa\u010Dn\xEDch syst\xE9m\u016F;"
        it:
          description: indirizzare l'accesso da parte della rete e dei sistemi informativi;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.1.2.c
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.1.2
      ref_id: 11.1.2.c
      description: ensure that access is only granted to users that have been adequately
        authenticated.
      translations:
        fr:
          description: "garantissent que l\u2019acc\xE8s ne soit accord\xE9 qu\u2019\
            aux utilisateurs d\xFBment authentifi\xE9s."
        es:
          description: garantizar que solo se autorice el acceso a usuarios que hayan
            sido debidamente autenticados.
        cs:
          description: "zajist\xED, aby byl p\u0159\xEDstup ud\u011Blen pouze u\u017E\
            ivatel\u016Fm, kte\u0159\xED byli \u0159\xE1dn\u011B ov\u011B\u0159eni."
        it:
          description: Assicurarsi che l'accesso sia concesso solo agli utenti che
            sono stati adeguatamente autenticati.
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.1.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.1
      ref_id: 11.1.3
      description: The relevant entities shall review and, where appropriate, update
        the policies at planned intervals and when significant incidents or significant
        changes to operations or risks occur.
      annotation: "\u2022 Review the policies at least annually.\n\n[TIPS]\n\n\u2022\
        \ Consider the two overarching principles most frequently used in the context\
        \ of access control:\n    o need-to-know: an entity is only granted access\
        \ to the information that it requires to perform its tasks and in line with\
        \ the asset classification levels of point 12.1 of the Annex to the regulation\
        \ (different tasks or roles mean different need-to-know information and hence\
        \ different access profiles);\n    o need-to-use: an entity is only assigned\
        \ access to information technology infrastructure where a clear need is present.\
        \ \n\u2022 Consider the following when specifying access control rules:\n\
        \    o establishing rules based on the premise of least privilege (\u2018\
        everything is generally forbidden unless expressly permitted\u2019) rather\
        \ than the weaker rule (\u2018everything is generally permitted unless expressly\
        \ forbidden\u2019);\n    o changes in user permissions that are initiated\
        \ automatically by the network and information system and those initiated\
        \ by a system administrator;\n    o when to define and regularly review the\
        \ approval. \n\u2022 Consider ways to implement access control, such as mandatory\
        \ access control (MAC), discretionary access control (DAC), role-based access\
        \ control (RBAC) and attribute-based access control (ABAC) depending on the\
        \ business needs of the organisation. \n\u2022 Take into account the fact\
        \ that access control rules can also contain dynamic elements (e.g. a function\
        \ that evaluates past accesses or specific environmental values)."
      typical_evidence: "\u2022 Past incident reports with records of any security\
        \ incidents related to access control, including unauthorized access attempts\
        \ and the responses to such events. \n\u2022 Change management records of\
        \ any changes made to access rights, showing adherence to the policy during\
        \ modifications. \n\u2022 Records of reviews and updates showing that the\
        \ policies are reviewed regularly and updated as necessary. \n\u2022 Reports\
        \ from internal or external audits that assess the effectiveness of and compliance\
        \ with the access control policy.\n\n[TIPS]\n\n\u2022 Access control policy\
        \ document outlining the access control requirements, procedures and responsibilities.\
        \ \n\u2022 Access reviews showing adherence to need-to-know and need-to-use\
        \ principles. \n\u2022 Change management records of any changes made to access\
        \ rights, showing adherence to the policy during modifications. \n\u2022 Access\
        \ control system configurations showing the adoption of MAC, DAC, RBAC or\
        \ ABAC depending on business needs."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es r\xE9examinent et, s\u2019il\
            \ est besoin, mettent \xE0 jour leurs politiques \xE0 intervalles pr\xE9\
            d\xE9finis, ainsi qu\u2019en cas d\u2019incidents importants ou lorsque\
            \ des changements majeurs concernant les op\xE9rations ou les risques\
            \ se produisent."
          annotation: "\u2022 Examinez les politiques au moins une fois par an.\n\n\
            [CONSEILS]\n\n\u2022 Consid\xE9rez les deux principes fondamentaux les\
            \ plus fr\xE9quemment utilis\xE9s dans le contexte du contr\xF4le d\u2019\
            acc\xE8s :\n    o Besoin d\u2019en conna\xEEtre\_: une entit\xE9 n\u2019\
            est autoris\xE9e \xE0 acc\xE9der qu\u2019aux informations dont elle a\
            \ besoin pour accomplir ses t\xE2ches et conform\xE9ment aux niveaux de\
            \ classification des actifs du point 12.1 de l\u2019annexe du r\xE8glement\
            \ (des t\xE2ches ou des r\xF4les diff\xE9rents signifient des informations\
            \ n\xE9cessaires diff\xE9rentes et, par cons\xE9quent, des profils d\u2019\
            acc\xE8s diff\xE9rents)\_;\n    o Besoin d\u2019utilisation : Une entit\xE9\
            \ n\u2019a acc\xE8s \xE0 l\u2019infrastructure de technologie de l\u2019\
            information que lorsqu\u2019elle en a clairement besoin. \n\u2022 Tenez\
            \ compte des points suivants lors de la sp\xE9cification des r\xE8gles\
            \ de contr\xF4le d\u2019acc\xE8s :\n    o l\u2019\xE9tablissement de r\xE8\
            gles fond\xE9es sur le principe du moindre privil\xE8ge (\xAB tout est\
            \ g\xE9n\xE9ralement interdit sauf autorisation expresse \xBB) plut\xF4\
            t que sur la r\xE8gle la plus faible (\xAB tout est g\xE9n\xE9ralement\
            \ autoris\xE9 sauf interdiction expresse \xBB) ;\n    o les modifications\
            \ des permissions des utilisateurs qui sont initi\xE9es automatiquement\
            \ par le r\xE9seau et le syst\xE8me d\u2019information et celles initi\xE9\
            es par un administrateur syst\xE8me ;\n    o Quand d\xE9finir et examiner\
            \ r\xE9guli\xE8rement l\u2019approbation. \n\u2022 Envisager des moyens\
            \ de mettre en \u0153uvre le contr\xF4le d\u2019acc\xE8s, tels que le\
            \ contr\xF4le d\u2019acc\xE8s obligatoire (MAC), le contr\xF4le d\u2019\
            acc\xE8s discr\xE9tionnaire (DAC), le contr\xF4le d\u2019acc\xE8s bas\xE9\
            \ sur les r\xF4les (RBAC) et le contr\xF4le d\u2019acc\xE8s bas\xE9 sur\
            \ les attributs (ABAC) en fonction des besoins commerciaux de l\u2019\
            organisation. \n\u2022 Prendre en compte le fait que les r\xE8gles de\
            \ contr\xF4le d\u2019acc\xE8s peuvent \xE9galement contenir des \xE9l\xE9\
            ments dynamiques (par exemple, une fonction qui \xE9value les acc\xE8\
            s pass\xE9s ou des valeurs environnementales sp\xE9cifiques)."
          typical_evidence: "\u2022 Rapports d\u2019incidents ant\xE9rieurs avec des\
            \ enregistrements de tous les incidents de s\xE9curit\xE9 li\xE9s au contr\xF4\
            le d\u2019acc\xE8s, y compris les tentatives d\u2019acc\xE8s non autoris\xE9\
            es et les r\xE9ponses \xE0 de tels \xE9v\xE9nements. \n\u2022 La gestion\
            \ des modifications enregistre toutes les modifications apport\xE9es aux\
            \ droits d\u2019acc\xE8s, montrant le respect de la politique lors des\
            \ modifications. \n\u2022 Des registres d\u2019examens et de mises \xE0\
            \ jour montrant que les politiques sont r\xE9vis\xE9es r\xE9guli\xE8rement\
            \ et mises \xE0 jour si n\xE9cessaire. \n\u2022 Rapports issus d\u2019\
            audits internes ou externes qui \xE9valuent l\u2019efficacit\xE9 et le\
            \ respect de la politique de contr\xF4le d\u2019acc\xE8s.\n\n[CONSEILS]\n\
            \n\u2022 Document de politique de contr\xF4le d\u2019acc\xE8s d\xE9crivant\
            \ les exigences, les proc\xE9dures et les responsabilit\xE9s en mati\xE8\
            re de contr\xF4le d\u2019acc\xE8s. \n\u2022 Acc\xE9dez aux avis d\xE9\
            montrant le respect des principes du besoin de savoir et du besoin d\u2019\
            utiliser. \n\u2022 La gestion des modifications enregistre toutes les\
            \ modifications apport\xE9es aux droits d\u2019acc\xE8s, montrant le respect\
            \ de la politique lors des modifications. \n\u2022 Configurations du syst\xE8\
            me de contr\xF4le d\u2019acc\xE8s montrant l\u2019adoption de MAC, DAC,\
            \ RBAC ou ABAC selon les besoins de l\u2019entreprise."
        es:
          description: "Las entidades pertinentes revisar\xE1n y, cuando proceda,\
            \ actualizar\xE1n las pol\xEDticas a intervalos planificados o cuando\
            \ se produzcan incidentes significativos o cambios significativos en las\
            \ operaciones o los riesgos."
          annotation: "\u2022 Revisar las p\xF3lizas al menos una vez al a\xF1o.\n\
            \n[CONSEJOS]\n\n\u2022 Considere los dos principios generales que se utilizan\
            \ con mayor frecuencia en el contexto del control de acceso:\n    o necesidad\
            \ de conocer: a una entidad solo se le concede acceso a la informaci\xF3\
            n que necesita para realizar sus tareas y de acuerdo con los niveles de\
            \ clasificaci\xF3n de activos del punto 12.1 del anexo del Reglamento\
            \ (diferentes tareas o funciones significan diferente informaci\xF3n necesaria\
            \ y, por lo tanto, diferentes perfiles de acceso);\n    o Necesidad de\
            \ uso: A una entidad solo se le asigna acceso a la infraestructura de\
            \ tecnolog\xEDa de la informaci\xF3n cuando existe una necesidad clara.\
            \ \n\u2022 Tenga en cuenta lo siguiente al especificar las reglas de control\
            \ de acceso:\n    o el establecimiento de reglas basadas en la premisa\
            \ del m\xEDnimo privilegio (\xABtodo est\xE1 generalmente prohibido a\
            \ menos que est\xE9 expresamente permitido\xBB) en lugar de la regla m\xE1\
            s d\xE9bil (\xABtodo est\xE1 generalmente permitido a menos que est\xE9\
            \ expresamente prohibido\xBB);\n    o cambios en los permisos de usuario\
            \ que son iniciados autom\xE1ticamente por la red y el sistema de informaci\xF3\
            n y los iniciados por un administrador del sistema;\n    o Cu\xE1ndo definir\
            \ y revisar peri\xF3dicamente la aprobaci\xF3n. \n\u2022 Considerar formas\
            \ de implementar el control de acceso, como el control de acceso obligatorio\
            \ (MAC), el control de acceso discrecional (DAC), el control de acceso\
            \ basado en roles (RBAC) y el control de acceso basado en atributos (ABAC)\
            \ en funci\xF3n de las necesidades empresariales de la organizaci\xF3\
            n. \n\u2022 Tenga en cuenta el hecho de que las reglas de control de acceso\
            \ tambi\xE9n pueden contener elementos din\xE1micos (por ejemplo, una\
            \ funci\xF3n que eval\xFAa accesos anteriores o valores ambientales espec\xED\
            ficos)."
          typical_evidence: "\u2022 Informes de incidentes anteriores con registros\
            \ de cualquier incidente de seguridad relacionado con el control de acceso,\
            \ incluidos los intentos de acceso no autorizados y las respuestas a dichos\
            \ eventos. \n\u2022 Registros de gesti\xF3n de cambios de cualquier cambio\
            \ realizado en los derechos de acceso, mostrando el cumplimiento de la\
            \ pol\xEDtica durante las modificaciones. \n\u2022 Registros de revisiones\
            \ y actualizaciones que muestren que las pol\xEDticas se revisan regularmente\
            \ y se actualizan seg\xFAn sea necesario. \n\u2022 Informes de auditor\xED\
            as internas o externas que eval\xFAen la efectividad y cumplimiento de\
            \ la pol\xEDtica de control de accesos.\n\n[CONSEJOS]\n\n\u2022 Documento\
            \ de pol\xEDtica de control de acceso que describe los requisitos, procedimientos\
            \ y responsabilidades de control de acceso. \n\u2022 Acceder a revisiones\
            \ que muestren el cumplimiento de los principios de necesidad de saber\
            \ y de uso. \n\u2022 Registros de gesti\xF3n de cambios de cualquier cambio\
            \ realizado en los derechos de acceso, mostrando el cumplimiento de la\
            \ pol\xEDtica durante las modificaciones. \n\u2022 Configuraciones del\
            \ sistema de control de acceso que muestran la adopci\xF3n de MAC, DAC,\
            \ RBAC o ABAC en funci\xF3n de las necesidades del negocio."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty tyto politiky p\u0159ezkoum\xE1\
            vaj\xED a v p\u0159\xEDpad\u011B pot\u0159eby aktualizuj\xED v pl\xE1\
            novan\xFDch intervalech a p\u0159i v\xFDskytu v\xFDznamn\xFDch incident\u016F\
            \ nebo v\xFDznamn\xFDch zm\u011Bn operac\xED \u010Di rizik."
          annotation: "\u2022 Alespo\u0148 jednou ro\u010Dn\u011B p\u0159ezkoumat\
            \ z\xE1sady.\n\n[TIPY]\n\n\u2022 Zva\u017Ete dva zast\u0159e\u0161uj\xED\
            c\xED principy, kter\xE9 se nej\u010Dast\u011Bji pou\u017E\xEDvaj\xED\
            \ v souvislosti s \u0159\xEDzen\xEDm p\u0159\xEDstupu:\n    o \"need to\
            \ know-information\": subjektu je poskytnut p\u0159\xEDstup pouze k informac\xED\
            m, kter\xE9 pot\u0159ebuje k pln\u011Bn\xED sv\xFDch \xFAkol\u016F, a\
            \ to v souladu s \xFArovn\u011Bmi klasifikace aktiv uveden\xFDmi v bod\u011B\
            \ 12.1 p\u0159\xEDlohy na\u0159\xEDzen\xED (r\u016Fzn\xE9 \xFAkoly nebo\
            \ role znamenaj\xED r\u016Fzn\xE9 informace opodstatn\u011Bn\xE9 pot\u0159\
            eby p\u0159\xEDstupu k informac\xEDm, a tud\xED\u017E i r\u016Fzn\xE9\
            \ p\u0159\xEDstupov\xE9 profily);\n    o Pot\u0159eba pou\u017Eit\xED\
            : Subjektu je p\u0159i\u0159azen p\u0159\xEDstup k infrastruktu\u0159\
            e informa\u010Dn\xEDch technologi\xED pouze v p\u0159\xEDpad\u011B, \u017E\
            e existuje jasn\xE1 pot\u0159eba. \n\u2022 P\u0159i zad\xE1v\xE1n\xED\
            \ pravidel \u0159\xEDzen\xED p\u0159\xEDstupu zva\u017Ete n\xE1sleduj\xED\
            c\xED skute\u010Dnosti:\n    o stanoven\xED pravidel zalo\u017Een\xFD\
            ch na p\u0159edpokladu nejmen\u0161\xEDch privilegi\xED (\"v\u0161e je\
            \ obecn\u011B zak\xE1z\xE1no, pokud to nen\xED v\xFDslovn\u011B povoleno\"\
            ) sp\xED\u0161e ne\u017E na m\xEDrn\u011Bj\u0161\xEDm pravidle (\"v\u0161\
            e je obecn\u011B povoleno, pokud nen\xED v\xFDslovn\u011B zak\xE1z\xE1\
            no\");\n    o zm\u011Bny u\u017Eivatelsk\xFDch opr\xE1vn\u011Bn\xED, kter\xE9\
            \ jsou iniciov\xE1ny automaticky s\xEDt\xED a informa\u010Dn\xEDm syst\xE9\
            mem a kter\xE9 jsou iniciov\xE1ny spr\xE1vcem syst\xE9mu;\n    o Kdy definovat\
            \ a pravideln\u011B p\u0159ezkoum\xE1vat schv\xE1len\xED. \n\u2022 Zva\u017E\
            te zp\u016Fsoby implementace \u0159\xEDzen\xED p\u0159\xEDstupu, jako\
            \ je povinn\xE9 \u0159\xEDzen\xED p\u0159\xEDstupu (MAC), voliteln\xE9\
            \ \u0159\xEDzen\xED p\u0159\xEDstupu (DAC), \u0159\xEDzen\xED p\u0159\xED\
            stupu na z\xE1klad\u011B rol\xED (RBAC) a \u0159\xEDzen\xED p\u0159\xED\
            stupu na z\xE1klad\u011B atribut\u016F (ABAC) v z\xE1vislosti na obchodn\xED\
            ch pot\u0159eb\xE1ch organizace. \n\u2022 Vezm\u011Bte v \xFAvahu skute\u010D\
            nost, \u017Ee pravidla \u0159\xEDzen\xED p\u0159\xEDstupu mohou obsahovat\
            \ i dynamick\xE9 prvky (nap\u0159. funkce, kter\xE1 vyhodnocuje minul\xE9\
            \ p\u0159\xEDstupy nebo specifick\xE9 hodnoty prost\u0159ed\xED)."
          typical_evidence: "\u2022 Zpr\xE1vy o minul\xFDch incidentech se z\xE1znamy\
            \ o v\u0161ech bezpe\u010Dnostn\xEDch incidentech souvisej\xEDc\xEDch\
            \ s kontrolou p\u0159\xEDstupu, v\u010Detn\u011B neopr\xE1vn\u011Bn\xFD\
            ch pokus\u016F o p\u0159\xEDstup a reakc\xED na takov\xE9 ud\xE1losti.\
            \ \n\u2022 Z\xE1znamy spr\xE1vy zm\u011Bn o v\u0161ech zm\u011Bn\xE1ch\
            \ p\u0159\xEDstupov\xFDch pr\xE1v, kter\xE9 ukazuj\xED dodr\u017Eov\xE1\
            n\xED z\xE1sad b\u011Bhem \xFAprav. \n\u2022 Z\xE1znamy o kontrol\xE1\
            ch a aktualizac\xEDch, kter\xE9 ukazuj\xED, \u017Ee z\xE1sady jsou pravideln\u011B\
            \ revidov\xE1ny a podle pot\u0159eby aktualizov\xE1ny. \n\u2022 Zpr\xE1\
            vy z intern\xEDch nebo extern\xEDch audit\u016F, kter\xE9 hodnot\xED \xFA\
            \u010Dinnost a soulad s politikou kontroly p\u0159\xEDstupu.\n\n[TIPY]\n\
            \n\u2022 Dokument o z\xE1sad\xE1ch \u0159\xEDzen\xED p\u0159\xEDstupu,\
            \ kter\xFD popisuje po\u017Eadavky, postupy a odpov\u011Bdnosti v oblasti\
            \ \u0159\xEDzen\xED p\u0159\xEDstupu. \n\u2022 Kontroly p\u0159\xEDstupu\
            \ prokazuj\xEDc\xED dodr\u017Eov\xE1n\xED z\xE1sad \"need-to-know\" a\
            \ need-to-use. \n\u2022 Z\xE1znamy spr\xE1vy zm\u011Bn o v\u0161ech zm\u011B\
            n\xE1ch p\u0159\xEDstupov\xFDch pr\xE1v, kter\xE9 ukazuj\xED dodr\u017E\
            ov\xE1n\xED z\xE1sad b\u011Bhem \xFAprav. \n\u2022 Konfigurace syst\xE9\
            mu \u0159\xEDzen\xED p\u0159\xEDstupu ukazuj\xEDc\xED p\u0159ijet\xED\
            \ MAC, DAC, RBAC nebo ABAC v z\xE1vislosti na obchodn\xEDch pot\u0159\
            eb\xE1ch."
        it:
          description: I soggetti pertinenti riesaminano e, se del caso, aggiornano
            le politiche a intervalli pianificati e quando si verificano incidenti
            significativi o modifiche significative delle operazioni o dei rischi.
          annotation: "\u2022 Rivedi le politiche almeno una volta all'anno.\n\n[CONSIGLI]\n\
            \n\u2022 Considerare i due principi generali pi\xF9 frequentemente utilizzati\
            \ nel contesto del controllo degli accessi:\n    o necessit\xE0 di sapere:\
            \ a un soggetto \xE8 concesso l'accesso solo alle informazioni di cui\
            \ ha bisogno per svolgere i suoi compiti e in linea con i livelli di classificazione\
            \ delle attivit\xE0 di cui al punto 12.1 dell'allegato del regolamento\
            \ (compiti o ruoli diversi significano diverse informazioni necessarie\
            \ da sapere e quindi profili di accesso diversi);\n    o Necessit\xE0\
            \ di utilizzo: a un'entit\xE0 viene assegnato l'accesso all'infrastruttura\
            \ informatica solo in presenza di una chiara necessit\xE0. \n\u2022 Quando\
            \ si specificano le regole di controllo dell'accesso, tenere presente\
            \ quanto segue:\n    o stabilire regole basate sulla premessa del privilegio\
            \ minimo (\"tutto \xE8 generalmente vietato se non espressamente permesso\"\
            ) piuttosto che sulla regola pi\xF9 debole (\"tutto \xE8 generalmente\
            \ permesso se non espressamente vietato\");\n    o modifiche alle autorizzazioni\
            \ degli utenti avviate automaticamente dalla rete e dal sistema informativo\
            \ e da quelle avviate da un amministratore di sistema;\n    o quando definire\
            \ e rivedere regolarmente l'approvazione. \n\u2022 Considerare i modi\
            \ per implementare il controllo degli accessi, come il controllo degli\
            \ accessi obbligatorio (MAC), il controllo degli accessi discrezionale\
            \ (DAC), il controllo degli accessi basato sui ruoli (RBAC) e il controllo\
            \ degli accessi basato sugli attributi (ABAC) a seconda delle esigenze\
            \ aziendali dell'organizzazione. \n\u2022 Tenere conto del fatto che le\
            \ regole di controllo degli accessi possono contenere anche elementi dinamici\
            \ (ad esempio, una funzione che valuta gli accessi passati o specifici\
            \ valori ambientali)."
          typical_evidence: "\u2022 Rapporti sugli incidenti passati con registrazioni\
            \ di eventuali incidenti di sicurezza relativi al controllo degli accessi,\
            \ inclusi i tentativi di accesso non autorizzati e le risposte a tali\
            \ eventi. \n\u2022 La gestione delle modifiche registra tutte le modifiche\
            \ apportate ai diritti di accesso, dimostrando l'aderenza alla politica\
            \ durante le modifiche. \n\u2022 Registrazioni di revisioni e aggiornamenti\
            \ che dimostrino che le politiche vengono riviste regolarmente e aggiornate\
            \ se necessario. \n\u2022 Rapporti di audit interni o esterni che valutano\
            \ l'efficacia e il rispetto della politica di controllo degli accessi.\n\
            \n[CONSIGLI]\n\n\u2022 Documento di politica di controllo degli accessi\
            \ che delinea i requisiti, le procedure e le responsabilit\xE0 di controllo\
            \ degli accessi. \n\u2022 Revisioni degli accessi che mostrano l'aderenza\
            \ ai principi della necessit\xE0 di sapere e della necessit\xE0 di utilizzare.\
            \ \n\u2022 La gestione delle modifiche registra tutte le modifiche apportate\
            \ ai diritti di accesso, dimostrando l'aderenza alla politica durante\
            \ le modifiche. \n\u2022 Configurazioni del sistema di controllo accessi\
            \ che mostrano l'adozione di MAC, DAC, RBAC o ABAC a seconda delle esigenze\
            \ aziendali."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.2
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11
      ref_id: '11.2'
      name: Management of access rights
      translations:
        fr:
          name: "Gestion des droits d\u2019acc\xE8s"
        es:
          name: "Gesti\xF3n de derechos de acceso"
        cs:
          name: "Spr\xE1va p\u0159\xEDstupov\xFDch pr\xE1v"
        it:
          name: Gestione dei diritti di accesso
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.2.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.2
      ref_id: 11.2.1
      description: The relevant entities shall provide, modify, remove and document
        access rights to network and information systems in accordance with the access
        control policy referred to in point 11.1.
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es fournissent, modifient, suppriment\
            \ et documentent les droits d\u2019acc\xE8s aux r\xE9seaux et aux syst\xE8\
            mes d\u2019information conform\xE9ment \xE0 la politique de contr\xF4\
            le d\u2019acc\xE8s vis\xE9e au point 11.1."
        es:
          description: "Las entidades pertinentes ofrecer\xE1n, modificar\xE1n, retirar\xE1\
            n y documentar\xE1n los derechos de acceso a los sistemas de redes y de\
            \ informaci\xF3n de conformidad con la pol\xEDtica de control de accesos\
            \ prevista en el punto 11.1."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty poskytuj\xED, upravuj\xED\
            , odeb\xEDraj\xED a dokumentuj\xED p\u0159\xEDstupov\xE1 pr\xE1va k s\xED\
            t\xEDm a informa\u010Dn\xEDm syst\xE9m\u016Fm v souladu s politikou \u0159\
            \xEDzen\xED p\u0159\xEDstupu uvedenou v bod\u011B 11.1."
        it:
          description: I soggetti interessati forniscono, modificano, rimuovono e
            documentano i diritti di accesso alla rete e ai sistemi informativi conformemente
            alla politica di controllo dell'accesso di cui al punto 11.1.
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.2.2
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.2
      ref_id: 11.2.2
      description: 'The relevant entities shall:'
      annotation: "\u2022 Ensure each user only has access to information necessary\
        \ for their role (\u2018need-to-know\u2019). \n\u2022 Restrict user permissions\
        \ to the minimum necessary for their duties (\u2018least privilege\u2019).\
        \ Regularly review and adjust access rights as needed. \n\u2022 Determine\
        \ which duties and areas of responsibility need to be segregated.  Establish\
        \ and follow a process for requesting and approving access, preferably automated.\
        \ The process should:\n    o cover granting access rights to assets upon the\
        \ new hire or role change of a user;\n    o obtain authorization from the\
        \ owner of the asset, separate approval for access rights by management bodies\
        \ can also be appropriate;\n    o ensure that access rights are activated\
        \ (e.g. by service providers) only after authorization procedures are successfully\
        \ completed;\n    o consider the business requirements and the entity\u2019\
        s access control policy;\n    o consider segregation of duties, including\
        \ segregating the roles of approval and implementation of the access rights\
        \ and separation of conflicting roles;\n    o verify that the level of access\
        \ granted is in accordance with the access control policy and is consistent\
        \ with other information security requirements such as segregation of duties;\n\
        \    o consider giving temporary access rights for a time and revoking them\
        \ at the expiry date, in particular for temporary personnel or temporary access\
        \ required by personnel. \n\u2022 Establish and follow a process, preferably\
        \ automated, for revoking access to assets. The process should:\n    o timely\
        \ disable accounts upon the termination, rights revocation or role change\
        \ of a user, as needed; disabling accounts, instead of deleting accounts,\
        \ may be necessary to preserve audit trails;\n    o modify the access rights\
        \ of users who have changed roles or jobs;\n    o remove or adjust access\
        \ rights, which can be done by removing, revoking or replacing keys, authentication\
        \ information, identification cards or subscriptions.\n    o where feasible,\
        \ enable different components or services to share information (signals) about\
        \ access revocation in a timely manner. \n\u2022 Limit third-party access\
        \ based on need and duration. Use temporary access accounts with expiry dates\
        \ and regularly review third-party access rights. \n\u2022 Ensure third parties\
        \ acknowledge their access responsibilities and obligations. \n\u2022 Where\
        \ appropriate (90), keep a detailed and up-to-date central record (register\
        \ or database) of all granted access rights, including user names, roles,\
        \ permissions and dates of access changes. \n\u2022 Establish and maintain\
        \ an inventory of the authentication and authorization systems, including\
        \ those hosted on-site or with a remote service provider. \n\u2022 Implement\
        \ logging for all access rights management activities. Logs should include\
        \ details of who granted or modified access, when and what changes were made.\
        \ \n\u2022 Minimise the use of generic and shared accounts and ensure users\
        \ can always be identified for their actions within ICT systems.\n\n(90) Implementing\
        \ a unique centralised database would require major interfacing work with\
        \ systems that, in many cases, were not designed for it."
      typical_evidence: "\u2022 Clear definitions of user roles and their corresponding\
        \ access rights. \n\u2022 A central record (register or database) detailing\
        \ all granted access rights, including user names, roles, access levels and\
        \ dates of access changes. \n\u2022 Approved access request forms supporting\
        \ entries in the access rights register. Granting, withdrawals and changes\
        \ of access should be appropriately documented and visible in the register\
        \ and consistent with the process for granting and withdrawing access rights\
        \ (Annex to the regulation, point 11.2.2). It is also important that archived\
        \ backups are properly secured to prevent unauthorised access. It should be\
        \ remembered that in the case of these copies, excessive permissions should\
        \ be limited and controlled. \n\u2022 Periodic access reviews meaning evidence\
        \ of regular reviews of user access rights to ensure they remain appropriate\
        \ over time. \n\u2022 System logs showing all access rights management activities\
        \ (creation, modification and deletion). \n\u2022 Audit trail logs demonstrating\
        \ access rights management, including timestamps, user IDs and actions performed.\
        \ \n\u2022 Records of incidents related to access rights management, including\
        \ unauthorized access attempts and corrective actions.  \n\u2022 Evidence\
        \ of systems enforcing access controls, such as identity and access management\
        \ (IAM) solutions. \n\u2022 Reports from internal or external compliance audits\
        \ verifying alignment with the access control policy. \n\u2022 Results of\
        \ physical inspections of access control systems and their use, if applicable."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es:"
          annotation: "\u2022 Veiller \xE0 ce que chaque utilisateur n'ait acc\xE8\
            s qu'aux informations n\xE9cessaires \xE0 son r\xF4le (\xAB besoin de\
            \ savoir \xBB).\n\u2022 Restreindre les autorisations des utilisateurs\
            \ au minimum n\xE9cessaire \xE0 l'accomplissement de leurs t\xE2ches (\xAB\
            \ moindre privil\xE8ge \xBB). Examiner r\xE9guli\xE8rement les droits\
            \ d'acc\xE8s et les adapter en fonction des besoins. \n\u2022 D\xE9terminer\
            \ les t\xE2ches et les domaines de responsabilit\xE9 qui doivent \xEA\
            tre s\xE9par\xE9s.  \xC9tablir et suivre une proc\xE9dure de demande et\
            \ d'approbation d'acc\xE8s, de pr\xE9f\xE9rence automatis\xE9e. Ce processus\
            \ doit :\n    o couvrir l'octroi des droits d'acc\xE8s aux actifs lors\
            \ de l'embauche ou du changement de r\xF4le d'un utilisateur ;\n    o\
            \ obtenir l'autorisation du propri\xE9taire de l'actif, une approbation\
            \ s\xE9par\xE9e des droits d'acc\xE8s par les organes de direction peut\
            \ \xE9galement \xEAtre appropri\xE9e ;\n    o garantir que les droits\
            \ d'acc\xE8s ne sont activ\xE9s (par exemple par les prestataires de services)\
            \ qu'apr\xE8s les proc\xE9dures d'autorisation. par les prestataires de\
            \ services) qu'une fois que les proc\xE9dures d'autorisation ont \xE9\
            t\xE9 men\xE9es \xE0 bien ;\n    o tenir compte des exigences op\xE9rationnelles\
            \ et de la politique de contr\xF4le d'acc\xE8s de l'entit\xE9 ;\n    o\
            \ envisager la s\xE9paration des t\xE2ches, y compris la s\xE9paration\
            \ des r\xF4les d'approbation et de mise en \u0153uvre des droits d'acc\xE8\
            s et la s\xE9paration des r\xF4les conflictuels ;\n    o v\xE9rifier que\
            \ le niveau d'acc\xE8s accord\xE9 est conforme \xE0 la politique de contr\xF4\
            le d'acc\xE8s et qu'il est compatible avec d'autres exigences en mati\xE8\
            re de s\xE9curit\xE9 de l'information telles que la s\xE9paration des\
            \ t\xE2ches ;\n    o envisager d'accorder des droits d'acc\xE8s temporaires\
            \ pendant un certain temps et de les r\xE9voquer \xE0 la date d'expiration,\
            \ en particulier pour le personnel temporaire ou pour l'acc\xE8s temporaire\
            \ requis par le personnel.\n\u2022 \xC9tablir et suivre une proc\xE9dure,\
            \ de pr\xE9f\xE9rence automatis\xE9e, pour r\xE9voquer l'acc\xE8s aux\
            \ actifs. Ce processus devrait :\n    o d\xE9sactiver en temps utile les\
            \ comptes en cas de r\xE9siliation, de r\xE9vocation des droits ou de\
            \ changement de r\xF4le d'un utilisateur, selon les besoins ; la d\xE9\
            sactivation des comptes, au lieu de leur suppression, peut \xEAtre n\xE9\
            cessaire pour pr\xE9server les pistes d'audit ;\n    o modifier les droits\
            \ d'acc\xE8s des utilisateurs qui ont chang\xE9 de r\xF4le ou d'emploi\
            \ ;\n    o supprimer ou ajuster les droits d'acc\xE8s, ce qui peut \xEA\
            tre fait en supprimant, r\xE9voquant ou rempla\xE7ant les cl\xE9s, les\
            \ informations d'authentification, les cartes d'identification ou les\
            \ abonnements.\n    o dans la mesure du possible, permettre \xE0 diff\xE9\
            rents composants ou services de partager des informations (signaux) sur\
            \ la r\xE9vocation de l'acc\xE8s en temps utile.\n\u2022 Limiter l'acc\xE8\
            s des tiers en fonction des besoins et de la dur\xE9e. Utiliser des comptes\
            \ d'acc\xE8s temporaires avec des dates d'expiration et revoir r\xE9guli\xE8\
            rement les droits d'acc\xE8s des tiers. \n\u2022 Veiller \xE0 ce que les\
            \ tiers reconnaissent leurs responsabilit\xE9s et obligations en mati\xE8\
            re d'acc\xE8s. \n\u2022 Le cas \xE9ch\xE9ant (90), tenir un registre central\
            \ d\xE9taill\xE9 et actualis\xE9 (registre ou base de donn\xE9es) de tous\
            \ les droits d'acc\xE8s accord\xE9s, y compris les noms d'utilisateurs,\
            \ les r\xF4les, les autorisations et les dates des changements d'acc\xE8\
            s. \n\u2022 \xC9tablir et tenir \xE0 jour un inventaire des syst\xE8mes\
            \ d'authentification et d'autorisation, y compris ceux qui sont h\xE9\
            berg\xE9s sur place ou chez un prestataire de services \xE0 distance.\
            \ \n\u2022 Mettre en place un syst\xE8me de journalisation pour toutes\
            \ les activit\xE9s de gestion des droits d'acc\xE8s. Les journaux doivent\
            \ pr\xE9ciser qui a accord\xE9 ou modifi\xE9 l'acc\xE8s, quand et quelles\
            \ modifications ont \xE9t\xE9 apport\xE9es. \n\u2022 R\xE9duire au minimum\
            \ l'utilisation de comptes g\xE9n\xE9riques et partag\xE9s et veiller\
            \ \xE0 ce que les utilisateurs puissent toujours \xEAtre identifi\xE9\
            s pour leurs actions au sein des syst\xE8mes TIC.\n\n(90) La mise en \u0153\
            uvre d'une base de donn\xE9es centralis\xE9e unique n\xE9cessiterait d'importants\
            \ travaux d'interfa\xE7age avec des syst\xE8mes qui, dans de nombreux\
            \ cas, n'ont pas \xE9t\xE9 con\xE7us pour cela."
          typical_evidence: "\u2022 Des d\xE9finitions claires des r\xF4les d\u2019\
            utilisateur et de leurs droits d\u2019acc\xE8s correspondants. \n\u2022\
            \ Un registre central (registre ou base de donn\xE9es) d\xE9taillant tous\
            \ les droits d\u2019acc\xE8s accord\xE9s, y compris les noms d\u2019utilisateur,\
            \ les r\xF4les, les niveaux d\u2019acc\xE8s et les dates de changement\
            \ d\u2019acc\xE8s. \n\u2022 Approbation des formulaires de demande d\u2019\
            acc\xE8s \xE0 l\u2019appui des inscriptions au registre des droits d\u2019\
            acc\xE8s. Les accords, les retraits et les modifications d\u2019acc\xE8\
            s devraient \xEAtre document\xE9s de mani\xE8re appropri\xE9e et visibles\
            \ dans le registre, et \xEAtre coh\xE9rents avec le processus d\u2019\
            octroi et de retrait des droits d\u2019acc\xE8s (annexe du r\xE8glement,\
            \ point 11.2.2). Il est \xE9galement important que les sauvegardes archiv\xE9\
            es soient correctement s\xE9curis\xE9es afin d\u2019\xE9viter tout acc\xE8\
            s non autoris\xE9. Il ne faut pas oublier que dans le cas de ces copies,\
            \ les autorisations excessives doivent \xEAtre limit\xE9es et contr\xF4\
            l\xE9es. \n\u2022 Examens p\xE9riodiques de l\u2019acc\xE8s, c\u2019est-\xE0\
            -dire la preuve d\u2019examens r\xE9guliers des droits d\u2019acc\xE8\
            s des utilisateurs pour s\u2019assurer qu\u2019ils restent appropri\xE9\
            s dans le temps. \n\u2022 Journaux syst\xE8me montrant toutes les activit\xE9\
            s de gestion des droits d\u2019acc\xE8s (cr\xE9ation, modification et\
            \ suppression). \n\u2022 Journaux de piste d\u2019audit d\xE9montrant\
            \ la gestion des droits d\u2019acc\xE8s, y compris les horodatages, les\
            \ identifiants des utilisateurs et les actions effectu\xE9es. \n\u2022\
            \ Enregistrements des incidents li\xE9s \xE0 la gestion des droits d\u2019\
            acc\xE8s, y compris les tentatives d\u2019acc\xE8s non autoris\xE9s et\
            \ les actions correctives.  \n\u2022 Preuve de l\u2019existence de syst\xE8\
            mes appliquant des contr\xF4les d\u2019acc\xE8s, tels que des solutions\
            \ de gestion des identit\xE9s et des acc\xE8s (IAM). \n\u2022 Rapports\
            \ issus d\u2019audits de conformit\xE9 internes ou externes v\xE9rifiant\
            \ l\u2019alignement avec la politique de contr\xF4le d\u2019acc\xE8s.\
            \ \n\u2022 R\xE9sultats des inspections physiques des syst\xE8mes de contr\xF4\
            le d\u2019acc\xE8s et de leur utilisation, le cas \xE9ch\xE9ant."
        es:
          description: 'Las entidades pertinentes:'
          annotation: "\u2022 Garantizar que cada usuario s\xF3lo tenga acceso a la\
            \ informaci\xF3n necesaria para su funci\xF3n (\xABnecesidad de conocer\xBB\
            ).\n\u2022 Restringir los permisos de los usuarios al m\xEDnimo necesario\
            \ para sus funciones (\xABprivilegio m\xEDnimo\xBB). Revise y ajuste peri\xF3\
            dicamente los derechos de acceso seg\xFAn sea necesario. \n\u2022 Determine\
            \ qu\xE9 funciones y \xE1reas de responsabilidad deben segregarse.  Establecer\
            \ y seguir un proceso de solicitud y aprobaci\xF3n de acceso, preferiblemente\
            \ automatizado. El proceso deber\xEDa:\n    o incluir la concesi\xF3n\
            \ de derechos de acceso a los activos en caso de nueva contrataci\xF3\
            n o cambio de funci\xF3n de un usuario;\n    o obtener la autorizaci\xF3\
            n del propietario del activo; tambi\xE9n puede ser conveniente la aprobaci\xF3\
            n por separado de los derechos de acceso por parte de los \xF3rganos de\
            \ direcci\xF3n;\n    o garantizar que los derechos de acceso se activan\
            \ (por ejemplo, por parte de los proveedores de servicios) s\xF3lo despu\xE9\
            s de que se hayan llevado a cabo los procedimientos de autorizaci\xF3\
            n. por los proveedores de servicios) s\xF3lo despu\xE9s de que los procedimientos\
            \ de autorizaci\xF3n se hayan completado con \xE9xito;\n    o considerar\
            \ los requisitos de negocio y la pol\xEDtica de control de acceso de la\
            \ entidad;\n    o considerar la segregaci\xF3n de funciones, incluida\
            \ la segregaci\xF3n de las funciones de aprobaci\xF3n y aplicaci\xF3n\
            \ de los derechos de acceso y la separaci\xF3n de funciones conflictivas;\n\
            \    o verificar que el nivel de acceso concedido es conforme con la pol\xED\
            tica de control de acceso y es coherente con otros requisitos de seguridad\
            \ de la informaci\xF3n, como la segregaci\xF3n de funciones;\n    o considerar\
            \ la concesi\xF3n de derechos de acceso temporales durante un tiempo y\
            \ su revocaci\xF3n en la fecha de vencimiento, en particular para el personal\
            \ temporal o el acceso temporal requerido por el personal.\n\u2022 Establecer\
            \ y seguir un proceso, preferiblemente automatizado, para revocar el acceso\
            \ a los activos. El proceso deber\xEDa:\n    o desactivar oportunamente\
            \ las cuentas tras la finalizaci\xF3n, la revocaci\xF3n de derechos o\
            \ el cambio de funci\xF3n de un usuario, seg\xFAn sea necesario; desactivar\
            \ las cuentas, en lugar de eliminarlas, puede ser necesario para preservar\
            \ las pistas de auditor\xEDa;\n    o modificar los derechos de acceso\
            \ de los usuarios que han cambiado de funci\xF3n o trabajo;\n    o eliminar\
            \ o ajustar los derechos de acceso, lo que puede hacerse eliminando, revocando\
            \ o sustituyendo claves, informaci\xF3n de autenticaci\xF3n, tarjetas\
            \ de identificaci\xF3n o suscripciones.\n    o cuando sea factible, permitir\
            \ que diferentes componentes o servicios compartan informaci\xF3n (se\xF1\
            ales) sobre la revocaci\xF3n de acceso de manera oportuna.\n\u2022 Limitar\
            \ el acceso de terceros en funci\xF3n de la necesidad y la duraci\xF3\
            n. Utilice cuentas de acceso temporales con fecha de caducidad y revise\
            \ peri\xF3dicamente los derechos de acceso de terceros. \n\u2022 Asegurarse\
            \ de que los terceros reconocen sus responsabilidades y obligaciones de\
            \ acceso. \n\u2022 Cuando proceda (90), mantener un registro central detallado\
            \ y actualizado (registro o base de datos) de todos los derechos de acceso\
            \ concedidos, incluidos los nombres de usuario, funciones, permisos y\
            \ fechas de los cambios de acceso. \n\u2022 Establecer y mantener un inventario\
            \ de los sistemas de autenticaci\xF3n y autorizaci\xF3n, incluidos los\
            \ alojados in situ o con un proveedor de servicios remoto. \n\u2022 Registrar\
            \ todas las actividades de gesti\xF3n de derechos de acceso. Los registros\
            \ deben incluir detalles de qui\xE9n concedi\xF3 o modific\xF3 el acceso,\
            \ cu\xE1ndo y qu\xE9 cambios se realizaron.\n\u2022 Minimizar el uso de\
            \ cuentas gen\xE9ricas y compartidas y garantizar que los usuarios siempre\
            \ puedan ser identificados por sus acciones dentro de los sistemas TIC.\n\
            \n(90) La implantaci\xF3n de una base de datos \xFAnica y centralizada\
            \ exigir\xEDa un importante trabajo de interconexi\xF3n con sistemas que,\
            \ en muchos casos, no fueron dise\xF1ados para ello."
          typical_evidence: "\u2022 Definiciones claras de los roles de usuario y\
            \ sus correspondientes derechos de acceso. \n\u2022 Un registro central\
            \ (registro o base de datos) en el que se detallan todos los derechos\
            \ de acceso concedidos, incluidos los nombres de usuario, las funciones,\
            \ los niveles de acceso y las fechas de los cambios de acceso. \n\u2022\
            \ Formularios de solicitud de acceso aprobados que respalden las inscripciones\
            \ en el registro de derechos de acceso. La concesi\xF3n, las retiradas\
            \ y los cambios de acceso deben estar debidamente documentados y ser visibles\
            \ en el registro y ser coherentes con el proceso de concesi\xF3n y retirada\
            \ de derechos de acceso (anexo del Reglamento, punto 11.2.2). Tambi\xE9\
            n es importante que las copias de seguridad archivadas est\xE9n debidamente\
            \ protegidas para evitar el acceso no autorizado. Hay que recordar que\
            \ en el caso de estas copias, los permisos excesivos deben ser limitados\
            \ y controlados. \n\u2022 Revisiones peri\xF3dicas de acceso, es decir,\
            \ pruebas de revisiones peri\xF3dicas de los derechos de acceso de los\
            \ usuarios para garantizar que sigan siendo adecuados a lo largo del tiempo.\
            \ \n\u2022 Registros del sistema que muestran todas las actividades de\
            \ gesti\xF3n de derechos de acceso (creaci\xF3n, modificaci\xF3n y eliminaci\xF3\
            n). \n\u2022 Registros de seguimiento de auditor\xEDa que demuestran la\
            \ gesti\xF3n de derechos de acceso, incluidas las marcas de tiempo, los\
            \ ID de usuario y las acciones realizadas. \n\u2022 Registros de incidentes\
            \ relacionados con la gesti\xF3n de derechos de acceso, incluidos intentos\
            \ de acceso no autorizados y acciones correctivas.  \n\u2022 Evidencia\
            \ de sistemas que aplican controles de acceso, como soluciones de gesti\xF3\
            n de identidades y accesos (IAM). \n\u2022 Informes de auditor\xEDas de\
            \ cumplimiento internas o externas que verifiquen la alineaci\xF3n con\
            \ la pol\xEDtica de control de acceso. \n\u2022 Resultados de las inspecciones\
            \ f\xEDsicas de los sistemas de control de acceso y su uso, en su caso."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty:"
          annotation: "\u2022 Zajist\u011Bte, aby ka\u017Ed\xFD u\u017Eivatel m\u011B\
            l p\u0159\xEDstup pouze k informac\xEDm nezbytn\xFDm pro jeho roli (\u201E\
            need-to-know\u201C).\n\u2022 Omezte opr\xE1vn\u011Bn\xED u\u017Eivatel\u016F\
            \ na minimum nezbytn\xE9 pro jejich povinnosti (\u201Eleast privilege\u201C\
            ). Pravideln\u011B kontrolujte a upravujte p\u0159\xEDstupov\xE1 pr\xE1\
            va podle pot\u0159eby. \n\u2022 Ur\u010Dete, kter\xE9 povinnosti a oblasti\
            \ odpov\u011Bdnosti je t\u0159eba odd\u011Blit.  Zaveden\xED a dodr\u017E\
            ov\xE1n\xED procesu pro pod\xE1v\xE1n\xED \u017E\xE1dost\xED a schvalov\xE1\
            n\xED p\u0159\xEDstup\u016F, nejl\xE9pe automatizovan\xE9ho. Proces by\
            \ m\u011Bl:\n    o zahrnovat ud\u011Blen\xED p\u0159\xEDstupov\xFDch pr\xE1\
            v k aktiv\u016Fm p\u0159i nov\xE9m n\xE1stupu nebo zm\u011Bn\u011B role\
            \ u\u017Eivatele;\n    o z\xEDskat opr\xE1vn\u011Bn\xED od vlastn\xED\
            ka aktiva, vhodn\xE9 m\u016F\u017Ee b\xFDt i samostatn\xE9 schv\xE1len\xED\
            \ p\u0159\xEDstupov\xFDch pr\xE1v \u0159\xEDdic\xEDmi org\xE1ny;\n   \
            \ o zajistit, aby byla p\u0159\xEDstupov\xE1 pr\xE1va aktivov\xE1na (nap\u0159\
            . poskytovateli slu\u017Eeb) a\u017E po \xFAsp\u011B\u0161n\xE9m dokon\u010D\
            en\xED autoriza\u010Dn\xEDch postup\u016F;\n    o zva\u017Ete obchodn\xED\
            \ po\u017Eadavky a politiku subjektu v oblasti \u0159\xEDzen\xED p\u0159\
            \xEDstupu;\n    o zva\u017Ete odd\u011Blen\xED povinnost\xED, v\u010D\
            etn\u011B odd\u011Blen\xED rol\xED p\u0159i schvalov\xE1n\xED a realizaci\
            \ p\u0159\xEDstupov\xFDch pr\xE1v a odd\u011Blen\xED konfliktn\xEDch rol\xED\
            ;\n    o ov\u011B\u0159te, \u017Ee \xFArove\u0148 ud\u011Blen\xE9ho p\u0159\
            \xEDstupu je v souladu s politikou \u0159\xEDzen\xED p\u0159\xEDstupu\
            \ a je v souladu s dal\u0161\xEDmi po\u017Eadavky na bezpe\u010Dnost informac\xED\
            , jako je odd\u011Blen\xED povinnost\xED;\n    o zva\u017Ete ud\u011B\
            len\xED do\u010Dasn\xFDch p\u0159\xEDstupov\xFDch pr\xE1v na ur\u010D\
            itou dobu a jejich zru\u0161en\xED k datu vypr\u0161en\xED platnosti,\
            \ zejm\xE9na pro do\u010Dasn\xE9 pracovn\xEDky nebo do\u010Dasn\xFD p\u0159\
            \xEDstup vy\u017Eadovan\xFD pracovn\xEDky.\n\u2022 Zaveden\xED a dodr\u017E\
            ov\xE1n\xED procesu, nejl\xE9pe automatizovan\xE9ho, pro zru\u0161en\xED\
            \ p\u0159\xEDstupu k aktiv\u016Fm. Tento proces by m\u011Bl:\n    o podle\
            \ pot\u0159eby v\u010Das deaktivovat \xFA\u010Dty p\u0159i ukon\u010D\
            en\xED \u010Dinnosti, zru\u0161en\xED pr\xE1v nebo zm\u011Bn\u011B role\
            \ u\u017Eivatele; deaktivace \xFA\u010Dt\u016F nam\xEDsto jejich odstran\u011B\
            n\xED m\u016F\u017Ee b\xFDt nezbytn\xE1 pro zachov\xE1n\xED auditn\xED\
            ch stop;\n    o upravit p\u0159\xEDstupov\xE1 pr\xE1va u\u017Eivatel\u016F\
            , kte\u0159\xED zm\u011Bnili role nebo pracovn\xED m\xEDsta;\n    o odebrat\
            \ nebo upravit p\u0159\xEDstupov\xE1 pr\xE1va, co\u017E lze prov\xE9st\
            \ odebr\xE1n\xEDm, zru\u0161en\xEDm nebo nahrazen\xEDm kl\xED\u010D\u016F\
            , ov\u011B\u0159ovac\xEDch informac\xED, identifika\u010Dn\xEDch karet\
            \ nebo p\u0159edplatn\xE9ho.\n    o pokud je to mo\u017En\xE9, umo\u017E\
            nit r\u016Fzn\xFDm slo\u017Ek\xE1m nebo slu\u017Eb\xE1m v\u010Dasn\xE9\
            \ sd\xEDlen\xED informac\xED (sign\xE1l\u016F) o zru\u0161en\xED p\u0159\
            \xEDstupu.\n\u2022 Omezte p\u0159\xEDstup t\u0159et\xEDch stran na z\xE1\
            klad\u011B pot\u0159eby a doby trv\xE1n\xED. Pou\u017E\xEDvejte do\u010D\
            asn\xE9 p\u0159\xEDstupov\xE9 \xFA\u010Dty s datem vypr\u0161en\xED platnosti\
            \ a pravideln\u011B kontrolujte p\u0159\xEDstupov\xE1 pr\xE1va t\u0159\
            et\xEDch stran. \n\u2022 Zajist\u011Bte, aby t\u0159et\xED strany vzaly\
            \ na v\u011Bdom\xED sv\xE9 odpov\u011Bdnosti a povinnosti t\xFDkaj\xED\
            c\xED se p\u0159\xEDstupu. \n\u2022 Pokud je to vhodn\xE9 (90), udr\u017E\
            ujte podrobnou a aktu\xE1ln\xED centr\xE1ln\xED evidenci (registr nebo\
            \ datab\xE1zi) v\u0161ech ud\u011Blen\xFDch p\u0159\xEDstupov\xFDch pr\xE1\
            v, v\u010Detn\u011B u\u017Eivatelsk\xFDch jmen, rol\xED, opr\xE1vn\u011B\
            n\xED a dat zm\u011Bn p\u0159\xEDstupu. \n\u2022 Vytvo\u0159te a udr\u017E\
            ujte soupis autentiza\u010Dn\xEDch a autoriza\u010Dn\xEDch syst\xE9m\u016F\
            , v\u010Detn\u011B t\u011Bch, kter\xE9 jsou hostov\xE1ny na m\xEDst\u011B\
            \ nebo u vzd\xE1len\xE9ho poskytovatele slu\u017Eeb. \n\u2022 Zav\xE9\
            st protokolov\xE1n\xED v\u0161ech \u010Dinnost\xED spr\xE1vy p\u0159\xED\
            stupov\xFDch pr\xE1v. Z\xE1znamy by m\u011Bly obsahovat podrobnosti o\
            \ tom, kdo, kdy a jak\xE9 zm\u011Bny p\u0159\xEDstupu ud\u011Blil nebo\
            \ zm\u011Bnil. \n\u2022 Minimalizujte pou\u017E\xEDv\xE1n\xED obecn\xFD\
            ch a sd\xEDlen\xFDch \xFA\u010Dt\u016F a zajist\u011Bte, aby u\u017Eivatel\xE9\
            \ mohli b\xFDt v\u017Edy identifikov\xE1ni podle sv\xFDch \u010Dinnost\xED\
            \ v syst\xE9mech ICT.\n\n(90) Zaveden\xED jedine\u010Dn\xE9 centralizovan\xE9\
            \ datab\xE1ze by vy\u017Eadovalo rozs\xE1hl\xE9 propojovac\xED pr\xE1\
            ce se syst\xE9my, kter\xE9 pro to v mnoha p\u0159\xEDpadech nebyly navr\u017E\
            eny."
          typical_evidence: "\u2022 Jasn\xE9 definice u\u017Eivatelsk\xFDch rol\xED\
            \ a jim odpov\xEDdaj\xEDc\xEDch p\u0159\xEDstupov\xFDch pr\xE1v. \n\u2022\
            \ Centr\xE1ln\xED z\xE1znam (registr nebo datab\xE1ze) s podrobnostmi\
            \ o v\u0161ech ud\u011Blen\xFDch p\u0159\xEDstupov\xFDch pr\xE1vech, v\u010D\
            etn\u011B u\u017Eivatelsk\xFDch jmen, rol\xED, \xFArovn\xED p\u0159\xED\
            stupu a dat zm\u011Bn p\u0159\xEDstupu. \n\u2022 Schv\xE1len\xE9 formul\xE1\
            \u0159e \u017E\xE1dost\xED o p\u0159\xEDstup podporuj\xEDc\xED z\xE1pisy\
            \ do rejst\u0159\xEDku p\u0159\xEDstupov\xFDch pr\xE1v. Ud\u011Blov\xE1\
            n\xED, odn\u011Bt\xED a zm\u011Bny p\u0159\xEDstupu by m\u011Bly b\xFD\
            t \u0159\xE1dn\u011B zdokumentov\xE1ny a viditeln\xE9 v rejst\u0159\xED\
            ku a m\u011Bly by b\xFDt v souladu s postupem pro ud\u011Blov\xE1n\xED\
            \ a odn\xEDm\xE1n\xED p\u0159\xEDstupov\xFDch pr\xE1v (p\u0159\xEDloha\
            \ na\u0159\xEDzen\xED, bod 11.2.2). D\u016Fle\u017Eit\xE9 je tak\xE9 to,\
            \ aby archivovan\xE9 z\xE1lohy byly \u0159\xE1dn\u011B zabezpe\u010Deny\
            \ a zabr\xE1nilo tak neopr\xE1vn\u011Bn\xE9mu p\u0159\xEDstupu. Je t\u0159\
            eba si uv\u011Bdomit, \u017Ee v p\u0159\xEDpad\u011B t\u011Bchto kopi\xED\
            \ by m\u011Bla b\xFDt nadm\u011Brn\xE1 opr\xE1vn\u011Bn\xED omezena a\
            \ kontrolov\xE1na. \n\u2022 Pravideln\xE9 kontroly p\u0159\xEDstupu, co\u017E\
            \ znamen\xE1 d\u016Fkaz o pravideln\xFDch kontrol\xE1ch p\u0159\xEDstupov\xFD\
            ch pr\xE1v u\u017Eivatel\u016F, aby se zajistilo, \u017Ee z\u016Fstanou\
            \ v pr\u016Fb\u011Bhu \u010Dasu vhodn\xE1. \n\u2022 Syst\xE9mov\xE9 logy\
            \ zobrazuj\xEDc\xED v\u0161echny aktivity spr\xE1vy p\u0159\xEDstupov\xFD\
            ch pr\xE1v (vytv\xE1\u0159en\xED, \xFApravy a maz\xE1n\xED). \n\u2022\
            \ Protokoly auditn\xEDch stop demonstruj\xEDc\xED spr\xE1vu p\u0159\xED\
            stupov\xFDch pr\xE1v, v\u010Detn\u011B \u010Dasov\xFDch raz\xEDtek, ID\
            \ u\u017Eivatel\u016F a proveden\xFDch akc\xED. \n\u2022 Evidence incident\u016F\
            \ souvisej\xEDc\xEDch se spr\xE1vou p\u0159\xEDstupov\xFDch pr\xE1v, v\u010D\
            etn\u011B neopr\xE1vn\u011Bn\xFDch pokus\u016F o p\u0159\xEDstup a n\xE1\
            pravn\xFDch opat\u0159en\xED.  \n\u2022 Evidence syst\xE9m\u016F vynucuj\xED\
            c\xEDch \u0159\xEDzen\xED p\u0159\xEDstupu, jako jsou \u0159e\u0161en\xED\
            \ pro spr\xE1vu identit a p\u0159\xEDstupu (IAM). \n\u2022 Zpr\xE1vy z\
            \ intern\xEDch nebo extern\xEDch audit\u016F dodr\u017Eov\xE1n\xED p\u0159\
            edpis\u016F ov\u011B\u0159uj\xEDc\xED soulad se z\xE1sadami kontroly p\u0159\
            \xEDstupu. \n\u2022 V\xFDsledky fyzick\xFDch kontrol p\u0159\xEDstupov\xFD\
            ch syst\xE9m\u016F a jejich p\u0159\xEDpadn\xE9ho pou\u017Eit\xED."
        it:
          description: 'I soggetti interessati:'
          annotation: "\u2022 Assicurarsi che ogni utente abbia accesso solo alle\
            \ informazioni necessarie per il proprio ruolo (\u201Cneed-to-know\u201D\
            ).\n\u2022 Limitare i permessi degli utenti al minimo necessario per le\
            \ loro mansioni (\u201Cleast privilege\u201D). Rivedere regolarmente i\
            \ diritti di accesso e modificarli in base alle necessit\xE0. \n\u2022\
            \ Determinare quali mansioni e aree di responsabilit\xE0 devono essere\
            \ segregate.  Stabilire e seguire un processo di richiesta e approvazione\
            \ dell'accesso, preferibilmente automatizzato. Il processo dovrebbe:\n\
            \    o riguardare la concessione dei diritti di accesso agli asset al\
            \ momento della nuova assunzione o del cambio di ruolo di un utente;\n\
            \    o ottenere l'autorizzazione dal proprietario dell'asset; pu\xF2 essere\
            \ opportuna anche un'approvazione separata per i diritti di accesso da\
            \ parte degli organi di gestione;\n    o garantire che i diritti di accesso\
            \ siano attivati (ad es. da parte dei fornitori di servizi) solo dopo\
            \ che le procedure di autorizzazione sono state completate con successo;\n\
            \    o considerare i requisiti aziendali e la politica di controllo degli\
            \ accessi dell'entit\xE0;\n    o considerare la segregazione dei compiti,\
            \ compresa la separazione dei ruoli di approvazione e implementazione\
            \ dei diritti di accesso e la separazione dei ruoli in conflitto;\n  \
            \  o verificare che il livello di accesso concesso sia conforme alla politica\
            \ di controllo degli accessi e sia coerente con altri requisiti di sicurezza\
            \ delle informazioni, come la segregazione dei compiti;\n    o considerare\
            \ la possibilit\xE0 di concedere diritti di accesso temporanei per un\
            \ certo periodo di tempo e di revocarli alla data di scadenza, in particolare\
            \ per il personale temporaneo o per l'accesso temporaneo richiesto dal\
            \ personale.\n\u2022 Stabilire e seguire un processo, preferibilmente\
            \ automatizzato, per la revoca dell'accesso alle risorse. Il processo\
            \ dovrebbe:\n    o disabilitare tempestivamente gli account al momento\
            \ della cessazione, della revoca dei diritti o del cambio di ruolo di\
            \ un utente, a seconda delle necessit\xE0; la disabilitazione degli account,\
            \ invece della loro cancellazione, pu\xF2 essere necessaria per preservare\
            \ le tracce di audit;\n    o modificare i diritti di accesso degli utenti\
            \ che hanno cambiato ruolo o mansione;\n    o rimuovere o regolare i diritti\
            \ di accesso, il che pu\xF2 essere fatto rimuovendo, revocando o sostituendo\
            \ le chiavi, le informazioni di autenticazione, le carte di identificazione\
            \ o gli abbonamenti.\n    o se possibile, consentire a diversi componenti\
            \ o servizi di condividere le informazioni (segnali) sulla revoca dell'accesso\
            \ in modo tempestivo.\n\u2022 Limitare l'accesso di terzi in base alla\
            \ necessit\xE0 e alla durata. Utilizzare account di accesso temporanei\
            \ con date di scadenza e rivedere regolarmente i diritti di accesso di\
            \ terzi. \n\u2022 Assicurarsi che le terze parti riconoscano le proprie\
            \ responsabilit\xE0 e i propri obblighi di accesso. \n\u2022 Se opportuno\
            \ (90), tenere un registro centrale dettagliato e aggiornato (registro\
            \ o database) di tutti i diritti di accesso concessi, compresi i nomi\
            \ degli utenti, i ruoli, le autorizzazioni e le date delle modifiche di\
            \ accesso. \n\u2022 Stabilire e mantenere un inventario dei sistemi di\
            \ autenticazione e autorizzazione, compresi quelli ospitati in sede o\
            \ presso un fornitore di servizi remoto. \n\u2022 Implementare la registrazione\
            \ di tutte le attivit\xE0 di gestione dei diritti di accesso. I registri\
            \ devono includere i dettagli di chi ha concesso o modificato l'accesso,\
            \ quando e quali modifiche sono state apportate. \n\u2022 Ridurre al minimo\
            \ l'uso di account generici e condivisi e garantire che gli utenti possano\
            \ sempre essere identificati per le loro azioni all'interno dei sistemi\
            \ TIC.\n\n(90) L'implementazione di un unico database centralizzato richiederebbe\
            \ un importante lavoro di interfacciamento con sistemi che, in molti casi,\
            \ non sono stati progettati per questo."
          typical_evidence: "\u2022 Definizioni chiare dei ruoli utente e dei relativi\
            \ diritti di accesso. \n\u2022 Un record centrale (registro o database)\
            \ che descrive in dettaglio tutti i diritti di accesso concessi, inclusi\
            \ nomi utente, ruoli, livelli di accesso e date di modifica dell'accesso.\
            \ \n\u2022 Moduli di richiesta di accesso approvati a supporto delle iscrizioni\
            \ nel registro dei diritti di accesso. La concessione, la revoca e la\
            \ modifica dell'accesso devono essere adeguatamente documentate e visibili\
            \ nel registro e coerenti con la procedura di concessione e revoca dei\
            \ diritti di accesso (allegato del regolamento, punto 11.2.2). \xC8 inoltre\
            \ importante che i backup archiviati siano adeguatamente protetti per\
            \ impedire l'accesso non autorizzato. Va ricordato che nel caso di queste\
            \ copie, le autorizzazioni eccessive dovrebbero essere limitate e controllate.\
            \ \n\u2022 Revisioni periodiche degli accessi, ovvero la prova di revisioni\
            \ periodiche dei diritti di accesso degli utenti per garantire che rimangano\
            \ appropriati nel tempo. \n\u2022 Log di sistema che mostrano tutte le\
            \ attivit\xE0 di gestione dei diritti di accesso (creazione, modifica\
            \ e cancellazione). \n\u2022 Registri di audit trail che dimostrano la\
            \ gestione dei diritti di accesso, inclusi timestamp, ID utente e azioni\
            \ eseguite. \n\u2022 Registrazioni di incidenti relativi alla gestione\
            \ dei diritti di accesso, inclusi tentativi di accesso non autorizzati\
            \ e azioni correttive.  \n\u2022 Prova dei sistemi che applicano i controlli\
            \ di accesso, come le soluzioni di gestione delle identit\xE0 e degli\
            \ accessi (IAM). \n\u2022 Rapporti da audit di conformit\xE0 interni o\
            \ esterni che verificano l'allineamento con la politica di controllo degli\
            \ accessi. \n\u2022 Risultati delle ispezioni fisiche dei sistemi di controllo\
            \ accessi e del loro utilizzo, se applicabile."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.2.2.a
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.2.2
      ref_id: 11.2.2.a
      description: assign and revoke access rights based on the principles of need-to-know,
        least privilege and separation of duties;
      translations:
        fr:
          description: "accordent et r\xE9voquent les droits d\u2019acc\xE8s sur la\
            \ base des principes du besoin d\u2019en conna\xEEtre, du moindre privil\xE8\
            ge et de la s\xE9paration des fonctions;"
        es:
          description: "conceder\xE1n y retirar\xE1n los derechos de acceso sobre\
            \ la base de los principios de necesidad de conocer, el m\xEDnimo privilegio\
            \ y separaci\xF3n de competencias;"
        cs:
          description: "p\u0159id\u011Bluj\xED a odeb\xEDraj\xED p\u0159\xEDstupov\xE1\
            \ pr\xE1va podle z\xE1sady \u201Epot\u0159eba v\u011Bd\u011Bt\u201C, z\xE1\
            sady minim\xE1ln\xEDch pr\xE1v a z\xE1sady odd\u011Blen\xED funkc\xED;"
        it:
          description: "assegnare e revocare i diritti di accesso in base ai principi\
            \ della necessit\xE0 di sapere, del privilegio minimo e della separazione\
            \ dei compiti;"
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.2.2.b
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.2.2
      ref_id: 11.2.2.b
      description: ensure that access rights are modified accordingly upon termination
        or change of employment;
      translations:
        fr:
          description: "veillent \xE0 ce que les droits d\u2019acc\xE8s soient modifi\xE9\
            s en cons\xE9quence en cas de cessation ou de changement d\u2019emploi;"
        es:
          description: "velar\xE1n por que los derechos de acceso se modifiquen en\
            \ consecuencia tras la terminaci\xF3n o el cambio de empleo;"
        cs:
          description: "zajist\xED, aby byla p\u0159\xEDstupov\xE1 pr\xE1va p\u0159\
            i ukon\u010Den\xED nebo zm\u011Bn\u011B pracovn\xEDho pom\u011Bru odpov\xED\
            daj\xEDc\xEDm zp\u016Fsobem upravena;"
        it:
          description: garantire che i diritti di accesso siano modificati di conseguenza
            in caso di cessazione o cambio di rapporto di lavoro;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.2.2.c
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.2.2
      ref_id: 11.2.2.c
      description: ensure that access to network and information systems is authorised
        by the relevant persons;
      translations:
        fr:
          description: "veillent \xE0 ce que l\u2019acc\xE8s aux r\xE9seaux et aux\
            \ syst\xE8mes d\u2019information soit autoris\xE9 par les personnes concern\xE9\
            es;"
        es:
          description: "velar\xE1n por que las personas pertinentes autoricen el acceso\
            \ a los sistemas de redes y de informaci\xF3n;"
        cs:
          description: "zajist\xED, aby p\u0159\xEDstup k s\xEDt\xEDm a informa\u010D\
            n\xEDm syst\xE9m\u016Fm byl autorizov\xE1n p\u0159\xEDslu\u0161n\xFDmi\
            \ osobami;"
        it:
          description: garantire che l'accesso alla rete e ai sistemi informativi
            sia autorizzato dai soggetti interessati;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.2.2.d
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.2.2
      ref_id: 11.2.2.d
      description: ensure that access rights appropriately address third-party access,
        such as visitors, suppliers and service providers, in particular by limiting
        access rights in scope and in duration;
      translations:
        fr:
          description: "veillent \xE0 ce que les droits d\u2019acc\xE8s couvrent ad\xE9\
            quatement l\u2019acc\xE8s des tiers, tels que les visiteurs, les fournisseurs\
            \ et les prestataires de services, notamment en limitant le champ d\u2019\
            application et la dur\xE9e des droits d\u2019acc\xE8s;"
        es:
          description: "velar\xE1n por que los derechos de acceso se encarguen debidamente\
            \ del acceso de terceros, como visitantes o proveedores y prestadores\
            \ de servicios, especialmente limitando los derechos de acceso en su alcance\
            \ y duraci\xF3n;"
        cs:
          description: "zajist\xED, aby p\u0159\xEDstupov\xE1 pr\xE1va vhodn\u011B\
            \ \u0159e\u0161ila p\u0159\xEDstup t\u0159et\xEDch stran, jako jsou n\xE1\
            v\u0161t\u011Bvn\xEDci, dodavatel\xE9 a poskytovatel\xE9 slu\u017Eeb,\
            \ zejm\xE9na omezen\xEDm rozsahu a doby trv\xE1n\xED p\u0159\xEDstupov\xFD\
            ch pr\xE1v;"
        it:
          description: garantire che i diritti di accesso si riferiscano in modo adeguato
            all'accesso di terzi, quali visitatori, fornitori e prestatori di servizi,
            in particolare limitando i diritti di accesso in termini di portata e
            durata;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.2.2.e
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.2.2
      ref_id: 11.2.2.e
      description: maintain a register of access rights granted;
      translations:
        fr:
          description: "tiennent un registre des droits d\u2019acc\xE8s accord\xE9\
            s;"
        es:
          description: "mantendr\xE1n un registro de los derechos de acceso concedidos;"
        cs:
          description: "vedou registr ud\u011Blen\xFDch p\u0159\xEDstupov\xFDch pr\xE1\
            v;"
        it:
          description: tenere un registro dei diritti di accesso concessi;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.2.2.f
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.2.2
      ref_id: 11.2.2.f
      description: apply logging to the management of access rights.
      translations:
        fr:
          description: "appliquent la journalisation \xE0 la gestion des droits d\u2019\
            acc\xE8s."
        es:
          description: "realizar\xE1n un registro de la gesti\xF3n de los derechos\
            \ de acceso."
        cs:
          description: "pou\u017E\xEDvaj\xED veden\xED protokol\u016F pro spr\xE1\
            vu p\u0159\xEDstupov\xFDch pr\xE1v."
        it:
          description: Applicare la registrazione alla gestione dei diritti di accesso.
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.2.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.2
      ref_id: 11.2.3
      description: The relevant entities shall review access rights at planned intervals
        and shall modify them based on organisational changes. The relevant entities
        shall document the results of the review including the necessary changes of
        access rights.
      annotation: "\u2022 Regularly review physical and logical access rights, taking\
        \ into account:\n    o users\u2019 access rights after termination or change\
        \ of employment;\n    o authorisations for privileged access rights. \n\u2022\
        \ Review and update the inventory of the authentication and authorization\
        \ systems regularly. \n\u2022 Perform access control reviews of assets to\
        \ verify that all privileges are authorised on a recurring schedule at least\
        \ annually.\n\n[TIPS]\n\n\u2022 Centralize access control for all assets through\
        \ a directory service or single sign on (SSO) provider, where supported. \n\
        \u2022 Implement a segregation of duties matrix and ensure that it is updated\
        \ dynamically by automating how changes are handled in response to role assignments\
        \ or task changes (e.g. integration with access control, IAM or enterprise\
        \ resource planning (ERP) systems)."
      typical_evidence: "\u2022 A central record (register or database) detailing\
        \ all granted access rights, including user names, roles, access levels and\
        \ dates of access changes. \n\u2022 Approved access request forms supporting\
        \ entries in the access rights register. \n\u2022 Periodic access reviews\
        \ meaning evidence of regular reviews of user access rights to ensure they\
        \ remain appropriate over time. \n\u2022 System logs showing all access rights\
        \ management activities (creation, modification and deletion). \n\u2022 Audit\
        \ trail logs demonstrating access rights management, including timestamps,\
        \ user IDs and actions performed. \n\u2022 Records of incidents related to\
        \ access rights management, including unauthorized access attempts and corrective\
        \ actions. \n\u2022 Reports from internal or external compliance audits verifying\
        \ alignment with the access control policy. \n\u2022 Physical inspection results\
        \ of access control systems and their use, if applicable. \n\u2022 Records\
        \ of reviews and updates showing that access rights are reviewed regularly\
        \ and updated as necessary.\n\n[TIPS]\n\n\u2022 Evidence of a centralized\
        \ directory service or SSO provider to manage access control, supported by\
        \ documentation, logs, audit reports and records. \n\u2022 Segregation of\
        \ duties matrix."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es r\xE9examinent les droits d\u2019\
            acc\xE8s \xE0 intervalles pr\xE9d\xE9finis et les modifient en fonction\
            \ des changements organisationnels. Les entit\xE9s concern\xE9es documentent\
            \ les r\xE9sultats du r\xE9examen, y compris les modifications n\xE9cessaires\
            \ des droits d\u2019acc\xE8s."
          annotation: "\u2022 Revoir r\xE9guli\xE8rement les droits d\u2019acc\xE8\
            s physiques et logiques, en tenant compte :\n    o les droits d\u2019\
            acc\xE8s des utilisateurs apr\xE8s la r\xE9siliation ou le changement\
            \ d\u2019emploi ;\n    o Autorisations pour les droits d\u2019acc\xE8\
            s privil\xE9gi\xE9s. \n\u2022 Examiner et mettre \xE0 jour r\xE9guli\xE8\
            rement l\u2019inventaire des syst\xE8mes d\u2019authentification et d\u2019\
            autorisation. \n\u2022 Effectuer des examens de contr\xF4le d\u2019acc\xE8\
            s des actifs pour v\xE9rifier que tous les privil\xE8ges sont autoris\xE9\
            s selon un calendrier r\xE9current, au moins une fois par an.\n\n[CONSEILS]\n\
            \n\u2022 Centralisez le contr\xF4le d\u2019acc\xE8s pour toutes les ressources\
            \ via un service d\u2019annuaire ou un fournisseur d\u2019authentification\
            \ unique (SSO), le cas \xE9ch\xE9ant. \n\u2022 Mettre en \u0153uvre une\
            \ matrice de s\xE9paration des t\xE2ches et s\u2019assurer qu\u2019elle\
            \ est mise \xE0 jour de mani\xE8re dynamique en automatisant la fa\xE7\
            on dont les modifications sont g\xE9r\xE9es en r\xE9ponse \xE0 l\u2019\
            attribution de r\xF4les ou aux modifications de t\xE2ches (par exemple,\
            \ l\u2019int\xE9gration avec les syst\xE8mes de contr\xF4le d\u2019acc\xE8\
            s, IAM ou de planification des ressources d\u2019entreprise (ERP))."
          typical_evidence: "\u2022 Un registre central (registre ou base de donn\xE9\
            es) d\xE9taillant tous les droits d\u2019acc\xE8s accord\xE9s, y compris\
            \ les noms d\u2019utilisateur, les r\xF4les, les niveaux d\u2019acc\xE8\
            s et les dates de changement d\u2019acc\xE8s. \n\u2022 Approbation des\
            \ formulaires de demande d\u2019acc\xE8s \xE0 l\u2019appui des inscriptions\
            \ au registre des droits d\u2019acc\xE8s. \n\u2022 Examens p\xE9riodiques\
            \ de l\u2019acc\xE8s, c\u2019est-\xE0-dire la preuve d\u2019examens r\xE9\
            guliers des droits d\u2019acc\xE8s des utilisateurs pour s\u2019assurer\
            \ qu\u2019ils restent appropri\xE9s dans le temps. \n\u2022 Journaux syst\xE8\
            me montrant toutes les activit\xE9s de gestion des droits d\u2019acc\xE8\
            s (cr\xE9ation, modification et suppression). \n\u2022 Journaux de piste\
            \ d\u2019audit d\xE9montrant la gestion des droits d\u2019acc\xE8s, y\
            \ compris les horodatages, les identifiants des utilisateurs et les actions\
            \ effectu\xE9es. \n\u2022 Enregistrements des incidents li\xE9s \xE0 la\
            \ gestion des droits d\u2019acc\xE8s, y compris les tentatives d\u2019\
            acc\xE8s non autoris\xE9s et les actions correctives. \n\u2022 Rapports\
            \ issus d\u2019audits de conformit\xE9 internes ou externes v\xE9rifiant\
            \ l\u2019alignement avec la politique de contr\xF4le d\u2019acc\xE8s.\
            \ \n\u2022 R\xE9sultats de l\u2019inspection physique des syst\xE8mes\
            \ de contr\xF4le d\u2019acc\xE8s et de leur utilisation, le cas \xE9ch\xE9\
            ant. \n\u2022 Des registres d\u2019examens et de mises \xE0 jour montrant\
            \ que les droits d\u2019acc\xE8s sont r\xE9examin\xE9s r\xE9guli\xE8rement\
            \ et mis \xE0 jour si n\xE9cessaire.\n\n[CONSEILS]\n\n\u2022 Preuve de\
            \ l\u2019existence d\u2019un service d\u2019annuaire centralis\xE9 ou\
            \ d\u2019un fournisseur SSO pour g\xE9rer le contr\xF4le d\u2019acc\xE8\
            s, \xE9tay\xE9e par de la documentation, des journaux, des rapports d\u2019\
            audit et des enregistrements. \n\u2022 Matrice de s\xE9paration des t\xE2\
            ches."
        es:
          description: "Las entidades pertinentes revisar\xE1n los derechos de acceso\
            \ a intervalos planificados y los modificar\xE1n seg\xFAn los cambios\
            \ organizativos. Las entidades pertinentes documentar\xE1n los resultados\
            \ de la revisi\xF3n e incluir\xE1n los cambios necesarios de los derechos\
            \ de acceso."
          annotation: "\u2022 Revisar peri\xF3dicamente los derechos de acceso f\xED\
            sicos y l\xF3gicos, teniendo en cuenta:\n    o los derechos de acceso\
            \ de los usuarios tras la rescisi\xF3n o el cambio de empleo;\n    o Autorizaciones\
            \ de derechos de acceso privilegiados. \n\u2022 Revisar y actualizar peri\xF3\
            dicamente el inventario de los sistemas de autenticaci\xF3n y autorizaci\xF3\
            n. \n\u2022 Realizar revisiones de control de acceso de los activos para\
            \ verificar que todos los privilegios est\xE9n autorizados de forma recurrente\
            \ al menos una vez al a\xF1o.\n\n[CONSEJOS]\n\n\u2022 Centralice el control\
            \ de acceso para todos los activos a trav\xE9s de un servicio de directorio\
            \ o un proveedor de inicio de sesi\xF3n \xFAnico (SSO), cuando sea compatible.\
            \ \n\u2022 Implementar una matriz de segregaci\xF3n de funciones y garantizar\
            \ que se actualice din\xE1micamente automatizando la forma en que se manejan\
            \ los cambios en respuesta a las asignaciones de roles o cambios de tareas\
            \ (por ejemplo, integraci\xF3n con sistemas de control de acceso, IAM\
            \ o planificaci\xF3n de recursos empresariales (ERP))."
          typical_evidence: "\u2022 Un registro central (registro o base de datos)\
            \ en el que se detallan todos los derechos de acceso concedidos, incluidos\
            \ los nombres de usuario, las funciones, los niveles de acceso y las fechas\
            \ de los cambios de acceso. \n\u2022 Formularios de solicitud de acceso\
            \ aprobados que respalden las inscripciones en el registro de derechos\
            \ de acceso. \n\u2022 Revisiones peri\xF3dicas de acceso, es decir, pruebas\
            \ de revisiones peri\xF3dicas de los derechos de acceso de los usuarios\
            \ para garantizar que sigan siendo adecuados a lo largo del tiempo. \n\
            \u2022 Registros del sistema que muestran todas las actividades de gesti\xF3\
            n de derechos de acceso (creaci\xF3n, modificaci\xF3n y eliminaci\xF3\
            n). \n\u2022 Registros de seguimiento de auditor\xEDa que demuestran la\
            \ gesti\xF3n de derechos de acceso, incluidas las marcas de tiempo, los\
            \ ID de usuario y las acciones realizadas. \n\u2022 Registros de incidentes\
            \ relacionados con la gesti\xF3n de derechos de acceso, incluidos intentos\
            \ de acceso no autorizados y acciones correctivas. \n\u2022 Informes de\
            \ auditor\xEDas de cumplimiento internas o externas que verifiquen la\
            \ alineaci\xF3n con la pol\xEDtica de control de acceso. \n\u2022 Resultados\
            \ de la inspecci\xF3n f\xEDsica de los sistemas de control de acceso y\
            \ su uso, si procede. \n\u2022 Registros de revisiones y actualizaciones\
            \ que muestren que los derechos de acceso se revisan peri\xF3dicamente\
            \ y se actualizan seg\xFAn sea necesario.\n\n[CONSEJOS]\n\n\u2022 Evidencia\
            \ de un servicio de directorio centralizado o proveedor de SSO para administrar\
            \ el control de acceso, respaldado por documentaci\xF3n, registros, informes\
            \ de auditor\xEDa y registros. \n\u2022 Matriz de segregaci\xF3n de funciones."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty v pl\xE1novan\xFDch intervalech\
            \ p\u0159ezkoum\xE1vaj\xED p\u0159\xEDstupov\xE1 pr\xE1va a upravuj\xED\
            \ je na z\xE1klad\u011B organiza\u010Dn\xEDch zm\u011Bn. P\u0159\xEDslu\u0161\
            n\xE9 subjekty zdokumentuj\xED v\xFDsledky p\u0159ezkumu v\u010Detn\u011B\
            \ nezbytn\xFDch zm\u011Bn p\u0159\xEDstupov\xFDch pr\xE1v."
          annotation: "\u2022 Pravideln\u011B kontrolujte fyzick\xE1 a logick\xE1\
            \ p\u0159\xEDstupov\xE1 pr\xE1va s ohledem na:\n    o p\u0159\xEDstupov\xE1\
            \ pr\xE1va u\u017Eivatel\u016F po skon\u010Den\xED pracovn\xEDho pom\u011B\
            ru nebo zm\u011Bn\u011B pracovn\xEDho pom\u011Bru;\n    o opr\xE1vn\u011B\
            n\xED k privilegovan\xFDm p\u0159\xEDstupov\xFDm pr\xE1v\u016Fm. \n\u2022\
            \ Pravideln\u011B kontrolujte a aktualizujte invent\xE1\u0159 autentiza\u010D\
            n\xEDch a autoriza\u010Dn\xEDch syst\xE9m\u016F. \n\u2022 Prov\xE1d\u011B\
            jte kontroly \u0159\xEDzen\xED p\u0159\xEDstupu k datov\xFDm zdroj\u016F\
            m a ov\u011B\u0159ujte, zda jsou v\u0161echna opr\xE1vn\u011Bn\xED autorizov\xE1\
            na podle opakuj\xEDc\xEDho se pl\xE1nu alespo\u0148 jednou ro\u010Dn\u011B\
            .\n\n[TIPY]\n\n\u2022 Centralizujte \u0159\xEDzen\xED p\u0159\xEDstupu\
            \ pro v\u0161echna aktiva prost\u0159ednictv\xEDm adres\xE1\u0159ov\xE9\
            \ slu\u017Eby nebo poskytovatele jednotn\xE9ho p\u0159ihla\u0161ov\xE1\
            n\xED (SSO), pokud je podporov\xE1no. \n\u2022 Implementujte matici odd\u011B\
            len\xED povinnost\xED a zajist\u011Bte, aby byla dynamicky aktualizov\xE1\
            na automatizac\xED zp\u016Fsobu zpracov\xE1n\xED zm\u011Bn v reakci na\
            \ p\u0159i\u0159azen\xED rol\xED nebo zm\u011Bny \xFAkol\u016F (nap\u0159\
            . integrace se syst\xE9my \u0159\xEDzen\xED p\u0159\xEDstupu, IAM nebo\
            \ pl\xE1nov\xE1n\xED podnikov\xFDch zdroj\u016F (ERP))."
          typical_evidence: "\u2022 Centr\xE1ln\xED z\xE1znam (registr nebo datab\xE1\
            ze) s podrobnostmi o v\u0161ech ud\u011Blen\xFDch p\u0159\xEDstupov\xFD\
            ch pr\xE1vech, v\u010Detn\u011B u\u017Eivatelsk\xFDch jmen, rol\xED, \xFA\
            rovn\xED p\u0159\xEDstupu a dat zm\u011Bn p\u0159\xEDstupu. \n\u2022 Schv\xE1\
            len\xE9 formul\xE1\u0159e \u017E\xE1dost\xED o p\u0159\xEDstup podporuj\xED\
            c\xED z\xE1pisy do rejst\u0159\xEDku p\u0159\xEDstupov\xFDch pr\xE1v.\
            \ \n\u2022 Pravideln\xE9 kontroly p\u0159\xEDstupu, co\u017E znamen\xE1\
            \ d\u016Fkaz o pravideln\xFDch kontrol\xE1ch p\u0159\xEDstupov\xFDch pr\xE1\
            v u\u017Eivatel\u016F, aby se zajistilo, \u017Ee z\u016Fstanou v pr\u016F\
            b\u011Bhu \u010Dasu vhodn\xE1. \n\u2022 Syst\xE9mov\xE9 logy zobrazuj\xED\
            c\xED v\u0161echny aktivity spr\xE1vy p\u0159\xEDstupov\xFDch pr\xE1v\
            \ (vytv\xE1\u0159en\xED, \xFApravy a maz\xE1n\xED). \n\u2022 Protokoly\
            \ auditn\xEDch stop demonstruj\xEDc\xED spr\xE1vu p\u0159\xEDstupov\xFD\
            ch pr\xE1v, v\u010Detn\u011B \u010Dasov\xFDch raz\xEDtek, ID u\u017Eivatel\u016F\
            \ a proveden\xFDch akc\xED. \n\u2022 Evidence incident\u016F souvisej\xED\
            c\xEDch se spr\xE1vou p\u0159\xEDstupov\xFDch pr\xE1v, v\u010Detn\u011B\
            \ neopr\xE1vn\u011Bn\xFDch pokus\u016F o p\u0159\xEDstup a n\xE1pravn\xFD\
            ch opat\u0159en\xED. \n\u2022 Zpr\xE1vy z intern\xEDch nebo extern\xED\
            ch audit\u016F dodr\u017Eov\xE1n\xED p\u0159edpis\u016F ov\u011B\u0159\
            uj\xEDc\xED soulad se z\xE1sadami kontroly p\u0159\xEDstupu. \n\u2022\
            \ V\xFDsledky fyzick\xE9 kontroly p\u0159\xEDstupov\xFDch syst\xE9m\u016F\
            \ a jejich pou\u017Eit\xED, pokud je to relevantn\xED. \n\u2022 Z\xE1\
            znamy o kontrol\xE1ch a aktualizac\xEDch, kter\xE9 ukazuj\xED, \u017E\
            e p\u0159\xEDstupov\xE1 pr\xE1va jsou pravideln\u011B kontrolov\xE1na\
            \ a podle pot\u0159eby aktualizov\xE1na.\n\n[TIPY]\n\n\u2022 D\u016Fkaz\
            \ o centralizovan\xE9m poskytovateli adres\xE1\u0159ov\xFDch slu\u017E\
            eb nebo SSO pro spr\xE1vu \u0159\xEDzen\xED p\u0159\xEDstupu, podpo\u0159\
            en\xFD dokumentac\xED, protokoly, zpr\xE1vami o auditu a z\xE1znamy. \n\
            \u2022 Matice segregace funkc\xED."
        it:
          description: I soggetti pertinenti riesaminano i diritti di accesso a intervalli
            pianificati e li modificano in base alle modifiche organizzative. I soggetti
            pertinenti documentano i risultati del riesame, comprese le necessarie
            modifiche dei diritti di accesso.
          annotation: "\u2022 Riesaminare regolarmente i diritti di accesso fisici\
            \ e logici, tenendo in considerazione:\n    o diritti di accesso degli\
            \ utenti dopo la cessazione o il cambio di rapporto di lavoro;\n    o\
            \ autorizzazioni per i diritti di accesso privilegiato. \n\u2022 Rivedere\
            \ e aggiornare regolarmente l'inventario dei sistemi di autenticazione\
            \ e autorizzazione. \n\u2022 Eseguire revisioni di controllo degli accessi\
            \ delle risorse per verificare che tutti i privilegi siano autorizzati\
            \ in base a una pianificazione ricorrente almeno una volta all'anno.\n\
            \n[CONSIGLI]\n\n\u2022 Centralizzare il controllo degli accessi per tutte\
            \ le risorse tramite un servizio di directory o un provider Single Sign-On\
            \ (SSO), se supportato. \n\u2022 Implementare una matrice di segregazione\
            \ dei compiti e garantire che venga aggiornata dinamicamente automatizzando\
            \ il modo in cui le modifiche vengono gestite in risposta alle assegnazioni\
            \ di ruoli o alle modifiche delle attivit\xE0 (ad es. integrazione con\
            \ sistemi di controllo degli accessi, IAM o pianificazione delle risorse\
            \ aziendali (ERP))."
          typical_evidence: "\u2022 Un record centrale (registro o database) che descrive\
            \ in dettaglio tutti i diritti di accesso concessi, inclusi nomi utente,\
            \ ruoli, livelli di accesso e date di modifica dell'accesso. \n\u2022\
            \ Moduli di richiesta di accesso approvati a supporto delle iscrizioni\
            \ nel registro dei diritti di accesso. \n\u2022 Revisioni periodiche degli\
            \ accessi, ovvero la prova di revisioni periodiche dei diritti di accesso\
            \ degli utenti per garantire che rimangano appropriati nel tempo. \n\u2022\
            \ Log di sistema che mostrano tutte le attivit\xE0 di gestione dei diritti\
            \ di accesso (creazione, modifica e cancellazione). \n\u2022 Registri\
            \ di audit trail che dimostrano la gestione dei diritti di accesso, inclusi\
            \ timestamp, ID utente e azioni eseguite. \n\u2022 Registrazioni di incidenti\
            \ relativi alla gestione dei diritti di accesso, inclusi tentativi di\
            \ accesso non autorizzati e azioni correttive. \n\u2022 Rapporti da audit\
            \ di conformit\xE0 interni o esterni che verificano l'allineamento con\
            \ la politica di controllo degli accessi. \n\u2022 Risultati dell'ispezione\
            \ fisica dei sistemi di controllo accessi e del loro utilizzo, se applicabile.\
            \ \n\u2022 Registrazioni di revisioni e aggiornamenti che dimostrino che\
            \ i diritti di accesso vengono rivisti regolarmente e aggiornati se necessario.\n\
            \n[CONSIGLI]\n\n\u2022 Prova di un servizio di directory centralizzato\
            \ o di un provider SSO per gestire il controllo degli accessi, supportato\
            \ da documentazione, registri, rapporti di audit e registri. \n\u2022\
            \ Matrice di segregazione dei compiti."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.3
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11
      ref_id: '11.3'
      name: Privileged accounts and system administration accounts
      translations:
        fr:
          name: "Comptes privil\xE9gi\xE9s et comptes d\u2019administration du syst\xE8\
            me"
        es:
          name: "Cuentas privilegiadas y cuentas de administraci\xF3n del sistema"
        cs:
          name: "Administr\xE1torsk\xE9 \xFA\u010Dty a \xFA\u010Dty pro spr\xE1vu\
            \ syst\xE9mu"
        it:
          name: Account con privilegi e account di amministrazione del sistema
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.3.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.3
      ref_id: 11.3.1
      description: The relevant entities shall maintain policies for management of
        privileged accounts and system administration accounts as part of the access
        control policy referred to in point 11.1.
      annotation: "\u2022 Allocate privileged access rights to users as needed and,\
        \ on an event-by-event basis in line with the access control policy referred\
        \ to in point 11.1 of the Annex to the regulation (that is, only to individuals\
        \ with the necessary authority to carry out activities that require privileged\
        \ access and based on the minimum requirement for their functional roles).\
        \ \n\u2022 Identify users who need privileged access  (91) to a network and\
        \ information system (e.g. operating systems, database management systems\
        \ and applications). This should include any privileged physical access to,\
        \ e.g. cryptographic codes, keys or devices and in line with point 13.3 of\
        \ the Annex to the regulation. \n\u2022 Where appropriate, maintain an authorization\
        \ process and a record of all allocated privileged access rights, consistent\
        \ with the process for granting and revoking access rights (Annex to the regulation,\
        \ point 11.2.2).\n\n(91) \u201CPrivileged access rights are access rights\
        \ provided to an identity, a role or a process that allows the performance\
        \ of activities that typical users or processes cannot perform. System administrator\
        \ roles typically require privileged access rights.\u201D ISO/IEC 27002, 8.2.\
        \ Privileged access rights."
      typical_evidence: "\u2022 Clear policy on privileged account usage and access\
        \ rules for privileged accounts. \n\u2022 List of users with privileged access\
        \ and what systems they can access. \n\u2022 Documented approval records for\
        \ granting privileged access. \n\u2022 Logs or records of access reviews and\
        \ revocations. \n\u2022 Role-based access matrix showing who needs what access."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es maintiennent des politiques de\
            \ gestion des comptes privil\xE9gi\xE9s et des comptes d\u2019administration\
            \ du syst\xE8me dans le cadre de la politique de contr\xF4le d\u2019acc\xE8\
            s vis\xE9e au point 11.1."
          annotation: "\u2022 Attribuez des droits d\u2019acc\xE8s privil\xE9gi\xE9\
            s aux utilisateurs en fonction des besoins et, \xE9v\xE9nement par \xE9\
            v\xE9nement, conform\xE9ment \xE0 la politique de contr\xF4le d\u2019\
            acc\xE8s vis\xE9e au point 11.1 de l\u2019annexe du r\xE8glement (c\u2019\
            est-\xE0-dire uniquement aux personnes disposant de l\u2019autorit\xE9\
            \ n\xE9cessaire pour mener \xE0 bien des activit\xE9s n\xE9cessitant un\
            \ acc\xE8s privil\xE9gi\xE9 et sur la base de l\u2019exigence minimale\
            \ pour leurs r\xF4les fonctionnels). \n\u2022 Identifier les utilisateurs\
            \ qui ont besoin d\u2019un acc\xE8s privil\xE9gi\xE9 (91) \xE0 un r\xE9\
            seau et \xE0 un syst\xE8me d\u2019information (par exemple, syst\xE8mes\
            \ d\u2019exploitation, syst\xE8mes de gestion de bases de donn\xE9es et\
            \ applications). Cela devrait inclure tout acc\xE8s physique privil\xE9\
            gi\xE9, par exemple \xE0 des codes, des cl\xE9s ou des dispositifs cryptographiques,\
            \ conform\xE9ment au point 13.3 de l\u2019annexe du r\xE8glement. \n\u2022\
            \ Le cas \xE9ch\xE9ant, tenir un processus d\u2019autorisation et un registre\
            \ de tous les droits d\u2019acc\xE8s privil\xE9gi\xE9s attribu\xE9s, conform\xE9\
            ment au processus d\u2019octroi et de r\xE9vocation des droits d\u2019\
            acc\xE8s (annexe du r\xE8glement, point 11.2.2).\n\n(91) \xAB Les droits\
            \ d\u2019acc\xE8s privil\xE9gi\xE9s sont des droits d\u2019acc\xE8s accord\xE9\
            s \xE0 une identit\xE9, \xE0 un r\xF4le ou \xE0 un processus qui permet\
            \ l\u2019ex\xE9cution d\u2019activit\xE9s que des utilisateurs ou des\
            \ processus typiques ne peuvent pas effectuer. Les r\xF4les d\u2019administrateur\
            \ syst\xE8me n\xE9cessitent g\xE9n\xE9ralement des droits d\u2019acc\xE8\
            s privil\xE9gi\xE9s. ISO/CEI 27002, 8.2. Droits d\u2019acc\xE8s privil\xE9\
            gi\xE9s."
          typical_evidence: "\u2022 Politique claire sur l\u2019utilisation des comptes\
            \ privil\xE9gi\xE9s et les r\xE8gles d\u2019acc\xE8s aux comptes privil\xE9\
            gi\xE9s. \n\u2022 Liste des utilisateurs disposant d\u2019un acc\xE8s\
            \ privil\xE9gi\xE9 et des syst\xE8mes auxquels ils peuvent acc\xE9der.\
            \ \n\u2022 Dossiers d\u2019approbation document\xE9s pour l\u2019octroi\
            \ d\u2019un acc\xE8s privil\xE9gi\xE9. \n\u2022 Journaux ou enregistrements\
            \ des r\xE9visions et des r\xE9vocations d\u2019acc\xE8s. \n\u2022 Matrice\
            \ d\u2019acc\xE8s bas\xE9e sur les r\xF4les indiquant qui a besoin de\
            \ quel acc\xE8s."
        es:
          description: "Las entidades pertinentes dispondr\xE1n de orientaciones para\
            \ la gesti\xF3n de cuentas privilegiadas y cuentas de administraci\xF3\
            n del sistema como parte de la pol\xEDtica de control de acceso contemplada\
            \ en el punto 11.1."
          annotation: "\u2022 Asignar derechos de acceso privilegiado a los usuarios\
            \ seg\xFAn sea necesario y, evento por evento, de acuerdo con la pol\xED\
            tica de control de acceso mencionada en el punto 11.1 del anexo del Reglamento\
            \ (es decir, solo a las personas con la autoridad necesaria para llevar\
            \ a cabo actividades que requieran acceso privilegiado y sobre la base\
            \ de los requisitos m\xEDnimos para sus roles funcionales). \n\u2022 Identificar\
            \ a los usuarios que necesitan acceso privilegiado (91) a una red y a\
            \ un sistema de informaci\xF3n (por ejemplo, sistemas operativos, sistemas\
            \ de gesti\xF3n de bases de datos y aplicaciones). Esto debe incluir cualquier\
            \ acceso f\xEDsico privilegiado a, por ejemplo, c\xF3digos criptogr\xE1\
            ficos, claves o dispositivos, y en consonancia con el punto 13.3 del anexo\
            \ del Reglamento. \n\u2022 En su caso, mantener un proceso de autorizaci\xF3\
            n y un registro de todos los derechos de acceso privilegiado asignados,\
            \ en consonancia con el proceso de concesi\xF3n y revocaci\xF3n de derechos\
            \ de acceso (anexo del Reglamento, punto 11.2.2).\n\n(91) \"Los derechos\
            \ de acceso privilegiado son derechos de acceso proporcionados a una identidad,\
            \ una funci\xF3n o un proceso que permite la realizaci\xF3n de actividades\
            \ que los usuarios o procesos t\xEDpicos no pueden realizar. Los roles\
            \ de administrador del sistema suelen requerir derechos de acceso privilegiados\"\
            . ISO/IEC 27002, 8.2. Derechos de acceso privilegiados."
          typical_evidence: "\u2022 Pol\xEDtica clara sobre el uso de cuentas con\
            \ privilegios y las reglas de acceso para las cuentas con privilegios.\
            \ \n\u2022 Listado de usuarios con acceso privilegiado y qu\xE9 sistemas\
            \ pueden acceder. \n\u2022 Registros de aprobaci\xF3n documentados para\
            \ otorgar acceso privilegiado. \n\u2022 Registros o registros de revisiones\
            \ y revocaciones de acceso. \n\u2022 Matriz de acceso basada en roles\
            \ que muestra qui\xE9n necesita qu\xE9 acceso."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty udr\u017Euj\xED politiky\
            \ pro spr\xE1vu administr\xE1torsk\xFDch \xFA\u010Dt\u016F a \xFA\u010D\
            t\u016F pro spr\xE1vu syst\xE9mu jako sou\u010D\xE1st politiky \u0159\xED\
            zen\xED p\u0159\xEDstupu uvedenou v bod\u011B 11.1."
          annotation: "\u2022 P\u0159id\u011Blovat privilegovan\xE1 p\u0159\xEDstupov\xE1\
            \ pr\xE1va u\u017Eivatel\u016Fm podle pot\u0159eby a na z\xE1klad\u011B\
            \ jednotliv\xFDch ud\xE1lost\xED v souladu s politikou kontroly p\u0159\
            \xEDstupu uvedenou v bod\u011B 11.1 p\u0159\xEDlohy na\u0159\xEDzen\xED\
            \ (tj. pouze osob\xE1m s nezbytn\xFDm opr\xE1vn\u011Bn\xEDm k prov\xE1\
            d\u011Bn\xED \u010Dinnost\xED, kter\xE9 vy\u017Eaduj\xED privilegovan\xFD\
            \ p\u0159\xEDstup a na z\xE1klad\u011B minim\xE1ln\xEDho po\u017Eadavku\
            \ na jejich funk\u010Dn\xED role). \n\u2022 Identifikovat u\u017Eivatele,\
            \ kte\u0159\xED pot\u0159ebuj\xED privilegovan\xFD p\u0159\xEDstup (91)\
            \ k s\xEDti a informa\u010Dn\xEDmu syst\xE9mu (nap\u0159. opera\u010D\
            n\xEDm syst\xE9m\u016Fm, syst\xE9m\u016Fm pro spr\xE1vu datab\xE1z\xED\
            \ a aplikac\xEDm). To by m\u011Blo zahrnovat jak\xFDkoli privilegovan\xFD\
            \ fyzick\xFD p\u0159\xEDstup nap\u0159. ke kryptografick\xFDm k\xF3d\u016F\
            m, kl\xED\u010D\u016Fm nebo za\u0159\xEDzen\xEDm a v souladu s bodem 13.3\
            \ p\u0159\xEDlohy na\u0159\xEDzen\xED. \n\u2022 Tam, kde je to vhodn\xE9\
            , v\xE9st autoriza\u010Dn\xED proces a evidenci v\u0161ech p\u0159id\u011B\
            len\xFDch privilegovan\xFDch p\u0159\xEDstupov\xFDch pr\xE1v v souladu\
            \ s postupem pro ud\u011Blov\xE1n\xED a odeb\xEDr\xE1n\xED p\u0159\xED\
            stupov\xFDch pr\xE1v (p\u0159\xEDloha na\u0159\xEDzen\xED, bod 11.2.2).\n\
            \nPrivilegovan\xE1 p\u0159\xEDstupov\xE1 pr\xE1va jsou p\u0159\xEDstupov\xE1\
            \ pr\xE1va poskytnut\xE1 identit\u011B, roli nebo procesu, kter\xE1 umo\u017E\
            \u0148uj\xED prov\xE1d\u011Bn\xED \u010Dinnost\xED, kter\xE9 b\u011B\u017E\
            n\xED u\u017Eivatel\xE9 nebo procesy nemohou prov\xE1d\u011Bt. Role spr\xE1\
            vce syst\xE9mu obvykle vy\u017Eaduj\xED privilegovan\xE1 p\u0159\xEDstupov\xE1\
            \ pr\xE1va.\" ISO/IEC 27002, 8.2. Privilegovan\xE1 p\u0159\xEDstupov\xE1\
            \ pr\xE1va."
          typical_evidence: "\u2022 Vyjasn\u011Bte z\xE1sady pou\u017E\xEDv\xE1n\xED\
            \ privilegovan\xFDch \xFA\u010Dt\u016F a pravidel p\u0159\xEDstupu pro\
            \ privilegovan\xE9 \xFA\u010Dty. \n\u2022 Seznam u\u017Eivatel\u016F s\
            \ privilegovan\xFDm p\u0159\xEDstupem a k jak\xFDm syst\xE9m\u016Fm maj\xED\
            \ p\u0159\xEDstup. \n\u2022 Zdokumentovan\xE9 z\xE1znamy o schv\xE1len\xED\
            \ pro ud\u011Blen\xED privilegovan\xE9ho p\u0159\xEDstupu. \n\u2022 Protokoly\
            \ nebo z\xE1znamy o kontrol\xE1ch a odvol\xE1n\xEDch p\u0159\xEDstup\u016F\
            . \n\u2022 Matice p\u0159\xEDstupu na z\xE1klad\u011B rol\xED zobrazuj\xED\
            c\xED, kdo pot\u0159ebuje jak\xFD p\u0159\xEDstup."
        it:
          description: I soggetti pertinenti devono mantenere politiche per la gestione
            degli account privilegiati e degli account di amministrazione del sistema
            nell'ambito della politica di controllo dell'accesso di cui al punto 11.1.
          annotation: "\u2022 Assegnare i diritti di accesso privilegiato agli utenti\
            \ in base alle necessit\xE0 e, evento per evento, in linea con la politica\
            \ di controllo degli accessi di cui al punto 11.1 dell'Allegato al regolamento\
            \ (ovvero, solo ai soggetti in possesso dell'autorit\xE0 necessaria per\
            \ svolgere attivit\xE0 che richiedono un accesso privilegiato e in base\
            \ al requisito minimo per i loro ruoli funzionali). \n\u2022 Identificare\
            \ gli utenti che necessitano di un accesso privilegiato (91) a una rete\
            \ e a un sistema informativo (ad esempio sistemi operativi, sistemi di\
            \ gestione di database e applicazioni). Ci\xF2 dovrebbe includere qualsiasi\
            \ accesso fisico privilegiato, ad esempio a codici crittografici, chiavi\
            \ o dispositivi, in linea con il punto 13.3 dell'allegato del regolamento.\
            \ \n\u2022 Se del caso, mantenere una procedura di autorizzazione e un\
            \ registro di tutti i diritti di accesso privilegiato assegnati, in linea\
            \ con la procedura di concessione e revoca dei diritti di accesso (allegato\
            \ al regolamento, punto 11.2.2).\n\n(91) \"I diritti di accesso privilegiato\
            \ sono diritti di accesso forniti a un'identit\xE0, a un ruolo o a un\
            \ processo che consente l'esecuzione di attivit\xE0 che gli utenti o i\
            \ processi tipici non possono eseguire. I ruoli di amministratore di sistema\
            \ richiedono in genere diritti di accesso con privilegi. ISO/IEC 27002,\
            \ 8.2. Diritti di accesso con privilegi."
          typical_evidence: "\u2022 Politiche chiare sull'utilizzo degli account privilegiati\
            \ e sulle regole di accesso per gli account privilegiati. \n\u2022 Elenco\
            \ degli utenti con accesso privilegiato e dei sistemi a cui possono accedere.\
            \ \n\u2022 Record di approvazione documentati per la concessione dell'accesso\
            \ con privilegi. \n\u2022 Registri o registrazioni di verifiche e revoche\
            \ di accesso. \n\u2022 Matrice di accesso basata sui ruoli che mostra\
            \ chi ha bisogno di quale accesso."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.3.2
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.3
      ref_id: 11.3.2
      description: 'The policies referred to in point 11.3.1. shall:'
      annotation: "\u2022 Introduce higher authentication requirements for privileged\
        \ access rights, such as re-authentication or authentication step-up before\
        \ using privileged access rights. \n\u2022 Define and implement expiry requirements\
        \ for privileged access rights, where appropriate. \n\u2022 In the absence\
        \ of a system that allows all uses to be attributed to an individual with\
        \ certainty, establish specific rules to avoid the use of generic administration\
        \ user IDs (e.g. \u2018root\u2019) and manage and protect the authentication\
        \ information of such identities. \n\u2022 Grant temporary privileged access\
        \ only for the time necessary to implement approved changes or activities\
        \ (e.g. for maintenance activities), rather than permanently granting privileged\
        \ access rights.\n    o Consider the frequency of system administration operations:\
        \ daily tasks (e.g. backups and email routing) versus weekly or monthly tasks\
        \ (e.g. reviewing memory and disk space). \n\u2022 Log all privileged access\
        \ for audit purposes; \n\u2022 Assign separate identities with privileged\
        \ access rights to individual users, rather than sharing or linking identities.\
        \ Group identities for easier management if needed. \n\u2022 Use identities\
        \ with privileged access rights exclusively for administrative tasks, not\
        \ for day-to-day general tasks such as checking email or accessing the web.\
        \ Where feasible (92), separate privileged identities should be assigned for\
        \ administrative tasks. \n\u2022 Ensure users are aware of their privileged\
        \ access rights or when they are in privileged access mode, for example using\
        \ specific user identities, user interface settings or equipment.\n\n(92)\
        \ In environments such as Microsoft 365 where enforcing separate identities\
        \ may conflict with Conditional Access, device compliance or session controls,\
        \ privileged users may use a single identity provided that some additional\
        \ compensating measures are in place e.g. MFA, just-in-time access, session\
        \ logging, context-aware controls (e.g. location, device compliance, app enforcement)\
        \ etc."
      typical_evidence: "\u2022 Measures for privileged access control and monitoring\
        \ for privileged accounts, including granting and revoking privileged access\
        \ rights. \n\u2022 Access assignment records showing how access rights are\
        \ initially granted, based on job roles and responsibilities. \n\u2022 Clear\
        \ definitions of user roles and the corresponding access rights associated\
        \ with each role. \n\u2022 Audit trail and monitoring logs that capture the\
        \ use of access rights, including any unauthorized access attempts and actions\
        \ taken in response."
      translations:
        fr:
          description: "Les politiques vis\xE9es au point 11.3.1:"
          annotation: "\u2022 Introduire des exigences d\u2019authentification plus\
            \ strictes pour les droits d\u2019acc\xE8s privil\xE9gi\xE9s, telles que\
            \ la r\xE9authentification ou l\u2019intensification de l\u2019authentification\
            \ avant d\u2019utiliser les droits d\u2019acc\xE8s privil\xE9gi\xE9s.\
            \ \n\u2022 D\xE9finir et mettre en \u0153uvre des exigences d\u2019expiration\
            \ pour les droits d\u2019acc\xE8s privil\xE9gi\xE9s, le cas \xE9ch\xE9\
            ant. \n\u2022 En l\u2019absence d\u2019un syst\xE8me permettant d\u2019\
            attribuer avec certitude toutes les utilisations \xE0 un individu, \xE9\
            tablir des r\xE8gles sp\xE9cifiques pour \xE9viter l\u2019utilisation\
            \ d\u2019identifiants d\u2019utilisateur d\u2019administration g\xE9n\xE9\
            riques (par exemple, \xAB root \xBB) et g\xE9rer et prot\xE9ger les informations\
            \ d\u2019authentification de ces identit\xE9s. \n\u2022 N\u2019accorder\
            \ un acc\xE8s privil\xE9gi\xE9 temporaire que pour le temps n\xE9cessaire\
            \ \xE0 la mise en \u0153uvre des modifications ou des activit\xE9s approuv\xE9\
            es (par exemple, pour les activit\xE9s de maintenance), plut\xF4t que\
            \ d\u2019accorder de mani\xE8re permanente des droits d\u2019acc\xE8s\
            \ privil\xE9gi\xE9s.\n    o Tenez compte de la fr\xE9quence des op\xE9\
            rations d\u2019administration du syst\xE8me : t\xE2ches quotidiennes (par\
            \ exemple, les sauvegardes et le routage des e-mails) par rapport aux\
            \ t\xE2ches hebdomadaires ou mensuelles (par exemple, l\u2019examen de\
            \ la m\xE9moire et de l\u2019espace disque). \n\u2022 Enregistrer tous\
            \ les acc\xE8s privil\xE9gi\xE9s \xE0 des fins d\u2019audit ; \n\u2022\
            \ Attribuez des identit\xE9s distinctes avec des droits d\u2019acc\xE8\
            s privil\xE9gi\xE9s \xE0 des utilisateurs individuels, plut\xF4t que de\
            \ partager ou de lier des identit\xE9s. Regroupez les identit\xE9s pour\
            \ faciliter la gestion si n\xE9cessaire. \n\u2022 Utilisez des identit\xE9\
            s avec des droits d\u2019acc\xE8s privil\xE9gi\xE9s exclusivement pour\
            \ les t\xE2ches administratives, et non pour les t\xE2ches g\xE9n\xE9\
            rales quotidiennes telles que la v\xE9rification des e-mails ou l\u2019\
            acc\xE8s au Web. Dans la mesure du possible (92), des identit\xE9s privil\xE9\
            gi\xE9es distinctes devraient \xEAtre attribu\xE9es aux t\xE2ches administratives.\
            \ \n\u2022 S\u2019assurer que les utilisateurs sont conscients de leurs\
            \ droits d\u2019acc\xE8s privil\xE9gi\xE9s ou lorsqu\u2019ils sont en\
            \ mode d\u2019acc\xE8s privil\xE9gi\xE9, par exemple en utilisant des\
            \ identit\xE9s d\u2019utilisateur sp\xE9cifiques, des param\xE8tres d\u2019\
            interface utilisateur ou des \xE9quipements.\n\n(92) Dans des environnements\
            \ tels que Microsoft 365, o\xF9 l\u2019application d\u2019identit\xE9\
            s distinctes peut entrer en conflit avec l\u2019acc\xE8s conditionnel,\
            \ la conformit\xE9 des appareils ou les contr\xF4les de session, les utilisateurs\
            \ privil\xE9gi\xE9s peuvent utiliser une seule identit\xE9 \xE0 condition\
            \ que certaines mesures compensatoires suppl\xE9mentaires soient en place,\
            \ par exemple l\u2019authentification multifacteur, l\u2019acc\xE8s juste-\xE0\
            -temps, la journalisation des sessions, les contr\xF4les contextuels (par\
            \ exemple, la localisation, la conformit\xE9 des appareils, l\u2019application\
            \ des applications), etc."
          typical_evidence: "\u2022 Mesures de contr\xF4le et de surveillance des\
            \ acc\xE8s privil\xE9gi\xE9s, y compris l\u2019octroi et la r\xE9vocation\
            \ des droits d\u2019acc\xE8s privil\xE9gi\xE9s. \n\u2022 Dossiers d\u2019\
            affectation d\u2019acc\xE8s montrant comment les droits d\u2019acc\xE8\
            s sont initialement accord\xE9s, en fonction des r\xF4les et des responsabilit\xE9\
            s du poste. \n\u2022 Des d\xE9finitions claires des r\xF4les d\u2019utilisateur\
            \ et des droits d\u2019acc\xE8s correspondants associ\xE9s \xE0 chaque\
            \ r\xF4le. \n\u2022 Piste d\u2019audit et journaux de surveillance qui\
            \ enregistrent l\u2019utilisation des droits d\u2019acc\xE8s, y compris\
            \ les tentatives d\u2019acc\xE8s non autoris\xE9es et les actions prises\
            \ en r\xE9ponse."
        es:
          description: "La pol\xEDtica a que hace referencia el punto 11.3.1 se encargar\xE1\
            \ de lo siguiente:"
          annotation: "\u2022 Introducir requisitos de autenticaci\xF3n m\xE1s estrictos\
            \ para los derechos de acceso con privilegios, como la reautenticaci\xF3\
            n o el aumento de la autenticaci\xF3n antes de utilizar los derechos de\
            \ acceso con privilegios. \n\u2022 Definir e implementar los requisitos\
            \ de vencimiento de los derechos de acceso privilegiado, cuando corresponda.\
            \ \n\u2022 En ausencia de un sistema que permita atribuir con certeza\
            \ todos los usos a un individuo, establecer reglas espec\xEDficas para\
            \ evitar el uso de identificadores de usuario de administraci\xF3n gen\xE9\
            ricos (por ejemplo, 'root') y administrar y proteger la informaci\xF3\
            n de autenticaci\xF3n de dichas identidades. \n\u2022 Conceder acceso\
            \ privilegiado temporal solo durante el tiempo necesario para implementar\
            \ los cambios o actividades aprobados (por ejemplo, para las actividades\
            \ de mantenimiento), en lugar de conceder derechos de acceso privilegiado\
            \ de forma permanente.\n    o Tenga en cuenta la frecuencia de las operaciones\
            \ de administraci\xF3n del sistema: tareas diarias (por ejemplo, copias\
            \ de seguridad y enrutamiento de correo electr\xF3nico) frente a tareas\
            \ semanales o mensuales (por ejemplo, revisi\xF3n de memoria y espacio\
            \ en disco). \n\u2022 Registre todos los accesos privilegiados con fines\
            \ de auditor\xEDa; \n\u2022 Asigne identidades separadas con derechos\
            \ de acceso privilegiados a usuarios individuales, en lugar de compartir\
            \ o vincular identidades. Identidades de grupo para facilitar la administraci\xF3\
            n si es necesario. \n\u2022 Utilice identidades con derechos de acceso\
            \ privilegiados exclusivamente para tareas administrativas, no para tareas\
            \ generales del d\xEDa a d\xEDa, como consultar el correo electr\xF3nico\
            \ o acceder a la web. Cuando sea factible (92), deben asignarse identidades\
            \ privilegiadas separadas para las tareas administrativas. \n\u2022 Aseg\xFA\
            rese de que los usuarios conozcan sus derechos de acceso privilegiado\
            \ o cuando est\xE9n en modo de acceso privilegiado, por ejemplo, utilizando\
            \ identidades de usuario espec\xEDficas, configuraciones de interfaz de\
            \ usuario o equipos.\n\n(92) En entornos como el de Microsoft 365, en\
            \ los que la aplicaci\xF3n de identidades independientes puede entrar\
            \ en conflicto con el acceso condicional, la conformidad de dispositivos\
            \ o los controles de sesi\xF3n, los usuarios privilegiados pueden utilizar\
            \ una \xFAnica identidad siempre que se apaguen algunas medidas de compensaci\xF3\
            n adicionales, por ejemplo, MFA, acceso justo a tiempo, registro de sesiones,\
            \ controles contextuales (por ejemplo, ubicaci\xF3n, conformidad del dispositivo,\
            \ aplicaci\xF3n de aplicaciones), etc."
          typical_evidence: "\u2022 Medidas para el control de acceso privilegiado\
            \ y la supervisi\xF3n de cuentas privilegiadas, incluida la concesi\xF3\
            n y revocaci\xF3n de derechos de acceso privilegiado. \n\u2022 Registros\
            \ de asignaci\xF3n de acceso que muestran c\xF3mo se otorgan inicialmente\
            \ los derechos de acceso, en funci\xF3n de los roles y responsabilidades\
            \ del trabajo. \n\u2022 Definiciones claras de los roles de usuario y\
            \ los derechos de acceso correspondientes asociados con cada rol. \n\u2022\
            \ Registros de seguimiento de auditor\xEDa y monitoreo que capturan el\
            \ uso de los derechos de acceso, incluidos los intentos de acceso no autorizados\
            \ y las acciones tomadas en respuesta."
        cs:
          description: "Politiky uveden\xE9 v bod\u011B 11.3.1:"
          annotation: "\u2022 Zav\xE9st vy\u0161\u0161\xED po\u017Eadavky na autentizaci\
            \ privilegovan\xFDch p\u0159\xEDstupov\xFDch pr\xE1v, jako je op\u011B\
            tovn\xE1 autentizace nebo zv\xFD\u0161en\xED autentizace p\u0159ed pou\u017E\
            it\xEDm privilegovan\xFDch p\u0159\xEDstupov\xFDch pr\xE1v. \n\u2022 Definujte\
            \ a implementujte po\u017Eadavky na vypr\u0161en\xED platnosti privilegovan\xFD\
            ch p\u0159\xEDstupov\xFDch pr\xE1v, kde je to vhodn\xE9. \n\u2022 Pokud\
            \ neexistuje syst\xE9m, kter\xFD by umo\u017E\u0148oval s jistotou p\u0159\
            ipsat v\u0161echna pou\u017Eit\xED jednotlivci, stanovte konkr\xE9tn\xED\
            \ pravidla, abyste se vyhnuli pou\u017E\xEDv\xE1n\xED obecn\xFDch ID u\u017E\
            ivatel\u016F pro spr\xE1vu (nap\u0159. \"root\") a spravujte a chra\u0148\
            te autentiza\u010Dn\xED informace t\u011Bchto identit. \n\u2022 Ud\u011B\
            lovat do\u010Dasn\xFD privilegovan\xFD p\u0159\xEDstup pouze na dobu nezbytnou\
            \ k implementaci schv\xE1len\xFDch zm\u011Bn nebo \u010Dinnost\xED (nap\u0159\
            . pro \u010Dinnosti \xFAdr\u017Eby), sp\xED\u0161e ne\u017E trvale ud\u011B\
            lovat privilegovan\xE1 p\u0159\xEDstupov\xE1 pr\xE1va.\n    o Zva\u017E\
            te frekvenci operac\xED spr\xE1vy syst\xE9mu: denn\xED \xFAkoly (nap\u0159\
            . z\xE1lohov\xE1n\xED a sm\u011Brov\xE1n\xED e-mail\u016F) versus t\xFD\
            denn\xED nebo m\u011Bs\xED\u010Dn\xED \xFAlohy (nap\u0159. kontrola pam\u011B\
            ti a m\xEDsta na disku). \n\u2022 Protokolovat ve\u0161ker\xFD privilegovan\xFD\
            \ p\u0159\xEDstup pro \xFA\u010Dely auditu; \n\u2022 P\u0159i\u0159a\u010F\
            te samostatn\xE9 identity s privilegovan\xFDmi p\u0159\xEDstupov\xFDmi\
            \ pr\xE1vy jednotliv\xFDm u\u017Eivatel\u016Fm, m\xEDsto abyste sd\xED\
            leli nebo propojovali identity. Seskupte identity pro snadn\u011Bj\u0161\
            \xED spr\xE1vu v p\u0159\xEDpad\u011B pot\u0159eby. \n\u2022 Identity\
            \ s privilegovan\xFDmi p\u0159\xEDstupov\xFDmi pr\xE1vy pou\u017E\xED\
            vejte v\xFDhradn\u011B pro administrativn\xED \xFAkoly, nikoli pro ka\u017E\
            dodenn\xED obecn\xE9 \xFAkoly, jako je kontrola e-mail\u016F nebo p\u0159\
            \xEDstup na web. Je-li to provediteln\xE9 (92), m\u011Bly by b\xFDt pro\
            \ administrativn\xED \xFAkoly p\u0159id\u011Bleny samostatn\xE9 privilegovan\xE9\
            \ identity. \n\u2022 Zajist\u011Bte, aby si u\u017Eivatel\xE9 byli v\u011B\
            domi sv\xFDch privilegovan\xFDch p\u0159\xEDstupov\xFDch pr\xE1v nebo\
            \ kdy\u017E jsou v re\u017Eimu privilegovan\xE9ho p\u0159\xEDstupu, nap\u0159\
            \xEDklad pomoc\xED specifick\xFDch u\u017Eivatelsk\xFDch identit, nastaven\xED\
            \ u\u017Eivatelsk\xE9ho rozhran\xED nebo za\u0159\xEDzen\xED.\n\n(92)\
            \ V prost\u0159ed\xEDch, jako je Microsoft 365, kde vynucov\xE1n\xED samostatn\xFD\
            ch identit m\u016F\u017Ee b\xFDt v konfliktu s podm\xEDn\u011Bn\xFDm p\u0159\
            \xEDstupem, souladem za\u0159\xEDzen\xED nebo \u0159\xEDzen\xEDm relac\xED\
            , mohou privilegovan\xED u\u017Eivatel\xE9 pou\u017E\xEDvat jednu identitu\
            \ za p\u0159edpokladu, \u017Ee jsou zavedena n\u011Bkter\xE1 dal\u0161\
            \xED kompenza\u010Dn\xED opat\u0159en\xED, nap\u0159. MFA, p\u0159\xED\
            stup just-in-time, protokolov\xE1n\xED relace, kontextov\xE9 ovl\xE1dac\xED\
            \ prvky (nap\u0159. um\xEDst\u011Bn\xED, dodr\u017Eov\xE1n\xED p\u0159\
            edpis\u016F za\u0159\xEDzen\xED, vynucov\xE1n\xED aplikac\xED) atd."
          typical_evidence: "\u2022 Opat\u0159en\xED pro \u0159\xEDzen\xED a monitorov\xE1\
            n\xED privilegovan\xE9ho p\u0159\xEDstupu pro privilegovan\xE9 \xFA\u010D\
            ty, v\u010Detn\u011B ud\u011Blov\xE1n\xED a odeb\xEDr\xE1n\xED privilegovan\xFD\
            ch p\u0159\xEDstupov\xFDch pr\xE1v. \n\u2022 Z\xE1znamy o p\u0159i\u0159\
            azen\xED p\u0159\xEDstupu ukazuj\xEDc\xED, jak jsou p\u0159\xEDstupov\xE1\
            \ pr\xE1va zpo\u010D\xE1tku ud\u011Blov\xE1na na z\xE1klad\u011B pracovn\xED\
            ch rol\xED a odpov\u011Bdnost\xED. \n\u2022 Jasn\xE9 definice u\u017E\
            ivatelsk\xFDch rol\xED a odpov\xEDdaj\xEDc\xEDch p\u0159\xEDstupov\xFD\
            ch pr\xE1v spojen\xFDch s ka\u017Edou rol\xED. \n\u2022 Auditn\xED stopa\
            \ a monitorovac\xED protokoly, kter\xE9 zachycuj\xED pou\u017Eit\xED p\u0159\
            \xEDstupov\xFDch pr\xE1v, v\u010Detn\u011B jak\xFDchkoli neopr\xE1vn\u011B\
            n\xFDch pokus\u016F o p\u0159\xEDstup a akc\xED proveden\xFDch v reakci\
            \ na n\u011B."
        it:
          description: 'Le politiche di cui al punto 11.3.1. dovere:'
          annotation: "\u2022 Introdurre requisiti di autenticazione pi\xF9 elevati\
            \ per i diritti di accesso con privilegi, come la riautenticazione o l'aumento\
            \ dell'autenticazione prima di utilizzare i diritti di accesso con privilegi.\
            \ \n\u2022 Definire e implementare i requisiti di scadenza per i diritti\
            \ di accesso privilegiato, ove appropriato. \n\u2022 In assenza di un\
            \ sistema che consenta con certezza di attribuire tutti gli utilizzi ad\
            \ un individuo, stabilire regole specifiche per evitare l'uso di ID utente\
            \ di amministrazione generici (es. 'root') e gestire e proteggere le informazioni\
            \ di autenticazione di tali identit\xE0. \n\u2022 Concedere l'accesso\
            \ privilegiato temporaneo solo per il tempo necessario a implementare\
            \ modifiche o attivit\xE0 approvate (ad esempio per attivit\xE0 di manutenzione),\
            \ piuttosto che concedere in modo permanente diritti di accesso privilegiato.\n\
            \    o Considerare la frequenza delle operazioni di amministrazione del\
            \ sistema: attivit\xE0 quotidiane (ad es. backup e routing delle e-mail)\
            \ rispetto a attivit\xE0 settimanali o mensili (ad es. revisione della\
            \ memoria e dello spazio su disco). \n\u2022 Registrare tutti gli accessi\
            \ privilegiati a scopo di controllo; \n\u2022 Assegna identit\xE0 separate\
            \ con diritti di accesso privilegiato ai singoli utenti, anzich\xE9 condividere\
            \ o collegare le identit\xE0. Identit\xE0 di gruppo per una gestione pi\xF9\
            \ semplice, se necessario. \n\u2022 Utilizzare le identit\xE0 con diritti\
            \ di accesso privilegiati esclusivamente per attivit\xE0 amministrative,\
            \ non per attivit\xE0 generali quotidiane come il controllo della posta\
            \ elettronica o l'accesso al Web. Ove possibile (92), dovrebbero essere\
            \ assegnate identit\xE0 con privilegi separate per le attivit\xE0 amministrative.\
            \ \n\u2022 Assicurarsi che gli utenti siano a conoscenza dei loro diritti\
            \ di accesso privilegiato o quando si trovano in modalit\xE0 di accesso\
            \ privilegiato, ad esempio utilizzando identit\xE0 utente specifiche,\
            \ impostazioni dell'interfaccia utente o apparecchiature.\n\n(92) In ambienti\
            \ come Microsoft 365, in cui l'applicazione di identit\xE0 separate pu\xF2\
            \ entrare in conflitto con l'accesso condizionale, la conformit\xE0 dei\
            \ dispositivi o i controlli delle sessioni, gli utenti privilegiati possono\
            \ utilizzare un'unica identit\xE0 a condizione che siano in atto alcune\
            \ misure di compensazione aggiuntive, ad esempio l'autenticazione a pi\xF9\
            \ fattori, l'accesso just-in-time, la registrazione delle sessioni, i\
            \ controlli sensibili al contesto (ad esempio la posizione, la conformit\xE0\
            \ dei dispositivi, l'applicazione delle app) ecc."
          typical_evidence: "\u2022 Misure per il controllo e il monitoraggio degli\
            \ accessi privilegiati, compresa la concessione e la revoca dei diritti\
            \ di accesso privilegiato. \n\u2022 Accedere ai record di assegnazione\
            \ che mostrano come vengono inizialmente concessi i diritti di accesso,\
            \ in base ai ruoli e alle responsabilit\xE0 lavorative. \n\u2022 Definizioni\
            \ chiare dei ruoli utente e dei corrispondenti diritti di accesso associati\
            \ a ciascun ruolo. \n\u2022 Audit trail e registri di monitoraggio che\
            \ acquisiscono l'uso dei diritti di accesso, inclusi eventuali tentativi\
            \ di accesso non autorizzati e azioni intraprese in risposta."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.3.2.a
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.3.2
      ref_id: 11.3.2.a
      description: establish strong identification, authentication such as multi-factor
        authentication, and authorisation procedures for privileged accounts and system
        administration accounts;
      translations:
        fr:
          description: "\xE9tablissent des proc\xE9dures fortes d\u2019identification,\
            \ d\u2019authentification (telles que l\u2019authentification multifactorielle)\
            \ et d\u2019autorisation pour les comptes privil\xE9gi\xE9s et les comptes\
            \ d\u2019administration du syst\xE8me;"
        es:
          description: "establecer procedimientos s\xF3lidos de identificaci\xF3n\
            \ y autenticaci\xF3n, como la autenticaci\xF3n de m\xFAltiples factores,\
            \ y procedimientos de autorizaci\xF3n para cuentas privilegiadas y cuentas\
            \ de administraci\xF3n del sistema;"
        cs:
          description: "zav\xE1d\u011Bj\xED silnou identifikaci, autentizaci, jako\
            \ je nap\u0159. v\xEDcefaktorov\xE1 autentizace, a postupy schvalov\xE1\
            n\xED pro administr\xE1torsk\xE9 \xFA\u010Dty a \xFA\u010Dty pro spr\xE1\
            vu syst\xE9mu;"
        it:
          description: "stabilire procedure di identificazione forte, autenticazione,\
            \ come l'autenticazione a pi\xF9 fattori, e procedure di autorizzazione\
            \ per gli account privilegiati e gli account di amministrazione del sistema;"
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.3.2.b
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.3.2
      ref_id: 11.3.2.b
      description: set up specific accounts to be used for system administration operations
        exclusively, such as installation, configuration, management or maintenance;
      translations:
        fr:
          description: "cr\xE9ent des comptes sp\xE9cifiques \xE0 utiliser exclusivement\
            \ pour les op\xE9rations d\u2019administration du syst\xE8me, telles que\
            \ l\u2019installation, la configuration, la gestion ou la maintenance;"
        es:
          description: "crear cuentas espec\xEDficas que vayan a utilizarse exclusivamente\
            \ para operaciones de administraci\xF3n del sistema, tales como la instalaci\xF3\
            n, la configuraci\xF3n, la gesti\xF3n o el mantenimiento;"
        cs:
          description: "z\u0159izuj\xED specifick\xE9 \xFA\u010Dty, kter\xE9 se budou\
            \ pou\u017E\xEDvat v\xFDhradn\u011B pro operace spr\xE1vy syst\xE9mu,\
            \ jako je instalace, konfigurace, spr\xE1va nebo \xFAdr\u017Eba;"
        it:
          description: impostare account specifici da utilizzare esclusivamente per
            le operazioni di amministrazione del sistema, quali l'installazione, la
            configurazione, la gestione o la manutenzione;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.3.2.c
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.3.2
      ref_id: 11.3.2.c
      description: individualise and restrict system administration privileges to
        the highest extent possible,
      translations:
        fr:
          description: "individualisent et restreignent autant que possible les privil\xE8\
            ges d\u2019administration du syst\xE8me,"
        es:
          description: "personalizar y restringir en la mayor medida posible los privilegios\
            \ de la administraci\xF3n del sistema;"
        cs:
          description: "v maxim\xE1ln\xED mo\u017En\xE9 m\xED\u0159e individualizuj\xED\
            \ a omezuj\xED opr\xE1vn\u011Bn\xED pro spr\xE1vu syst\xE9mu;"
        it:
          description: "individualizzare e limitare il pi\xF9 possibile i privilegi\
            \ di amministrazione del sistema,"
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.3.2.d
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.3.2
      ref_id: 11.3.2.d
      description: provide that system administration accounts are only used to connect
        to system administration systems.
      translations:
        fr:
          description: "pr\xE9voient que les comptes d\u2019administration du syst\xE8\
            me ne soient utilis\xE9s que pour se connecter aux syst\xE8mes d\u2019\
            administration du syst\xE8me."
        es:
          description: "prever que las cuentas de administraci\xF3n del sistema solo\
            \ se utilicen para conectarse a los sistemas de administraci\xF3n correspondientes."
        cs:
          description: "zajist\xED, aby se \xFA\u010Dty pro spr\xE1vu syst\xE9mu pou\u017E\
            \xEDvaly pouze pro p\u0159ipojen\xED k syst\xE9m\u016Fm pro spr\xE1vu\
            \ syst\xE9mu."
        it:
          description: Specificare che gli account di amministrazione del sistema
            vengano utilizzati solo per connettersi ai sistemi di amministrazione
            del sistema.
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.3.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.3
      ref_id: 11.3.3
      description: The relevant entities shall review access rights of privileged
        accounts and system administration accounts at planned intervals and be modified
        based on organisational changes, and shall document the results of the review,
        including the necessary changes of access rights.
      annotation: "\u2022 Verify whether the duties, roles, responsibilities and competences\
        \ of system administrators still qualify them for working with privileged\
        \ access rights."
      typical_evidence: "\u2022 Records of reviews and updates showing that access\
        \ rights are reviewed regularly and updated as necessary. \n\u2022 Periodic\
        \ access reviews meaning evidence of regular reviews of user access rights\
        \ to ensure they remain appropriate over time. \n\u2022 Change management\
        \ logs of changes to access rights, reflecting any alterations due to role\
        \ changes or termination of employment. \n\u2022 Compliance audits with reports\
        \ from internal or external audits verifying that the management of access\
        \ rights aligns with the policy and regulatory requirements."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es r\xE9examinent les droits d\u2019\
            acc\xE8s des comptes privil\xE9gi\xE9s et des comptes d\u2019administration\
            \ du syst\xE8me \xE0 intervalles pr\xE9d\xE9finis et les modifient en\
            \ fonction des changements organisationnels, et elles documentent les\
            \ r\xE9sultats du r\xE9examen, y compris les modifications n\xE9cessaires\
            \ des droits d\u2019acc\xE8s."
          annotation: "\u2022 V\xE9rifier si les devoirs, r\xF4les, responsabilit\xE9\
            s et comp\xE9tences des administrateurs syst\xE8me les qualifient toujours\
            \ pour travailler avec des droits d\u2019acc\xE8s privil\xE9gi\xE9s."
          typical_evidence: "\u2022 Des registres d\u2019examens et de mises \xE0\
            \ jour montrant que les droits d\u2019acc\xE8s sont r\xE9examin\xE9s r\xE9\
            guli\xE8rement et mis \xE0 jour si n\xE9cessaire. \n\u2022 Examens p\xE9\
            riodiques de l\u2019acc\xE8s, c\u2019est-\xE0-dire la preuve d\u2019examens\
            \ r\xE9guliers des droits d\u2019acc\xE8s des utilisateurs pour s\u2019\
            assurer qu\u2019ils restent appropri\xE9s dans le temps. \n\u2022 Registres\
            \ de gestion des modifications des droits d\u2019acc\xE8s, refl\xE9tant\
            \ toute modification due \xE0 des changements de r\xF4le ou \xE0 la cessation\
            \ d\u2019emploi. \n\u2022 Audits de conformit\xE9 avec rapports d\u2019\
            audits internes ou externes v\xE9rifiant que la gestion des droits d\u2019\
            acc\xE8s est conforme \xE0 la politique et aux exigences r\xE9glementaires."
        es:
          description: "Las entidades pertinentes revisar\xE1n los derechos de acceso\
            \ de las cuentas privilegiadas y las cuentas de administraci\xF3n del\
            \ sistema a intervalos planificados, los modificar\xE1n teniendo en cuenta\
            \ los cambios organizativos y documentar\xE1n los resultados de la revisi\xF3\
            n, incluidos los cambios necesarios en los derechos de acceso."
          annotation: "\u2022 Verificar si los deberes, roles, responsabilidades y\
            \ competencias de los administradores de sistemas a\xFAn los califican\
            \ para trabajar con derechos de acceso privilegiados."
          typical_evidence: "\u2022 Registros de revisiones y actualizaciones que\
            \ muestren que los derechos de acceso se revisan peri\xF3dicamente y se\
            \ actualizan seg\xFAn sea necesario. \n\u2022 Revisiones peri\xF3dicas\
            \ de acceso, es decir, pruebas de revisiones peri\xF3dicas de los derechos\
            \ de acceso de los usuarios para garantizar que sigan siendo adecuados\
            \ a lo largo del tiempo. \n\u2022 Registros de gesti\xF3n de cambios en\
            \ los derechos de acceso, que reflejan cualquier alteraci\xF3n debida\
            \ a cambios de rol o terminaci\xF3n de empleo. \n\u2022 Auditor\xEDas\
            \ de cumplimiento con informes de auditor\xEDas internas o externas que\
            \ verifican que la gesti\xF3n de los derechos de acceso se alinea con\
            \ la pol\xEDtica y los requisitos reglamentarios."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty v pl\xE1novan\xFDch intervalech\
            \ p\u0159ezkoum\xE1vaj\xED p\u0159\xEDstupov\xE1 pr\xE1va administr\xE1\
            torsk\xFDch \xFA\u010Dt\u016F a \xFA\u010Dt\u016F pro spr\xE1vu syst\xE9\
            mu, kter\xE1 upravuj\xED na z\xE1klad\u011B organiza\u010Dn\xEDch zm\u011B\
            n, a v\xFDsledky p\u0159ezkumu, v\u010Detn\u011B nezbytn\xFDch zm\u011B\
            n p\u0159\xEDstupov\xFDch pr\xE1v, dokumentuj\xED."
          annotation: "\u2022 Ov\u011B\u0159it, zda povinnosti, role, odpov\u011B\
            dnosti a kompetence spr\xE1vc\u016F syst\xE9mu je st\xE1le oprav\u0148\
            uj\xED pro pr\xE1ci s privilegovan\xFDmi p\u0159\xEDstupov\xFDmi pr\xE1\
            vy."
          typical_evidence: "\u2022 Z\xE1znamy o kontrol\xE1ch a aktualizac\xEDch,\
            \ kter\xE9 ukazuj\xED, \u017Ee p\u0159\xEDstupov\xE1 pr\xE1va jsou pravideln\u011B\
            \ kontrolov\xE1na a podle pot\u0159eby aktualizov\xE1na. \n\u2022 Pravideln\xE9\
            \ kontroly p\u0159\xEDstupu, co\u017E znamen\xE1 d\u016Fkaz o pravideln\xFD\
            ch kontrol\xE1ch p\u0159\xEDstupov\xFDch pr\xE1v u\u017Eivatel\u016F,\
            \ aby se zajistilo, \u017Ee z\u016Fstanou v pr\u016Fb\u011Bhu \u010Dasu\
            \ vhodn\xE1. \n\u2022 Protokoly spr\xE1vy zm\u011Bn o zm\u011Bn\xE1ch\
            \ p\u0159\xEDstupov\xFDch pr\xE1v, kter\xE9 odr\xE1\u017Eej\xED jak\xE9\
            koli zm\u011Bny v d\u016Fsledku zm\u011Bn rol\xED nebo ukon\u010Den\xED\
            \ pracovn\xEDho pom\u011Bru. \n\u2022 Audity souladu se zpr\xE1vami z\
            \ intern\xEDch nebo extern\xEDch audit\u016F, kter\xE9 ov\u011B\u0159\
            uj\xED, zda je spr\xE1va p\u0159\xEDstupov\xFDch pr\xE1v v souladu se\
            \ z\xE1sadami a regula\u010Dn\xEDmi po\u017Eadavky."
        it:
          description: I soggetti pertinenti riesaminano i diritti di accesso degli
            account privilegiati e degli account di amministrazione del sistema a
            intervalli pianificati e sono modificati in base alle modifiche organizzative,
            e documentano i risultati del riesame, comprese le necessarie modifiche
            dei diritti di accesso.
          annotation: "\u2022 Verificare se i compiti, i ruoli, le responsabilit\xE0\
            \ e le competenze degli amministratori di sistema li qualificano ancora\
            \ per lavorare con diritti di accesso privilegiati."
          typical_evidence: "\u2022 Registrazioni di revisioni e aggiornamenti che\
            \ dimostrino che i diritti di accesso vengono rivisti regolarmente e aggiornati\
            \ se necessario. \n\u2022 Revisioni periodiche degli accessi, ovvero la\
            \ prova di revisioni periodiche dei diritti di accesso degli utenti per\
            \ garantire che rimangano appropriati nel tempo. \n\u2022 Registri di\
            \ gestione delle modifiche ai diritti di accesso, che riflettono eventuali\
            \ modifiche dovute a cambiamenti di ruolo o cessazione del rapporto di\
            \ lavoro. \n\u2022 Audit di conformit\xE0 con report di audit interni\
            \ o esterni per verificare che la gestione dei diritti di accesso sia\
            \ in linea con i requisiti politici e normativi."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.4
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11
      ref_id: '11.4'
      name: Administration systems
      translations:
        fr:
          name: "Syst\xE8mes d\u2019administration"
        es:
          name: "Sistemas de administraci\xF3n"
        cs:
          name: "Syst\xE9my spr\xE1vy"
        it:
          name: Sistemi di amministrazione
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.4.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.4
      ref_id: 11.4.1
      description: The relevant entities shall restrict and control the use of system
        administration systems in accordance with the access control policy referred
        to in point 11.1.
      annotation: "\u2022 Access to system administration systems must be strictly\
        \ controlled in line with the access control policy. Only authorized personnel\
        \ should be granted such access and all activity must be logged and regularly\
        \ reviewed. \n\u2022 Measures should be in place to detect unauthorized access\
        \ and ensure accountability through audit trails and periodic security assessments.\
        \ \n\u2022 Access logs from system administration systems should be integrated\
        \ into the entity's centralized log management or SIEM solution. Automated\
        \ alerts must be configured to detect and notify of any suspicious or unauthorized\
        \ access attempts, ensuring a timely response and ongoing compliance with\
        \ security policies. \n\u2022 The retention period for logs must be clearly\
        \ defined based on business needs, legal requirements and network and information\
        \ security objectives. \n\u2022 Logs should capture relevant events necessary\
        \ for security monitoring, incident detection and forensic analysis, such\
        \ as access attempts, administrative actions and system changes."
      typical_evidence: "\u2022 Regularly maintained logs that track access to system\
        \ administration systems (93). \n\u2022 Audit reports from internal or external\
        \ security audits that assess compliance with the policy.\n\n(93) Administration\
        \ systems refer to the tools and processes used to manage, monitor and maintain\
        \ the hardware, software and network components of an entity\u2019s IT infrastructure.\
        \ Typical key functions of administration systems include (indicative, non-exhaustive\
        \ list): system monitoring, configuration management, security management,\
        \ user management and back-up and recovery."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es restreignent et contr\xF4lent\
            \ l\u2019utilisation des syst\xE8mes d\u2019administration du syst\xE8\
            me conform\xE9ment \xE0 la politique de contr\xF4le d\u2019acc\xE8s vis\xE9\
            e au point 11.1."
          annotation: "\u2022 L\u2019acc\xE8s aux syst\xE8mes d\u2019administration\
            \ du syst\xE8me doit \xEAtre strictement contr\xF4l\xE9 conform\xE9ment\
            \ \xE0 la politique de contr\xF4le d\u2019acc\xE8s. Seul le personnel\
            \ autoris\xE9 doit \xEAtre autoris\xE9 \xE0 y acc\xE9der et toutes les\
            \ activit\xE9s doivent \xEAtre consign\xE9es et examin\xE9es r\xE9guli\xE8\
            rement. \n\u2022 Des mesures devraient \xEAtre mises en place pour d\xE9\
            tecter les acc\xE8s non autoris\xE9s et garantir l\u2019obligation de\
            \ rendre des comptes au moyen de pistes d\u2019audit et d\u2019\xE9valuations\
            \ p\xE9riodiques de la s\xE9curit\xE9. \n\u2022 Les journaux d\u2019acc\xE8\
            s des syst\xE8mes d\u2019administration syst\xE8me doivent \xEAtre int\xE9\
            gr\xE9s dans la solution centralis\xE9e de gestion des journaux ou SIEM\
            \ de l\u2019entit\xE9. Les alertes automatis\xE9es doivent \xEAtre configur\xE9\
            es pour d\xE9tecter et notifier toute tentative d\u2019acc\xE8s suspecte\
            \ ou non autoris\xE9e, afin d\u2019assurer une r\xE9ponse rapide et une\
            \ conformit\xE9 continue aux politiques de s\xE9curit\xE9. \n\u2022 La\
            \ p\xE9riode de conservation des journaux doit \xEAtre clairement d\xE9\
            finie en fonction des besoins de l\u2019entreprise, des exigences l\xE9\
            gales et des objectifs de s\xE9curit\xE9 du r\xE9seau et de l\u2019information.\
            \ \n\u2022 Les journaux doivent consigner les \xE9v\xE9nements pertinents\
            \ n\xE9cessaires \xE0 la surveillance de la s\xE9curit\xE9, \xE0 la d\xE9\
            tection des incidents et \xE0 l\u2019analyse m\xE9dico-l\xE9gale, tels\
            \ que les tentatives d\u2019acc\xE8s, les actions administratives et les\
            \ modifications du syst\xE8me."
          typical_evidence: "\u2022 Tenue r\xE9guli\xE8re de journaux de suivi de\
            \ l\u2019acc\xE8s aux syst\xE8mes d\u2019administration syst\xE8me (93).\
            \ \n\u2022 Rapports d\u2019audit issus d\u2019audits de s\xE9curit\xE9\
            \ internes ou externes qui \xE9valuent la conformit\xE9 \xE0 la politique.\n\
            \n(93) Les syst\xE8mes d\u2019administration d\xE9signent les outils et\
            \ les processus utilis\xE9s pour g\xE9rer, surveiller et entretenir le\
            \ mat\xE9riel, les logiciels et les composants r\xE9seau de l\u2019infrastructure\
            \ informatique d\u2019une entit\xE9. Les fonctions cl\xE9s typiques des\
            \ syst\xE8mes d\u2019administration comprennent (liste indicative et non\
            \ exhaustive) : la surveillance du syst\xE8me, la gestion de la configuration,\
            \ la gestion de la s\xE9curit\xE9, la gestion des utilisateurs, la sauvegarde\
            \ et la r\xE9cup\xE9ration."
        es:
          description: "Las entidades pertinentes restringir\xE1n el uso de los sistemas\
            \ de administraci\xF3n del sistema de conformidad con la pol\xEDtica de\
            \ control de accesos prevista en el punto 11.1."
          annotation: "\u2022 El acceso a los sistemas de administraci\xF3n del sistema\
            \ debe estar estrictamente controlado de acuerdo con la pol\xEDtica de\
            \ control de acceso. Solo el personal autorizado debe tener dicho acceso\
            \ y toda la actividad debe registrarse y revisarse peri\xF3dicamente.\
            \ \n\u2022 Deben adoptarse medidas para detectar el acceso no autorizado\
            \ y garantizar la rendici\xF3n de cuentas mediante registros de auditor\xED\
            a y evaluaciones peri\xF3dicas de la seguridad. \n\u2022 Los registros\
            \ de acceso de los sistemas de administraci\xF3n del sistema deben integrarse\
            \ en la soluci\xF3n de gesti\xF3n de registros centralizada o SIEM de\
            \ la entidad. Las alertas automatizadas deben configurarse para detectar\
            \ y notificar cualquier intento de acceso sospechoso o no autorizado,\
            \ lo que garantiza una respuesta oportuna y el cumplimiento continuo de\
            \ las pol\xEDticas de seguridad. \n\u2022 El per\xEDodo de retenci\xF3\
            n de los registros debe estar claramente definido en funci\xF3n de las\
            \ necesidades comerciales, los requisitos legales y los objetivos de seguridad\
            \ de la red y la informaci\xF3n. \n\u2022 Los registros deben capturar\
            \ los eventos relevantes necesarios para la supervisi\xF3n de la seguridad,\
            \ la detecci\xF3n de incidentes y el an\xE1lisis forense, como los intentos\
            \ de acceso, las acciones administrativas y los cambios en el sistema."
          typical_evidence: "\u2022 Registros mantenidos regularmente que rastrean\
            \ el acceso a los sistemas de administraci\xF3n del sistema (93). \n\u2022\
            \ Informes de auditor\xEDa de auditor\xEDas de seguridad internas o externas\
            \ que eval\xFAen el cumplimiento de la pol\xEDtica.\n\n(93) Los sistemas\
            \ de administraci\xF3n se refieren a las herramientas y procesos utilizados\
            \ para gestionar, supervisar y mantener los componentes de hardware, software\
            \ y red de la infraestructura inform\xE1tica de una entidad. Las funciones\
            \ clave t\xEDpicas de los sistemas de administraci\xF3n incluyen (lista\
            \ indicativa, no exhaustiva): supervisi\xF3n del sistema, gesti\xF3n de\
            \ la configuraci\xF3n, gesti\xF3n de la seguridad, gesti\xF3n de usuarios\
            \ y copia de seguridad y recuperaci\xF3n."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty omez\xED a \u0159\xEDd\xED\
            \ pou\u017E\xEDv\xE1n\xED syst\xE9m\u016F pro spr\xE1vu syst\xE9mu v souladu\
            \ s politikou \u0159\xEDzen\xED p\u0159\xEDstupu uvedenou v bod\u011B\
            \ 11.1."
          annotation: "\u2022 P\u0159\xEDstup k syst\xE9m\u016Fm pro spr\xE1vu syst\xE9\
            mu mus\xED b\xFDt p\u0159\xEDsn\u011B kontrolov\xE1n v souladu se z\xE1\
            sadami kontroly p\u0159\xEDstupu. Takov\xFD p\u0159\xEDstup by m\u011B\
            l b\xFDt povolen pouze opr\xE1vn\u011Bn\xFDm pracovn\xEDk\u016Fm a ve\u0161\
            ker\xE1 aktivita mus\xED b\xFDt zaznamen\xE1v\xE1na a pravideln\u011B\
            \ kontrolov\xE1na. \nM\u011Bla by b\xFDt zavedena opat\u0159en\xED k detekci\
            \ neopr\xE1vn\u011Bn\xE9ho p\u0159\xEDstupu a zaji\u0161t\u011Bn\xED odpov\u011B\
            dnosti prost\u0159ednictv\xEDm auditn\xEDch stop a pravideln\xFDch bezpe\u010D\
            nostn\xEDch hodnocen\xED. \n\u2022 P\u0159\xEDstupov\xE9 protokoly ze\
            \ syst\xE9m\u016F pro spr\xE1vu syst\xE9mu by m\u011Bly b\xFDt integrov\xE1\
            ny do centralizovan\xE9 spr\xE1vy protokol\u016F entity nebo \u0159e\u0161\
            en\xED SIEM. Automatick\xE1 upozorn\u011Bn\xED mus\xED b\xFDt nakonfigurov\xE1\
            na tak, aby detekovala a upozor\u0148ovala na jak\xE9koli podez\u0159\
            el\xE9 nebo neopr\xE1vn\u011Bn\xE9 pokusy o p\u0159\xEDstup, a zaji\u0161\
            \u0165ovala tak v\u010Dasnou reakci a trval\xE9 dodr\u017Eov\xE1n\xED\
            \ z\xE1sad zabezpe\u010Den\xED. \n\u2022 Doba uchov\xE1v\xE1n\xED protokol\u016F\
            \ mus\xED b\xFDt jasn\u011B definov\xE1na na z\xE1klad\u011B obchodn\xED\
            ch pot\u0159eb, pr\xE1vn\xEDch po\u017Eadavk\u016F a c\xEDl\u016F zabezpe\u010D\
            en\xED s\xEDt\u011B a informac\xED. \n\u2022 Protokoly by m\u011Bly zachycovat\
            \ relevantn\xED ud\xE1losti nezbytn\xE9 pro monitorov\xE1n\xED zabezpe\u010D\
            en\xED, detekci incident\u016F a forenzn\xED anal\xFDzu, jako jsou pokusy\
            \ o p\u0159\xEDstup, administrativn\xED akce a zm\u011Bny syst\xE9mu."
          typical_evidence: "\u2022 Pravideln\u011B udr\u017Eovan\xE9 protokoly, kter\xE9\
            \ sleduj\xED p\u0159\xEDstup k syst\xE9m\u016Fm pro spr\xE1vu syst\xE9\
            mu (93). \n\u2022 Zpr\xE1vy o auditu z intern\xEDch nebo extern\xEDch\
            \ bezpe\u010Dnostn\xEDch audit\u016F, kter\xE9 hodnot\xED soulad se z\xE1\
            sadami.\n\n(93) Administrativn\xEDmi syst\xE9my se rozum\xED n\xE1stroje\
            \ a procesy pou\u017E\xEDvan\xE9 ke spr\xE1v\u011B, sledov\xE1n\xED a\
            \ \xFAdr\u017Eb\u011B hardwarov\xFDch, softwarov\xFDch a s\xED\u0165ov\xFD\
            ch sou\u010D\xE1st\xED IT infrastruktury subjektu. Mezi typick\xE9 kl\xED\
            \u010Dov\xE9 funkce administrativn\xEDch syst\xE9m\u016F pat\u0159\xED\
            \ (orienta\u010Dn\xED, ne\xFApln\xFD seznam): monitoring syst\xE9mu, spr\xE1\
            va konfigurace, spr\xE1va zabezpe\u010Den\xED, spr\xE1va u\u017Eivatel\u016F\
            \ a z\xE1lohov\xE1n\xED a obnova."
        it:
          description: I soggetti pertinenti limitano e controllano l'uso dei sistemi
            di amministrazione del sistema conformemente alla politica di controllo
            dell'accesso di cui al punto 11.1.
          annotation: "\u2022 L'accesso ai sistemi di amministrazione del sistema\
            \ deve essere rigorosamente controllato in linea con la politica di controllo\
            \ degli accessi. Solo il personale autorizzato deve avere tale accesso\
            \ e tutte le attivit\xE0 devono essere registrate e riviste regolarmente.\
            \ \n\u2022 Dovrebbero essere messe in atto misure per rilevare gli accessi\
            \ non autorizzati e garantire la responsabilit\xE0 attraverso audit trail\
            \ e valutazioni periodiche della sicurezza. \n\u2022 I registri di accesso\
            \ dai sistemi di amministrazione del sistema devono essere integrati nella\
            \ soluzione di gestione centralizzata dei registri o SIEM dell'entit\xE0\
            . Gli avvisi automatici devono essere configurati per rilevare e notificare\
            \ eventuali tentativi di accesso sospetti o non autorizzati, garantendo\
            \ una risposta tempestiva e la conformit\xE0 continua alle politiche di\
            \ sicurezza. \n\u2022 Il periodo di conservazione dei registri deve essere\
            \ chiaramente definito in base alle esigenze aziendali, ai requisiti legali\
            \ e agli obiettivi di sicurezza della rete e delle informazioni. \n\u2022\
            \ I registri devono acquisire gli eventi rilevanti necessari per il monitoraggio\
            \ della sicurezza, il rilevamento degli incidenti e l'analisi forense,\
            \ come i tentativi di accesso, le azioni amministrative e le modifiche\
            \ al sistema."
          typical_evidence: "\u2022 Registri regolarmente conservati che tracciano\
            \ l'accesso ai sistemi di amministrazione del sistema (93). \n\u2022 Report\
            \ di audit provenienti da audit di sicurezza interni o esterni che valutano\
            \ la conformit\xE0 alla policy.\n\n(93) I sistemi di amministrazione si\
            \ riferiscono agli strumenti e ai processi utilizzati per gestire, monitorare\
            \ e mantenere l'hardware, il software e i componenti di rete dell'infrastruttura\
            \ informatica di un soggetto. Le funzioni chiave tipiche dei sistemi di\
            \ amministrazione includono (elenco indicativo e non esaustivo): monitoraggio\
            \ del sistema, gestione della configurazione, gestione della sicurezza,\
            \ gestione degli utenti e backup e ripristino."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.4.2
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.4
      ref_id: 11.4.2
      description: 'For that purpose, the relevant entities shall:'
      annotation: "\u2022 Implement strict access controls to ensure that administrative\
        \ systems are used exclusively for their intended purpose. For instance, only\
        \ allow authorised personnel with specific roles (e.g. system administrators\
        \ and IT staff) access to system administration systems. \n\u2022 Physically\
        \ or logically isolate administrative systems from other application servers,\
        \ for example use network segmentation to create separate zones for system\
        \ administration systems and other systems, such as application servers. If\
        \ applicable, physically inspect server racks to ensure separation. \n\u2022\
        \ Require strong authentication mechanisms such as MFA for accessing system\
        \ administration systems. \n\u2022 Encrypt communication channels (e.g. secure\
        \ shell protocol, hypertext transfer protocol secure) to protect data in transit\
        \ to and from system administration systems. \n\u2022 Encrypt sensitive configuration\
        \ files and credentials stored on system administration systems.  \n\u2022\
        \ Ensure that application protocols are securely implemented. In addition,\
        \ verify that any SSO or federation protocols are correctly implemented and\
        \ conform to their specifications.\n\n[TIPS]\n\n\u2022 Consider using a centralized\
        \ privileged access management (PAM) solution. \n\u2022 Consider using a cloud\
        \ access security broker (CASB) to enhance the visibility of, control over\
        \ and the security of cloud service usage. \n\u2022 Regularly audit system\
        \ logs to monitor usage patterns and identify any unauthorised activities.\
        \ \n\u2022 Train personnel in the proper use of system administration systems."
      typical_evidence: "\u2022 Regularly maintained logs that track access to system\
        \ administration systems. \n\u2022 Network segmentation documentation indicating\
        \ how system administration systems are logically or physically separated\
        \ from other systems. \n\u2022 Documented authentication methods used to secure\
        \ access to administration systems. \n\u2022 Information on encryption protocols\
        \ applied to protect data transmitted to and from system administration systems.\n\
        \n[TIPS]\n\n\u2022 Regularly maintained logs that track access to administration\
        \ systems. \n\u2022 Incident response records of any incidents related to\
        \ system administration system misuse or unauthorized access. \n\u2022 User\
        \ training records meaning evidence that personnel have been trained in the\
        \ proper use of system administration systems, for example training materials,\
        \ attendance records or completion certificates."
      translations:
        fr:
          description: "\xC0 cette fin, les entit\xE9s concern\xE9es:"
          annotation: "\u2022 Mettre en place des contr\xF4les d\u2019acc\xE8s stricts\
            \ pour s\u2019assurer que les syst\xE8mes administratifs sont utilis\xE9\
            s exclusivement aux fins pr\xE9vues. Par exemple, n\u2019autorisez l\u2019\
            acc\xE8s aux syst\xE8mes d\u2019administration syst\xE8me qu\u2019au personnel\
            \ autoris\xE9 ayant des r\xF4les sp\xE9cifiques (par exemple, les administrateurs\
            \ syst\xE8me et le personnel informatique). \n\u2022 Isolez physiquement\
            \ ou logiquement les syst\xE8mes administratifs des autres serveurs d\u2019\
            applications, par exemple en utilisant la segmentation du r\xE9seau pour\
            \ cr\xE9er des zones distinctes pour les syst\xE8mes d\u2019administration\
            \ syst\xE8me et d\u2019autres syst\xE8mes, tels que les serveurs d\u2019\
            applications. Le cas \xE9ch\xE9ant, inspectez physiquement les racks de\
            \ serveurs pour assurer la s\xE9paration. \n\u2022 Exiger des m\xE9canismes\
            \ d\u2019authentification forts tels que l\u2019authentification multifacteur\
            \ pour acc\xE9der aux syst\xE8mes d\u2019administration syst\xE8me. \n\
            \u2022 Crypter les canaux de communication (par exemple, protocole de\
            \ coquille s\xE9curis\xE9e, protocole de transfert hypertexte s\xE9curis\xE9\
            ) pour prot\xE9ger les donn\xE9es en transit vers et depuis les syst\xE8\
            mes d\u2019administration syst\xE8me. \n\u2022 Chiffrez les fichiers de\
            \ configuration sensibles et les informations d\u2019identification stock\xE9\
            es sur les syst\xE8mes d\u2019administration syst\xE8me.  \n\u2022 S\u2019\
            assurer que les protocoles d\u2019application sont mis en \u0153uvre en\
            \ toute s\xE9curit\xE9. En outre, v\xE9rifiez que tous les protocoles\
            \ SSO ou de f\xE9d\xE9ration sont correctement impl\xE9ment\xE9s et conformes\
            \ \xE0 leurs sp\xE9cifications.\n\n[CONSEILS]\n\n\u2022 Envisagez d\u2019\
            utiliser une solution de gestion centralis\xE9e des acc\xE8s privil\xE9\
            gi\xE9s (PAM). \n\u2022 Envisagez d\u2019utiliser un courtier de s\xE9\
            curit\xE9 d\u2019acc\xE8s au cloud (CASB) pour am\xE9liorer la visibilit\xE9\
            , le contr\xF4le et la s\xE9curit\xE9 de l\u2019utilisation des services\
            \ cloud. \n\u2022 Auditez r\xE9guli\xE8rement les journaux du syst\xE8\
            me pour surveiller les mod\xE8les d\u2019utilisation et identifier toute\
            \ activit\xE9 non autoris\xE9e. \n\u2022 Former le personnel \xE0 l\u2019\
            utilisation appropri\xE9e des syst\xE8mes d\u2019administration syst\xE8\
            me."
          typical_evidence: "\u2022 Tenir r\xE9guli\xE8rement \xE0 jour des journaux\
            \ qui suivent l\u2019acc\xE8s aux syst\xE8mes d\u2019administration du\
            \ syst\xE8me. \n\u2022 Documentation sur la segmentation du r\xE9seau\
            \ indiquant comment les syst\xE8mes d\u2019administration syst\xE8me sont\
            \ logiquement ou physiquement s\xE9par\xE9s des autres syst\xE8mes. \n\
            \u2022 M\xE9thodes d\u2019authentification document\xE9es utilis\xE9es\
            \ pour s\xE9curiser l\u2019acc\xE8s aux syst\xE8mes d\u2019administration.\
            \ \n\u2022 Informations sur les protocoles de cryptage appliqu\xE9s pour\
            \ prot\xE9ger les donn\xE9es transmises vers et depuis les syst\xE8mes\
            \ d\u2019administration syst\xE8me.\n\n[CONSEILS]\n\n\u2022 Tenue r\xE9\
            guli\xE8re de registres qui suivent l\u2019acc\xE8s aux syst\xE8mes d\u2019\
            administration. \n\u2022 Enregistrements d\u2019intervention en cas d\u2019\
            incident li\xE9s \xE0 l\u2019administration du syst\xE8me, \xE0 l\u2019\
            utilisation abusive du syst\xE8me ou \xE0 l\u2019acc\xE8s non autoris\xE9\
            . \n\u2022 Dossiers de formation des utilisateurs, c\u2019est-\xE0-dire\
            \ la preuve que le personnel a \xE9t\xE9 form\xE9 \xE0 l\u2019utilisation\
            \ correcte des syst\xE8mes d\u2019administration du syst\xE8me, par exemple\
            \ le mat\xE9riel de formation, les registres de pr\xE9sence ou les certificats\
            \ d\u2019ach\xE8vement."
        es:
          description: 'A tal efecto, las entidades pertinentes:'
          annotation: "\u2022 Implementar estrictos controles de acceso para garantizar\
            \ que los sistemas administrativos se utilicen exclusivamente para el\
            \ prop\xF3sito previsto. Por ejemplo, permitir el acceso a los sistemas\
            \ de administraci\xF3n del sistema solo al personal autorizado con funciones\
            \ espec\xEDficas (por ejemplo, administradores de sistemas y personal\
            \ de TI). \n\u2022 Aislar f\xEDsica o l\xF3gicamente los sistemas administrativos\
            \ de otros servidores de aplicaciones, por ejemplo, utilizar la segmentaci\xF3\
            n de red para crear zonas separadas para los sistemas de administraci\xF3\
            n del sistema y otros sistemas, como los servidores de aplicaciones. Si\
            \ corresponde, inspeccione f\xEDsicamente los bastidores de servidores\
            \ para garantizar la separaci\xF3n. \n\u2022 Requieren mecanismos de autenticaci\xF3\
            n s\xF3lidos, como MFA, para acceder a los sistemas de administraci\xF3\
            n del sistema. \n\u2022 Cifrar los canales de comunicaci\xF3n (por ejemplo,\
            \ protocolo de shell seguro, protocolo de transferencia de hipertexto\
            \ seguro) para proteger los datos en tr\xE1nsito hacia y desde los sistemas\
            \ de administraci\xF3n del sistema. \n\u2022 Cifre los archivos de configuraci\xF3\
            n confidenciales y las credenciales almacenadas en los sistemas de administraci\xF3\
            n del sistema.  \n\u2022 Aseg\xFArese de que los protocolos de aplicaci\xF3\
            n se implementen de forma segura. Adem\xE1s, compruebe que los protocolos\
            \ de SSO o federaci\xF3n se implementen correctamente y se ajusten a sus\
            \ especificaciones.\n\n[CONSEJOS]\n\n\u2022 Considere la posibilidad de\
            \ utilizar una soluci\xF3n centralizada de gesti\xF3n de acceso privilegiado\
            \ (PAM). \n\u2022 Considere la posibilidad de utilizar un agente de seguridad\
            \ de acceso a la nube (CASB) para mejorar la visibilidad, el control y\
            \ la seguridad del uso de los servicios en la nube. \n\u2022 Audite regularmente\
            \ los registros del sistema para monitorear los patrones de uso e identificar\
            \ cualquier actividad no autorizada. \n\u2022 Capacitar al personal en\
            \ el uso adecuado de los sistemas de administraci\xF3n de sistemas."
          typical_evidence: "\u2022 Registros mantenidos regularmente que rastrean\
            \ el acceso a los sistemas de administraci\xF3n del sistema. \n\u2022\
            \ Documentaci\xF3n de segmentaci\xF3n de red que indica c\xF3mo los sistemas\
            \ de administraci\xF3n del sistema est\xE1n separados l\xF3gica o f\xED\
            sicamente de otros sistemas. \n\u2022 M\xE9todos de autenticaci\xF3n documentados\
            \ utilizados para asegurar el acceso a los sistemas de administraci\xF3\
            n. \n\u2022 Informaci\xF3n sobre los protocolos de cifrado aplicados para\
            \ proteger los datos transmitidos hacia y desde los sistemas de administraci\xF3\
            n del sistema.\n\n[CONSEJOS]\n\n\u2022 Registros mantenidos regularmente\
            \ que rastrean el acceso a los sistemas de administraci\xF3n. \n\u2022\
            \ Registros de respuesta a incidentes de cualquier incidente relacionado\
            \ con la administraci\xF3n del sistema, el mal uso del sistema o el acceso\
            \ no autorizado. \n\u2022 Registros de capacitaci\xF3n de usuarios, es\
            \ decir, evidencia de que el personal ha sido capacitado en el uso adecuado\
            \ de los sistemas de administraci\xF3n del sistema, por ejemplo, materiales\
            \ de capacitaci\xF3n, registros de asistencia o certificados de finalizaci\xF3\
            n."
        cs:
          description: "Za t\xEDmto \xFA\u010Delem p\u0159\xEDslu\u0161n\xE9 subjekty:"
          annotation: "\u2022 Zav\xE9st p\u0159\xEDsn\xE9 kontroly p\u0159\xEDstupu,\
            \ aby bylo zaji\u0161t\u011Bno, \u017Ee administrativn\xED syst\xE9my\
            \ budou pou\u017E\xEDv\xE1ny v\xFDhradn\u011B k zam\xFD\u0161len\xE9mu\
            \ \xFA\u010Delu. Nap\u0159\xEDklad povolte p\u0159\xEDstup k syst\xE9\
            m\u016Fm pro spr\xE1vu syst\xE9mu pouze opr\xE1vn\u011Bn\xFDm pracovn\xED\
            k\u016Fm se specifick\xFDmi rolemi (nap\u0159. spr\xE1vc\u016Fm syst\xE9\
            mu a pracovn\xEDk\u016Fm IT). \n\u2022 Fyzicky nebo logicky izolovat administrativn\xED\
            \ syst\xE9my od ostatn\xEDch aplika\u010Dn\xEDch server\u016F, nap\u0159\
            \xEDklad pou\u017E\xEDt segmentaci s\xEDt\u011B k vytvo\u0159en\xED samostatn\xFD\
            ch z\xF3n pro syst\xE9my spr\xE1vy syst\xE9mu a dal\u0161\xED syst\xE9\
            my, jako jsou aplika\u010Dn\xED servery. Pokud je to mo\u017En\xE9, fyzicky\
            \ zkontrolujte serverov\xE9 racky, abyste zajistili odd\u011Blen\xED.\
            \ \n\u2022 Vy\u017Eadujte siln\xE9 autentiza\u010Dn\xED mechanismy, jako\
            \ je MFA pro p\u0159\xEDstup k syst\xE9m\u016Fm pro spr\xE1vu syst\xE9\
            mu. \n\u2022 \u0160ifrujte komunika\u010Dn\xED kan\xE1ly (nap\u0159. Secure\
            \ Shell Protocol, Hypertext Transfer Protocol secure) pro ochranu dat\
            \ p\u0159i p\u0159enosu do a ze syst\xE9m\u016F pro spr\xE1vu syst\xE9\
            mu. \n\u2022 \u0160ifrujte citliv\xE9 konfigura\u010Dn\xED soubory a p\u0159\
            ihla\u0161ovac\xED \xFAdaje ulo\u017Een\xE9 v syst\xE9mech pro spr\xE1\
            vu syst\xE9mu.  \n\u2022 Zajist\u011Bte bezpe\u010Dnou implementaci aplika\u010D\
            n\xEDch protokol\u016F. Krom\u011B toho ov\u011B\u0159te, zda jsou v\u0161\
            echny protokoly jednotn\xE9ho p\u0159ihla\u0161ov\xE1n\xED nebo federa\u010D\
            n\xED protokoly spr\xE1vn\u011B implementov\xE1ny a odpov\xEDdaj\xED jejich\
            \ specifikac\xEDm.\n\n[TIPY]\n\n\u2022 Zva\u017Ete pou\u017Eit\xED centralizovan\xE9\
            ho \u0159e\u0161en\xED pro spr\xE1vu privilegovan\xE9ho p\u0159\xEDstupu\
            \ (PAM). \n\u2022 Zva\u017Ete pou\u017Eit\xED zprost\u0159edkovatele zabezpe\u010D\
            en\xED p\u0159\xEDstupu do cloudu (CASB) ke zlep\u0161en\xED viditelnosti,\
            \ kontroly a zabezpe\u010Den\xED pou\u017E\xEDv\xE1n\xED cloudov\xFDch\
            \ slu\u017Eeb. \n\u2022 Pravideln\u011B kontrolujte syst\xE9mov\xE9 protokoly,\
            \ abyste mohli sledovat vzorce pou\u017E\xEDv\xE1n\xED a identifikovat\
            \ jak\xE9koli neopr\xE1vn\u011Bn\xE9 aktivity. \n\u2022 \u0160kolit person\xE1\
            l ve spr\xE1vn\xE9m pou\u017E\xEDv\xE1n\xED syst\xE9m\u016F pro spr\xE1\
            vu syst\xE9mu."
          typical_evidence: "\u2022 Pravideln\u011B udr\u017Eovan\xE9 protokoly, kter\xE9\
            \ sleduj\xED p\u0159\xEDstup k syst\xE9m\u016Fm pro spr\xE1vu syst\xE9\
            mu. \n\u2022 Dokumentace segmentace s\xEDt\u011B ozna\u010Duj\xEDc\xED\
            , jak jsou syst\xE9my pro spr\xE1vu syst\xE9mu logicky nebo fyzicky odd\u011B\
            leny od ostatn\xEDch syst\xE9m\u016F. \n\u2022 Zdokumentovan\xE9 metody\
            \ ov\u011B\u0159ov\xE1n\xED pou\u017E\xEDvan\xE9 k zabezpe\u010Den\xED\
            \ p\u0159\xEDstupu do administrativn\xEDch syst\xE9m\u016F. \n\u2022 Informace\
            \ o \u0161ifrovac\xEDch protokolech pou\u017E\xEDvan\xFDch k ochran\u011B\
            \ dat p\u0159en\xE1\u0161en\xFDch do a ze syst\xE9m\u016F pro spr\xE1\
            vu syst\xE9mu.\n\n[TIPY]\n\n\u2022 Pravideln\u011B udr\u017Eovan\xE9 logy,\
            \ kter\xE9 sleduj\xED p\u0159\xEDstup k administrativn\xEDm syst\xE9m\u016F\
            m. \n\u2022 Z\xE1znamy reakc\xED na incidenty t\xFDkaj\xEDc\xED se jak\xFD\
            chkoli incident\u016F souvisej\xEDc\xEDch se spr\xE1vou syst\xE9mu, zneu\u017E\
            it\xEDm syst\xE9mu nebo neopr\xE1vn\u011Bn\xFDm p\u0159\xEDstupem. \n\u2022\
            \ Z\xE1znamy o \u0161kolen\xED u\u017Eivatel\u016F, co\u017E znamen\xE1\
            \ d\u016Fkaz, \u017Ee person\xE1l byl vy\u0161kolen ve spr\xE1vn\xE9m\
            \ pou\u017E\xEDv\xE1n\xED syst\xE9m\u016F pro spr\xE1vu syst\xE9mu, nap\u0159\
            \xEDklad \u0161kolic\xED materi\xE1ly, z\xE1znamy o doch\xE1zce nebo osv\u011B\
            d\u010Den\xED o absolvov\xE1n\xED."
        it:
          description: 'A tal fine, i soggetti interessati:'
          annotation: "\u2022 Implementare rigorosi controlli di accesso per garantire\
            \ che i sistemi amministrativi siano utilizzati esclusivamente per lo\
            \ scopo previsto. Ad esempio, consentire solo al personale autorizzato\
            \ con ruoli specifici (ad es. amministratori di sistema e personale IT)\
            \ l'accesso ai sistemi di amministrazione del sistema. \n\u2022 Isolare\
            \ fisicamente o logicamente i sistemi amministrativi da altri server applicativi,\
            \ ad esempio utilizzare la segmentazione della rete per creare zone separate\
            \ per i sistemi di amministrazione del sistema e altri sistemi, come i\
            \ server applicativi. Se applicabile, ispezionare fisicamente i rack dei\
            \ server per garantire la separazione. \n\u2022 Richiedere meccanismi\
            \ di autenticazione forte come MFA per l'accesso ai sistemi di amministrazione\
            \ del sistema. \n\u2022 Crittografare i canali di comunicazione (ad es.\
            \ Secure Shell Protocol, Hypertext Transfer Protocol secure) per proteggere\
            \ i dati in transito da e verso i sistemi di amministrazione del sistema.\
            \ \n\u2022 Crittografa i file di configurazione sensibili e le credenziali\
            \ memorizzate nei sistemi di amministrazione del sistema.  \n\u2022 Assicurarsi\
            \ che i protocolli applicativi siano implementati in modo sicuro. Inoltre,\
            \ verificare che tutti i protocolli SSO o federativi siano implementati\
            \ correttamente e conformi alle relative specifiche.\n\n[CONSIGLI]\n\n\
            \u2022 Prendere in considerazione l'utilizzo di una soluzione centralizzata\
            \ di gestione degli accessi privilegiati (PAM). \n\u2022 Prendere in considerazione\
            \ l'utilizzo di un broker di sicurezza per l'accesso al cloud (CASB) per\
            \ migliorare la visibilit\xE0, il controllo e la sicurezza dell'utilizzo\
            \ dei servizi cloud. \n\u2022 Controllare regolarmente i registri di sistema\
            \ per monitorare i modelli di utilizzo e identificare eventuali attivit\xE0\
            \ non autorizzate. \n\u2022 Formare il personale all'uso corretto dei\
            \ sistemi di amministrazione del sistema."
          typical_evidence: "\u2022 Registri regolarmente mantenuti che tengono traccia\
            \ dell'accesso ai sistemi di amministrazione del sistema. \n\u2022 Documentazione\
            \ sulla segmentazione della rete che indica come i sistemi di amministrazione\
            \ del sistema sono logicamente o fisicamente separati dagli altri sistemi.\
            \ \n\u2022 Metodi di autenticazione documentati utilizzati per proteggere\
            \ l'accesso ai sistemi di amministrazione. \n\u2022 Informazioni sui protocolli\
            \ di crittografia applicati per proteggere i dati trasmessi da e verso\
            \ i sistemi di amministrazione del sistema.\n\n[CONSIGLI]\n\n\u2022 Registri\
            \ regolarmente mantenuti che tengono traccia dell'accesso ai sistemi di\
            \ amministrazione. \n\u2022 Registrazioni di risposta agli incidenti di\
            \ eventuali incidenti relativi all'amministrazione del sistema, all'uso\
            \ improprio del sistema o all'accesso non autorizzato. \n\u2022 Registri\
            \ di formazione degli utenti, ovvero la prova che il personale \xE8 stato\
            \ formato all'uso corretto dei sistemi di amministrazione del sistema,\
            \ ad esempio materiali di formazione, registri delle presenze o certificati\
            \ di completamento."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.4.2.a
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.4.2
      ref_id: 11.4.2.a
      description: only use system administration systems for system administration
        purposes, and not for any other operations;
      translations:
        fr:
          description: "utilisent uniquement les syst\xE8mes d\u2019administration\
            \ du syst\xE8me \xE0 des fins d\u2019administration du syst\xE8me, et\
            \ non pour d\u2019autres op\xE9rations;"
        es:
          description: "utilizar\xE1n \xFAnicamente sistemas de administraci\xF3n\
            \ del sistema a efectos de administraci\xF3n del mismo y no para otras\
            \ operaciones;"
        cs:
          description: "pou\u017E\xEDvaj\xED syst\xE9my pro spr\xE1vu syst\xE9mu pouze\
            \ pro \xFA\u010Dely spr\xE1vy syst\xE9mu, a nikoli pro jin\xE9 operace;"
        it:
          description: utilizzare i sistemi di amministrazione del sistema solo per
            scopi di amministrazione del sistema e non per altre operazioni;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.4.2.b
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.4.2
      ref_id: 11.4.2.b
      description: separate logically such systems from application software not used
        for system administrative purposes,
      translations:
        fr:
          description: "s\xE9parent logiquement ces syst\xE8mes des logiciels d\u2019\
            application qui ne sont pas utilis\xE9s \xE0 des fins d\u2019administration\
            \ du syst\xE8me,"
        es:
          description: "separar l\xF3gicamente estos sistemas de los programas de\
            \ aplicaci\xF3n que no se utilicen con fines de administraci\xF3n del\
            \ sistema;"
        cs:
          description: "logicky odd\u011Bl\xED tyto syst\xE9my od aplika\u010Dn\xED\
            ho softwaru, kter\xFD se nepou\u017E\xEDv\xE1 pro \xFA\u010Dely spr\xE1\
            vy syst\xE9mu,"
        it:
          description: separare logicamente tali sistemi dal software applicativo
            non utilizzato per scopi amministrativi del sistema,
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.4.2.c
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.4.2
      ref_id: 11.4.2.c
      description: protect access to system administration systems through authentication
        and encryption.
      translations:
        fr:
          description: "prot\xE8gent l\u2019acc\xE8s aux syst\xE8mes d\u2019administration\
            \ du syst\xE8me au moyen de l\u2019authentification et du cryptage."
        es:
          description: "proteger\xE1n el acceso a los sistemas de administraci\xF3\
            n del sistema mediante la autenticaci\xF3n y el cifrado."
        cs:
          description: "chr\xE1n\xED p\u0159\xEDstup k syst\xE9m\u016Fm spr\xE1vy\
            \ pomoc\xED ov\u011B\u0159ov\xE1n\xED a \u0161ifrov\xE1n\xED."
        it:
          description: Proteggi l'accesso ai sistemi di amministrazione del sistema
            attraverso l'autenticazione e la crittografia.
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.5
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11
      ref_id: '11.5'
      name: Identification
      translations:
        fr:
          name: Identification
        es:
          name: "Identificaci\xF3n"
        cs:
          name: Identifikace
        it:
          name: Identificazione
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.5.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.5
      ref_id: 11.5.1
      description: The relevant entities shall manage the full life cycle of identities
        of network and information systems and their users.
      annotation: "\u2022 Establish and maintain an inventory of all identities managed\
        \ in the entity.\n    o The inventory should include both user and privileged\
        \ or system administrator identities. The inventory should contain, as a minimum,\
        \ the person\u2019s name, username, start/stop dates and the level of privileges\
        \ for each identity.\n    o The inventory should also include all service\
        \ identities and have these identity records as a minimum including department\
        \ owner, review date, purpose and the level of privileges for each service\
        \ identity."
      typical_evidence: "\u2022 Documented policy or procedure related to identity\
        \ management, if available. \n\u2022 Reports from internal or external audits\
        \ verifying that the management of identities aligns with the policy and regulatory\
        \ requirements."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es g\xE8rent l\u2019ensemble du\
            \ cycle de vie des identit\xE9s des r\xE9seaux et syst\xE8mes d\u2019\
            information et de leurs utilisateurs."
          annotation: "\u2022 Etablir et tenir \xE0 jour un inventaire de toutes les\
            \ identit\xE9s g\xE9r\xE9es dans l\u2019entit\xE9.\n    o L\u2019inventaire\
            \ doit inclure \xE0 la fois les identit\xE9s des utilisateurs et des administrateurs\
            \ privil\xE9gi\xE9s ou syst\xE8me. L\u2019inventaire doit contenir, au\
            \ minimum, le nom de la personne, son nom d\u2019utilisateur, les dates\
            \ de d\xE9but et de fin et le niveau de privil\xE8ges pour chaque identit\xE9\
            .\n    o L\u2019inventaire doit \xE9galement inclure toutes les identit\xE9\
            s de service et comporter au minimum ces enregistrements d\u2019identit\xE9\
            , y compris le propri\xE9taire du service, la date d\u2019examen, l\u2019\
            objectif et le niveau de privil\xE8ges pour chaque identit\xE9 de service."
          typical_evidence: "\u2022 Politique ou proc\xE9dure document\xE9e li\xE9\
            e \xE0 la gestion de l\u2019identit\xE9, le cas \xE9ch\xE9ant. \n\u2022\
            \ Rapports d\u2019audits internes ou externes v\xE9rifiant que la gestion\
            \ des identit\xE9s est conforme \xE0 la politique et aux exigences r\xE9\
            glementaires."
        es:
          description: "Las entidades pertinentes gestionar\xE1n todo el ciclo de\
            \ vida de las identidades de los sistemas de redes y de informaci\xF3\
            n y sus usuarios."
          annotation: "\u2022 Establecer y mantener un inventario de todas las identidades\
            \ gestionadas en la entidad.\n    o El inventario debe incluir tanto las\
            \ identidades de usuario como las de administrador del sistema o con privilegios.\
            \ El inventario debe contener, como m\xEDnimo, el nombre de la persona,\
            \ el nombre de usuario, las fechas de inicio/finalizaci\xF3n y el nivel\
            \ de privilegios para cada identidad.\n    o El inventario tambi\xE9n\
            \ debe incluir todas las identidades de servicio y tener estos registros\
            \ de identidad como m\xEDnimo, incluido el propietario del departamento,\
            \ la fecha de revisi\xF3n, el prop\xF3sito y el nivel de privilegios para\
            \ cada identidad de servicio."
          typical_evidence: "\u2022 Pol\xEDtica o procedimiento documentado relacionado\
            \ con la administraci\xF3n de identidades, si est\xE1 disponible. \n\u2022\
            \ Informes de auditor\xEDas internas o externas que verifiquen que la\
            \ gesti\xF3n de identidades se alinea con los requisitos normativos y\
            \ de pol\xEDtica."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty \u0159\xEDd\xED cel\xFD\
            \ \u017Eivotn\xED cyklus identit s\xEDt\xED a informa\u010Dn\xEDch syst\xE9\
            m\u016F a jejich u\u017Eivatel\u016F."
          annotation: "\u2022 Vytvo\u0159te a udr\u017Eujte invent\xE1\u0159 v\u0161\
            ech identit spravovan\xFDch v entit\u011B.\n    o Invent\xE1\u0159 by\
            \ m\u011Bl obsahovat jak identitu u\u017Eivatele, tak identitu privilegovan\xE9\
            ho spr\xE1vce nebo identitu spr\xE1vce syst\xE9mu. Soupis by m\u011Bl\
            \ obsahovat minim\xE1ln\u011B jm\xE9no osoby, u\u017Eivatelsk\xE9 jm\xE9\
            no, datum zah\xE1jen\xED/ukon\u010Den\xED a \xFArove\u0148 opr\xE1vn\u011B\
            n\xED pro ka\u017Edou identitu.\n    o Invent\xE1\u0159 by m\u011Bl tak\xE9\
            \ zahrnovat v\u0161echny identity slu\u017Eeb a obsahovat tyto z\xE1znamy\
            \ o identit\u011B jako minimum, v\u010Detn\u011B vlastn\xEDka odd\u011B\
            len\xED, data kontroly, \xFA\u010Delu a \xFArovn\u011B opr\xE1vn\u011B\
            n\xED pro ka\u017Edou identitu slu\u017Eby."
          typical_evidence: "\u2022 Zdokumentovan\xE9 z\xE1sady nebo postupy t\xFD\
            kaj\xEDc\xED se spr\xE1vy identit, pokud jsou k dispozici. \n\u2022 Zpr\xE1\
            vy z intern\xEDch nebo extern\xEDch audit\u016F ov\u011B\u0159uj\xEDc\xED\
            , \u017Ee spr\xE1va identit je v souladu se z\xE1sadami a regula\u010D\
            n\xEDmi po\u017Eadavky."
        it:
          description: "I soggetti pertinenti gestiscono l'intero ciclo di vita delle\
            \ identit\xE0 delle reti e dei sistemi informativi e dei loro utenti."
          annotation: "\u2022 Stabilire e mantenere un inventario di tutte le identit\xE0\
            \ gestite nell'entit\xE0.\n    o L'inventario deve includere sia l'identit\xE0\
            \ dell'utente che quella dell'amministratore di sistema o con privilegi.\
            \ L'inventario deve contenere, come minimo, il nome della persona, il\
            \ nome utente, le date di inizio/fine e il livello di privilegi per ciascuna\
            \ identit\xE0.\n    o L'inventario deve includere anche tutte le identit\xE0\
            \ dei servizi e avere almeno questi record di identit\xE0, tra cui il\
            \ proprietario del reparto, la data di revisione, lo scopo e il livello\
            \ di privilegi per ciascuna identit\xE0 del servizio."
          typical_evidence: "\u2022 Politica o procedura documentata relativa alla\
            \ gestione dell'identit\xE0, se disponibile. \n\u2022 Rapporti da audit\
            \ interni o esterni per verificare che la gestione delle identit\xE0 sia\
            \ in linea con i requisiti politici e normativi."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.5.2
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.5
      ref_id: 11.5.2
      description: 'For that purpose, the relevant entities shall:'
      annotation: "\u2022 Consider that providing or revoking access to assets is\
        \ usually a multi-step procedure:\n    o confirming the business requirements\
        \ for an identity to be established;\n    o verifying the identity of an entity\
        \ before allocating them a logical identity;\n    o establishing an identity;\n\
        \    o configuring and activating the identity, which also includes configuration\
        \ and initial setup of related authentication services; and\n    o providing\
        \ or revoking the identity\u2019s specific access rights, based on appropriate\
        \ authorization or entitlement decisions (section 11.2). \n\u2022 Make sure\
        \ that identities assigned to network and information systems (non-human users)\
        \ are subject to appropriately segregated approval and independent ongoing\
        \ oversight. \n\u2022 Apply logging to the management of identities in cooperation\
        \ with human resource security (section 10.1) where possible."
      typical_evidence: "\u2022 Identity records, for example user profiles with unique\
        \ identifiers (e.g. usernames and employee IDs) and evidence of linking these\
        \ identities to specific individuals (e.g. HR records). \n\u2022 Logs of reviews\
        \ or approvals for identities for network and information systems and their\
        \ users. \n\u2022 Logs or reports related to identity management. \n\u2022\
        \ Evidence of the systems in place that enforce access control, such as IAM\
        \ solutions."
      translations:
        fr:
          description: "\xC0 cette fin, les entit\xE9s concern\xE9es:"
          annotation: "\u2022 Consid\xE9rez que la fourniture ou la r\xE9vocation\
            \ de l\u2019acc\xE8s aux actifs est g\xE9n\xE9ralement une proc\xE9dure\
            \ en plusieurs \xE9tapes :\n    o confirmer les exigences op\xE9rationnelles\
            \ pour l\u2019\xE9tablissement d\u2019une identit\xE9\_;\n    o v\xE9\
            rifier l\u2019identit\xE9 d\u2019une entit\xE9 avant de lui attribuer\
            \ une identit\xE9 logique ;\n    o l\u2019\xE9tablissement d\u2019une\
            \ identit\xE9 ;\n    o la configuration et l\u2019activation de l\u2019\
            identit\xE9, ce qui inclut \xE9galement la configuration et la configuration\
            \ initiale des services d\u2019authentification associ\xE9s ; et\n   \
            \ o Fournir ou r\xE9voquer les droits d\u2019acc\xE8s sp\xE9cifiques \xE0\
            \ l\u2019identit\xE9, sur la base de d\xE9cisions d\u2019autorisation\
            \ ou de droit appropri\xE9es (section 11.2). \n\u2022 S\u2019assurer que\
            \ les identit\xE9s attribu\xE9es au r\xE9seau et aux syst\xE8mes d\u2019\
            information (utilisateurs non humains) font l\u2019objet d\u2019une approbation\
            \ distincte appropri\xE9e et d\u2019une surveillance continue ind\xE9\
            pendante. \n\u2022 Appliquer la journalisation \xE0 la gestion des identit\xE9\
            s en collaboration avec la s\xE9curit\xE9 des ressources humaines (section\
            \ 10.1) dans la mesure du possible."
          typical_evidence: "\u2022 Enregistrements d\u2019identit\xE9, par exemple\
            \ des profils d\u2019utilisateurs avec des identifiants uniques (par exemple,\
            \ noms d\u2019utilisateur et identifiants d\u2019employ\xE9s) et preuves\
            \ de l\u2019association de ces identit\xE9s \xE0 des individus sp\xE9\
            cifiques (par exemple, enregistrements RH). \n\u2022 Registres d\u2019\
            examens ou d\u2019approbations d\u2019identit\xE9s pour les r\xE9seaux\
            \ et les syst\xE8mes d\u2019information et leurs utilisateurs. \n\u2022\
            \ Journaux ou rapports li\xE9s \xE0 la gestion des identit\xE9s. \n\u2022\
            \ Preuve des syst\xE8mes en place qui appliquent le contr\xF4le d\u2019\
            acc\xE8s, tels que les solutions IAM."
        es:
          description: 'A tal efecto, las entidades pertinentes:'
          annotation: "\u2022 Tenga en cuenta que proporcionar o revocar el acceso\
            \ a los activos suele ser un procedimiento de varios pasos:\n    o confirmar\
            \ los requisitos comerciales para que se establezca una identidad;\n \
            \   o verificar la identidad de una entidad antes de asignarle una identidad\
            \ l\xF3gica;\n    o el establecimiento de una identidad;\n    o configurar\
            \ y activar la identidad, que tambi\xE9n incluye la configuraci\xF3n y\
            \ la configuraci\xF3n inicial de los servicios de autenticaci\xF3n relacionados;\
            \ y\n    o proporcionar o revocar los derechos de acceso espec\xEDficos\
            \ de la identidad, sobre la base de las decisiones de autorizaci\xF3n\
            \ o derecho adecuadas (secci\xF3n 11.2). \n\u2022 Aseg\xFArese de que\
            \ las identidades asignadas a las redes y a los sistemas de informaci\xF3\
            n (usuarios no humanos) est\xE9n sujetas a una aprobaci\xF3n debidamente\
            \ segregada y a una supervisi\xF3n continua e independiente. \n\u2022\
            \ Aplicar el registro a la gesti\xF3n de identidades en cooperaci\xF3\
            n con la seguridad de los recursos humanos (secci\xF3n 10.1) siempre que\
            \ sea posible."
          typical_evidence: "\u2022 Registros de identidad, por ejemplo, perfiles\
            \ de usuario con identificadores \xFAnicos (por ejemplo, nombres de usuario\
            \ e identificaciones de empleados) y pruebas de vinculaci\xF3n de estas\
            \ identidades a personas espec\xEDficas (por ejemplo, registros de recursos\
            \ humanos). \n\u2022 Registros de revisiones o aprobaciones de identidades\
            \ para redes y sistemas de informaci\xF3n y sus usuarios. \n\u2022 Registros\
            \ o informes relacionados con la gesti\xF3n de identidades. \n\u2022 Evidencia\
            \ de los sistemas implementados que aplican el control de acceso, como\
            \ las soluciones IAM."
        cs:
          description: "Za t\xEDmto \xFA\u010Delem p\u0159\xEDslu\u0161n\xE9 subjekty:"
          annotation: "\u2022 Uv\u011Bdomte si, \u017Ee poskytnut\xED nebo zru\u0161\
            en\xED p\u0159\xEDstupu k datov\xFDm zdroj\u016Fm je obvykle v\xEDcestup\u0148\
            ov\xFD postup:\n    o potvrzen\xED obchodn\xEDch po\u017Eadavk\u016F na\
            \ zji\u0161t\u011Bn\xED toto\u017Enosti, kter\xE1 m\xE1 b\xFDt zji\u0161\
            t\u011Bna;\n    o ov\u011B\u0159en\xED toto\u017Enosti subjektu p\u0159\
            ed p\u0159id\u011Blen\xEDm logick\xE9 identity;\n    o stanoven\xED toto\u017E\
            nosti;\n    o konfigurace a aktivace identity, kter\xE1 zahrnuje tak\xE9\
            \ konfiguraci a po\u010D\xE1te\u010Dn\xED nastaven\xED souvisej\xEDc\xED\
            ch autentiza\u010Dn\xEDch slu\u017Eeb; a\n    o poskytnut\xED nebo zru\u0161\
            en\xED specifick\xFDch p\u0159\xEDstupov\xFDch pr\xE1v identity na z\xE1\
            klad\u011B p\u0159\xEDslu\u0161n\xFDch rozhodnut\xED o autorizaci nebo\
            \ opr\xE1vn\u011Bn\xED (odd\xEDl 11.2). \n\u2022 Zajist\u011Bte, aby identity\
            \ p\u0159i\u0159azen\xE9 s\xED\u0165ov\xFDm a informa\u010Dn\xEDm syst\xE9\
            m\u016Fm (nelid\u0161t\xED u\u017Eivatel\xE9) podl\xE9haly vhodn\u011B\
            \ odd\u011Blen\xE9mu schv\xE1len\xED a nez\xE1visl\xE9mu pr\u016Fb\u011B\
            \u017En\xE9mu dohledu. \n\u2022 Aplikovat protokolov\xE1n\xED na spr\xE1\
            vu identit ve spolupr\xE1ci s bezpe\u010Dnost\xED lidsk\xFDch zdroj\u016F\
            \ (odd\xEDl 10.1), kde je to mo\u017En\xE9."
          typical_evidence: "\u2022 Z\xE1znamy o toto\u017Enosti, nap\u0159\xEDklad\
            \ u\u017Eivatelsk\xE9 profily s jedine\u010Dn\xFDmi identifik\xE1tory\
            \ (nap\u0159. u\u017Eivatelsk\xE1 jm\xE9na a ID zam\u011Bstnanc\u016F\
            ) a d\u016Fkazy o propojen\xED t\u011Bchto identit s konkr\xE9tn\xEDmi\
            \ osobami (nap\u0159. z\xE1znamy HR). \n\u2022 Protokoly kontrol nebo\
            \ schv\xE1len\xED identit pro s\xED\u0165ov\xE9 a informa\u010Dn\xED syst\xE9\
            my a jejich u\u017Eivatele. \n\u2022 Protokoly nebo zpr\xE1vy souvisej\xED\
            c\xED se spr\xE1vou identit. \n\u2022 D\u016Fkazy o zaveden\xFDch syst\xE9\
            mech, kter\xE9 vynucuj\xED \u0159\xEDzen\xED p\u0159\xEDstupu, jako jsou\
            \ \u0159e\u0161en\xED IAM."
        it:
          description: 'A tal fine, i soggetti interessati:'
          annotation: "\u2022 Considerare che fornire o revocare l'accesso alle risorse\
            \ \xE8 solitamente una procedura in pi\xF9 fasi:\n    o confermare i requisiti\
            \ aziendali per stabilire un'identit\xE0;\n    o verificare l'identit\xE0\
            \ di un'entit\xE0 prima di attribuirle un'identit\xE0 logica;\n    o stabilire\
            \ un'identit\xE0;\n    o configurazione e attivazione dell'identit\xE0\
            , che comprende anche la configurazione e l'impostazione iniziale dei\
            \ relativi servizi di autenticazione; e\n    o Fornire o revocare i diritti\
            \ di accesso specifici dell'identit\xE0, sulla base di appropriate decisioni\
            \ di autorizzazione o titolarit\xE0 (Sezione 11.2). \n\u2022 Assicurarsi\
            \ che le identit\xE0 assegnate alla rete e ai sistemi informativi (utenti\
            \ non umani) siano soggette a un'approvazione adeguatamente segregata\
            \ e a una supervisione continua indipendente. \n\u2022 Applicare il logging\
            \ alla gestione delle identit\xE0 in collaborazione con la sicurezza delle\
            \ risorse umane (sezione 10.1), ove possibile."
          typical_evidence: "\u2022 Documenti di identit\xE0, ad esempio profili utente\
            \ con identificatori univoci (ad es. nomi utente e ID dipendenti) e prove\
            \ di collegamento di tali identit\xE0 a individui specifici (ad es. record\
            \ delle risorse umane). \n\u2022 Registri di revisioni o approvazioni\
            \ di identit\xE0 per reti e sistemi informativi e per i loro utenti. \n\
            \u2022 Registri o report relativi alla gestione dell'identit\xE0. \n\u2022\
            \ Prove dei sistemi in atto che applicano il controllo degli accessi,\
            \ come le soluzioni IAM."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.5.2.a
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.5.2
      ref_id: 11.5.2.a
      description: set up unique identities for network and information systems and
        their users;
      translations:
        fr:
          description: "mettent en place des identit\xE9s uniques pour les r\xE9seaux\
            \ et les syst\xE8mes d\u2019information et leurs utilisateurs;"
        es:
          description: "crear\xE1n identidades \xFAnicas para los sistemas de redes\
            \ y de informaci\xF3n y sus usuarios;"
        cs:
          description: "nastav\xED jedine\u010Dn\xE9 identity pro s\xEDt\u011B a informa\u010D\
            n\xED syst\xE9my a jejich u\u017Eivatele;"
        it:
          description: "istituire identit\xE0 univoche per le reti e i sistemi informativi\
            \ e per i loro utenti;"
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.5.2.b
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.5.2
      ref_id: 11.5.2.b
      description: link the identity of users to a single person;
      translations:
        fr:
          description: "lient l\u2019identit\xE9 des utilisateurs \xE0 une seule personne;"
        es:
          description: "asociar\xE1n la identidad de los usuarios a una sola persona;"
        cs:
          description: "spoj\xED identitu u\u017Eivatel\u016F s jedinou osobou;"
        it:
          description: "collegare l'identit\xE0 degli utenti a una singola persona;"
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.5.2.c
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.5.2
      ref_id: 11.5.2.c
      description: ensure oversight of identities of network and information systems;
      translations:
        fr:
          description: "assurent la supervision des identit\xE9s des r\xE9seaux et\
            \ des syst\xE8mes d\u2019information;"
        es:
          description: "se encargar\xE1n de la supervisi\xF3n de las identidades de\
            \ los sistemas de redes y de informaci\xF3n;"
        cs:
          description: "zajist\xED dohled nad identitami s\xEDt\xED a informa\u010D\
            n\xEDch syst\xE9m\u016F;"
        it:
          description: "garantire la supervisione delle identit\xE0 delle reti e dei\
            \ sistemi informativi;"
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.5.2.d
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.5.2
      ref_id: 11.5.2.d
      description: apply logging to the management of identities.
      translations:
        fr:
          description: "appliquent la journalisation \xE0 la gestion des identit\xE9\
            s."
        es:
          description: "realizar\xE1n un registro de la gesti\xF3n de las identidades."
        cs:
          description: "pou\u017Eij\xED veden\xED protokol\u016F pro \u0159\xEDzen\xED\
            \ identit."
        it:
          description: "Applicare la registrazione alla gestione delle identit\xE0\
            ."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.5.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.5
      ref_id: 11.5.3
      description: The relevant entities shall only permit identities assigned to
        multiple persons, such as shared identities, where they are necessary for
        business or operational reasons and are subject to an explicit approval process
        and documentation. The relevant entities shall take identities assigned to
        multiple persons into account in the cybersecurity risk management framework
        referred to in point 2.1.
      annotation: "\u2022 Shared identities should be avoided unless strictly necessary\
        \ for business or operational reasons (94). In such cases, their use must\
        \ be formally justified, explicitly approved and properly documented. Examples\
        \ of technical, procedural and governance controls to enhance their protection\
        \ include (indicative, non- exhaustive list):\n    o MFA enforcement;\n  \
        \  o Least privilege concept enforcement;\n    o Time-bound or just-in-time\
        \ access;\n    o Checking out the shared credentials through a tool which\
        \ logs who accessed the identity and when. If check-out is not possible, consider\
        \ using privileged session recording or proxy-based access auditing;\n   \
        \ o Session attribution techniques to link shared identity use back to individual\
        \ users;\n    o Logging;\n    o Credential vaulting with auto-rotation;\n\
        \    o Prohibition of storing shared credentials in personal files, emails\
        \ or messaging platforms;\n    o Network segmentation so that shared account\
        \ use is limited to isolated network segments or virtual environments; and\n\
        \    o Mandatory training on acceptable use and accountability. \n\u2022 These\
        \ identities should be clearly recorded in the cybersecurity risk management\
        \ framework, with appropriate controls in place to mitigate associated risks,\
        \ including enhanced monitoring and accountability measures.\n\n(94) Wherever\
        \ possible, the organization shall implement Role-Based Access Control (RBAC)\
        \ to assign privileges to individual identities based on defined business\
        \ or operational functions. RBAC must be used to avoid the creation of shared\
        \ accounts unless a technical or operational constraint makes their use unavoidable."
      typical_evidence: "\u2022 Approval records for exceptions."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es n\u2019autorisent l\u2019attribution\
            \ d\u2019identit\xE9s \xE0 plusieurs personnes, pouvant prendre la forme\
            \ d'identit\xE9s partag\xE9es, que lorsqu\u2019elle est n\xE9cessaire\
            \ pour des raisons commerciales ou op\xE9rationnelles et qu\u2019elle\
            \ fait l\u2019objet d\u2019une proc\xE9dure d\u2019approbation explicite\
            \ et d\u2019une documentation. Les entit\xE9s concern\xE9es tiennent compte\
            \ des identit\xE9s attribu\xE9es \xE0 plusieurs personnes dans le cadre\
            \ de gestion des risques de cybers\xE9curit\xE9 vis\xE9 au point 2.1."
          annotation: "\u2022 Les identit\xE9s partag\xE9es devraient \xEAtre \xE9\
            vit\xE9es, sauf si cela est strictement n\xE9cessaire pour des raisons\
            \ commerciales ou op\xE9rationnelles (94). Dans de tels cas, leur utilisation\
            \ doit \xEAtre formellement justifi\xE9e, explicitement approuv\xE9e et\
            \ correctement document\xE9e. Voici des exemples de contr\xF4les techniques,\
            \ proc\xE9duraux et de gouvernance visant \xE0 renforcer leur protection\
            \ (liste indicative, non exhaustive) :\n    o l\u2019application de l\u2019\
            AMF\_;\n    o Application du concept de moindre privil\xE8ge\_;\n    o\
            \ Acc\xE8s limit\xE9 dans le temps ou juste \xE0 temps ;\n    o V\xE9\
            rification des informations d\u2019identification partag\xE9es \xE0 l\u2019\
            aide d\u2019un outil qui enregistre qui a acc\xE9d\xE9 \xE0 l\u2019identit\xE9\
            \ et quand. Si l\u2019extraction n\u2019est pas possible, envisagez d\u2019\
            utiliser l\u2019enregistrement de session privil\xE9gi\xE9 ou l\u2019\
            audit d\u2019acc\xE8s bas\xE9 sur un proxy ;\n    o Techniques d\u2019\
            attribution de session pour relier l\u2019utilisation de l\u2019identit\xE9\
            \ partag\xE9e aux utilisateurs individuels ;\n    o Exploitation foresti\xE8\
            re ;\n    o Coffre-fort d\u2019identifiants avec rotation automatique\
            \ ;\n    o Interdiction de stocker des identifiants partag\xE9s dans des\
            \ fichiers personnels, des e-mails ou des plateformes de messagerie ;\n\
            \    o Segmentation du r\xE9seau afin que l\u2019utilisation des comptes\
            \ partag\xE9s soit limit\xE9e \xE0 des segments de r\xE9seau isol\xE9\
            s ou \xE0 des environnements virtuels ; et\n    o Formation obligatoire\
            \ sur l\u2019utilisation acceptable et la responsabilit\xE9. \n\u2022\
            \ Ces identit\xE9s doivent \xEAtre clairement consign\xE9es dans le cadre\
            \ de gestion des risques de cybers\xE9curit\xE9, et des contr\xF4les appropri\xE9\
            s doivent \xEAtre mis en place pour att\xE9nuer les risques associ\xE9\
            s, y compris des mesures de surveillance et de responsabilisation renforc\xE9\
            es.\n\n(94) Dans la mesure du possible, l\u2019organisme met en \u0153\
            uvre un contr\xF4le d\u2019acc\xE8s bas\xE9 sur les r\xF4les (RBAC) pour\
            \ attribuer des privil\xE8ges \xE0 des identit\xE9s individuelles sur\
            \ la base de fonctions op\xE9rationnelles ou op\xE9rationnelles d\xE9\
            finies. Le RBAC doit \xEAtre utilis\xE9 pour \xE9viter la cr\xE9ation\
            \ de comptes partag\xE9s sauf si une contrainte technique ou op\xE9rationnelle\
            \ rend leur utilisation in\xE9vitable."
          typical_evidence: "\u2022 Registres d\u2019approbation pour les exceptions."
        es:
          description: "las entidades pertinentes solo autorizar\xE1n las identidades\
            \ asignadas a m\xFAltiples personas, como las identidades compartidas,\
            \ cuando sean necesarias por razones empresariales u operativas y est\xE9\
            n sujetas a un proceso de aprobaci\xF3n y documentaci\xF3n expl\xEDcito.\
            \ Las entidades pertinentes tendr\xE1n en cuenta las identidades asignadas\
            \ a m\xFAltiples personas en el marco de gesti\xF3n de riesgos de ciberseguridad\
            \ contemplado en el punto 2.1."
          annotation: "\u2022 Deben evitarse las identidades compartidas, a menos\
            \ que sea estrictamente necesario por razones comerciales u operativas\
            \ (94). En tales casos, su uso debe estar formalmente justificado, expl\xED\
            citamente aprobado y debidamente documentado. Ejemplos de controles t\xE9\
            cnicos, de procedimiento y de gobernanza para mejorar su protecci\xF3\
            n incluyen (lista indicativa y no exhaustiva):\n    o Aplicaci\xF3n de\
            \ la MFA;\n    o Aplicaci\xF3n del concepto de privilegio m\xEDnimo;\n\
            \    o Acceso por tiempo limitado o justo a tiempo;\n    o Verificaci\xF3\
            n de las credenciales compartidas a trav\xE9s de una herramienta que registra\
            \ qui\xE9n accedi\xF3 a la identidad y cu\xE1ndo. Si la desprotecci\xF3\
            n no es posible, considere la posibilidad de utilizar la grabaci\xF3n\
            \ de sesiones con privilegios o la auditor\xEDa de acceso basada en proxy;\n\
            \    o T\xE9cnicas de atribuci\xF3n de sesiones para vincular el uso de\
            \ identidades compartidas a usuarios individuales;\n    o Registro;\n\
            \    o B\xF3veda de credenciales con rotaci\xF3n autom\xE1tica;\n    o\
            \ Prohibici\xF3n de almacenar credenciales compartidas en archivos personales,\
            \ correos electr\xF3nicos o plataformas de mensajer\xEDa;\n    o Segmentaci\xF3\
            n de la red para que el uso de cuentas compartidas se limite a segmentos\
            \ de red aislados o entornos virtuales; y\n    o Capacitaci\xF3n obligatoria\
            \ sobre uso aceptable y responsabilidad. \n\u2022 Estas identidades deben\
            \ registrarse claramente en el marco de gesti\xF3n de riesgos de ciberseguridad,\
            \ con controles adecuados para mitigar los riesgos asociados, incluidas\
            \ medidas mejoradas de supervisi\xF3n y rendici\xF3n de cuentas.\n\n(94)\
            \ Siempre que sea posible, la organizaci\xF3n implementar\xE1 el control\
            \ de acceso basado en roles (RBAC) para asignar privilegios a identidades\
            \ individuales en funci\xF3n de funciones comerciales u operativas definidas.\
            \ Se debe utilizar RBAC para evitar la creaci\xF3n de cuentas compartidas,\
            \ a menos que una restricci\xF3n t\xE9cnica u operativa haga inevitable\
            \ su uso."
          typical_evidence: "\u2022 Registros de aprobaci\xF3n de excepciones."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty povol\xED identitu p\u0159\
            id\u011Blenou v\xEDce osob\xE1m, nap\u0159\xEDklad sd\xEDlenou identitu,\
            \ pouze v p\u0159\xEDpad\u011B, \u017Ee je to nezbytn\xE9 z obchodn\xED\
            ch nebo provozn\xEDch d\u016Fvod\u016F a \u017Ee jsou tyto p\u0159\xED\
            pady podrobeny postupu a zdokumentov\xE1n\xED ud\u011Blen\xED v\xFDslovn\xE9\
            ho souhlasu. P\u0159\xEDslu\u0161n\xE9 subjekty zohledn\xED identity p\u0159\
            id\u011Blen\xE9 v\xEDce osob\xE1m v r\xE1mci \u0159\xEDzen\xED rizik v\
            \ oblasti kybernetick\xE9 bezpe\u010Dnosti uveden\xE9m v bod\u011B 2.1."
          annotation: "\u2022 Je t\u0159eba se vyvarovat sd\xEDlen\xFDch identit,\
            \ pokud to nen\xED nezbytn\u011B nutn\xE9 z obchodn\xEDch nebo provozn\xED\
            ch d\u016Fvod\u016F (94). V takov\xFDch p\u0159\xEDpadech mus\xED b\xFD\
            t jejich pou\u017Eit\xED form\xE1ln\u011B zd\u016Fvodn\u011Bno, v\xFD\
            slovn\u011B schv\xE1leno a \u0159\xE1dn\u011B zdokumentov\xE1no. P\u0159\
            \xEDklady technick\xFDch, procesn\xEDch a spr\xE1vn\xEDch kontrol ke zv\xFD\
            \u0161en\xED jejich ochrany zahrnuj\xED (orienta\u010Dn\xED, demonstrativn\xED\
            \ seznam):\n    o Vynucen\xED MFA;\n    o Vynucen\xED konceptu nejmen\u0161\
            \xEDch opr\xE1vn\u011Bn\xED;\n    o \u010Casov\u011B omezen\xFD nebo just-in-time\
            \ p\u0159\xEDstup;\n    o Kontrola sd\xEDlen\xFDch p\u0159ihla\u0161ovac\xED\
            ch \xFAdaj\u016F prost\u0159ednictv\xEDm n\xE1stroje, kter\xFD zaznamen\xE1\
            v\xE1, kdo a kdy p\u0159istupoval k identit\u011B. Pokud odhl\xE1\u0161\
            en\xED nen\xED mo\u017En\xE9, zva\u017Ete pou\u017Eit\xED privilegovan\xE9\
            ho z\xE1znamu relace nebo auditov\xE1n\xED p\u0159\xEDstupu na z\xE1klad\u011B\
            \ proxy.\n    o Techniky p\u0159i\u0159azen\xED relace k propojen\xED\
            \ pou\u017Eit\xED sd\xEDlen\xE9 identity zp\u011Bt k jednotliv\xFDm u\u017E\
            ivatel\u016Fm;\n    o Protokolov\xE1n\xED;\n    o Ukl\xE1d\xE1n\xED p\u0159\
            ihla\u0161ovac\xEDch \xFAdaj\u016F s automatickou rotac\xED;\n    o Z\xE1\
            kaz ukl\xE1d\xE1n\xED sd\xEDlen\xFDch p\u0159ihla\u0161ovac\xEDch \xFA\
            daj\u016F do osobn\xEDch soubor\u016F, e-mail\u016F nebo platforem pro\
            \ zas\xEDl\xE1n\xED zpr\xE1v;\n    o Segmentace s\xEDt\u011B tak, aby\
            \ pou\u017Eit\xED sd\xEDlen\xE9ho \xFA\u010Dtu bylo omezeno na izolovan\xE9\
            \ segmenty s\xEDt\u011B nebo virtu\xE1ln\xED prost\u0159ed\xED; a\n  \
            \  o Povinn\xE9 \u0161kolen\xED o p\u0159ijateln\xE9m pou\u017E\xEDv\xE1\
            n\xED a odpov\u011Bdnosti. \n\u2022 Tyto identity by m\u011Bly b\xFDt\
            \ jasn\u011B zaznamen\xE1ny v r\xE1mci \u0159\xEDzen\xED kybernetick\xFD\
            ch bezpe\u010Dnostn\xEDch rizik a m\u011Bly by b\xFDt zavedeny vhodn\xE9\
            \ kontroly ke zm\xEDrn\u011Bn\xED souvisej\xEDc\xEDch rizik, v\u010Detn\u011B\
            \ pos\xEDlen\xFDch opat\u0159en\xED v oblasti monitorov\xE1n\xED a odpov\u011B\
            dnosti.\n\nKdykoli je to mo\u017En\xE9, mus\xED organizace implementovat\
            \ \u0159\xEDzen\xED p\u0159\xEDstupu na z\xE1klad\u011B rol\xED (RBAC)\
            \ pro p\u0159id\u011Blov\xE1n\xED opr\xE1vn\u011Bn\xED jednotliv\xFDm\
            \ identit\xE1m na z\xE1klad\u011B definovan\xFDch obchodn\xEDch nebo provozn\xED\
            ch funkc\xED. RBAC mus\xED b\xFDt pou\u017Eit, aby se zabr\xE1nilo vytv\xE1\
            \u0159en\xED sd\xEDlen\xFDch \xFA\u010Dt\u016F, pokud technick\xE9 nebo\
            \ provozn\xED omezen\xED ne\u010Din\xED jejich pou\u017Eit\xED nevyhnuteln\xFD\
            m."
          typical_evidence: "\u2022 Schvalovac\xED z\xE1znamy pro v\xFDjimky."
        it:
          description: "I soggetti pertinenti autorizzano l'assegnazione di identit\xE0\
            \ a pi\xF9 persone, come le identit\xE0 condivise, solo se necessarie\
            \ per motivi commerciali o operativi e se sono soggette a una procedura\
            \ di approvazione e a una documentazione esplicite. I soggetti pertinenti\
            \ tengono conto delle identit\xE0 assegnate a pi\xF9 persone nel quadro\
            \ di gestione dei rischi di cibersicurezza di cui al punto 2.1."
          annotation: "\u2022 Le identit\xE0 condivise dovrebbero essere evitate a\
            \ meno che non siano strettamente necessarie per motivi commerciali o\
            \ operativi (94). In tali casi, il loro utilizzo deve essere formalmente\
            \ giustificato, esplicitamente approvato e adeguatamente documentato.\
            \ Esempi di controlli tecnici, procedurali e di governance per migliorarne\
            \ la protezione includono (elenco indicativo, non esaustivo):\n    o applicazione\
            \ dell'MFA;\n    o Applicazione del concetto di privilegio minimo;\n \
            \   o Accesso limitato nel tempo o just-in-time;\n    o Verifica delle\
            \ credenziali condivise attraverso uno strumento che registra chi ha avuto\
            \ accesso all'identit\xE0 e quando. Se l'estrazione non \xE8 possibile,\
            \ prendere in considerazione l'utilizzo della registrazione delle sessioni\
            \ privilegiate o del controllo degli accessi basato su proxy;\n    o Tecniche\
            \ di attribuzione delle sessioni per collegare l'uso dell'identit\xE0\
            \ condivisa ai singoli utenti;\n    o Disboscamento;\n    o Credential\
            \ vaulting con rotazione automatica;\n    o Divieto di memorizzare le\
            \ credenziali condivise in file personali, e-mail o piattaforme di messaggistica;\n\
            \    o Segmentazione della rete in modo che l'uso dell'account condiviso\
            \ sia limitato a segmenti di rete isolati o ambienti virtuali; e\n   \
            \ o Formazione obbligatoria sull'uso accettabile e sulla responsabilit\xE0\
            . \n\u2022 Queste identit\xE0 dovrebbero essere chiaramente registrate\
            \ nel quadro di gestione dei rischi di cibersicurezza, con controlli adeguati\
            \ per mitigare i rischi associati, comprese misure rafforzate di monitoraggio\
            \ e responsabilit\xE0.\n\nOve possibile, l'organizzazione deve attuare\
            \ il controllo degli accessi basato sui ruoli (RBAC) per assegnare privilegi\
            \ alle singole identit\xE0 in base a funzioni aziendali o operative definite.\
            \ Il RBAC deve essere utilizzato per evitare la creazione di account condivisi,\
            \ a meno che un vincolo tecnico o operativo non ne renda inevitabile l'utilizzo."
          typical_evidence: "\u2022 Registri di approvazione per le eccezioni."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.5.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.5
      ref_id: 11.5.4
      description: The relevant entities shall regularly review the identities for
        network and information systems and their users and, if no longer needed,
        deactivate them without delay.
      annotation: "\u2022 Verify that all active identities are reviewed. This can\
        \ be done on a recurring schedule, as a minimum quarterly, or more frequently.\
        \ However, for micro-sized entities, this can be done annually. \n\u2022 Disable\
        \ or remove, in a timely fashion, identities that they are no longer required,\
        \ for example delete or disable any dormant identities after a predefined\
        \ period of days of inactivity, where supported.\n\n[TIPS]\n\n\u2022 Centralize\
        \ identity management through a directory or identity service. \n\u2022 Where\
        \ appropriate, define different levels of identification required based on\
        \ role, use or need."
      typical_evidence: "\u2022 Records of reviews and updates showing that identities\
        \ are reviewed regularly and updated as necessary. \n\u2022 Records of changes\
        \ to identities, reflecting any alterations due to role changes or termination\
        \ of employment or inactivity.\n\n[TIPS]\n\n\u2022 Evidence of the systems\
        \ in place, such as IAM solutions."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es r\xE9examinent r\xE9guli\xE8\
            rement les identit\xE9s des r\xE9seaux et syst\xE8mes d\u2019information\
            \ et de leurs utilisateurs et, si elles ne sont plus n\xE9cessaires, les\
            \ d\xE9sactivent sans d\xE9lai."
          annotation: "\u2022 V\xE9rifiez que toutes les identit\xE9s actives sont\
            \ examin\xE9es. Cela peut se faire selon un calendrier r\xE9current, au\
            \ moins trimestriellement ou plus fr\xE9quemment. Cependant, pour les\
            \ micro-entit\xE9s, cela peut \xEAtre fait annuellement. \n\u2022 D\xE9\
            sactiver ou supprimer, en temps opportun, les identit\xE9s dont elles\
            \ ne sont plus n\xE9cessaires, par exemple supprimer ou d\xE9sactiver\
            \ les identit\xE9s dormantes apr\xE8s une p\xE9riode pr\xE9d\xE9finie\
            \ de jours d\u2019inactivit\xE9, le cas \xE9ch\xE9ant.\n\n[CONSEILS]\n\
            \n\u2022 Centralisez la gestion des identit\xE9s via un annuaire ou un\
            \ service d\u2019identit\xE9. \n\u2022 Le cas \xE9ch\xE9ant, d\xE9finir\
            \ les diff\xE9rents niveaux d\u2019identification requis en fonction du\
            \ r\xF4le, de l\u2019utilisation ou du besoin."
          typical_evidence: "\u2022 Registres des examens et des mises \xE0 jour montrant\
            \ que les identit\xE9s sont r\xE9examin\xE9es r\xE9guli\xE8rement et mises\
            \ \xE0 jour au besoin. \n\u2022 Enregistrements des changements d\u2019\
            identit\xE9, refl\xE9tant toute modification due \xE0 des changements\
            \ de r\xF4le ou \xE0 la cessation d\u2019emploi ou \xE0 l\u2019inactivit\xE9\
            .\n\n[CONSEILS]\n\n\u2022 Preuve des syst\xE8mes en place, tels que les\
            \ solutions IAM."
        es:
          description: "Las entidades pertinentes revisar\xE1n peri\xF3dicamente las\
            \ identidades correspondientes a los sistemas de redes y de informaci\xF3\
            n y sus usuarios y, cuando ya no sean necesarias, las desactivar\xE1n\
            \ inmediatamente."
          annotation: "\u2022 Compruebe que se revisan todas las identidades activas.\
            \ Esto se puede hacer en un horario recurrente, como m\xEDnimo trimestralmente,\
            \ o con m\xE1s frecuencia. Sin embargo, en el caso de las entidades de\
            \ tama\xF1o micro, esto se puede hacer anualmente. \n\u2022 Deshabilite\
            \ o elimine, de manera oportuna, las identidades que ya no sean necesarias,\
            \ por ejemplo, elimine o deshabilite las identidades inactivas despu\xE9\
            s de un per\xEDodo predefinido de d\xEDas de inactividad, cuando sea compatible.\n\
            \n[CONSEJOS]\n\n\u2022 Centralizar la gesti\xF3n de identidades a trav\xE9\
            s de un directorio o servicio de identidad. \n\u2022 Cuando proceda, definir\
            \ los diferentes niveles de identificaci\xF3n requeridos en funci\xF3\
            n de la funci\xF3n, el uso o la necesidad."
          typical_evidence: "\u2022 Registros de revisiones y actualizaciones que\
            \ muestren que las identidades se revisan peri\xF3dicamente y se actualizan\
            \ seg\xFAn sea necesario. \n\u2022 Registros de cambios en las identidades,\
            \ que reflejen cualquier alteraci\xF3n debida a cambios de rol o terminaci\xF3\
            n del empleo o inactividad.\n\n[CONSEJOS]\n\n\u2022 Evidencia de los sistemas\
            \ implementados, como las soluciones IAM."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty pravideln\u011B p\u0159\
            ezkoum\xE1vaj\xED identity s\xEDt\xED a informa\u010Dn\xEDch syst\xE9\
            m\u016F a jejich u\u017Eivatel\u016F, a pokud ji\u017E nejsou pot\u0159\
            ebn\xE9, neprodlen\u011B je deaktivuj\xED."
          annotation: "\u2022 Ov\u011B\u0159te, zda jsou zkontrolov\xE1ny v\u0161\
            echny aktivn\xED identity. To lze prov\xE1d\u011Bt podle opakovan\xE9\
            ho pl\xE1nu, minim\xE1ln\u011B \u010Dtvrtletn\u011B nebo \u010Dast\u011B\
            ji. U mikropodnik\u016F to v\u0161ak lze prov\xE1d\u011Bt ka\u017Edoro\u010D\
            n\u011B. \n\u2022 V\u010Das zak\xE1zat nebo odebrat identity, kter\xE9\
            \ ji\u017E nejsou pot\u0159eba, nap\u0159\xEDklad odstranit nebo zak\xE1\
            zat jak\xE9koli ne\u010Dinn\xE9 identity po p\u0159edem definovan\xE9\
            \ dob\u011B ne\u010Dinnosti, pokud je to podporov\xE1no.\n\n[TIPY]\n\n\
            \u2022 Centralizujte spr\xE1vu identit prost\u0159ednictv\xEDm adres\xE1\
            \u0159e nebo slu\u017Eby identit. \n\u2022 Tam, kde je to vhodn\xE9, definujte\
            \ r\u016Fzn\xE9 \xFArovn\u011B identifikace po\u017Eadovan\xE9 na z\xE1\
            klad\u011B role, pou\u017Eit\xED nebo pot\u0159eby."
          typical_evidence: "\u2022 Z\xE1znamy o kontrol\xE1ch a aktualizac\xEDch,\
            \ kter\xE9 ukazuj\xED, \u017Ee identity jsou pravideln\u011B kontrolov\xE1\
            ny a podle pot\u0159eby aktualizov\xE1ny. \n\u2022 Z\xE1znamy o zm\u011B\
            n\xE1ch identit, kter\xE9 odr\xE1\u017Eej\xED jak\xE9koli zm\u011Bny v\
            \ d\u016Fsledku zm\u011Bn rol\xED nebo ukon\u010Den\xED pracovn\xEDho\
            \ pom\u011Bru nebo ne\u010Dinnosti.\n\n[TIPY]\n\n\u2022 Evidence zaveden\xFD\
            ch syst\xE9m\u016F, jako jsou \u0159e\u0161en\xED IAM."
        it:
          description: "I soggetti pertinenti riesaminano periodicamente l'identit\xE0\
            \ delle reti e dei sistemi informativi e dei relativi utenti e, se non\
            \ sono pi\xF9 necessari, le disattivano senza indugio."
          annotation: "\u2022 Verificare che tutte le identit\xE0 attive siano state\
            \ esaminate. Questo pu\xF2 essere fatto in base a un programma ricorrente,\
            \ almeno trimestrale o pi\xF9 frequentemente. Tuttavia, per le entit\xE0\
            \ di microdimensioni, questo pu\xF2 essere fatto annualmente. \n\u2022\
            \ Disabilitare o rimuovere, in modo tempestivo, le identit\xE0 che non\
            \ sono pi\xF9 necessarie, ad esempio eliminare o disabilitare eventuali\
            \ identit\xE0 dormienti dopo un periodo predefinito di giorni di inattivit\xE0\
            , ove supportato.\n\n[CONSIGLI]\n\n\u2022 Centralizza la gestione delle\
            \ identit\xE0 tramite una directory o un servizio di identit\xE0. \n\u2022\
            \ Se del caso, definire i diversi livelli di identificazione richiesti\
            \ in base al ruolo, all'uso o alla necessit\xE0."
          typical_evidence: "\u2022 Registrazioni di revisioni e aggiornamenti che\
            \ dimostrino che le identit\xE0 vengono riviste regolarmente e aggiornate\
            \ se necessario. \n\u2022 Registrazioni di modifiche all'identit\xE0,\
            \ che riflettono eventuali alterazioni dovute a cambiamenti di ruolo o\
            \ cessazione del rapporto di lavoro o inattivit\xE0.\n\n[CONSIGLI]\n\n\
            \u2022 Prove dei sistemi in atto, come le soluzioni IAM."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.6
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11
      ref_id: '11.6'
      name: Authentication
      translations:
        fr:
          name: Authentification
        es:
          name: "Autenticaci\xF3n"
        cs:
          name: "Ov\u011B\u0159en\xED"
        it:
          name: Autenticazione
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.6.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.6
      ref_id: 11.6.1
      description: The relevant entities shall implement secure authentication procedures
        and technologies based on access restrictions and the policy on access control.
      annotation: "\u2022 Authentication technologies are methods used to verify the\
        \ identity of users, devices or systems before granting access to resources.\
        \ Here are some common authentication technologies (indicative, non-exhaustive\
        \ list):\n    o password-based authentication, o passkeys, o two-factor authentication,\
        \ o MFA (95), o biometric authentication, o token-based authentication, such\
        \ as a one-time passcode (OTP), o smart cards, o Fast Identity Online 2 security\
        \ keys, o certificate-based authentication, o SSO, o OpenID Connect.\n\n(95)\
        \ When implementing, the entity should take into account MFA fatigue, which\
        \ can occur when users are overwhelmed when they receive numerous authentication\
        \ prompts. Consider techniques to mitigate this, such as adaptive MFA, passkeys,\
        \ MFA combined with SSO and short session timeouts."
      typical_evidence: "\u2022 Access control policy documents outlining secure authentication\
        \ procedures and technologies. \n\u2022 Logs from authentication systems showing\
        \ successful and failed authentication attempts, which demonstrate secure\
        \ implementation. \n\u2022 Evidence of the systems in place that enforce access\
        \ controls, such as IAM solutions. \n\u2022 Internal or external audit reports\
        \ verifying the implementation of secure authentication procedures aligned\
        \ with the access control policy. \n\u2022 Documentation that shows the use\
        \ of secure authentication and authorization protocols and demonstrates that\
        \ these have been tested to confirm that they are implemented in a secure\
        \ fashion."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es mettent en \u0153uvre des proc\xE9\
            dures et des technologies d\u2019authentification s\xE9curis\xE9es fond\xE9\
            es sur des restrictions d\u2019acc\xE8s et la politique de contr\xF4le\
            \ d\u2019acc\xE8s."
          annotation: "\u2022 Les technologies d\u2019authentification sont des m\xE9\
            thodes utilis\xE9es pour v\xE9rifier l\u2019identit\xE9 des utilisateurs,\
            \ des appareils ou des syst\xE8mes avant d\u2019accorder l\u2019acc\xE8\
            s aux ressources. Voici quelques technologies d\u2019authentification\
            \ courantes (liste indicative et non exhaustive) :\n    o Authentification\
            \ par mot de passe, o Cl\xE9s d\u2019acc\xE8s, o Authentification \xE0\
            \ deux facteurs, o MFA (95), o Authentification biom\xE9trique, o Authentification\
            \ par jeton, telle qu\u2019un code d\u2019acc\xE8s \xE0 usage unique (OTP),\
            \ o Cartes \xE0 puce, o Cl\xE9s de s\xE9curit\xE9 Fast Identity Online\
            \ 2, o Authentification bas\xE9e sur un certificat, o SSO, o OpenID Connect.\n\
            \n(95) Lors de la mise en \u0153uvre, l\u2019entit\xE9 devrait tenir compte\
            \ de la lassitude de l\u2019authentification multifacteur, qui peut se\
            \ produire lorsque les utilisateurs sont submerg\xE9s lorsqu\u2019ils\
            \ re\xE7oivent de nombreuses invites d\u2019authentification. Envisagez\
            \ des techniques pour att\xE9nuer ce ph\xE9nom\xE8ne, telles que l\u2019\
            authentification multifacteur adaptative, les cl\xE9s d\u2019acc\xE8s,\
            \ l\u2019authentification multifacteur combin\xE9e \xE0 l\u2019authentification\
            \ unique et les d\xE9lais d\u2019expiration de session courts."
          typical_evidence: "\u2022 Documents de politique de contr\xF4le d\u2019\
            acc\xE8s d\xE9crivant les proc\xE9dures et les technologies d\u2019authentification\
            \ s\xE9curis\xE9es. \n\u2022 Journaux des syst\xE8mes d\u2019authentification\
            \ montrant les tentatives d\u2019authentification r\xE9ussies et \xE9\
            chou\xE9es, qui d\xE9montrent une mise en \u0153uvre s\xE9curis\xE9e.\
            \ \n\u2022 Preuve des syst\xE8mes en place qui appliquent les contr\xF4\
            les d\u2019acc\xE8s, tels que les solutions IAM. \n\u2022 Rapports d\u2019\
            audit interne ou externe v\xE9rifiant la mise en place de proc\xE9dures\
            \ d\u2019authentification s\xE9curis\xE9es align\xE9es sur la politique\
            \ de contr\xF4le d\u2019acc\xE8s. \n\u2022 Documentation montrant l\u2019\
            utilisation de protocoles d\u2019authentification et d\u2019autorisation\
            \ s\xE9curis\xE9s et d\xE9montrant que ceux-ci ont \xE9t\xE9 test\xE9\
            s pour confirmer qu\u2019ils sont mis en \u0153uvre de mani\xE8re s\xE9\
            curis\xE9e."
        es:
          description: "Las entidades pertinentes pondr\xE1n en marcha tecnolog\xED\
            as y procedimientos de autenticaci\xF3n seguros basados en las restricciones\
            \ de acceso y en la pol\xEDtica de control de acceso."
          annotation: "\u2022 Las tecnolog\xEDas de autenticaci\xF3n son m\xE9todos\
            \ utilizados para verificar la identidad de los usuarios, dispositivos\
            \ o sistemas antes de conceder acceso a los recursos. Estas son algunas\
            \ tecnolog\xEDas de autenticaci\xF3n comunes (lista indicativa y no exhaustiva):\n\
            \    o autenticaci\xF3n basada en contrase\xF1a, o claves de acceso, o\
            \ autenticaci\xF3n de dos factores, o MFA (95), o autenticaci\xF3n biom\xE9\
            trica, o autenticaci\xF3n basada en tokens, como un c\xF3digo de acceso\
            \ de un solo uso (OTP), o tarjetas inteligentes, o claves de seguridad\
            \ Fast Identity Online 2, o autenticaci\xF3n basada en certificados, o\
            \ SSO, o OpenID Connect.\n\n(95) A la hora de llevar a cabo, la entidad\
            \ debe tener en cuenta la fatiga de la MFA, que puede producirse cuando\
            \ los usuarios se ven abrumados al recibir numerosas solicitudes de autenticaci\xF3\
            n. Considere t\xE9cnicas para mitigar esto, como MFA adaptable, claves\
            \ de paso, MFA combinado con SSO y tiempos de espera de sesi\xF3n cortos."
          typical_evidence: "\u2022 Documentos de pol\xEDtica de control de acceso\
            \ que describen los procedimientos y tecnolog\xEDas de autenticaci\xF3\
            n segura. \n\u2022 Registros de sistemas de autenticaci\xF3n que muestran\
            \ intentos de autenticaci\xF3n exitosos y fallidos, lo que demuestra una\
            \ implementaci\xF3n segura. \n\u2022 Evidencia de los sistemas implementados\
            \ que aplican controles de acceso, como las soluciones IAM. \n\u2022 Informes\
            \ de auditor\xEDa interna o externa que verifiquen la implementaci\xF3\
            n de procedimientos de autenticaci\xF3n segura alineados con la pol\xED\
            tica de control de acceso. \n\u2022 Documentaci\xF3n que muestre el uso\
            \ de protocolos seguros de autenticaci\xF3n y autorizaci\xF3n y demuestre\
            \ que estos han sido probados para confirmar que se implementan de forma\
            \ segura."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty zavedou bezpe\u010Dn\xE9\
            \ ov\u011B\u0159ovac\xED postupy a technologie zalo\u017Een\xE9 na omezen\xED\
            \ p\u0159\xEDstupu a politice \u0159\xEDzen\xED p\u0159\xEDstupu."
          annotation: "\u2022 Autentiza\u010Dn\xED technologie jsou metody pou\u017E\
            \xEDvan\xE9 k ov\u011B\u0159en\xED identity u\u017Eivatel\u016F, za\u0159\
            \xEDzen\xED nebo syst\xE9m\u016F p\u0159ed ud\u011Blen\xEDm p\u0159\xED\
            stupu ke zdroj\u016Fm. Zde jsou n\u011Bkter\xE9 b\u011B\u017En\xE9 technologie\
            \ ov\u011B\u0159ov\xE1n\xED (orienta\u010Dn\xED, ne\xFApln\xFD seznam):\n\
            \    o ov\u011B\u0159ov\xE1n\xED zalo\u017Een\xE9 na hesle, o p\u0159\xED\
            stupov\xE9 kl\xED\u010De, o dvoufaktorov\xE9 ov\u011B\u0159ov\xE1n\xED\
            , o MFA (95), o biometrick\xE9 ov\u011B\u0159ov\xE1n\xED, o ov\u011B\u0159\
            ov\xE1n\xED zalo\u017Een\xE9 na tokenech, jako je jednor\xE1zov\xE9 heslo\
            \ (OTP), o \u010Dipov\xE9 karty, o Bezpe\u010Dnostn\xED kl\xED\u010De\
            \ Fast Identity Online 2, o ov\u011B\u0159ov\xE1n\xED na z\xE1klad\u011B\
            \ certifik\xE1t\u016F, o SSO, o OpenID Connect.\n\n(95) P\u0159i implementaci\
            \ by m\u011Bl subjekt vz\xEDt v \xFAvahu \xFAnavu z v\xEDcefaktorov\xE9\
            ho ov\u011B\u0159ov\xE1n\xED, ke kter\xE9 m\u016F\u017Ee doj\xEDt, kdy\u017E\
            \ jsou u\u017Eivatel\xE9 zahlceni, kdy\u017E obdr\u017E\xED \u010Detn\xE9\
            \ v\xFDzvy k ov\u011B\u0159en\xED. Zva\u017Ete techniky, jak tento probl\xE9\
            m zm\xEDrnit, jako je adaptivn\xED MFA, hesla, MFA v kombinaci s jednotn\xFD\
            m p\u0159ihla\u0161ov\xE1n\xEDm a kr\xE1tk\xE9 \u010Dasov\xE9 limity relace."
          typical_evidence: "\u2022 Dokumenty z\xE1sad \u0159\xEDzen\xED p\u0159\xED\
            stupu popisuj\xEDc\xED bezpe\u010Dn\xE9 autentiza\u010Dn\xED postupy a\
            \ technologie. \n\u2022 Protokoly z autentiza\u010Dn\xEDch syst\xE9m\u016F\
            \ zobrazuj\xEDc\xED \xFAsp\u011B\u0161n\xE9 a ne\xFAsp\u011B\u0161n\xE9\
            \ pokusy o autentizaci, kter\xE9 demonstruj\xED bezpe\u010Dnou implementaci.\
            \ \n\u2022 D\u016Fkazy o zaveden\xFDch syst\xE9mech, kter\xE9 vynucuj\xED\
            \ \u0159\xEDzen\xED p\u0159\xEDstupu, jako jsou \u0159e\u0161en\xED IAM.\
            \ \n\u2022 Zpr\xE1vy o intern\xEDm nebo extern\xEDm auditu ov\u011B\u0159\
            uj\xEDc\xED implementaci bezpe\u010Dn\xFDch autentiza\u010Dn\xEDch postup\u016F\
            \ v souladu s politikou kontroly p\u0159\xEDstupu. \n\u2022 Dokumentace,\
            \ kter\xE1 ukazuje pou\u017Eit\xED zabezpe\u010Den\xFDch ov\u011B\u0159\
            ovac\xEDch a autoriza\u010Dn\xEDch protokol\u016F a prokazuje, \u017E\
            e byly testov\xE1ny, aby se potvrdilo, \u017Ee jsou implementov\xE1ny\
            \ bezpe\u010Dn\xFDm zp\u016Fsobem."
        it:
          description: I soggetti pertinenti attuano procedure e tecnologie di autenticazione
            sicure basate sulle restrizioni di accesso e sulla politica di controllo
            degli accessi.
          annotation: "\u2022 Le tecnologie di autenticazione sono metodi utilizzati\
            \ per verificare l'identit\xE0 di utenti, dispositivi o sistemi prima\
            \ di concedere l'accesso alle risorse. Di seguito sono riportate alcune\
            \ tecnologie di autenticazione comuni (elenco indicativo e non esaustivo):\n\
            \    o autenticazione basata su password, o passkey, o autenticazione\
            \ a due fattori, o MFA (95), o autenticazione biometrica, o autenticazione\
            \ basata su token, come un passcode monouso (OTP), o smart card, o chiavi\
            \ di sicurezza Fast Identity Online 2, o autenticazione basata su certificati,\
            \ o SSO, o OpenID Connect.\n\n(95) Nell'attuazione, l'entit\xE0 dovrebbe\
            \ tenere conto dell'affaticamento da autenticazione a pi\xF9 fattori,\
            \ che pu\xF2 verificarsi quando gli utenti sono sopraffatti dalla ricezione\
            \ di numerose richieste di autenticazione. Prendere in considerazione\
            \ le tecniche per mitigare questo problema, ad esempio MFA adattiva, passkey,\
            \ MFA combinata con SSO e timeout di sessione brevi."
          typical_evidence: "\u2022 Documenti sulle politiche di controllo degli accessi\
            \ che delineano procedure e tecnologie di autenticazione sicura. \n\u2022\
            \ Registri dei sistemi di autenticazione che mostrano i tentativi di autenticazione\
            \ riusciti e non riusciti, che dimostrano un'implementazione sicura. \n\
            \u2022 Prove dei sistemi in atto che applicano i controlli di accesso,\
            \ come le soluzioni IAM. \n\u2022 Report di audit interni o esterni che\
            \ verificano l'implementazione di procedure di autenticazione sicura allineate\
            \ con la politica di controllo degli accessi. \n\u2022 Documentazione\
            \ che mostra l'uso di protocolli di autenticazione e autorizzazione sicuri\
            \ e dimostra che questi sono stati testati per confermare che sono implementati\
            \ in modo sicuro."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.6.2
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.6
      ref_id: 11.6.2
      description: 'For that purpose, the relevant entities shall:'
      annotation: "\u2022 Use unique authentication credentials for all the entity\u2019\
        s assets. Best-practice implementation includes, as a minimum, an 8-character\
        \ password for accounts using MFA and a 14-character password for accounts\
        \ not using MFA. \n\u2022 Consider that the allocation and management process\
        \ for authentication information should ensure that:\n    o passwords or PINs\
        \ generated automatically during enrolment processes as temporary secret authentication\
        \ information are non-guessable and unique for each user; and that users are\
        \ required to change them after the first use;\n    o procedures are established\
        \ to verify the identity of a user prior to providing new, replacement or\
        \ temporary authentication information;\n    o authentication information,\
        \ including temporary authentication information, is transmitted to users\
        \ in a secure manner (e.g. via an authenticated and protected channel), and\
        \ the use of unprotected (clear text) electronic mail messages is avoided;\n\
        \    o users acknowledge receipt of authentication information;\n    o default\
        \ authentication information as predefined or provided by suppliers is changed\
        \ immediately following installation of systems or software;\n    o records\
        \ of significant events concerning allocation and management of authentication\
        \ information are kept and their confidentiality granted, and that the record\
        \ keeping method is approved (e.g. using an approved password vault tool).\
        \ \n\u2022 When passwords are used as authentication information, the password\
        \ management system should:\n    o allow users to select and change their\
        \ own passwords and include a confirmation procedure to address input errors;\n\
        \    o enforce strong passwords (96);\n    o force users to change their passwords\
        \ at first login, if relevant;\n    o enforce password changes as necessary,\
        \ for example after a security incident or upon termination or change of employment\
        \ when a user has known passwords for identities that remain active (e.g.\
        \ shared identities);\n    o prevent the use of commonly used passwords, and\
        \ compromised combinations of usernames and password from hacked systems;\n\
        \    o not display passwords on the screen when they are being entered; and\n\
        \    o store and transmit passwords in protected form. \n\u2022 The use of\
        \ phishing-resistant MFA is recommended. Below is a list of currently available\
        \ solutions ordered from strongest to weakest.\n    o \u2018Strong\u2019:\n\
        \        * phishing-resistant: - no shared secrets, not vulnerable to attacker-in-the-middle;\
        \ - protected cryptographic private key that can be securely registered to:\n\
        \    o a domain, in accordance with Fast Identity Online (FIDO) and W3C WebAuthn\
        \ standards;\n    o a trust provider, following public key infrastructure\
        \ and International Telecommunication Union X.509 standards.\n    o \u2018\
        Medium\u2019 MFA, for example:\n        * push notification, number matching\
        \ or application based.\n    o \u2018Last resort\u2019 MFA, for example:\n\
        \        * text message or email OTP. \n\u2022 Perform password encryption\
        \ and hashing in accordance with approved cryptographic techniques for passwords\
        \ (section 9.2). \n\u2022 Generate an alert when a potential attempted or\
        \ successful breach of login controls is detected.\n\n(96) Password complexity\
        \ can be a good cybersecurity practice, but it is not the only factor to consider.\
        \ Recent guidelines, such as those from NIST, emphasise password length over\
        \ complexity; see https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-63B-4.2pd.pdf,\
        \ line 725."
      typical_evidence: "\u2022 Logs or reports related to authentication. \n\u2022\
        \ Compliance audits from internal or external audits verifying that the management\
        \ of identities aligns with the policy and regulatory requirements. \n\u2022\
        \ Documentation showing that the identities are reviewed regularly and updated\
        \ as necessary. \n\u2022 Records of changes to identities, reflecting any\
        \ alterations due to role changes or termination of employment."
      translations:
        fr:
          description: "\xC0 cette fin, les entit\xE9s concern\xE9es:"
          annotation: "\u2022 Utiliser des identifiants d'authentification uniques\
            \ pour tous les actifs de l'entit\xE9. La mise en \u0153uvre des meilleures\
            \ pratiques comprend, au minimum, un mot de passe de 8 caract\xE8res pour\
            \ les comptes utilisant l'AMF et un mot de passe de 14 caract\xE8res pour\
            \ les comptes n'utilisant pas l'AMF. \n\u2022 Le processus d'attribution\
            \ et de gestion des informations d'authentification doit garantir que\
            \ :\n    o les mots de passe ou les codes PIN g\xE9n\xE9r\xE9s automatiquement\
            \ lors des processus d'inscription en tant qu'informations d'authentification\
            \ secr\xE8tes temporaires sont invisibles et uniques pour chaque utilisateur,\
            \ et que les utilisateurs sont tenus de les modifier apr\xE8s la premi\xE8\
            re utilisation ;\n    o des proc\xE9dures sont \xE9tablies pour v\xE9\
            rifier l'identit\xE9 d'un utilisateur avant de fournir des informations\
            \ d'authentification nouvelles, de remplacement ou temporaires ;\n   \
            \ o les informations d'authentification, y compris les informations d'authentification\
            \ temporaires, sont transmises aux utilisateurs de mani\xE8re s\xE9curis\xE9\
            e (par exemple, par le biais d'un syst\xE8me d'authentification prot\xE9\
            g\xE9 et authentifi\xE9). o les informations d'authentification, y compris\
            \ les informations d'authentification temporaires, sont transmises aux\
            \ utilisateurs de mani\xE8re s\xE9curis\xE9e (par exemple via un canal\
            \ authentifi\xE9 et prot\xE9g\xE9) et l'utilisation de messages \xE9lectroniques\
            \ non prot\xE9g\xE9s (en texte clair) est \xE9vit\xE9e ;\n    o les utilisateurs\
            \ accusent r\xE9ception des informations d'authentification ;\n    o les\
            \ informations d'authentification par d\xE9faut pr\xE9d\xE9finies ou fournies\
            \ par les fournisseurs sont modifi\xE9es imm\xE9diatement apr\xE8s l'installation\
            \ des syst\xE8mes ou des logiciels ;\n    o les \xE9v\xE9nements importants\
            \ concernant l'attribution et la gestion des informations d'authentification\
            \ sont enregistr\xE9s et leur confidentialit\xE9 est garantie, et la m\xE9\
            thode d'enregistrement est approuv\xE9e (par exemple \xE0 l'aide d'un\
            \ outil approuv\xE9 d'archivage des mots de passe).\n\u2022 Lorsque les\
            \ mots de passe sont utilis\xE9s comme informations d'authentification,\
            \ le syst\xE8me de gestion des mots de passe doit :\n    o permettre aux\
            \ utilisateurs de s\xE9lectionner et de modifier leurs propres mots de\
            \ passe et inclure une proc\xE9dure de confirmation pour traiter les erreurs\
            \ de saisie ;\n    o imposer des mots de passe forts (96) ;\n    o obliger\
            \ les utilisateurs \xE0 modifier leurs mots de passe lors de la premi\xE8\
            re connexion, le cas \xE9ch\xE9ant ;\n    o imposer des changements de\
            \ mots de passe si n\xE9cessaire, par exemple apr\xE8s un incident de\
            \ s\xE9curit\xE9 ou lors d'un licenciement ou d'un changement d'emploi\
            \ lorsqu'un utilisateur a des mots de passe connus pour des identit\xE9\
            s qui restent actives (par ex. des identit\xE9s partag\xE9es)\n    o emp\xEA\
            cher l'utilisation de mots de passe couramment utilis\xE9s et de combinaisons\
            \ compromises de noms d'utilisateur et de mots de passe provenant de syst\xE8\
            mes pirat\xE9s ;\n    o ne pas afficher les mots de passe \xE0 l'\xE9\
            cran lorsqu'ils sont saisis ; et\n    o stocker et transmettre les mots\
            \ de passe sous une forme prot\xE9g\xE9e.\n\u2022 Il est recommand\xE9\
            \ d'utiliser un syst\xE8me d'authentification multifonctionnel r\xE9sistant\
            \ \xE0 l'hame\xE7onnage. Vous trouverez ci-dessous une liste des solutions\
            \ actuellement disponibles, class\xE9es de la plus forte \xE0 la plus\
            \ faible.\n    o \xAB Forte \xBB :\n        * r\xE9sistant \xE0 l'hame\xE7\
            onnage : - pas de secrets partag\xE9s, pas de vuln\xE9rabilit\xE9 \xE0\
            \ un attaquant au milieu ; - cl\xE9 priv\xE9e cryptographique prot\xE9\
            g\xE9e qui peut \xEAtre enregistr\xE9e en toute s\xE9curit\xE9 aupr\xE8\
            s :\n    o d'un domaine, conform\xE9ment aux normes Fast Identity Online\
            \ (FIDO) et W3C WebAuthn ;\n    o d'un fournisseur de confiance, conform\xE9\
            ment aux normes X.509 de l'infrastructure \xE0 cl\xE9 publique et de l'Union\
            \ internationale des t\xE9l\xE9communications.\n    o AMF \xAB moyenne\
            \ \xBB, par exemple :\n        * notification push, correspondance des\
            \ num\xE9ros ou application.\n    o AMF de \xAB dernier recours \xBB,\
            \ par exemple :\n        * message texte ou OTP par courriel. \n\u2022\
            \ Proc\xE9der au chiffrement et au hachage des mots de passe conform\xE9\
            ment aux techniques cryptographiques approuv\xE9es pour les mots de passe\
            \ (section 9.2). \n\u2022 G\xE9n\xE9rer une alerte en cas de d\xE9tection\
            \ d'une tentative de violation ou d'une violation r\xE9ussie des contr\xF4\
            les de connexion.\n\n(96) La complexit\xE9 des mots de passe peut \xEA\
            tre une bonne pratique de cybers\xE9curit\xE9, mais ce n'est pas le seul\
            \ facteur \xE0 prendre en compte. Des lignes directrices r\xE9centes,\
            \ telles que celles du NIST, mettent l'accent sur la longueur des mots\
            \ de passe plut\xF4t que sur leur complexit\xE9 ; voir https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-63B-4.2pd.pdf,\
            \ ligne 725."
          typical_evidence: "\u2022 Journaux ou rapports li\xE9s \xE0 l\u2019authentification.\
            \ \n\u2022 Audits de conformit\xE9 issus d\u2019audits internes ou externes\
            \ v\xE9rifiant que la gestion des identit\xE9s est conforme \xE0 la politique\
            \ et aux exigences r\xE9glementaires. \n\u2022 Documentation montrant\
            \ que les identit\xE9s sont r\xE9vis\xE9es r\xE9guli\xE8rement et mises\
            \ \xE0 jour si n\xE9cessaire. \n\u2022 Enregistrements des changements\
            \ d\u2019identit\xE9, refl\xE9tant toute modification due \xE0 des changements\
            \ de r\xF4le ou \xE0 la cessation d\u2019emploi."
        es:
          description: 'A tal efecto, las entidades pertinentes:'
          annotation: "\u2022 Utilice credenciales de autenticaci\xF3n \xFAnicas para\
            \ todos los activos de la entidad. La implementaci\xF3n de mejores pr\xE1\
            cticas incluye, como m\xEDnimo, una contrase\xF1a de 8 caracteres para\
            \ las cuentas que utilizan MFA y una contrase\xF1a de 14 caracteres para\
            \ las cuentas que no utilizan MFA. \n\u2022 Considere que el proceso de\
            \ asignaci\xF3n y gesti\xF3n de la informaci\xF3n de autenticaci\xF3n\
            \ debe garantizar que:\n    o las contrase\xF1as o PIN generados autom\xE1\
            ticamente durante los procesos de inscripci\xF3n como informaci\xF3n de\
            \ autenticaci\xF3n secreta temporal no se puedan adivinar y sean \xFA\
            nicos para cada usuario; y que se exija a los usuarios que los cambien\
            \ despu\xE9s del primer uso;\n    o se establezcan procedimientos para\
            \ verificar la identidad de un usuario antes de proporcionar informaci\xF3\
            n de autenticaci\xF3n nueva, de sustituci\xF3n o temporal;\n    o la informaci\xF3\
            n de autenticaci\xF3n, incluida la informaci\xF3n de autenticaci\xF3n\
            \ temporal, se transmita a los usuarios de forma segura (p. ej., a trav\xE9\
            s de una red autenticada y protegida). p. ej., a trav\xE9s de un canal\
            \ autenticado y protegido), y se evita el uso de mensajes de correo electr\xF3\
            nico no protegidos (texto claro);\n    o los usuarios acusan recibo de\
            \ la informaci\xF3n de autenticaci\xF3n;\n    o la informaci\xF3n de autenticaci\xF3\
            n por defecto, predefinida o proporcionada por los proveedores, se cambia\
            \ inmediatamente despu\xE9s de la instalaci\xF3n de sistemas o programas\
            \ inform\xE1ticos;\n    o se mantienen registros de los eventos significativos\
            \ relativos a la asignaci\xF3n y gesti\xF3n de la informaci\xF3n de autenticaci\xF3\
            n y se garantiza su confidencialidad, y que el m\xE9todo de mantenimiento\
            \ de registros est\xE1 aprobado (p. ej., utilizando una herramienta de\
            \ b\xF3veda de contrase\xF1as aprobada).\n\u2022 Cuando las contrase\xF1\
            as se utilizan como informaci\xF3n de autenticaci\xF3n, el sistema de\
            \ gesti\xF3n de contrase\xF1as debe:\n    o permitir a los usuarios seleccionar\
            \ y cambiar sus propias contrase\xF1as e incluir un procedimiento de confirmaci\xF3\
            n para hacer frente a los errores de entrada;\n    o imponer contrase\xF1\
            as seguras (96);\n    o obligar a los usuarios a cambiar sus contrase\xF1\
            as en el primer inicio de sesi\xF3n, si procede;\n    o imponer cambios\
            \ de contrase\xF1a seg\xFAn sea necesario, por ejemplo, despu\xE9s de\
            \ un incidente de seguridad o tras la terminaci\xF3n o cambio de empleo\
            \ cuando un usuario tiene contrase\xF1as conocidas para identidades que\
            \ permanecen activas (por ejemplo, identidades compartidas); o evitar\
            \ el uso de contrase\xF1as de uso com\xFAn y combinaciones comprometidas\
            \ de nombres de usuario y contrase\xF1as de sistemas pirateados; o no\
            \ mostrar las contrase\xF1as en la pantalla cuando se est\xE1n introduciendo;\
            \ y o almacenar y p. ej. identidades compartidas);\n    o impedir el uso\
            \ de contrase\xF1as de uso com\xFAn y combinaciones comprometidas de nombres\
            \ de usuario y contrase\xF1as de sistemas pirateados;\n    o no mostrar\
            \ las contrase\xF1as en la pantalla cuando se est\xE1n introduciendo;\
            \ y\n    o almacenar y transmitir las contrase\xF1as de forma protegida.\n\
            \u2022 Se recomienda el uso de MFA resistente al phishing. A continuaci\xF3\
            n se ofrece una lista de las soluciones disponibles en la actualidad ordenadas\
            \ de la m\xE1s fuerte a la m\xE1s d\xE9bil.\n    o \xABFuerte\xBB:\n \
            \       * resistente al phishing: - sin secretos compartidos, no vulnerable\
            \ a un atacante en el medio; - clave privada criptogr\xE1fica protegida\
            \ que puede registrarse de forma segura en:\n    o un dominio, de acuerdo\
            \ con las normas Fast Identity Online (FIDO) y W3C WebAuthn;\n    o un\
            \ proveedor de confianza, siguiendo la infraestructura de clave p\xFA\
            blica y las normas X.509 de la Uni\xF3n Internacional de Telecomunicaciones.\n\
            \    o MFA \u201CMedia\u201D, por ejemplo:\n        * notificaci\xF3n\
            \ push, coincidencia de n\xFAmeros o basada en aplicaciones.\n    o AMF\
            \ de \xAB\xFAltimo recurso\xBB, por ejemplo:\n        * mensaje de texto\
            \ o correo electr\xF3nico OTP. \n\u2022 Realizar el cifrado y hashing\
            \ de la contrase\xF1a de acuerdo con las t\xE9cnicas criptogr\xE1ficas\
            \ aprobadas para contrase\xF1as (secci\xF3n 9.2). \n\u2022 Generar una\
            \ alerta cuando se detecte un posible intento o \xE9xito de violaci\xF3\
            n de los controles de inicio de sesi\xF3n.\n\n(96) La complejidad de la\
            \ contrase\xF1a puede ser una buena pr\xE1ctica de ciberseguridad, pero\
            \ no es el \xFAnico factor a tener en cuenta. Directrices recientes, como\
            \ las del NIST, hacen hincapi\xE9 en la longitud de la contrase\xF1a por\
            \ encima de la complejidad; v\xE9ase https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-63B-4.2pd.pdf,\
            \ l\xEDnea 725."
          typical_evidence: "\u2022 Registros o informes relacionados con la autenticaci\xF3\
            n. \n\u2022 Auditor\xEDas de cumplimiento de auditor\xEDas internas o\
            \ externas que verifican que la gesti\xF3n de identidades se alinea con\
            \ los requisitos normativos y de pol\xEDticas. \n\u2022 Documentaci\xF3\
            n que demuestre que las identidades se revisan peri\xF3dicamente y se\
            \ actualizan seg\xFAn sea necesario. \n\u2022 Registros de cambios en\
            \ las identidades, que reflejan cualquier alteraci\xF3n debida a cambios\
            \ de rol o terminaci\xF3n del empleo."
        cs:
          description: "Za t\xEDmto \xFA\u010Delem p\u0159\xEDslu\u0161n\xE9 subjekty:"
          annotation: "\u2022 Pou\u017Eijte jedine\u010Dn\xE9 ov\u011B\u0159ovac\xED\
            \ pov\u011B\u0159en\xED pro v\u0161echna aktiva subjektu. Implementace\
            \ osv\u011Bd\u010Den\xFDch postup\u016F zahrnuje minim\xE1ln\u011B osmiznakov\xE9\
            \ heslo pro \xFA\u010Dty pou\u017E\xEDvaj\xEDc\xED MFA a \u010Dtrn\xE1\
            ctiznakov\xE9 heslo pro \xFA\u010Dty nepou\u017E\xEDvaj\xEDc\xED MFA.\
            \ \n\u2022 Zva\u017Ete, \u017Ee proces p\u0159id\u011Blov\xE1n\xED a spr\xE1\
            vy autentiza\u010Dn\xEDch \xFAdaj\u016F by m\u011Bl zajistit, aby:\n \
            \   o hesla nebo PIN k\xF3dy generovan\xE9 automaticky b\u011Bhem proces\u016F\
            \ registrace jako do\u010Dasn\xE9 tajn\xE9 autentiza\u010Dn\xED \xFAdaje\
            \ byly neh\xE1dateln\xE9 a jedine\u010Dn\xE9 pro ka\u017Ed\xE9ho u\u017E\
            ivatele; a aby u\u017Eivatel\xE9 byli povinni je po prvn\xEDm pou\u017E\
            it\xED zm\u011Bnit;\n    o byly stanoveny postupy pro ov\u011B\u0159en\xED\
            \ toto\u017Enosti u\u017Eivatele p\u0159ed poskytnut\xEDm nov\xFDch, n\xE1\
            hradn\xEDch nebo do\u010Dasn\xFDch autentiza\u010Dn\xEDch \xFAdaj\u016F\
            ;\n    o autentiza\u010Dn\xED \xFAdaje, v\u010Detn\u011B do\u010Dasn\xFD\
            ch autentiza\u010Dn\xEDch \xFAdaj\u016F, byly u\u017Eivatel\u016Fm p\u0159\
            ed\xE1v\xE1ny bezpe\u010Dn\xFDm zp\u016Fsobem (nap\u0159. nap\u0159. prost\u0159\
            ednictv\xEDm ov\u011B\u0159en\xE9ho a chr\xE1n\u011Bn\xE9ho kan\xE1lu)\
            \ a zamez\xED se pou\u017E\xEDv\xE1n\xED nechr\xE1n\u011Bn\xFDch (\u010D\
            ist\u011B textov\xFDch) zpr\xE1v elektronick\xE9 po\u0161ty;\n    o u\u017E\
            ivatel\xE9 potvrd\xED p\u0159ijet\xED autentiza\u010Dn\xEDch informac\xED\
            ;\n    o v\xFDchoz\xED autentiza\u010Dn\xED informace, jak jsou p\u0159\
            edem definov\xE1ny nebo poskytov\xE1ny dodavateli, jsou zm\u011Bn\u011B\
            ny bezprost\u0159edn\u011B po instalaci syst\xE9m\u016F nebo softwaru;\n\
            \    o jsou vedeny z\xE1znamy o v\xFDznamn\xFDch ud\xE1lostech t\xFDkaj\xED\
            c\xEDch se p\u0159id\u011Blov\xE1n\xED a spr\xE1vy autentiza\u010Dn\xED\
            ch informac\xED a je zaji\u0161t\u011Bna jejich d\u016Fv\u011Brnost a\
            \ \u017Ee je schv\xE1len zp\u016Fsob veden\xED z\xE1znam\u016F (nap\u0159\
            . pomoc\xED schv\xE1len\xE9ho n\xE1stroje pro ukl\xE1d\xE1n\xED hesel).\n\
            \u2022 Pokud se jako autentiza\u010Dn\xED informace pou\u017E\xEDvaj\xED\
            \ hesla, syst\xE9m spr\xE1vy hesel by m\u011Bl:\n    o umo\u017Enit u\u017E\
            ivatel\u016Fm volbu a zm\u011Bnu vlastn\xEDch hesel a zahrnout potvrzovac\xED\
            \ postup pro \u0159e\u0161en\xED chyb p\u0159i zad\xE1v\xE1n\xED;\n  \
            \  o vynucovat siln\xE1 hesla (96);\n    o donutit u\u017Eivatele, aby\
            \ zm\u011Bnili sv\xE1 hesla p\u0159i prvn\xEDm p\u0159ihl\xE1\u0161en\xED\
            , je-li to relevantn\xED;\n    o vynucovat zm\u011Bnu hesel podle pot\u0159\
            eby, nap\u0159\xEDklad po bezpe\u010Dnostn\xEDm incidentu nebo po ukon\u010D\
            en\xED \u010Di zm\u011Bn\u011B zam\u011Bstn\xE1n\xED, pokud m\xE1 u\u017E\
            ivatel zn\xE1m\xE1 hesla pro identity, kter\xE9 z\u016Fst\xE1vaj\xED aktivn\xED\
            \ (nap\u0159. nap\u0159. sd\xEDlen\xE9 identity);\n    o zabr\xE1nit pou\u017E\
            \xEDv\xE1n\xED b\u011B\u017En\u011B pou\u017E\xEDvan\xFDch hesel a kompromituj\xED\
            c\xEDch kombinac\xED u\u017Eivatelsk\xFDch jmen a hesel z hacknut\xFD\
            ch syst\xE9m\u016F;\n    o nezobrazovat hesla na obrazovce p\u0159i jejich\
            \ zad\xE1v\xE1n\xED a\n    o ukl\xE1dat a p\u0159en\xE1\u0161et hesla\
            \ v chr\xE1n\u011Bn\xE9 podob\u011B.\n\u2022 Doporu\u010Duje se pou\u017E\
            \xEDvat MFA odoln\xE9 proti phishingu. N\xED\u017Ee je uveden seznam aktu\xE1\
            ln\u011B dostupn\xFDch \u0159e\u0161en\xED se\u0159azen\xFDch od nejsiln\u011B\
            j\u0161\xEDho po nejslab\u0161\xED.\n    o \u201ESiln\xE9\u201C:\n   \
            \     * odoln\xE9 proti phishingu: - \u017E\xE1dn\xE9 sd\xEDlen\xE9 tajemstv\xED\
            , nen\xED zraniteln\xE9 v\u016F\u010Di \xFAto\u010Dn\xEDkovi uprost\u0159\
            ed; - chr\xE1n\u011Bn\xFD kryptografick\xFD soukrom\xFD kl\xED\u010D,\
            \ kter\xFD lze bezpe\u010Dn\u011B zaregistrovat na:\n    o dom\xE9n\u011B\
            \ v souladu se standardy Fast Identity Online (FIDO) a W3C WebAuthn;\n\
            \    o poskytovateli d\u016Fv\u011Bry podle infrastruktury ve\u0159ejn\xFD\
            ch kl\xED\u010D\u016F a standard\u016F Mezin\xE1rodn\xED telekomunika\u010D\
            n\xED unie X.509.\n    o \u201ESt\u0159edn\u011B siln\xE9\u201C MFA, nap\u0159\
            :\n        o MFA \u201Eposledn\xED instance\u201C, nap\u0159\xEDklad:\
            \ * push notifikace, porovn\xE1v\xE1n\xED \u010D\xEDsel nebo aplikace.\n\
            \    o MFA \u201Eposledn\xED instance\u201C, nap\u0159\xEDklad: * push\
            \ notifikace, porovn\xE1v\xE1n\xED \u010D\xEDsel nebo aplikace:\n    \
            \    * textov\xE1 zpr\xE1va nebo e-mailov\xE9 OTP. \n\u2022 Prov\xE1d\u011B\
            jte \u0161ifrov\xE1n\xED a hashov\xE1n\xED hesel v souladu se schv\xE1\
            len\xFDmi kryptografick\xFDmi technikami pro hesla (odd\xEDl 9.2). \n\u2022\
            \ Generujte v\xFDstrahu p\u0159i zji\u0161t\u011Bn\xED potenci\xE1ln\xED\
            ho pokusu nebo \xFAsp\u011B\u0161n\xE9ho naru\u0161en\xED kontroly p\u0159\
            ihl\xE1\u0161en\xED.\n\n(96) Slo\u017Eitost hesla m\u016F\u017Ee b\xFD\
            t dobr\xFDm postupem v oblasti kybernetick\xE9 bezpe\u010Dnosti, ale nen\xED\
            \ jedin\xFDm faktorem, kter\xFD je t\u0159eba zv\xE1\u017Eit. Nejnov\u011B\
            j\u0161\xED pokyny, nap\u0159\xEDklad od NIST, zd\u016Fraz\u0148uj\xED\
            \ d\xE9lku hesla p\u0159ed jeho slo\u017Eitost\xED; viz https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-63B-4.2pd.pdf,\
            \ \u0159\xE1dek 725."
          typical_evidence: "\u2022 Protokoly nebo zpr\xE1vy souvisej\xEDc\xED s autentizac\xED\
            . \n\u2022 Audity souladu s p\u0159edpisy z intern\xEDch nebo extern\xED\
            ch audit\u016F, kter\xE9 ov\u011B\u0159uj\xED, zda je spr\xE1va identit\
            \ v souladu se z\xE1sadami a regula\u010Dn\xEDmi po\u017Eadavky. \n\u2022\
            \ Dokumentace prokazuj\xEDc\xED, \u017Ee identity jsou pravideln\u011B\
            \ kontrolov\xE1ny a podle pot\u0159eby aktualizov\xE1ny. \n\u2022 Z\xE1\
            znamy o zm\u011Bn\xE1ch identit, kter\xE9 odr\xE1\u017Eej\xED jak\xE9\
            koli zm\u011Bny v d\u016Fsledku zm\u011Bn rol\xED nebo ukon\u010Den\xED\
            \ pracovn\xEDho pom\u011Bru."
        it:
          description: 'A tal fine, i soggetti interessati:'
          annotation: "\u2022 Utilizzare credenziali di autenticazione uniche per\
            \ tutte le risorse dell'entit\xE0. L'implementazione delle migliori pratiche\
            \ prevede, come minimo, una password di 8 caratteri per gli account che\
            \ utilizzano l'MFA e una password di 14 caratteri per gli account che\
            \ non utilizzano l'MFA. \n\u2022 Si consideri che il processo di assegnazione\
            \ e gestione delle informazioni di autenticazione deve garantire che:\n\
            \    o le password o i PIN generati automaticamente durante i processi\
            \ di iscrizione come informazioni di autenticazione segrete temporanee\
            \ non siano indovinabili e siano unici per ogni utente; e che gli utenti\
            \ siano tenuti a cambiarli dopo il primo utilizzo;\n    o siano stabilite\
            \ procedure per verificare l'identit\xE0 di un utente prima di fornire\
            \ informazioni di autenticazione nuove, sostitutive o temporanee;\n  \
            \  o le informazioni di autenticazione, comprese quelle temporanee, siano\
            \ trasmesse agli utenti in modo sicuro (ad esempio, tramite un sistema\
            \ autenticato e protetto). o gli utenti confermano di aver ricevuto le\
            \ informazioni di autenticazione;\n    o le informazioni di autenticazione\
            \ predefinite o fornite dai fornitori vengono modificate immediatamente\
            \ dopo l'installazione di sistemi o software;\n    o vengono conservate\
            \ le registrazioni degli eventi significativi relativi all'assegnazione\
            \ e alla gestione delle informazioni di autenticazione, garantendone la\
            \ riservatezza, e che il metodo di conservazione delle registrazioni \xE8\
            \ approvato (ad esempio, utilizzando uno strumento approvato per il salvataggio\
            \ delle password).\n\u2022 Quando le password sono utilizzate come informazioni\
            \ di autenticazione, il sistema di gestione delle password deve:\n   \
            \ o consentire agli utenti di selezionare e modificare le proprie password\
            \ e includere una procedura di conferma per risolvere gli errori di inserimento;\n\
            \    o imporre password forti (96);\n    o obbligare gli utenti a modificare\
            \ le proprie password al primo accesso, se pertinente;\n    o imporre\
            \ la modifica delle password se necessario, ad esempio dopo un incidente\
            \ di sicurezza o al momento del licenziamento o del cambio di lavoro quando\
            \ un utente ha password note per identit\xE0 che rimangono attive (ad\
            \ esempio, identit\xE0 condivise); o impedire l'uso di password comunemente\
            \ utilizzate e di combinazioni compromesse di nomi utente e password da\
            \ sistemi violati; o non visualizzare le password sullo schermo durante\
            \ l'inserimento; e o memorizzare le password sullo schermo. o impedire\
            \ l'uso di password di uso comune e di combinazioni compromesse di nomi\
            \ utente e password provenienti da sistemi violati;\n    o non visualizzare\
            \ le password sullo schermo durante la loro immissione; e\n    o memorizzare\
            \ e trasmettere le password in forma protetta.\n\u2022 Si raccomanda l'uso\
            \ di un MFA resistente al phishing. Di seguito \xE8 riportato un elenco\
            \ delle soluzioni attualmente disponibili, ordinate dalla pi\xF9 forte\
            \ alla pi\xF9 debole.\n    o \u201CForte\u201D:\n        * resistente\
            \ al phishing: - nessun segreto condiviso, non vulnerabile all'attacker-in-the-middle;\
            \ - chiave privata crittografica protetta che pu\xF2 essere registrata\
            \ in modo sicuro su:\n    o un dominio, in conformit\xE0 con gli standard\
            \ Fast Identity Online (FIDO) e W3C WebAuthn;\n    o un trust provider,\
            \ in conformit\xE0 con l'infrastruttura a chiave pubblica e gli standard\
            \ X.509 dell'Unione Internazionale delle Telecomunicazioni.\n    o MFA\
            \ \u201Cmedio\u201D, ad esempio:\n        * notifica push, corrispondenza\
            \ numerica o applicazione.\n    o MFA di \u201Cultima istanza\u201D, ad\
            \ esempio:\n        * messaggio di testo o e-mail OTP. \n\u2022 Eseguire\
            \ la crittografia e l'hashing della password in conformit\xE0 alle tecniche\
            \ crittografiche approvate per le password (sezione 9.2). \n\u2022 Generare\
            \ un avviso quando viene rilevata una potenziale violazione, tentata o\
            \ riuscita, dei controlli di accesso.\n\n(96) La complessit\xE0 delle\
            \ password pu\xF2 essere una buona pratica di sicurezza informatica, ma\
            \ non \xE8 l'unico fattore da considerare. Linee guida recenti, come quelle\
            \ del NIST, sottolineano la lunghezza delle password rispetto alla complessit\xE0\
            ; si veda https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-63B-4.2pd.pdf,\
            \ riga 725."
          typical_evidence: "\u2022 Registri o report relativi all'autenticazione.\
            \ \n\u2022 Audit di conformit\xE0 da audit interni o esterni per verificare\
            \ che la gestione delle identit\xE0 sia in linea con i requisiti politici\
            \ e normativi. \n\u2022 Documentazione che dimostri che le identit\xE0\
            \ vengono riviste regolarmente e aggiornate se necessario. \n\u2022 Registrazioni\
            \ di modifiche all'identit\xE0, che riflettono eventuali alterazioni dovute\
            \ a cambiamenti di ruolo o cessazione del rapporto di lavoro."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.6.2.a
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.6.2
      ref_id: 11.6.2.a
      description: ensure the strength of authentication is appropriate to the classification
        of the asset to be accessed;
      translations:
        fr:
          description: "veillent \xE0 ce que la force de l\u2019authentification soit\
            \ adapt\xE9e \xE0 la classification de l\u2019actif auquel acc\xE9der;"
        es:
          description: "garantizar\xE1n que la solidez de la autenticaci\xF3n sea\
            \ adecuada para a la clasificaci\xF3n del activo al que se va a acceder;"
        cs:
          description: "zajist\xED, aby \xFArove\u0148 ov\u011B\u0159en\xED odpov\xED\
            dala klasifikaci aktiva, k n\u011Bmu\u017E m\xE1 b\xFDt poskytnut p\u0159\
            \xEDstup;"
        it:
          description: garantire che la forza dell'autenticazione sia adeguata alla
            classificazione dell'asset a cui accedere;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.6.2.b
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.6.2
      ref_id: 11.6.2.b
      description: control the allocation to users and management of secret authentication
        information by a process that ensures the confidentiality of the information,
        including advising personnel on appropriate handling of authentication information;
      translations:
        fr:
          description: "contr\xF4lent l\u2019attribution aux utilisateurs et la gestion\
            \ des informations secr\xE8tes relatives \xE0 l\u2019authentification\
            \ par une proc\xE9dure garantissant la confidentialit\xE9 des informations,\
            \ y compris en conseillant le personnel sur le traitement appropri\xE9\
            \ des informations d\u2019authentification;"
        es:
          description: "controlar la asignaci\xF3n a los usuarios y la gesti\xF3n\
            \ de informaci\xF3n de autenticaci\xF3n secreta mediante un proceso que\
            \ garantice la confidencialidad de la informaci\xF3n, incluido el asesoramiento\
            \ al personal sobre el tratamiento adecuado de la informaci\xF3n de autenticaci\xF3\
            n;"
        cs:
          description: "kontroluj\xED p\u0159id\u011Blov\xE1n\xED tajn\xFDch ov\u011B\
            \u0159ovac\xEDch \xFAdaj\u016F u\u017Eivatel\u016Fm a jejich spr\xE1vu\
            \ postupem, kter\xFD zaji\u0161\u0165uje d\u016Fv\u011Brnost \xFAdaj\u016F\
            , co\u017E zahrnuje i poskytov\xE1n\xED poradenstv\xED pracovn\xEDk\u016F\
            m ohledn\u011B vhodn\xE9ho zach\xE1zen\xED s ov\u011B\u0159ovac\xEDmi\
            \ \xFAdaji;"
        it:
          description: controllare l'assegnazione agli utenti e la gestione delle
            informazioni segrete di autenticazione mediante un processo che garantisca
            la riservatezza delle informazioni, compresa la consulenza al personale
            sulla gestione appropriata delle informazioni di autenticazione;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.6.2.c
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.6.2
      ref_id: 11.6.2.c
      description: require the change of authentication credentials initially, at
        predefined intervals and upon suspicion that the credentials were compromised;
      translations:
        fr:
          description: "exigent la modification des identifiants d\u2019authentification\
            \ d\xE8s le d\xE9part, \xE0 des intervalles pr\xE9d\xE9finis et en cas\
            \ de soup\xE7on de compromission des identifiants;"
        es:
          description: "exigir el cambio de credenciales de autenticaci\xF3n al principio,\
            \ a intervalos predefinidos y cuando se sospeche que las credenciales\
            \ corren alg\xFAn peligro;"
        cs:
          description: "vy\u017Eaduj\xED zm\u011Bnu ov\u011B\u0159ovac\xEDch \xFA\
            daj\u016F na po\u010D\xE1tku, v p\u0159edem stanoven\xFDch intervalech\
            \ a v p\u0159\xEDpad\u011B podez\u0159en\xED, \u017Ee tyto \xFAdaje byly\
            \ ohro\u017Eeny;"
        it:
          description: richiedere la modifica delle credenziali di autenticazione
            inizialmente, a intervalli predefiniti e in caso di sospetto che le credenziali
            siano state compromesse;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.6.2.d
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.6.2
      ref_id: 11.6.2.d
      description: require the reset of authentication credentials and the blocking
        of users after a predefined number of unsuccessful log-in attempts;
      translations:
        fr:
          description: "exigent la r\xE9initialisation des identifiants d\u2019authentification\
            \ et le blocage des utilisateurs apr\xE8s un nombre pr\xE9d\xE9fini de\
            \ tentatives de connexion infructueuses;"
        es:
          description: "exigir el restablecimiento de las credenciales y el bloqueo\
            \ de los usuarios tras un n\xFAmero predefinido de intentos de conexi\xF3\
            n infructuosos;"
        cs:
          description: "vy\u017Eaduj\xED obnoven\xED ov\u011B\u0159ovac\xEDch \xFA\
            daj\u016F a zablokov\xE1n\xED u\u017Eivatel\u016F po p\u0159edem stanoven\xE9\
            m po\u010Dtu ne\xFAsp\u011B\u0161n\xFDch pokus\u016F o p\u0159ihl\xE1\u0161\
            en\xED;"
        it:
          description: richiedere il reset delle credenziali di autenticazione e il
            blocco degli utenti dopo un numero predefinito di tentativi di accesso
            non andati a buon fine;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.6.2.e
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.6.2
      ref_id: 11.6.2.e
      description: terminate inactive sessions after a predefined period of inactivity;
        and
      translations:
        fr:
          description: "mettent un terme aux sessions inactives apr\xE8s une p\xE9\
            riode d\u2019inactivit\xE9 pr\xE9d\xE9finie; et"
        es:
          description: "cerrar las sesiones inactivas tras un per\xEDodo de inactividad\
            \ predefinido; y"
        cs:
          description: "ukon\u010D\xED neaktivn\xED relace po uplynut\xED p\u0159\
            edem stanoven\xE9 doby ne\u010Dinnosti a"
        it:
          description: "terminare le sessioni inattive dopo un periodo di inattivit\xE0\
            \ predefinito; e"
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.6.2.f
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.6.2
      ref_id: 11.6.2.f
      description: require separate credentials to access privileged access or administrative
        accounts.
      translations:
        fr:
          description: "exigent des identifiants distincts pour obtenir un acc\xE8\
            s privil\xE9gi\xE9 ou acc\xE9der \xE0 des comptes d\u2019administration."
        es:
          description: "exigir credenciales separadas para obtener un acceso privilegiado\
            \ o acceder a cuentas de administraci\xF3n."
        cs:
          description: "vy\u017Eaduj\xED zvl\xE1\u0161tn\xED ov\u011B\u0159ovac\xED\
            \ \xFAdaje pro p\u0159\xEDstup k administr\xE1torsk\xE9mu p\u0159\xED\
            stupu nebo k \xFA\u010Dtu pro spr\xE1vu syst\xE9mu."
        it:
          description: Richiedono credenziali separate per accedere agli account amministrativi
            o di accesso con privilegi.
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.6.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.6
      ref_id: 11.6.3
      description: The relevant entities shall to the extent feasible use state-of-the-art
        authentication methods, in accordance with the associated assessed risk and
        the classification of the asset to be accessed, and unique authentication
        information.
      annotation: "\u2022 Adjust authentication methods based on the associated assessed\
        \ risk. For example, require additional authentication for high-risk transactions\
        \ or access to assets of higher criticality. \n\u2022 Use more stringent authentication\
        \ methods for assets of higher criticality. \n\u2022 Ensure each user has\
        \ unique credentials. Avoid shared accounts and implement strict policies\
        \ for credential management."
      typical_evidence: "\u2022 Access control policy documents outlining secure authentication\
        \ procedures and technologies."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es utilisent, dans la mesure du\
            \ possible, les m\xE9thodes d\u2019authentification les plus r\xE9centes,\
            \ en fonction du risque associ\xE9 \xE9valu\xE9 et de la classification\
            \ de l\u2019actif auquel acc\xE9der, ainsi que des informations d\u2019\
            authentification uniques."
          annotation: "\u2022 Ajustez les m\xE9thodes d\u2019authentification en fonction\
            \ du risque \xE9valu\xE9 associ\xE9. Par exemple, exigez une authentification\
            \ suppl\xE9mentaire pour les transactions \xE0 haut risque ou l\u2019\
            acc\xE8s \xE0 des actifs de criticit\xE9 plus \xE9lev\xE9e. \n\u2022 Utiliser\
            \ des m\xE9thodes d\u2019authentification plus strictes pour les actifs\
            \ de criticit\xE9 \xE9lev\xE9e. \n\u2022 Assurez-vous que chaque utilisateur\
            \ dispose d\u2019informations d\u2019identification uniques. \xC9vitez\
            \ les comptes partag\xE9s et mettez en place des politiques strictes pour\
            \ la gestion des informations d\u2019identification."
          typical_evidence: "\u2022 Documents de politique de contr\xF4le d\u2019\
            acc\xE8s d\xE9crivant les proc\xE9dures et les technologies d\u2019authentification\
            \ s\xE9curis\xE9es."
        es:
          description: "En la medida de lo posible, las entidades pertinentes utilizar\xE1\
            n los m\xE9todos de autenticaci\xF3n m\xE1s avanzados, de conformidad\
            \ con el riesgo evaluado asociado y la clasificaci\xF3n del activo al\
            \ que se vaya a acceder, as\xED como informaci\xF3n de autenticaci\xF3\
            n exclusiva."
          annotation: "\u2022 Ajustar los m\xE9todos de autenticaci\xF3n en funci\xF3\
            n del riesgo evaluado asociado. Por ejemplo, requerir autenticaci\xF3\
            n adicional para transacciones de alto riesgo o acceso a activos de mayor\
            \ criticidad. \n\u2022 Utilice m\xE9todos de autenticaci\xF3n m\xE1s estrictos\
            \ para los activos de mayor criticidad. \n\u2022 Aseg\xFArese de que cada\
            \ usuario tenga credenciales \xFAnicas. Evite las cuentas compartidas\
            \ e implemente pol\xEDticas estrictas para la administraci\xF3n de credenciales."
          typical_evidence: "\u2022 Documentos de pol\xEDtica de control de acceso\
            \ que describen los procedimientos y tecnolog\xEDas de autenticaci\xF3\
            n segura."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty v provediteln\xE9m rozsahu\
            \ pou\u017E\xEDvaj\xED nejmodern\u011Bj\u0161\xED metody ov\u011B\u0159\
            ov\xE1n\xED, a to v souladu se souvisej\xEDc\xEDm posouzen\xFDm rizikem\
            \ a klasifikac\xED aktiva, k n\u011Bmu\u017E m\xE1 b\xFDt poskytnut p\u0159\
            \xEDstup, a jedine\u010Dn\xE9 ov\u011B\u0159ovac\xED informace."
          annotation: "\u2022 Upravit metody ov\u011B\u0159ov\xE1n\xED na z\xE1klad\u011B\
            \ souvisej\xEDc\xEDho vyhodnocen\xE9ho rizika. Vy\u017Eadujte nap\u0159\
            \xEDklad dodate\u010Dn\xE9 ov\u011B\u0159en\xED pro vysoce rizikov\xE9\
            \ transakce nebo p\u0159\xEDstup k aktiv\u016Fm s vy\u0161\u0161\xED d\u016F\
            le\u017Eitost\xED. \n\u2022 Pou\u017E\xEDvat p\u0159\xEDsn\u011Bj\u0161\
            \xED metody ov\u011B\u0159ov\xE1n\xED pro prost\u0159edky s vy\u0161\u0161\
            \xED d\u016Fle\u017Eitost\xED. \n\u2022 Ujist\u011Bte se, \u017Ee ka\u017E\
            d\xFD u\u017Eivatel m\xE1 jedine\u010Dn\xE9 p\u0159ihla\u0161ovac\xED\
            \ \xFAdaje. Vyhn\u011Bte se sd\xEDlen\xFDm \xFA\u010Dt\u016Fm a implementujte\
            \ p\u0159\xEDsn\xE9 z\xE1sady pro spr\xE1vu p\u0159ihla\u0161ovac\xED\
            ch \xFAdaj\u016F."
          typical_evidence: "\u2022 Dokumenty z\xE1sad \u0159\xEDzen\xED p\u0159\xED\
            stupu popisuj\xEDc\xED bezpe\u010Dn\xE9 autentiza\u010Dn\xED postupy a\
            \ technologie."
        it:
          description: "I soggetti pertinenti utilizzano, per quanto possibile, metodi\
            \ di autenticazione all'avanguardia, in funzione del rischio valutato\
            \ associato e della classificazione dell'attivit\xE0 a cui accedere, nonch\xE9\
            \ di informazioni di autenticazione univoche."
          annotation: "\u2022 Adeguare i metodi di autenticazione in base al rischio\
            \ valutato associato. Ad esempio, \xE8 necessario richiedere un'autenticazione\
            \ aggiuntiva per le transazioni ad alto rischio o l'accesso ad asset di\
            \ maggiore criticit\xE0. \n\u2022 Utilizzare metodi di autenticazione\
            \ pi\xF9 rigorosi per gli asset con una criticit\xE0 pi\xF9 elevata. \n\
            \u2022 Assicurarsi che ogni utente disponga di credenziali univoche. Evita\
            \ gli account condivisi e implementa criteri rigorosi per la gestione\
            \ delle credenziali."
          typical_evidence: "\u2022 Documenti sulle politiche di controllo degli accessi\
            \ che delineano procedure e tecnologie di autenticazione sicura."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.6.4
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.6
      ref_id: 11.6.4
      description: The relevant entities shall review the authentication procedures
        and technologies at planned intervals.
      annotation: "\u2022 Conduct periodic audits of authentication procedures and\
        \ technologies to ensure they remain up to date, where appropriate and effective\
        \ against emerging threats. \n\u2022 Stay up to date on advancements in authentication\
        \ technology and integrate new methods as they become available.\n\n[TIPS]\n\
        \n\u2022 Advise any user with access to or using authentication information\
        \ to comply with the following.\n    o Secret authentication information,\
        \ such as passwords, is kept confidential. Personal secret authentication\
        \ information is not to be shared with anyone. Secret authentication information\
        \ used in the context of identities linked to multiple users or linked to\
        \ non-personal entities is solely shared with authorised persons.\n    o Affected\
        \ or compromised authentication information is changed immediately upon notification\
        \ of or any other indication of a compromise.\n    o When passwords are used\
        \ as authentication information, strong passwords according to best practice\
        \ recommendations are selected. For example, passwords are not based on anything\
        \ somebody else can easily guess or obtain using person-related information\
        \ (e.g. names, telephone numbers and dates of birth); passwords are not based\
        \ on dictionary words or combinations thereof; use easy to remember passphrases\
        \ and try to include alphanumerical and special characters; passwords should\
        \ have a minimum length.\n    o The same credentials are not used across different\
        \ network and information systems.\n    o The obligation to follow these rules\
        \ is also included in the terms and conditions of employment."
      typical_evidence: "\u2022 Internal or external audit reports detailing the results\
        \ of periodic audits of authentication procedures and technologies. \n\u2022\
        \ Logs showing the implementation of new authentication technologies and methods\
        \ as they become available  \n\n[TIPS]\n\n\u2022 Documentation of training\
        \ sessions for employees on secure authentication practices and technologies.\
        \ \n\u2022 Records of awareness programmes or communications to employees\
        \ about the importance of secure authentication."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es r\xE9examinent les proc\xE9dures\
            \ et technologies d\u2019authentification \xE0 intervalles pr\xE9d\xE9\
            finis."
          annotation: "\u2022 Effectuer des audits p\xE9riodiques des proc\xE9dures\
            \ et des technologies d\u2019authentification pour s\u2019assurer qu\u2019\
            elles restent \xE0 jour, le cas \xE9ch\xE9ant et efficaces contre les\
            \ menaces \xE9mergentes. \n\u2022 Restez \xE0 jour sur les avanc\xE9es\
            \ de la technologie d\u2019authentification et int\xE9grez de nouvelles\
            \ m\xE9thodes d\xE8s qu\u2019elles deviennent disponibles.\n\n[CONSEILS]\n\
            \n\u2022 Conseillez \xE0 tout utilisateur ayant acc\xE8s aux informations\
            \ d\u2019authentification ou les utilisant de se conformer \xE0 ce qui\
            \ suit.\n    o Les informations d\u2019authentification secr\xE8tes, telles\
            \ que les mots de passe, sont gard\xE9es confidentielles. Les informations\
            \ d\u2019authentification secr\xE8tes personnelles ne doivent pas \xEA\
            tre partag\xE9es avec quiconque. Les informations d\u2019authentification\
            \ secr\xE8tes utilis\xE9es dans le cadre d\u2019identit\xE9s li\xE9es\
            \ \xE0 plusieurs utilisateurs ou li\xE9es \xE0 des entit\xE9s non personnelles\
            \ sont uniquement partag\xE9es avec des personnes autoris\xE9es.\n   \
            \ o Les informations d\u2019authentification affect\xE9es ou compromises\
            \ sont modifi\xE9es imm\xE9diatement d\xE8s la notification ou toute autre\
            \ indication d\u2019une compromission.\n    o Lorsque les mots de passe\
            \ sont utilis\xE9s comme informations d\u2019authentification, des mots\
            \ de passe forts sont s\xE9lectionn\xE9s conform\xE9ment aux recommandations\
            \ des meilleures pratiques. Par exemple, les mots de passe ne sont pas\
            \ bas\xE9s sur quelque chose que quelqu\u2019un d\u2019autre peut facilement\
            \ deviner ou obtenir \xE0 l\u2019aide de renseignements personnels (p.\
            \ ex., noms, num\xE9ros de t\xE9l\xE9phone et dates de naissance)\_; Les\
            \ mots de passe ne sont pas bas\xE9s sur des mots du dictionnaire ou des\
            \ combinaisons de ceux-ci ; utilisez des phrases de passe faciles \xE0\
            \ retenir et essayez d\u2019inclure des caract\xE8res alphanum\xE9riques\
            \ et sp\xE9ciaux\_; Les mots de passe doivent avoir une longueur minimale.\n\
            \    o Les m\xEAmes informations d\u2019identification ne sont pas utilis\xE9\
            es dans diff\xE9rents r\xE9seaux et syst\xE8mes d\u2019information.\n\
            \    o L\u2019obligation de respecter ces r\xE8gles est \xE9galement incluse\
            \ dans les conditions g\xE9n\xE9rales d\u2019emploi."
          typical_evidence: "\u2022 Rapports d\u2019audit interne ou externe d\xE9\
            taillant les r\xE9sultats des audits p\xE9riodiques des proc\xE9dures\
            \ et technologies d\u2019authentification. \n\u2022 Journaux montrant\
            \ la mise en \u0153uvre de nouvelles technologies et m\xE9thodes d\u2019\
            authentification au fur et \xE0 mesure qu\u2019elles deviennent disponibles\
            \  \n\n[CONSEILS]\n\n\u2022 Documentation des sessions de formation des\
            \ employ\xE9s sur les pratiques et les technologies d\u2019authentification\
            \ s\xE9curis\xE9e. \n\u2022 Enregistrements de programmes de sensibilisation\
            \ ou de communications aux employ\xE9s sur l\u2019importance de l\u2019\
            authentification s\xE9curis\xE9e."
        es:
          description: "Las entidades pertinentes revisar\xE1n los procedimientos\
            \ y las tecnolog\xEDas de autenticaci\xF3n a intervalos planificados."
          annotation: "\u2022 Llevar a cabo auditor\xEDas peri\xF3dicas de los procedimientos\
            \ y tecnolog\xEDas de autenticaci\xF3n para garantizar que permanezcan\
            \ actualizados, cuando proceda y sean eficaces frente a las amenazas emergentes.\
            \ \n\u2022 Mant\xE9ngase actualizado sobre los avances en la tecnolog\xED\
            a de autenticaci\xF3n e integre nuevos m\xE9todos a medida que est\xE9\
            n disponibles.\n\n[CONSEJOS]\n\n\u2022 Aconsejar a cualquier usuario con\
            \ acceso o uso de informaci\xF3n de autenticaci\xF3n que cumpla con lo\
            \ siguiente.\n    o La informaci\xF3n secreta de autenticaci\xF3n, como\
            \ las contrase\xF1as, se mantiene confidencial. La informaci\xF3n de autenticaci\xF3\
            n de secretos personales no debe compartirse con nadie. La informaci\xF3\
            n de autenticaci\xF3n secreta utilizada en el contexto de identidades\
            \ vinculadas a m\xFAltiples usuarios o vinculadas a entidades no personales\
            \ solo se comparte con personas autorizadas.\n    o La informaci\xF3n\
            \ de autenticaci\xF3n afectada o comprometida se cambia inmediatamente\
            \ despu\xE9s de la notificaci\xF3n o cualquier otra indicaci\xF3n de un\
            \ compromiso.\n    o Cuando se utilizan contrase\xF1as como informaci\xF3\
            n de autenticaci\xF3n, se seleccionan contrase\xF1as seguras de acuerdo\
            \ con las recomendaciones de mejores pr\xE1cticas. Por ejemplo, las contrase\xF1\
            as no se basan en algo que otra persona pueda adivinar u obtener f\xE1\
            cilmente utilizando informaci\xF3n relacionada con la persona (por ejemplo,\
            \ nombres, n\xFAmeros de tel\xE9fono y fechas de nacimiento); Las contrase\xF1\
            as no se basan en palabras del diccionario ni en combinaciones de las\
            \ mismas; use frases de contrase\xF1a f\xE1ciles de recordar e intente\
            \ incluir caracteres alfanum\xE9ricos y especiales; Las contrase\xF1as\
            \ deben tener una longitud m\xEDnima.\n    o No se utilizan las mismas\
            \ credenciales en diferentes redes y sistemas de informaci\xF3n.\n   \
            \ o La obligaci\xF3n de seguir estas reglas tambi\xE9n est\xE1 incluida\
            \ en los t\xE9rminos y condiciones de empleo."
          typical_evidence: "\u2022 Informes de auditor\xEDa interna o externa que\
            \ detallen los resultados de las auditor\xEDas peri\xF3dicas de los procedimientos\
            \ y tecnolog\xEDas de autenticaci\xF3n. \n\u2022 Registros que muestran\
            \ la implementaci\xF3n de nuevas tecnolog\xEDas y m\xE9todos de autenticaci\xF3\
            n a medida que est\xE9n disponibles  \n\n[CONSEJOS]\n\n\u2022 Documentaci\xF3\
            n de las sesiones de formaci\xF3n de los empleados sobre pr\xE1cticas\
            \ y tecnolog\xEDas de autenticaci\xF3n segura. \n\u2022 Registros de programas\
            \ de concienciaci\xF3n o comunicaciones a los empleados sobre la importancia\
            \ de la autenticaci\xF3n segura."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty v pl\xE1novan\xFDch intervalech\
            \ p\u0159ezkoum\xE1vaj\xED postupy a technologie ov\u011B\u0159ov\xE1\
            n\xED."
          annotation: "\u2022 Prov\xE1d\u011Bt pravideln\xE9 audity autentiza\u010D\
            n\xEDch postup\u016F a technologi\xED, aby bylo zaji\u0161t\u011Bno, \u017E\
            e z\u016Fstanou aktu\xE1ln\xED, kde je to vhodn\xE9 a \xFA\u010Dinn\xE9\
            \ proti vznikaj\xEDc\xEDm hrozb\xE1m. \n\u2022 Udr\u017Eujte si p\u0159\
            ehled o pokroku v technologii autentizace a integrujte nov\xE9 metody,\
            \ jakmile budou k dispozici.\n\n[TIPY]\n\n\u2022 Upozornit ka\u017Ed\xE9\
            ho u\u017Eivatele, kter\xFD m\xE1 p\u0159\xEDstup k ov\u011B\u0159ovac\xED\
            m informac\xEDm nebo je pou\u017E\xEDv\xE1, aby dodr\u017Eoval n\xE1sleduj\xED\
            c\xED pravidla.\n    o Tajn\xE9 ov\u011B\u0159ovac\xED informace, jako\
            \ jsou hesla, jsou pova\u017Eov\xE1ny za d\u016Fv\u011Brn\xE9. Ov\u011B\
            \u0159ovac\xED informace o osobn\xEDm tajemstv\xED nesm\xED b\xFDt s nik\xFD\
            m sd\xEDleny. Tajn\xE9 ov\u011B\u0159ovac\xED informace pou\u017E\xED\
            van\xE9 v souvislosti s identitami spojen\xFDmi s v\xEDce u\u017Eivateli\
            \ nebo propojen\xFDmi s neosobn\xEDmi subjekty jsou sd\xEDleny v\xFDhradn\u011B\
            \ s opr\xE1vn\u011Bn\xFDmi osobami.\n    o Dot\u010Den\xE9 nebo ohro\u017E\
            en\xE9 ov\u011B\u0159ovac\xED informace jsou zm\u011Bn\u011Bny okam\u017E\
            it\u011B po ozn\xE1men\xED nebo jak\xE9mkoli jin\xE9m n\xE1znaku ohro\u017E\
            en\xED.\n    o Pokud se jako ov\u011B\u0159ovac\xED informace pou\u017E\
            \xEDvaj\xED hesla, vyb\xEDraj\xED se siln\xE1 hesla podle doporu\u010D\
            en\xFDch postup\u016F. Hesla nap\u0159\xEDklad nejsou zalo\u017Eena na\
            \ ni\u010Dem, co by n\u011Bkdo jin\xFD mohl snadno uhodnout nebo z\xED\
            skat pomoc\xED informac\xED souvisej\xEDc\xEDch s osobou (nap\u0159. jm\xE9\
            na, telefonn\xED \u010D\xEDsla a data narozen\xED); Hesla nejsou zalo\u017E\
            ena na slovech ze slovn\xEDku nebo jejich kombinac\xEDch; pou\u017E\xED\
            vat snadno zapamatovateln\xE9 p\u0159\xEDstupov\xE9 fr\xE1ze a sna\u017E\
            it se zahrnout alfanumerick\xE9 a speci\xE1ln\xED znaky; Hesla by m\u011B\
            la m\xEDt minim\xE1ln\xED d\xE9lku.\n    o Stejn\xE9 p\u0159ihla\u0161\
            ovac\xED \xFAdaje se nepou\u017E\xEDvaj\xED v r\u016Fzn\xFDch s\xED\u0165\
            ov\xFDch a informa\u010Dn\xEDch syst\xE9mech.\n    o Povinnost dodr\u017E\
            ovat tato pravidla je tak\xE9 zahrnuta v podm\xEDnk\xE1ch zam\u011Bstn\xE1\
            v\xE1n\xED."
          typical_evidence: "\u2022 Zpr\xE1vy o intern\xEDch nebo extern\xEDch auditech\
            \ podrobn\u011B popisuj\xEDc\xED v\xFDsledky pravideln\xFDch audit\u016F\
            \ ov\u011B\u0159ovac\xEDch postup\u016F a technologi\xED. \n\u2022 Protokoly\
            \ ukazuj\xEDc\xED implementaci nov\xFDch autentiza\u010Dn\xEDch technologi\xED\
            \ a metod, jakmile jsou k dispozici  \n\n[TIPY]\n\n\u2022 Dokumentace\
            \ \u0161kolen\xED pro zam\u011Bstnance o bezpe\u010Dn\xFDch autentiza\u010D\
            n\xEDch postupech a technologi\xEDch. \n\u2022 Z\xE1znamy o osv\u011B\
            tov\xFDch programech nebo komunikaci se zam\u011Bstnanci o d\u016Fle\u017E\
            itosti bezpe\u010Dn\xE9 autentizace."
        it:
          description: I soggetti pertinenti riesaminano le procedure e le tecnologie
            di autenticazione a intervalli pianificati.
          annotation: "\u2022 Condurre audit periodici delle procedure e delle tecnologie\
            \ di autenticazione per garantire che rimangano aggiornate, ove appropriato\
            \ ed efficaci contro le minacce emergenti. \n\u2022 Rimani aggiornato\
            \ sui progressi della tecnologia di autenticazione e integra nuovi metodi\
            \ non appena diventano disponibili.\n\n[CONSIGLI]\n\n\u2022 Consigliare\
            \ a qualsiasi utente che abbia accesso o utilizzi le informazioni di autenticazione\
            \ di rispettare quanto segue.\n    o Le informazioni segrete di autenticazione,\
            \ come le password, sono mantenute riservate. Le informazioni di autenticazione\
            \ segrete personali non devono essere condivise con nessuno. Le informazioni\
            \ segrete di autenticazione utilizzate nel contesto di identit\xE0 collegate\
            \ a pi\xF9 utenti o collegate a entit\xE0 non personali sono condivise\
            \ esclusivamente con le persone autorizzate.\n    o Le informazioni di\
            \ autenticazione interessate o compromesse vengono modificate immediatamente\
            \ dopo la notifica o qualsiasi altra indicazione di compromissione.\n\
            \    o Quando le password vengono utilizzate come informazioni di autenticazione,\
            \ vengono selezionate password complesse in base alle raccomandazioni\
            \ delle best practice. Ad esempio, le password non si basano su nulla\
            \ che qualcun altro possa facilmente indovinare o ottenere utilizzando\
            \ informazioni personali (ad esempio nomi, numeri di telefono e date di\
            \ nascita); le password non si basano su parole del dizionario o su loro\
            \ combinazioni; utilizzare passphrase facili da ricordare e cercare di\
            \ includere caratteri alfanumerici e speciali; Le password devono avere\
            \ una lunghezza minima.\n    o Le stesse credenziali non vengono utilizzate\
            \ in reti e sistemi informativi diversi.\n    o L'obbligo di seguire queste\
            \ regole \xE8 incluso anche nei termini e nelle condizioni di lavoro."
          typical_evidence: "\u2022 Rapporti di audit interni o esterni che dettagliano\
            \ i risultati degli audit periodici delle procedure e delle tecnologie\
            \ di autenticazione. \n\u2022 Registri che mostrano l'implementazione\
            \ di nuove tecnologie e metodi di autenticazione non appena diventano\
            \ disponibili  \n\n[CONSIGLI]\n\n\u2022 Documentazione delle sessioni\
            \ di formazione per i dipendenti sulle pratiche e le tecnologie di autenticazione\
            \ sicura. \n\u2022 Registrazioni di programmi di sensibilizzazione o comunicazioni\
            \ ai dipendenti sull'importanza di un'autenticazione sicura."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.7
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11
      ref_id: '11.7'
      name: Multi-factor authentication
      translations:
        fr:
          name: "Authentification \xE0 plusieurs facteurs"
        es:
          name: "Autenticaci\xF3n de m\xFAltiples factores"
        cs:
          name: "V\xEDcefaktorov\xE1 autentizace"
        it:
          name: "Autenticazione a pi\xF9 fattori"
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.7.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.7
      ref_id: 11.7.1
      description: "The relevant entities shall ensure that users are authenticated\
        \ by multiple authentication factors or continuous authentication mechanisms\
        \ for accessing the relevant entities\u2019 network and information systems,\
        \ where appropriate, in accordance with the classification of the asset to\
        \ be accessed."
      annotation: "\u2022 Select appropriate MFA (97)  methods and continuous authentication\
        \ mechanisms based on the entity\u2019s security needs and depending on the\
        \ classification of the asset. It is also good practice to consider user convenience\
        \ when selecting and implementing a solution:\n    o test-message-based OTP:\
        \ simple but less secure due to risks such as SIM swapping;\n    o authenticator\
        \ apps: generate time-based OTPs;\n    o push notifications: send an approval\
        \ request to a user\u2019s device;\n    o hardware tokens: for example physical\
        \ devices generating OTPs, smart cards;\n    o passkeys;\n    o Fast Identity\
        \ Online 2 security keys;\n    o biometrics: fingerprints, facial recognition,\
        \ etc.  \n\u2022 Consider continuous authentication (98) for avoiding specific\
        \ threats such as session hijacking, credential theft and insider threats.\n\
        \n(97) Some types of MFA are vulnerable to phishing attacks, and the relevant\
        \ entities should select MFA that can stand up to these attacks. For more\
        \ information (indicative), see https://www.cisa.gov/sites/default/files/publications/fact-sheet-implementing-phishing-resistant-mfa-508c.pdf\
        \ and https://doubleoctopus.com/blog/general/phishing-resistant-mfa-guide/.\
        \ \n(98) Unlike traditional authentication, which verifies users only at the\
        \ time of login, continuous authentication dynamically assesses developing\
        \ risk factors such as location, device status and behavioural patterns throughout\
        \ the session. Different authentication methods (see section 11.6.1) can be\
        \ combined during continuous authentication."
      typical_evidence: "\u2022 Logs showing MFA being used to access network and\
        \ information systems. \n\u2022 Configuration of authentication solutions\
        \ implementing MFA. \n\u2022 Access control policy outlining how different\
        \ MFA methods are assigned, including whether phishing-resistant MFA is used."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es veillent \xE0 ce que les utilisateurs\
            \ soient authentifi\xE9s par des facteurs d\u2019authentification multiples\
            \ ou des m\xE9canismes d\u2019authentification continue pour acc\xE9der\
            \ aux r\xE9seaux et aux syst\xE8mes d\u2019information des entit\xE9s\
            \ concern\xE9es, le cas \xE9ch\xE9ant, conform\xE9ment \xE0 la classification\
            \ de l\u2019actif \xE0 consulter."
          annotation: "\u2022 S\xE9lectionner les m\xE9thodes MFA (97) et les m\xE9\
            canismes d\u2019authentification continue appropri\xE9s en fonction des\
            \ besoins de s\xE9curit\xE9 de l\u2019entit\xE9 et de la classification\
            \ de l\u2019actif. Il est \xE9galement recommand\xE9 de tenir compte de\
            \ la commodit\xE9 de l\u2019utilisateur lors de la s\xE9lection et de\
            \ la mise en \u0153uvre d\u2019une solution :\n    o OTP bas\xE9 sur un\
            \ message de test : simple mais moins s\xFBr en raison de risques tels\
            \ que l\u2019\xE9change de carte SIM ;\n    o applications d\u2019authentification\
            \ : g\xE9n\xE9rer des OTP bas\xE9s sur le temps ;\n    o Notifications\
            \ push : envoyer une demande d\u2019approbation \xE0 l\u2019appareil d\u2019\
            un utilisateur ;\n    o jetons mat\xE9riels : par exemple des dispositifs\
            \ physiques g\xE9n\xE9rant des OTP, des cartes \xE0 puce ;\n    o les\
            \ cl\xE9s d\u2019acc\xE8s ;\n    o Cl\xE9s de s\xE9curit\xE9 Fast Identity\
            \ Online 2 ;\n    o biom\xE9trie : empreintes digitales, reconnaissance\
            \ faciale, etc.  \n\u2022 Envisagez l\u2019authentification continue (98)\
            \ pour \xE9viter des menaces sp\xE9cifiques telles que le d\xE9tournement\
            \ de session, le vol d\u2019informations d\u2019identification et les\
            \ menaces internes.\n\n(97) Certains types d\u2019authentification multifacteur\
            \ sont vuln\xE9rables aux attaques de phishing, et les entit\xE9s concern\xE9\
            es devraient choisir une authentification multifacteur capable de r\xE9\
            sister \xE0 ces attaques. Pour plus d\u2019informations (\xE0 titre indicatif),\
            \ voir https://www.cisa.gov/sites/default/files/publications/fact-sheet-implementing-phishing-resistant-mfa-508c.pdf\
            \ et https://doubleoctopus.com/blog/general/phishing-resistant-mfa-guide/.\
            \ \n(98) Contrairement \xE0 l\u2019authentification traditionnelle, qui\
            \ ne v\xE9rifie les utilisateurs qu\u2019au moment de la connexion, l\u2019\
            authentification continue \xE9value dynamiquement les facteurs de risque\
            \ en d\xE9veloppement tels que la localisation, l\u2019\xE9tat de l\u2019\
            appareil et les mod\xE8les de comportement tout au long de la session.\
            \ Diff\xE9rentes m\xE9thodes d\u2019authentification (voir section 11.6.1)\
            \ peuvent \xEAtre combin\xE9es lors de l\u2019authentification continue."
          typical_evidence: "\u2022 Journaux montrant l\u2019utilisation de l\u2019\
            authentification multifacteur pour acc\xE9der au r\xE9seau et aux syst\xE8\
            mes d\u2019information. \n\u2022 Configuration des solutions d\u2019authentification\
            \ mettant en \u0153uvre l\u2019authentification multifacteur. \n\u2022\
            \ Politique de contr\xF4le d\u2019acc\xE8s d\xE9crivant la mani\xE8re\
            \ dont les diff\xE9rentes m\xE9thodes MFA sont attribu\xE9es, y compris\
            \ l\u2019utilisation d\u2019une MFA r\xE9sistante au phishing."
        es:
          description: "Las entidades pertinentes velar\xE1n por que los usuarios\
            \ sean autenticados mediante m\xFAltiples factores de autenticaci\xF3\
            n o mecanismos de autenticaci\xF3n continua para acceder a los sistemas\
            \ de redes y de informaci\xF3n la entidad, cuando proceda, de conformidad\
            \ con la clasificaci\xF3n del activo al que se va a acceder."
          annotation: "\u2022 Seleccionar los m\xE9todos de MFA (97) apropiados y\
            \ los mecanismos de autenticaci\xF3n continua en funci\xF3n de las necesidades\
            \ de seguridad de la entidad y de la clasificaci\xF3n del activo. Tambi\xE9\
            n es una buena pr\xE1ctica tener en cuenta la comodidad del usuario a\
            \ la hora de seleccionar e implementar una soluci\xF3n:\n    o OTP basado\
            \ en mensajes de prueba: simple pero menos seguro debido a riesgos como\
            \ el intercambio de SIM;\n    o aplicaciones de autenticaci\xF3n: genere\
            \ OTP basadas en el tiempo;\n    o Notificaciones push: enviar una solicitud\
            \ de aprobaci\xF3n al dispositivo de un usuario;\n    o tokens de hardware:\
            \ por ejemplo, dispositivos f\xEDsicos que generan OTP, tarjetas inteligentes;\n\
            \    o claves de acceso;\n    o Fast Identity Online 2 llaves de seguridad;\n\
            \    o Biometr\xEDa: huellas dactilares, reconocimiento facial, etc. \
            \ \n\u2022 Considere la autenticaci\xF3n continua (98) para evitar amenazas\
            \ espec\xEDficas como el secuestro de sesiones, el robo de credenciales\
            \ y las amenazas internas.\n\n(97) Algunos tipos de ayuda financiera son\
            \ vulnerables a los ataques de phishing, y las entidades pertinentes deben\
            \ seleccionar una ayuda financiera que pueda hacer frente a estos ataques.\
            \ Para m\xE1s informaci\xF3n (a t\xEDtulo indicativo), v\xE9ase https://www.cisa.gov/sites/default/files/publications/fact-sheet-implementing-phishing-resistant-mfa-508c.pdf\
            \ y https://doubleoctopus.com/blog/general/phishing-resistant-mfa-guide/.\
            \ \n(98) A diferencia de la autenticaci\xF3n tradicional, que verifica\
            \ a los usuarios solo en el momento del inicio de sesi\xF3n, la autenticaci\xF3\
            n continua eval\xFAa din\xE1micamente los factores de riesgo en desarrollo,\
            \ como la ubicaci\xF3n, el estado del dispositivo y los patrones de comportamiento\
            \ a lo largo de la sesi\xF3n. Se pueden combinar diferentes m\xE9todos\
            \ de autenticaci\xF3n (consulte la secci\xF3n 11.6.1) durante la autenticaci\xF3\
            n continua."
          typical_evidence: "\u2022 Registros que muestran el uso de MFA para acceder\
            \ a la red y a los sistemas de informaci\xF3n. \n\u2022 Configuraci\xF3\
            n de soluciones de autenticaci\xF3n implementando MFA. \n\u2022 Pol\xED\
            tica de control de acceso que describe c\xF3mo se asignan los diferentes\
            \ m\xE9todos de MFA, incluido si se utiliza MFA resistente al phishing."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty zajist\xED, aby u\u017E\
            ivatel\xE9 byli p\u0159i p\u0159\xEDstupu do s\xEDt\u011B a informa\u010D\
            n\xEDch syst\xE9m\u016F subjekt\u016F ov\u011B\u0159ov\xE1ni pomoc\xED\
            \ v\xEDce autentiza\u010Dn\xEDch faktor\u016F nebo mechanism\u016F trval\xE9\
            \ autentizace, p\u0159\xEDpadn\u011B v souladu s klasifikac\xED aktiva,\
            \ k n\u011Bmu\u017E maj\xED m\xEDt p\u0159\xEDstup."
          annotation: "\u2022 Vyberte vhodn\xE9 metody MFA (97) a mechanismy pr\u016F\
            b\u011B\u017En\xE9ho ov\u011B\u0159ov\xE1n\xED na z\xE1klad\u011B bezpe\u010D\
            nostn\xEDch pot\u0159eb subjektu a v z\xE1vislosti na klasifikaci aktiva.\
            \ Dobr\xFDm zvykem je tak\xE9 zv\xE1\u017Eit pohodl\xED u\u017Eivatele\
            \ p\u0159i v\xFDb\u011Bru a implementaci \u0159e\u0161en\xED:\n    o OTP\
            \ zalo\u017Een\xE9 na testovac\xEDch zpr\xE1v\xE1ch: jednoduch\xE9, ale\
            \ m\xE9n\u011B bezpe\u010Dn\xE9 kv\u016Fli rizik\u016Fm, jako je v\xFD\
            m\u011Bna SIM karty;\n    o ov\u011B\u0159ovac\xED aplikace: generujte\
            \ \u010Dasov\u011B zalo\u017Een\xE1 jednor\xE1zov\xE1 hesla;\n    o push\
            \ notifikace: odesl\xE1n\xED \u017E\xE1dosti o schv\xE1len\xED na za\u0159\
            \xEDzen\xED u\u017Eivatele;\n    o hardwarov\xE9 tokeny: nap\u0159\xED\
            klad fyzick\xE1 za\u0159\xEDzen\xED generuj\xEDc\xED OTP, \u010Dipov\xE9\
            \ karty;\n    o p\u0159\xEDstupov\xE9 kl\xED\u010De;\n    o Bezpe\u010D\
            nostn\xED kl\xED\u010De Fast Identity Online 2;\n    o biometrie: otisky\
            \ prst\u016F, rozpozn\xE1v\xE1n\xED obli\u010Deje atd.  \n\u2022 Zva\u017E\
            te pr\u016Fb\u011B\u017En\xE9 ov\u011B\u0159ov\xE1n\xED (98), abyste se\
            \ vyhnuli konkr\xE9tn\xEDm hrozb\xE1m, jako je \xFAnos relace, kr\xE1\
            de\u017E p\u0159ihla\u0161ovac\xEDch \xFAdaj\u016F a vnit\u0159n\xED hrozby.\n\
            \n(97) N\u011Bkter\xE9 typy v\xEDcefaktorov\xE9ho ov\u011B\u0159ov\xE1\
            n\xED jsou zraniteln\xE9 v\u016F\u010Di phishingov\xFDm \xFAtok\u016F\
            m a p\u0159\xEDslu\u0161n\xE9 subjekty by si m\u011Bly vybrat v\xEDcefaktorov\xE9\
            \ ov\u011B\u0159ov\xE1n\xED, kter\xE9 t\u011Bmto \xFAtok\u016Fm m\u016F\
            \u017Ee \u010Delit. Dal\u0161\xED informace (orienta\u010Dn\xED) viz https://www.cisa.gov/sites/default/files/publications/fact-sheet-implementing-phishing-resistant-mfa-508c.pdf\
            \ a https://doubleoctopus.com/blog/general/phishing-resistant-mfa-guide/.\
            \ \n(98) Na rozd\xEDl od tradi\u010Dn\xEDho ov\u011B\u0159ov\xE1n\xED\
            , kter\xE9 ov\u011B\u0159uje u\u017Eivatele a\u017E v okam\u017Eiku p\u0159\
            ihl\xE1\u0161en\xED, pr\u016Fb\u011B\u017En\xE9 ov\u011B\u0159ov\xE1n\xED\
            \ dynamicky vyhodnocuje vyv\xEDjej\xEDc\xED se rizikov\xE9 faktory, jako\
            \ je poloha, stav za\u0159\xEDzen\xED a vzorce chov\xE1n\xED v pr\u016F\
            b\u011Bhu relace. B\u011Bhem pr\u016Fb\u011B\u017En\xE9ho ov\u011B\u0159\
            ov\xE1n\xED toto\u017Enosti lze kombinovat r\u016Fzn\xE9 metody ov\u011B\
            \u0159ov\xE1n\xED toto\u017Enosti (viz odd\xEDl 11.6.1)."
          typical_evidence: "\u2022 Protokoly ukazuj\xEDc\xED pou\u017Eit\xED MFA\
            \ pro p\u0159\xEDstup k s\xEDt\xEDm a informa\u010Dn\xEDm syst\xE9m\u016F\
            m. \n\u2022 Konfigurace autentiza\u010Dn\xEDch \u0159e\u0161en\xED implementuj\xED\
            c\xEDch MFA. \n\u2022 Z\xE1sady \u0159\xEDzen\xED p\u0159\xEDstupu, kter\xE9\
            \ popisuj\xED, jak se p\u0159i\u0159azuj\xED r\u016Fzn\xE9 metody MFA,\
            \ v\u010Detn\u011B toho, zda se pou\u017E\xEDv\xE1 MFA odoln\xE9 proti\
            \ phishingu."
        it:
          description: "I soggetti pertinenti garantiscono che gli utenti siano autenticati\
            \ mediante pi\xF9 fattori di autenticazione o meccanismi di autenticazione\
            \ continua per l'accesso alla rete e ai sistemi informativi dei soggetti\
            \ pertinenti, se del caso, conformemente alla classificazione del bene\
            \ a cui accedere."
          annotation: "\u2022 Selezionare i metodi di autenticazione a pi\xF9 fattori\
            \ (97) e i meccanismi di autenticazione continua appropriati in base alle\
            \ esigenze di sicurezza dell'entit\xE0 e in funzione della classificazione\
            \ dell'attivit\xE0. \xC8 inoltre buona norma considerare la comodit\xE0\
            \ dell'utente nella scelta e nell'implementazione di una soluzione:\n\
            \    o OTP basato su messaggi di test: semplice ma meno sicuro a causa\
            \ di rischi come lo scambio di SIM;\n    o App di autenticazione: generano\
            \ OTP basate sul tempo;\n    o notifiche push: inviare una richiesta di\
            \ approvazione al dispositivo di un utente;\n    o token hardware: ad\
            \ esempio dispositivi fisici che generano OTP, smart card;\n    o passkey;\n\
            \    o Fast Identity Online 2 chiavi di sicurezza;\n    o Biometria: impronte\
            \ digitali, riconoscimento facciale, ecc.  \n\u2022 Prendere in considerazione\
            \ l'autenticazione continua (98) per evitare minacce specifiche come il\
            \ dirottamento delle sessioni, il furto di credenziali e le minacce interne.\n\
            \n(97) Alcuni tipi di AMF sono vulnerabili agli attacchi di phishing e\
            \ i soggetti pertinenti dovrebbero selezionare un'AMF in grado di resistere\
            \ a tali attacchi. Per ulteriori informazioni (indicative), vedere https://www.cisa.gov/sites/default/files/publications/fact-sheet-implementing-phishing-resistant-mfa-508c.pdf\
            \ e https://doubleoctopus.com/blog/general/phishing-resistant-mfa-guide/.\
            \ \n(98) A differenza dell'autenticazione tradizionale, che verifica gli\
            \ utenti solo al momento dell'accesso, l'autenticazione continua valuta\
            \ dinamicamente i fattori di rischio in via di sviluppo quali la posizione,\
            \ lo stato del dispositivo e i modelli comportamentali durante la sessione.\
            \ Durante l'autenticazione continua \xE8 possibile combinare diversi metodi\
            \ di autenticazione (vedere la sezione 11.6.1)."
          typical_evidence: "\u2022 Registri che mostrano l'utilizzo dell'autenticazione\
            \ a pi\xF9 fattori per accedere alla rete e ai sistemi informativi. \n\
            \u2022 Configurazione di soluzioni di autenticazione che implementano\
            \ MFA. \n\u2022 Criteri di controllo degli accessi che illustrano le modalit\xE0\
            \ di assegnazione dei diversi metodi di autenticazione a pi\xF9 fattori,\
            \ incluso se viene utilizzata l'autenticazione a pi\xF9 fattori resistente\
            \ al phishing."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.7.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:11.7
      ref_id: 11.7.2
      description: The relevant entities shall ensure that the strength of authentication
        is appropriate for the classification of the asset to be accessed.
      annotation: "\u2022 Determine which network and information systems require\
        \ the use of MFA protection based on the classification of the asset to be\
        \ accessed. Wherever possible, use phishing-resistant MFA. \n\u2022 Analyse\
        \ user roles and the level of access required by each role to determine appropriate\
        \ MFA methods. \n\u2022 Consider MFA, in particular when accessing systems\
        \ from a remote location, accessing system administration systems, access\
        \ to sensitive information, etc. \n\u2022 Enforce MFA on internet-facing systems,\
        \ such as email, remote desktop and VPNs (99). \n\u2022 Define when and how\
        \ MFA is required (e.g. every login, once per session or for high-risk actions).\n\
        \n[TIPS]\n\n\u2022 Integrate MFA with SSO solutions for seamless access. Wherever\
        \ possible, use phishing-resistant MFA. \n\u2022 Implement secure fallback\
        \ methods for users who lose access to their MFA methods. \n\u2022 Educate\
        \ users about the importance of MFA and how to use it. \n\u2022 Regularly\
        \ monitor MFA logs for suspicious activity. \n\u2022 Keep the MFA system and\
        \ associated devices updated.  \n\u2022 Combine MFA with other techniques\
        \ to require additional factors under specific circumstances, based on predefined\
        \ rules and patterns, such as access from an unusual location, from an unusual\
        \ device or at an unusual time. \n\u2022 Evaluate and choose an MFA provider\
        \ that fits the entity\u2019s requirements:\n    o ease of integration: ensure\
        \ the MFA solution integrates well with the existing systems;\n    o user\
        \ experience: aim for a balance between security and user convenience;\n \
        \   o scalability: choose a solution that can grow with the entity;\n    o\
        \ support and reliability: ensure the provider offers robust support and high\
        \ reliability. \n\u2022 Pilot test the MFA solution with a small group of\
        \ users. \n\u2022 Ensure that MFA implementation meets legal requirements\
        \ (e.g. the GDPR).\n\n(99) CyberFundamentals, PR.AC-3, Centre for Cyber Security\
        \ Belgium, https://atwork.safeonweb.be/sites/default/files/2024-12/cyfun_basic_v2023-03-\
        \ 01_e_update_2024.pdf."
      typical_evidence: "\u2022 Documentation detailing the classification of assets\
        \ and the associated requirement for MFA protection. \n\u2022 Risk assessment\
        \ results justifying the need for MFA on certain network and information systems.\
        \ \n\u2022 List of user roles, associated access rights and the analysis conducted\
        \ to determine appropriate MFA methods. \n\u2022 Configuration files and logs\
        \ showing MFA enabled on specific network and information systems. \n\u2022\
        \ Settings from authentication systems reflecting the defined MFA requirements.\
        \ \n\u2022 Logs from authentication systems showing enforcement of these MFA\
        \ requirements.\n\n[TIPS]\n\n\u2022 Manuals, configuration files or screenshots\
        \ demonstrating the successful integration of MFA with an SSO provider. \n\
        \u2022 Records of training sessions, attendance lists and training materials\
        \ provided to users about the importance and usage of MFA. \n\u2022 Regularly\
        \ generated reports from MFA systems showing log monitoring activities and\
        \ any suspicious activities detected. \n\u2022 Configuration files showing\
        \ the implementation of additional authentication factors based on predefined\
        \ rules."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es veillent \xE0 ce que la force\
            \ de l\u2019authentification soit adapt\xE9e \xE0 la classification de\
            \ l\u2019actif auquel acc\xE9der."
          annotation: "\u2022 D\xE9terminer quels r\xE9seaux et syst\xE8mes d\u2019\
            information n\xE9cessitent l\u2019utilisation d\u2019une protection MFA\
            \ en fonction de la classification de l\u2019actif auquel il faut acc\xE9\
            der. Dans la mesure du possible, utilisez l\u2019authentification multifacteur\
            \ r\xE9sistante au phishing. \n\u2022 Analyser les r\xF4les des utilisateurs\
            \ et le niveau d\u2019acc\xE8s requis par chaque r\xF4le pour d\xE9terminer\
            \ les m\xE9thodes MFA appropri\xE9es. \n\u2022 Tenez compte de l\u2019\
            authentification multifacteur, en particulier lors de l\u2019acc\xE8s\
            \ \xE0 distance aux syst\xE8mes, de l\u2019acc\xE8s aux syst\xE8mes d\u2019\
            administration syst\xE8me, de l\u2019acc\xE8s \xE0 des informations sensibles,\
            \ etc. \n\u2022 Appliquer l\u2019authentification multifacteur sur les\
            \ syst\xE8mes connect\xE9s \xE0 Internet, tels que la messagerie \xE9\
            lectronique, le bureau \xE0 distance et les VPN (99). \n\u2022 D\xE9finissez\
            \ quand et comment l\u2019authentification multifacteur est requise (par\
            \ exemple, \xE0 chaque connexion, une fois par session ou pour les actions\
            \ \xE0 haut risque).\n\n[CONSEILS]\n\n\u2022 Int\xE9grez l\u2019authentification\
            \ multifacteur aux solutions SSO pour un acc\xE8s transparent. Dans la\
            \ mesure du possible, utilisez l\u2019authentification multifacteur r\xE9\
            sistante au phishing. \n\u2022 Mettez en \u0153uvre des m\xE9thodes de\
            \ secours s\xE9curis\xE9es pour les utilisateurs qui perdent l\u2019acc\xE8\
            s \xE0 leurs m\xE9thodes MFA. \n\u2022 \xC9duquer les utilisateurs sur\
            \ l\u2019importance de l\u2019authentification multifacteur et sur la\
            \ fa\xE7on de l\u2019utiliser. \n\u2022 Surveillez r\xE9guli\xE8rement\
            \ les journaux MFA pour d\xE9tecter toute activit\xE9 suspecte. \n\u2022\
            \ Maintenez le syst\xE8me MFA et les p\xE9riph\xE9riques associ\xE9s \xE0\
            \ jour.  \n\u2022 Combinez l\u2019authentification multifacteur avec d\u2019\
            autres techniques pour exiger des facteurs suppl\xE9mentaires dans des\
            \ circonstances sp\xE9cifiques, sur la base de r\xE8gles et de mod\xE8\
            les pr\xE9d\xE9finis, tels que l\u2019acc\xE8s \xE0 partir d\u2019un emplacement\
            \ inhabituel, d\u2019un appareil inhabituel ou \xE0 un moment inhabituel.\
            \ \n\u2022 \xC9valuer et choisir un fournisseur d\u2019authentification\
            \ multifacteur qui r\xE9pond aux exigences de l\u2019entit\xE9 :\n   \
            \ o facilit\xE9 d\u2019int\xE9gration : s\u2019assurer que la solution\
            \ MFA s\u2019int\xE8gre bien aux syst\xE8mes existants ;\n    o l\u2019\
            exp\xE9rience utilisateur : viser un \xE9quilibre entre la s\xE9curit\xE9\
            \ et la commodit\xE9 de l\u2019utilisateur ;\n    o \xC9volutivit\xE9\
            \ : choisissez une solution qui peut \xE9voluer avec l\u2019entit\xE9\
            \ ;\n    o Assistance et fiabilit\xE9 : assurez-vous que le fournisseur\
            \ offre un support solide et une grande fiabilit\xE9. \n\u2022 Tester\
            \ la solution MFA avec un petit groupe d\u2019utilisateurs. \n\u2022 S\u2019\
            assurer que la mise en \u0153uvre de l\u2019authentification multifacteur\
            \ r\xE9pond aux exigences l\xE9gales (par exemple, le RGPD).\n\n(99) CyberFundamentals,\
            \ relations publiques. AC-3, Centre pour la cybers\xE9curit\xE9 Belgique,\
            \ https://atwork.safeonweb.be/sites/default/files/2024-12/cyfun_basic_v2023-03-\
            \ 01_e_update_2024.pdf."
          typical_evidence: "\u2022 Documentation d\xE9taillant la classification\
            \ des actifs et les exigences associ\xE9es en mati\xE8re de protection\
            \ MFA. \n\u2022 R\xE9sultats de l\u2019\xE9valuation des risques justifiant\
            \ la n\xE9cessit\xE9 d\u2019une AMF sur certains r\xE9seaux et syst\xE8\
            mes d\u2019information. \n\u2022 Liste des r\xF4les d\u2019utilisateurs,\
            \ des droits d\u2019acc\xE8s associ\xE9s et de l\u2019analyse men\xE9\
            e pour d\xE9terminer les m\xE9thodes MFA appropri\xE9es. \n\u2022 Fichiers\
            \ de configuration et journaux montrant l\u2019authentification multifacteur\
            \ activ\xE9e sur des r\xE9seaux et des syst\xE8mes d\u2019information\
            \ sp\xE9cifiques. \n\u2022 Param\xE8tres des syst\xE8mes d\u2019authentification\
            \ refl\xE9tant les exigences MFA d\xE9finies. \n\u2022 Journaux des syst\xE8\
            mes d\u2019authentification montrant l\u2019application de ces exigences\
            \ MFA.\n\n[CONSEILS]\n\n\u2022 Manuels, fichiers de configuration ou captures\
            \ d\u2019\xE9cran d\xE9montrant l\u2019int\xE9gration r\xE9ussie de la\
            \ MFA avec un fournisseur SSO. \n\u2022 Registres des sessions de formation,\
            \ listes de pr\xE9sence et supports de formation fournis aux utilisateurs\
            \ sur l\u2019importance et l\u2019utilisation de l\u2019authentification\
            \ multifacteur. \n\u2022 Rapports r\xE9guli\xE8rement g\xE9n\xE9r\xE9\
            s par les syst\xE8mes MFA montrant les activit\xE9s de surveillance des\
            \ journaux et toute activit\xE9 suspecte d\xE9tect\xE9e. \n\u2022 Fichiers\
            \ de configuration montrant la mise en \u0153uvre de facteurs d\u2019\
            authentification suppl\xE9mentaires bas\xE9s sur des r\xE8gles pr\xE9\
            d\xE9finies."
        es:
          description: "Las entidades pertinentes se asegurar\xE1n de que la solidez\
            \ de la autenticaci\xF3n sea adecuada a la clasificaci\xF3n del activo\
            \ al que se va a acceder."
          annotation: "\u2022 Determinar qu\xE9 redes y sistemas de informaci\xF3\
            n requieren el uso de la protecci\xF3n MFA en funci\xF3n de la clasificaci\xF3\
            n del activo al que se va a acceder. Siempre que sea posible, utilice\
            \ MFA resistente al phishing. \n\u2022 Analice los roles de usuario y\
            \ el nivel de acceso requerido por cada rol para determinar los m\xE9\
            todos de MFA apropiados. \n\u2022 Considere la MFA, en particular cuando\
            \ acceda a sistemas desde una ubicaci\xF3n remota, acceda a sistemas de\
            \ administraci\xF3n de sistemas, acceda a informaci\xF3n confidencial,\
            \ etc. \n\u2022 Aplicar MFA en sistemas orientados a Internet, como correo\
            \ electr\xF3nico, escritorio remoto y VPN (99). \n\u2022 Defina cu\xE1\
            ndo y c\xF3mo se requiere MFA (por ejemplo, cada inicio de sesi\xF3n,\
            \ una vez por sesi\xF3n o para acciones de alto riesgo).\n\n[CONSEJOS]\n\
            \n\u2022 Integre MFA con soluciones SSO para un acceso sin problemas.\
            \ Siempre que sea posible, utilice MFA resistente al phishing. \n\u2022\
            \ Implemente m\xE9todos de reserva seguros para los usuarios que pierdan\
            \ el acceso a sus m\xE9todos MFA. \n\u2022 Educar a los usuarios sobre\
            \ la importancia de MFA y c\xF3mo usarla. \n\u2022 Supervise regularmente\
            \ los registros de MFA en busca de actividades sospechosas. \n\u2022 Mantener\
            \ actualizado el sistema MFA y los dispositivos asociados.  \n\u2022 Combine\
            \ MFA con otras t\xE9cnicas para requerir factores adicionales en circunstancias\
            \ espec\xEDficas, en funci\xF3n de reglas y patrones predefinidos, como\
            \ el acceso desde una ubicaci\xF3n inusual, desde un dispositivo inusual\
            \ o en un momento inusual. \n\u2022 Evaluar y elegir un proveedor de MFA\
            \ que se ajuste a los requisitos de la entidad:\n    o facilidad de integraci\xF3\
            n: garantizar que la soluci\xF3n MFA se integre bien con los sistemas\
            \ existentes;\n    o Experiencia de usuario: Buscar un equilibrio entre\
            \ la seguridad y la comodidad del usuario;\n    o Escalabilidad: elegir\
            \ una soluci\xF3n que pueda crecer con la entidad;\n    o Soporte y confiabilidad:\
            \ aseg\xFArese de que el proveedor ofrezca un soporte s\xF3lido y una\
            \ alta confiabilidad. \n\u2022 Prueba piloto de la soluci\xF3n MFA con\
            \ un peque\xF1o grupo de usuarios. \n\u2022 Garantizar que la implementaci\xF3\
            n de MFA cumpla con los requisitos legales (por ejemplo, el GDPR).\n\n\
            (99) Fundamentos Cibern\xE9ticos, PR. AC-3, Centro de Seguridad Cibern\xE9\
            tica de B\xE9lgica, https://atwork.safeonweb.be/sites/default/files/2024-12/cyfun_basic_v2023-03-\
            \ 01_e_update_2024.pdf."
          typical_evidence: "\u2022 Documentaci\xF3n que detalle la clasificaci\xF3\
            n de los activos y los requisitos asociados para la protecci\xF3n de MFA.\
            \ \n\u2022 Resultados de la evaluaci\xF3n de riesgos que justifiquen la\
            \ necesidad de MFA en determinadas redes y sistemas de informaci\xF3n.\
            \ \n\u2022 Lista de roles de usuario, derechos de acceso asociados y el\
            \ an\xE1lisis realizado para determinar los m\xE9todos de MFA apropiados.\
            \ \n\u2022 Archivos de configuraci\xF3n y registros que muestran MFA habilitado\
            \ en redes y sistemas de informaci\xF3n espec\xEDficos. \n\u2022 Configuraci\xF3\
            n de los sistemas de autenticaci\xF3n que refleja los requisitos de MFA\
            \ definidos. \n\u2022 Registros de los sistemas de autenticaci\xF3n que\
            \ muestran la aplicaci\xF3n de estos requisitos de MFA.\n\n[CONSEJOS]\n\
            \n\u2022 Manuales, archivos de configuraci\xF3n o capturas de pantalla\
            \ que demuestren la integraci\xF3n exitosa de MFA con un proveedor de\
            \ SSO. \n\u2022 Registros de las sesiones de capacitaci\xF3n, listas de\
            \ asistencia y materiales de capacitaci\xF3n proporcionados a los usuarios\
            \ sobre la importancia y el uso de MFA. \n\u2022 Informes generados regularmente\
            \ por los sistemas MFA que muestran las actividades de monitoreo de registros\
            \ y cualquier actividad sospechosa detectada. \n\u2022 Archivos de configuraci\xF3\
            n que muestran la implementaci\xF3n de factores de autenticaci\xF3n adicionales\
            \ basados en reglas predefinidas."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty zajist\xED, aby \xFArove\u0148\
            \ ov\u011B\u0159en\xED odpov\xEDdala klasifikaci aktiva, k n\u011Bmu\u017E\
            \ m\xE1 b\xFDt poskytnut p\u0159\xEDstup."
          annotation: "\u2022 Ur\u010Dete, kter\xE9 s\xED\u0165ov\xE9 a informa\u010D\
            n\xED syst\xE9my vy\u017Eaduj\xED pou\u017Eit\xED ochrany MFA na z\xE1\
            klad\u011B klasifikace aktiva, ke kter\xE9mu se m\xE1 p\u0159istupovat.\
            \ Pokud je to mo\u017En\xE9, pou\u017E\xEDvejte v\xEDcefaktorov\xE9 ov\u011B\
            \u0159ov\xE1n\xED odoln\xE9 proti \xFAtok\u016Fm phishing. \n\u2022 Analyzujte\
            \ u\u017Eivatelsk\xE9 role a \xFArove\u0148 p\u0159\xEDstupu vy\u017E\
            adovanou ka\u017Edou rol\xED a ur\u010Dete vhodn\xE9 metody MFA. \n\u2022\
            \ Zva\u017Ete MFA, zejm\xE9na p\u0159i p\u0159\xEDstupu k syst\xE9m\u016F\
            m ze vzd\xE1len\xE9 lokality, p\u0159\xEDstupu k syst\xE9m\u016Fm pro\
            \ spr\xE1vu syst\xE9mu, p\u0159\xEDstupu k citliv\xFDm informac\xEDm atd.\
            \ \n\u2022 Vynucujte v\xEDcefaktorov\xE9 ov\u011B\u0159ov\xE1n\xED v syst\xE9\
            mech p\u0159\xEDstupn\xFDch k internetu, jako je e-mail, vzd\xE1len\xE1\
            \ plocha a VPN (99). \n\u2022 Definujte, kdy a jak je vy\u017Eadov\xE1\
            no MFA (nap\u0159. ka\u017Ed\xE9 p\u0159ihl\xE1\u0161en\xED, jednou za\
            \ relaci nebo pro vysoce rizikov\xE9 akce).\n\n[TIPY]\n\n\u2022 Integrujte\
            \ MFA s \u0159e\u0161en\xEDmi SSO pro bezprobl\xE9mov\xFD p\u0159\xED\
            stup. Pokud je to mo\u017En\xE9, pou\u017E\xEDvejte v\xEDcefaktorov\xE9\
            \ ov\u011B\u0159ov\xE1n\xED odoln\xE9 proti \xFAtok\u016Fm phishing. \n\
            \u2022 Implementujte zabezpe\u010Den\xE9 z\xE1lo\u017En\xED metody pro\
            \ u\u017Eivatele, kte\u0159\xED ztrat\xED p\u0159\xEDstup ke sv\xFDm metod\xE1\
            m MFA. \n\u2022 Vzd\u011Bl\xE1vejte u\u017Eivatele o d\u016Fle\u017Eitosti\
            \ MFA a o tom, jak jej pou\u017E\xEDvat. \n\u2022 Pravideln\u011B sledujte\
            \ protokoly MFA kv\u016Fli podez\u0159el\xE9 aktivit\u011B. \n\u2022 Udr\u017E\
            ujte syst\xE9m MFA a p\u0159idru\u017Een\xE1 za\u0159\xEDzen\xED aktualizovan\xE1\
            .  \n\u2022 Kombinujte MFA s dal\u0161\xEDmi technikami, abyste vy\u017E\
            adovali dal\u0161\xED faktory za specifick\xFDch okolnost\xED na z\xE1\
            klad\u011B p\u0159edem definovan\xFDch pravidel a vzorc\u016F, jako je\
            \ p\u0159\xEDstup z neobvykl\xE9ho m\xEDsta, z neobvykl\xE9ho za\u0159\
            \xEDzen\xED nebo v neobvyklou dobu. \n\u2022 Vyhodno\u0165te a vyberte\
            \ poskytovatele MFA, kter\xFD vyhovuje po\u017Eadavk\u016Fm entity:\n\
            \    o snadn\xE1 integrace: zajist\u011Bte dobrou integraci \u0159e\u0161\
            en\xED MFA se st\xE1vaj\xEDc\xEDmi syst\xE9my;\n    o u\u017Eivatelsk\xE1\
            \ zku\u0161enost: usilovat o rovnov\xE1hu mezi bezpe\u010Dnost\xED a u\u017E\
            ivatelsk\xFDm pohodl\xEDm;\n    o \u0161k\xE1lovatelnost: vyberte \u0159\
            e\u0161en\xED, kter\xE9 m\u016F\u017Ee r\u016Fst s entitou;\n    o Podpora\
            \ a spolehlivost: Zajist\u011Bte, aby poskytovatel nab\xEDzel robustn\xED\
            \ podporu a vysokou spolehlivost. \n\u2022 Pilotn\xED testov\xE1n\xED\
            \ \u0159e\u0161en\xED MFA s malou skupinou u\u017Eivatel\u016F. \n\u2022\
            \ Zajistit, aby implementace MFA spl\u0148ovala z\xE1konn\xE9 po\u017E\
            adavky (nap\u0159. GDPR).\n\n(99) CyberFundamentals, PR. AC-3, Centrum\
            \ pro kybernetickou bezpe\u010Dnost Belgie, https://atwork.safeonweb.be/sites/default/files/2024-12/cyfun_basic_v2023-03-\
            \ 01_e_update_2024.pdf."
          typical_evidence: "\u2022 Dokumentace s podrobn\xFDm \u010Dlen\u011Bn\xED\
            m klasifikace majetku a s t\xEDm spojen\xE9ho po\u017Eadavku na MFA ochranu.\
            \ \n\u2022 V\xFDsledky posouzen\xED rizik od\u016Fvod\u0148uj\xEDc\xED\
            \ pot\u0159ebu MFA v ur\u010Dit\xFDch s\xED\u0165ov\xFDch a informa\u010D\
            n\xEDch syst\xE9mech. \n\u2022 Seznam u\u017Eivatelsk\xFDch rol\xED, p\u0159\
            idru\u017Een\xFDch p\u0159\xEDstupov\xFDch pr\xE1v a anal\xFDza proveden\xE1\
            \ za \xFA\u010Delem ur\u010Den\xED vhodn\xFDch metod MFA. \n\u2022 Konfigura\u010D\
            n\xED soubory a logy zobrazuj\xEDc\xED MFA povolen\xE9 na konkr\xE9tn\xED\
            ch s\xED\u0165ov\xFDch a informa\u010Dn\xEDch syst\xE9mech. \n\u2022 Nastaven\xED\
            \ z autentiza\u010Dn\xEDch syst\xE9m\u016F reflektuj\xEDc\xED definovan\xE9\
            \ po\u017Eadavky MFA. \n\u2022 Protokoly z autentiza\u010Dn\xEDch syst\xE9\
            m\u016F ukazuj\xEDc\xED vynucen\xED t\u011Bchto po\u017Eadavk\u016F MFA.\n\
            \n[TIPY]\n\n\u2022 Manu\xE1ly, konfigura\u010Dn\xED soubory nebo sn\xED\
            mky obrazovky demonstruj\xEDc\xED \xFAsp\u011B\u0161nou integraci MFA\
            \ s poskytovatelem SSO. \n\u2022 Z\xE1znamy o \u0161kolen\xEDch, prezen\u010D\
            n\xED listiny a \u0161kolic\xED materi\xE1ly poskytovan\xE9 u\u017Eivatel\u016F\
            m o d\u016Fle\u017Eitosti a vyu\u017Eit\xED MFA. \n\u2022 Pravideln\u011B\
            \ generovan\xE9 reporty z MFA syst\xE9m\u016F zobrazuj\xEDc\xED logov\xE1\
            n\xED monitoringu aktivit a zji\u0161t\u011Bn\xFDch podez\u0159el\xFD\
            ch aktivit. \n\u2022 Konfigura\u010Dn\xED soubory zobrazuj\xEDc\xED implementaci\
            \ dal\u0161\xEDch autentiza\u010Dn\xEDch faktor\u016F na z\xE1klad\u011B\
            \ p\u0159edem definovan\xFDch pravidel."
        it:
          description: "I soggetti pertinenti garantiscono che il livello di autenticazione\
            \ sia adeguato per la classificazione dell'attivit\xE0 a cui accedere."
          annotation: "\u2022 Determinare quali reti e sistemi informativi richiedono\
            \ l'uso della protezione MFA in base alla classificazione dell'asset a\
            \ cui accedere. Ove possibile, utilizzare l'autenticazione a pi\xF9 fattori\
            \ resistente al phishing. \n\u2022 Analizzare i ruoli degli utenti e il\
            \ livello di accesso richiesto da ciascun ruolo per determinare i metodi\
            \ MFA appropriati. \n\u2022 Prendere in considerazione l'MFA, in particolare\
            \ quando si accede ai sistemi da una postazione remota, si accede ai sistemi\
            \ di amministrazione del sistema, si accede a informazioni sensibili,\
            \ ecc. \n\u2022 Applicare l'autenticazione a pi\xF9 fattori sui sistemi\
            \ connessi a Internet, come e-mail, desktop remoto e VPN (99). \n\u2022\
            \ Definire quando e come \xE8 richiesta l'autenticazione a pi\xF9 fattori\
            \ (ad es. ad ogni accesso, una volta per sessione o per azioni ad alto\
            \ rischio).\n\n[CONSIGLI]\n\n\u2022 Integrare l'MFA con le soluzioni SSO\
            \ per un accesso senza interruzioni. Ove possibile, utilizzare l'autenticazione\
            \ a pi\xF9 fattori resistente al phishing. \n\u2022 Implementare metodi\
            \ di fallback sicuri per gli utenti che perdono l'accesso ai propri metodi\
            \ MFA. \n\u2022 Educare gli utenti sull'importanza dell'MFA e su come\
            \ utilizzarla. \n\u2022 Monitorare regolarmente i registri MFA per attivit\xE0\
            \ sospette. \n\u2022 Mantenere aggiornati il sistema MFA e i dispositivi\
            \ associati.  \n\u2022 Combinare l'MFA con altre tecniche per richiedere\
            \ fattori aggiuntivi in circostanze specifiche, in base a regole e modelli\
            \ predefiniti, come l'accesso da una posizione insolita, da un dispositivo\
            \ insolito o in un momento insolito. \n\u2022 Valutare e scegliere un\
            \ fornitore di MFA che soddisfi i requisiti dell'entit\xE0:\n    o facilit\xE0\
            \ di integrazione: assicurarsi che la soluzione MFA si integri bene con\
            \ i sistemi esistenti;\n    o esperienza utente: puntare a un equilibrio\
            \ tra sicurezza e comodit\xE0 dell'utente;\n    o scalabilit\xE0: scegliere\
            \ una soluzione che possa crescere con l'entit\xE0;\n    o Supporto e\
            \ affidabilit\xE0: assicurarsi che il provider offra un supporto solido\
            \ e un'elevata affidabilit\xE0. \n\u2022 Test pilota della soluzione MFA\
            \ con un piccolo gruppo di utenti. \n\u2022 Garantire che l'implementazione\
            \ dell'MFA soddisfi i requisiti legali (ad es. il GDPR).\n\n(99) CyberFundamentals,\
            \ PR. AC-3, Centro per la sicurezza informatica Belgio, https://atwork.safeonweb.be/sites/default/files/2024-12/cyfun_basic_v2023-03-01_e_update_2024.pdf."
          typical_evidence: "\u2022 Documentazione che illustra in dettaglio la classificazione\
            \ dei beni e i relativi requisiti per la protezione MFA. \n\u2022 Risultati\
            \ della valutazione del rischio che giustificano la necessit\xE0 di una\
            \ MFA su determinate reti e sistemi informativi. \n\u2022 Elenco dei ruoli\
            \ utente, dei diritti di accesso associati e dell'analisi condotta per\
            \ determinare i metodi MFA appropriati. \n\u2022 File di configurazione\
            \ e registri che mostrano l'autenticazione a pi\xF9 fattori abilitata\
            \ su reti e sistemi informativi specifici. \n\u2022 Impostazioni dei sistemi\
            \ di autenticazione che riflettono i requisiti MFA definiti. \n\u2022\
            \ Registri dai sistemi di autenticazione che mostrano l'applicazione di\
            \ questi requisiti MFA.\n\n[CONSIGLI]\n\n\u2022 Manuali, file di configurazione\
            \ o screenshot che dimostrano l'integrazione riuscita dell'MFA con un\
            \ provider SSO. \n\u2022 Registrazioni delle sessioni di formazione, elenchi\
            \ di presenze e materiali di formazione forniti agli utenti sull'importanza\
            \ e l'utilizzo dell'MFA. \n\u2022 Report generati regolarmente dai sistemi\
            \ MFA che mostrano le attivit\xE0 di monitoraggio dei log e le attivit\xE0\
            \ sospette rilevate. \n\u2022 File di configurazione che mostrano l'implementazione\
            \ di fattori di autenticazione aggiuntivi basati su regole predefinite."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:12
      assessable: false
      depth: 1
      ref_id: '12'
      name: ASSET MANAGEMENT (ARTICLE 21(2), POINT (I), OF DIRECTIVE (EU) 2022/2555)
      translations:
        fr:
          name: Gestion des actifs [article 21, paragraphe 2, point i), de la directive
            (UE) 2022/2555]
        es:
          name: "GESTI\xD3N DE ACTIVOS [Art\xEDculo 21, Apartado 2, Letra I), de la\
            \ directiva (UE) 2022/2555]"
        cs:
          name: "Spr\xE1va aktiv (\u010Dl. 21 odst. 2 p\xEDsm. i) sm\u011Brnice (EU)\
            \ 2022/2555)"
        it:
          name: GESTIONE PATRIMONIALE [ARTICOLO 21, PARAGRAFO 2, LETTERA I), DELLA
            DIRETTIVA (UE) 2022/2555]
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:12.1
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:12
      ref_id: '12.1'
      name: Asset classification
      translations:
        fr:
          name: Classification des actifs
        es:
          name: "Clasificaci\xF3n de activos"
        cs:
          name: Klasifikace aktiv
        it:
          name: Classificazione degli asset
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:12.1.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:12.1
      ref_id: 12.1.1
      description: For the purpose of Article 21(2), point (i) of Directive (EU) 2022/2555,
        the relevant entities shall lay down classification levels of all assets,
        including information, in scope of their network and information systems for
        the level of protection required.
      annotation: "\u2022 Create and document classification levels for the assets,\
        \ including conventions for classification."
      typical_evidence: "\u2022 Documented classification levels for the assets."
      translations:
        fr:
          description: "Aux fins de l\u2019article 21, paragraphe 2, point i), de\
            \ la directive (UE) 2022/2555, les entit\xE9s concern\xE9es fixent les\
            \ niveaux de classification de tous les actifs, y compris l'information,\
            \ couverts par leurs r\xE9seaux et leurs syst\xE8mes d\u2019information\
            \ pour le niveau de protection requis."
          annotation: "\u2022 Cr\xE9er et documenter les niveaux de classification\
            \ des actifs, y compris les conventions de classification."
          typical_evidence: "\u2022 Niveaux de classification document\xE9s pour les\
            \ actifs."
        es:
          description: "A los efectos del art\xEDculo 21, apartado 2, letra i), de\
            \ la Directiva (UE) 2022/2555, las entidades pertinentes establecer\xE1\
            n los niveles de clasificaci\xF3n de todos los activos, incluida la informaci\xF3\
            n, que formen parte del \xE1mbito de sus sistemas de redes y de informaci\xF3\
            n con relaci\xF3n al nivel de protecci\xF3n requerido."
          annotation: "\u2022 Crear y documentar los niveles de clasificaci\xF3n de\
            \ los activos, incluidas las convenciones para la clasificaci\xF3n."
          typical_evidence: "\u2022 Niveles de clasificaci\xF3n documentados para\
            \ los activos."
        cs:
          description: "Pro \xFA\u010Dely \u010Dl. 21 odst. 2 p\xEDsm. i) sm\u011B\
            rnice (EU) 2022/2555 p\u0159\xEDslu\u0161n\xE9 subjekty stanov\xED stupn\u011B\
            \ utajen\xED v\u0161ech aktiv, v\u010Detn\u011B informac\xED, v oblasti\
            \ p\u016Fsobnosti sv\xFDch s\xEDt\xED a informa\u010Dn\xEDch syst\xE9\
            m\u016F pro po\u017Eadovanou \xFArove\u0148 ochrany."
          annotation: "\u2022 Vytv\xE1\u0159et a dokumentovat \xFArovn\u011B klasifikace\
            \ datov\xFDch zdroj\u016F, v\u010Detn\u011B konvenc\xED pro klasifikaci."
          typical_evidence: "\u2022 Zdokumentovan\xE9 \xFArovn\u011B klasifikace pro\
            \ aktiva."
        it:
          description: "Ai fini dell'articolo 21, paragrafo 2, lettera i), della direttiva\
            \ (UE) 2022/2555, i soggetti pertinenti stabiliscono i livelli di classificazione\
            \ di tutte le attivit\xE0, comprese le informazioni, nell'ambito della\
            \ loro rete e dei loro sistemi informativi per il livello di protezione\
            \ richiesto."
          annotation: "\u2022 Creare e documentare i livelli di classificazione per\
            \ le risorse, comprese le convenzioni per la classificazione."
          typical_evidence: "\u2022 Livelli di classificazione documentati per gli\
            \ asset."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:12.1.2
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:12.1
      ref_id: 12.1.2
      description: 'For the purpose of point 12.1.1., the relevant entities shall:'
      annotation: "\u2022 Ensure that classifications and associated protective measures\
        \ for assets consider business needs, including:\n    o sharing or restricting\
        \ information;\n    o protecting the integrity and authenticity of information;\n\
        \    o ensuring availability (100); and\n    o complying with legal requirements\
        \ concerning the confidentiality, integrity or availability of the information.\
        \ \n\u2022 Define and communicate a classification for sensitive information,\
        \ such as (indicative example):\n    o public - freely accessible to all,\
        \ even externally;\n    o internal - accessible only to members of the entity;\n\
        \    o confidential - accessible only to those whose duties require access.\
        \ \n\u2022 Use classifications derived from national law, international agreements\
        \ or internationally accepted strategies for sharing information, such as\
        \ the traffic light protocol. \n\u2022 Align the classification with the access\
        \ control policy (section 11.1). \n\u2022 Classify assets in accordance with\
        \ the identified classification levels. \n\u2022 Classify assets other than\
        \ information in accordance with the classification of the information they\
        \ store, process, handle or protect.\n\n(100) For example, the entity could\
        \ assess the direct replacement cost associated with an asset and, where possible,\
        \ the known indirect cost of total loss."
      typical_evidence: "\u2022 The latest, updated record of the entity\u2019s assets\
        \ and their classification based on the identified classification levels."
      translations:
        fr:
          description: "Aux fins du point 12.1.1, les entit\xE9s concern\xE9es:"
          annotation: "\u2022 Veiller \xE0 ce que les classifications et les mesures\
            \ de protection associ\xE9es pour les actifs tiennent compte des besoins\
            \ de l\u2019entreprise, notamment :\n    o partager ou restreindre des\
            \ informations ;\n    o prot\xE9ger l\u2019int\xE9grit\xE9 et l\u2019\
            authenticit\xE9 des informations ;\n    o assurer la disponibilit\xE9\
            \ (100) ; et\n    o se conformer aux exigences l\xE9gales concernant la\
            \ confidentialit\xE9, l\u2019int\xE9grit\xE9 ou la disponibilit\xE9 des\
            \ informations. \n\u2022 D\xE9finir et communiquer une classification\
            \ pour les informations sensibles, telles que (exemple indicatif) :\n\
            \    o public - librement accessible \xE0 tous, m\xEAme de l\u2019ext\xE9\
            rieur\_;\n    o interne - accessible uniquement aux membres de l\u2019\
            entit\xE9 ;\n    o Confidentiel - Accessible uniquement aux personnes\
            \ dont les fonctions n\xE9cessitent l\u2019acc\xE8s. \n\u2022 Utiliser\
            \ des classifications d\xE9riv\xE9es de la l\xE9gislation nationale, d\u2019\
            accords internationaux ou de strat\xE9gies internationalement accept\xE9\
            es pour l\u2019\xE9change d\u2019informations, telles que le protocole\
            \ des feux de circulation. \n\u2022 Aligner la classification sur la politique\
            \ de contr\xF4le d\u2019acc\xE8s (section 11.1). \n\u2022 Classer les\
            \ actifs conform\xE9ment aux niveaux de classification identifi\xE9s.\
            \ \n\u2022 Classifier les biens autres que les informations conform\xE9\
            ment \xE0 la classification des informations qu\u2019ils stockent, traitent,\
            \ manipulent ou prot\xE8gent.\n\n(100) Par exemple, l\u2019entit\xE9 pourrait\
            \ \xE9valuer le co\xFBt de remplacement direct associ\xE9 \xE0 un actif\
            \ et, si possible, le co\xFBt indirect connu de la perte totale."
          typical_evidence: "\u2022 L\u2019enregistrement le plus r\xE9cent et actualis\xE9\
            \ des actifs de l\u2019entit\xE9 et leur classification sur la base des\
            \ niveaux de classification identifi\xE9s."
        es:
          description: 'A los efectos del punto 12.1.1, las entidades pertinentes:'
          annotation: "\u2022 Asegurar que las clasificaciones y las medidas de protecci\xF3\
            n asociadas para los activos tengan en cuenta las necesidades del negocio,\
            \ incluyendo:\n    o compartir o restringir informaci\xF3n;\n    o proteger\
            \ la integridad y autenticidad de la informaci\xF3n;\n    o garantizar\
            \ la disponibilidad (100); y\n    o Cumplir con los requisitos legales\
            \ relativos a la confidencialidad, integridad o disponibilidad de la informaci\xF3\
            n. \n\u2022 Definir y comunicar una clasificaci\xF3n para la informaci\xF3\
            n sensible, como (ejemplo indicativo):\n    o p\xFAblico: de libre acceso\
            \ para todos, incluso desde el exterior;\n    o interno: accesible solo\
            \ para los miembros de la entidad;\n    o Confidencial: accesible solo\
            \ para aquellos cuyas funciones requieren acceso. \n\u2022 Utilizar clasificaciones\
            \ derivadas de la legislaci\xF3n nacional, de acuerdos internacionales\
            \ o de estrategias internacionalmente aceptadas para compartir informaci\xF3\
            n, como el protocolo de sem\xE1foro. \n\u2022 Alinear la clasificaci\xF3\
            n con la pol\xEDtica de control de acceso (secci\xF3n 11.1). \n\u2022\
            \ Clasificar los activos de acuerdo con los niveles de clasificaci\xF3\
            n identificados. \n\u2022 Clasificar los activos distintos de la informaci\xF3\
            n de acuerdo con la clasificaci\xF3n de la informaci\xF3n que almacenan,\
            \ procesan, manejan o protegen.\n\n(100) Por ejemplo, la entidad podr\xED\
            a evaluar el coste directo de sustituci\xF3n asociado a un activo y, cuando\
            \ sea posible, el coste indirecto conocido de la p\xE9rdida total."
          typical_evidence: "\u2022 El registro m\xE1s reciente y actualizado de los\
            \ activos de la entidad y su clasificaci\xF3n en funci\xF3n de los niveles\
            \ de clasificaci\xF3n identificados."
        cs:
          description: "Pro \xFA\u010Dely bodu 12.1.1 p\u0159\xEDslu\u0161n\xE9 subjekty:"
          annotation: "\u2022 Zajistit, aby klasifikace a souvisej\xEDc\xED ochrann\xE1\
            \ opat\u0159en\xED pro aktiva zohled\u0148ovaly obchodn\xED pot\u0159\
            eby, v\u010Detn\u011B:\n    o sd\xEDlen\xED nebo omezov\xE1n\xED informac\xED\
            ;\n    o ochranu integrity a autenticity informac\xED;\n    o zaji\u0161\
            t\u011Bn\xED dostupnosti (100), a\n    o dodr\u017Eov\xE1n\xED pr\xE1\
            vn\xEDch po\u017Eadavk\u016F t\xFDkaj\xEDc\xEDch se d\u016Fv\u011Brnosti,\
            \ integrity nebo dostupnosti informac\xED. \n\u2022 Definujte a sd\u011B\
            lte klasifikaci pro citliv\xE9 informace, jako je (orienta\u010Dn\xED\
            \ p\u0159\xEDklad):\n    o ve\u0159ejn\xE9 - voln\u011B p\u0159\xEDstupn\xE9\
            \ v\u0161em, dokonce i extern\u011B;\n    o intern\xED - p\u0159\xEDstupn\xE9\
            \ pouze \u010Dlen\u016Fm subjektu;\n    o d\u016Fv\u011Brn\xE9 - p\u0159\
            \xEDstupn\xE9 pouze t\u011Bm, jejich\u017E povinnosti vy\u017Eaduj\xED\
            \ p\u0159\xEDstup. \n\u2022 Pou\u017E\xEDvat klasifikace odvozen\xE9 z\
            \ n\xE1rodn\xEDch z\xE1kon\u016F, mezin\xE1rodn\xEDch dohod nebo mezin\xE1\
            rodn\u011B uzn\xE1van\xFDch strategi\xED pro sd\xEDlen\xED informac\xED\
            , jako je protokol semaforu. \n\u2022 Sladit klasifikaci se z\xE1sadami\
            \ \u0159\xEDzen\xED p\u0159\xEDstupu (\u010D\xE1st 11.1). \n\u2022 Klasifikovat\
            \ aktiva v souladu s ur\u010Den\xFDmi \xFArovn\u011Bmi klasifikace. \n\
            \u2022 Klasifikovat aktiva jin\xE1 ne\u017E informace v souladu s klasifikac\xED\
            \ informac\xED, kter\xE9 ukl\xE1daj\xED, zpracov\xE1vaj\xED, zpracov\xE1\
            vaj\xED nebo chr\xE1n\xED.\n\n(100) \xDA\u010Detn\xED jednotka by nap\u0159\
            \xEDklad mohla posoudit p\u0159\xEDm\xE9 reproduk\u010Dn\xED n\xE1klady\
            \ spojen\xE9 s aktivem a pokud mo\u017Eno zn\xE1m\xE9 nep\u0159\xEDm\xE9\
            \ n\xE1klady na tot\xE1ln\xED ztr\xE1tu."
          typical_evidence: "\u2022 Nejnov\u011Bj\u0161\xED, aktualizovan\xFD z\xE1\
            znam o aktivech \xFA\u010Detn\xED jednotky a jejich klasifikaci na z\xE1\
            klad\u011B identifikovan\xFDch \xFArovn\xED klasifikace."
        it:
          description: 'Ai fini del punto 12.1.1, i soggetti interessati:'
          annotation: "\u2022 Garantire che le classificazioni e le relative misure\
            \ di protezione per gli asset tengano conto delle esigenze aziendali,\
            \ tra cui:\n    o condividere o limitare le informazioni;\n    o proteggere\
            \ l'integrit\xE0 e l'autenticit\xE0 delle informazioni;\n    o garantire\
            \ la disponibilit\xE0 (100); e\n    o rispettare i requisiti legali relativi\
            \ alla riservatezza, all'integrit\xE0 o alla disponibilit\xE0 delle informazioni.\
            \ \n\u2022 Definire e comunicare una classificazione per le informazioni\
            \ sensibili, come ad esempio (a titolo indicativo):\n    o pubblico -\
            \ liberamente accessibile a tutti, anche dall'esterno;\n    o interno\
            \ - accessibile solo ai membri dell'entit\xE0;\n    o Confidenziale -\
            \ accessibile solo a coloro le cui mansioni richiedono l'accesso. \n\u2022\
            \ Utilizzare classificazioni derivate dal diritto nazionale, da accordi\
            \ internazionali o da strategie di condivisione delle informazioni accettate\
            \ a livello internazionale, come il protocollo a semaforo. \n\u2022 Allineare\
            \ la classificazione con la politica di controllo degli accessi (sezione\
            \ 11.1). \n\u2022 Classificare gli asset in base ai livelli di classificazione\
            \ individuati. \n\u2022 Classificare i beni diversi dalle informazioni\
            \ in base alla classificazione delle informazioni che memorizzano, elaborano,\
            \ gestiscono o proteggono.\n\n(100) Per esempio, l'entit\xE0 potrebbe\
            \ valutare il costo diretto di sostituzione associato a un'attivit\xE0\
            \ e, ove possibile, il costo indiretto noto della perdita totale."
          typical_evidence: "\u2022 La registrazione pi\xF9 recente e aggiornata delle\
            \ attivit\xE0 dell'entit\xE0 e la loro classificazione in base ai livelli\
            \ di classificazione identificati."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:12.1.2.a
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:12.1.2
      ref_id: 12.1.2.a
      description: lay down a system of classification levels for assets;
      translations:
        fr:
          description: "\xE9tablissent un syst\xE8me de niveaux de classification\
            \ des actifs;"
        es:
          description: "establecer\xE1n un sistema de niveles de clasificaci\xF3n\
            \ de los activos;"
        cs:
          description: "stanov\xED syst\xE9m stup\u0148\u016F utajen\xED aktiv;"
        it:
          description: "stabilire un sistema di livelli di classificazione delle attivit\xE0\
            ;"
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:12.1.2.b
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:12.1.2
      ref_id: 12.1.2.b
      description: associate all assets with a classification level, based on confidentiality,
        integrity, authenticity and availability requirements, to indicate the protection
        required according to their sensitivity, criticality, risk and business value;
      translations:
        fr:
          description: "associent tous les actifs \xE0 un niveau de classification,\
            \ sur la base des exigences de confidentialit\xE9, d\u2019int\xE9grit\xE9\
            , d\u2019authenticit\xE9 et de disponibilit\xE9, afin d\u2019indiquer\
            \ la protection requise en fonction de leur sensibilit\xE9, de leur criticit\xE9\
            , de leur risque et de leur valeur commerciale;"
        es:
          description: "asociar\xE1n todos los activos con un nivel de clasificaci\xF3\
            n, basado en los requisitos de confidencialidad, integridad, autenticidad\
            \ y disponibilidad, para indicar la protecci\xF3n requerida en funci\xF3\
            n de su sensibilidad, criticidad, riesgo y valor empresarial;"
        cs:
          description: "p\u0159i\u0159ad\xED v\u0161em aktiv\u016Fm stupe\u0148 utajen\xED\
            , a to na z\xE1klad\u011B po\u017Eadavk\u016F na d\u016Fv\u011Brnost,\
            \ integritu, autenticitu a dostupnost, s c\xEDlem ur\u010Dit po\u017E\
            adovanou ochranu podle jejich citlivosti, kriti\u010Dnosti, rizika a obchodn\xED\
            \ hodnoty;"
        it:
          description: "associare a tutti gli asset un livello di classificazione,\
            \ basato su requisiti di riservatezza, integrit\xE0, autenticit\xE0 e\
            \ disponibilit\xE0, per indicare la protezione richiesta in base alla\
            \ loro sensibilit\xE0, criticit\xE0, rischio e valore aziendale;"
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:12.1.2.c
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:12.1.2
      ref_id: 12.1.2.c
      description: align the availability requirements of the assets with the delivery
        and recovery objectives set out in their business continuity and disaster
        recovery plans.
      translations:
        fr:
          description: "alignent les exigences de disponibilit\xE9 des actifs sur\
            \ les objectifs de r\xE9sultats et de r\xE9tablissement fix\xE9s dans\
            \ leur plan de continuit\xE9 de l'activit\xE9 et leur plan de r\xE9tablissement."
        es:
          description: "amoldar\xE1n los requisitos de disponibilidad de los activos\
            \ a los objetivos de entrega y recuperaci\xF3n establecidos en sus planes\
            \ de continuidad de las actividades y de recuperaci\xF3n en caso de cat\xE1\
            strofe."
        cs:
          description: "uvedou do souladu po\u017Eadavky na dostupnost aktiv a c\xED\
            le v oblasti poskytov\xE1n\xED a obnovy stanoven\xE9 v jejich pl\xE1nu\
            \ kontinuity a obnovy provozu po hav\xE1rii."
        it:
          description: "allineare i requisiti di disponibilit\xE0 degli asset con\
            \ gli obiettivi di consegna e ripristino stabiliti nei piani di continuit\xE0\
            \ aziendale e ripristino di emergenza."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:12.1.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:12.1
      ref_id: 12.1.3
      description: The relevant entities shall conduct periodic reviews of the classification
        levels of assets and update them, where appropriate.
      annotation: "\u2022 Define criteria for reviewing the classification over time.\
        \ \n\u2022 Review the classification at least annually, taking into account:\n\
        \    o regulatory changes; and\n    o changes in the value, sensitivity and\
        \ criticality of the assets throughout their life cycle.\n\n[TIPS]\n\n\u2022\
        \ Ensure that owners of the assets are responsible for their classification.\
        \ \n\u2022 Communicate to personnel the classification of assets and associated\
        \ protection requirements."
      typical_evidence: "\u2022 Documentation showing the schedule for reviews. \n\
        \u2022 Records of the most recent review and logs detailing changes made during\
        \ the last review, including reclassifications and the addition/removal of\
        \ assets.\n\n[TIPS]\n\n\u2022 Personnel knowing classification levels and\
        \ protection requirements for each level."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es proc\xE8dent \xE0 des r\xE9examens\
            \ p\xE9riodiques des niveaux de classification des actifs et les mettent\
            \ \xE0 jour, s\u2019il est besoin."
          annotation: "\u2022 D\xE9finir des crit\xE8res de r\xE9vision de la classification\
            \ dans le temps. \n\u2022 Revoir la classification au moins une fois par\
            \ an, en tenant compte des \xE9l\xE9ments suivants :\n    o les \xE9volutions\
            \ r\xE9glementaires ; et\n    o \xC9volution de la valeur, de la sensibilit\xE9\
            \ et de la criticit\xE9 des actifs tout au long de leur cycle de vie.\n\
            \n[CONSEILS]\n\n\u2022 Veiller \xE0 ce que les propri\xE9taires des actifs\
            \ soient responsables de leur classification. \n\u2022 Communiquer au\
            \ personnel la classification des biens et les exigences de protection\
            \ associ\xE9es."
          typical_evidence: "\u2022 Documentation montrant le calendrier des examens.\
            \ \n\u2022 Dossiers de l\u2019examen le plus r\xE9cent et registres d\xE9\
            taillant les modifications apport\xE9es lors du dernier examen, y compris\
            \ les reclassifications et l\u2019ajout ou la suppression d\u2019actifs.\n\
            \n[CONSEILS]\n\n\u2022 Le personnel conna\xEEt les niveaux de classification\
            \ et les exigences de protection pour chaque niveau."
        es:
          description: "Las entidades pertinentes realizar\xE1n revisiones peri\xF3\
            dicas de los niveles de clasificaci\xF3n de los activos y los actualizar\xE1\
            n, seg\xFAn proceda."
          annotation: "\u2022 Definir criterios para revisar la clasificaci\xF3n a\
            \ lo largo del tiempo. \n\u2022 Revisar la clasificaci\xF3n al menos una\
            \ vez al a\xF1o, teniendo en cuenta:\n    o cambios regulatorios; y\n\
            \    o Cambios en el valor, sensibilidad y criticidad de los activos a\
            \ lo largo de su ciclo de vida.\n\n[CONSEJOS]\n\n\u2022 Asegurar que los\
            \ propietarios de los activos sean responsables de su clasificaci\xF3\
            n. \n\u2022 Comunicar al personal la clasificaci\xF3n de los bienes y\
            \ los requisitos de protecci\xF3n asociados."
          typical_evidence: "\u2022 Documentaci\xF3n que muestre el cronograma de\
            \ revisiones. \n\u2022 Registros de la revisi\xF3n m\xE1s reciente y registros\
            \ que detallan los cambios realizados durante la \xFAltima revisi\xF3\
            n, incluidas las reclasificaciones y la adici\xF3n/eliminaci\xF3n de activos.\n\
            \n[CONSEJOS]\n\n\u2022 Conocimiento del personal de los niveles de clasificaci\xF3\
            n y requisitos de protecci\xF3n para cada nivel."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty prov\xE1d\u011Bj\xED pravideln\xE9\
            \ p\u0159ezkumy stup\u0148\u016F utajen\xED aktiv a v p\u0159\xEDpad\u011B\
            \ pot\u0159eby je aktualizuj\xED."
          annotation: "\u2022 Definujte krit\xE9ria pro p\u0159ezkoum\xE1n\xED klasifikace\
            \ v pr\u016Fb\u011Bhu \u010Dasu. \n\u2022 Alespo\u0148 jednou ro\u010D\
            n\u011B p\u0159ezkoumat klasifikaci s p\u0159ihl\xE9dnut\xEDm k:\n   \
            \ o zm\u011Bny p\u0159edpis\u016F; a\n    o zm\u011Bny v hodnot\u011B\
            , citlivosti a kriti\u010Dnosti aktiv v pr\u016Fb\u011Bhu jejich \u017E\
            ivotn\xEDho cyklu.\n\n[TIPY]\n\n\u2022 Zajistit, aby vlastn\xEDci aktiv\
            \ byli zodpov\u011Bdn\xED za jejich klasifikaci. \n\u2022 Sd\u011Blit\
            \ person\xE1lu klasifikaci majetku a souvisej\xEDc\xED po\u017Eadavky\
            \ na ochranu."
          typical_evidence: "\u2022 Dokumentace zobrazuj\xEDc\xED harmonogram kontrol.\
            \ \n\u2022 Z\xE1znamy o posledn\xED kontrole a protokoly podrobn\u011B\
            \ popisuj\xEDc\xED zm\u011Bny proveden\xE9 b\u011Bhem posledn\xED kontroly,\
            \ v\u010Detn\u011B reklasifikac\xED a p\u0159id\xE1n\xED/odebr\xE1n\xED\
            \ datov\xFDch zdroj\u016F.\n\n[TIPY]\n\n\u2022 Person\xE1l zn\xE1 stupn\u011B\
            \ utajen\xED a po\u017Eadavky na ochranu pro ka\u017Edou \xFArove\u0148\
            ."
        it:
          description: "I soggetti pertinenti effettuano revisioni periodiche dei\
            \ livelli di classificazione delle attivit\xE0 e li aggiornano, se del\
            \ caso."
          annotation: "\u2022 Definire i criteri per rivedere la classificazione nel\
            \ tempo. \n\u2022 Riesaminare la classificazione almeno una volta all'anno,\
            \ tenendo conto:\n    o modifiche normative; e\n    o variazioni del valore,\
            \ della sensibilit\xE0 e della criticit\xE0 degli asset durante il loro\
            \ ciclo di vita.\n\n[CONSIGLI]\n\n\u2022 Assicurarsi che i proprietari\
            \ dei beni siano responsabili della loro classificazione. \n\u2022 Comunicare\
            \ al personale la classificazione dei beni e i relativi requisiti di protezione."
          typical_evidence: "\u2022 Documentazione che mostra il calendario delle\
            \ revisioni. \n\u2022 Registrazioni della revisione pi\xF9 recente e registri\
            \ che descrivono in dettaglio le modifiche apportate durante l'ultima\
            \ revisione, comprese le riclassificazioni e l'aggiunta/rimozione di beni.\n\
            \n[CONSIGLI]\n\n\u2022 Personale che conosce i livelli di classificazione\
            \ e i requisiti di protezione per ogni livello."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:12.2
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:12
      ref_id: '12.2'
      name: Handling of assets
      translations:
        fr:
          name: Gestion des actifs
        es:
          name: "Gesti\xF3n de activos"
        cs:
          name: "Zach\xE1zen\xED s aktivy"
        it:
          name: Gestione dei beni
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:12.2.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:12.2
      ref_id: 12.2.1
      description: The relevant entities shall establish, implement and apply a policy
        for the proper handling of assets, including information, in accordance with
        their network and information security policy, and shall communicate the policy
        on proper handling of assets to anyone who uses or handles assets.
      annotation: "\u2022 Ensure that employees, direct suppliers, service providers\
        \ and any other third parties who use or handle the entity\u2019s assets (101)\
        \ are aware of the policy. \n\u2022 Consider mobile devices, such as smartphones\
        \ and tablets, and determine a strategy for mobile device management, including\
        \ Bring-Your-Own-Device (BYOD) (102).\n\n(101) Vehicles that can store data\
        \ locally on the vehicle and/or share data externally by means of telematics\
        \ are included.\n(102) BSI, \u2018SYS.3.2.1 Mobile Device Management, IT-Grundschutz-Compendium\u2019\
        , English version, 1 February 2022, https://www.bsi.bund.de/SharedDocs/Downloads/EN/BSI/Grundschutz/International/bsi_it_gs_comp_2022.html.\
        \ NIST Special Publication 800-46, \u2018Guide to Enterprise Telework, Remote\
        \ Access and Bring Your Own Device (BYOD) Security\u2019, https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-46r2.pdf."
      typical_evidence: "\u2022 Policy on the proper handling of assets.  \n\u2022\
        \ User manuals or instructions provided to employees, direct suppliers, service\
        \ providers and any other third parties who use or handles the entity\u2019\
        s assets. \n\u2022 Documentation showing that employees have completed training\
        \ sessions on the asset handling policy. \n\u2022 Forms or electronic records\
        \ that employees, direct suppliers, service providers and third parties have\
        \ signed to acknowledge they have read and understood the policy."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es \xE9tablissent, mettent en \u0153\
            uvre et appliquent une politique de gestion appropri\xE9e des actifs,\
            \ y compris l\u2019information, conform\xE9ment \xE0 leur politique de\
            \ s\xE9curit\xE9 des r\xE9seaux et de l\u2019information, et communiquent\
            \ ladite politique \xE0 toute personne qui utilise ou g\xE8re des actifs."
          annotation: "\u2022 Veiller \xE0 ce que les employ\xE9s, les fournisseurs\
            \ directs, les prestataires de services et tout autre tiers qui utilise\
            \ ou manipule les actifs de l\u2019entit\xE9 (101) soient au courant de\
            \ la politique. \n\u2022 Envisagez les appareils mobiles, tels que les\
            \ smartphones et les tablettes, et d\xE9terminez une strat\xE9gie de gestion\
            \ des appareils mobiles, y compris le BYOD (Bring Your Own Device) (102).\n\
            \n(101) Sont inclus les v\xE9hicules qui peuvent stocker des donn\xE9\
            es localement sur le v\xE9hicule et/ou partager des donn\xE9es \xE0 l\u2019\
            ext\xE9rieur au moyen de la t\xE9l\xE9matique.\n(102) BSI, \xAB\_SYS.3.2.1\
            \ Mobile Device Management, IT-Grundschutz-Compendium\_\xBB, version anglaise,\
            \ 1er f\xE9vrier 2022, https://www.bsi.bund.de/SharedDocs/Downloads/EN/BSI/Grundschutz/International/bsi_it_gs_comp_2022.html.\
            \ La publication sp\xE9ciale 800-46 du NIST, \xAB Guide to Enterprise\
            \ Telework, Remote Access and Bring Your Own Device (BYOD) Security \xBB\
            , https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-46r2.pdf."
          typical_evidence: "\u2022 Politique sur la bonne gestion des actifs.  \n\
            \u2022 Manuels d\u2019utilisation ou instructions fournis aux employ\xE9\
            s, aux fournisseurs directs, aux prestataires de services et \xE0 tout\
            \ autre tiers qui utilise ou g\xE8re les actifs de l\u2019entit\xE9. \n\
            \u2022 Documentation montrant que les employ\xE9s ont suivi des s\xE9\
            ances de formation sur la politique de manutention des actifs. \n\u2022\
            \ Les formulaires ou les documents \xE9lectroniques que les employ\xE9\
            s, les fournisseurs directs, les prestataires de services et les tiers\
            \ ont sign\xE9s pour reconna\xEEtre qu\u2019ils ont lu et compris la politique."
        es:
          description: "Las entidades pertinentes establecer\xE1n, pondr\xE1n en marcha\
            \ y aplicar\xE1n una pol\xEDtica para la correcta gesti\xF3n de los activos,\
            \ incluida la informaci\xF3n, acorde con su pol\xEDtica de seguridad de\
            \ las redes y de la informaci\xF3n y la pondr\xE1n en conocimiento de\
            \ todo aquel que utilice o gestione los activos."
          annotation: "\u2022 Asegurar que los empleados, proveedores directos, prestadores\
            \ de servicios y cualquier otro tercero que utilice o maneje los activos\
            \ de la entidad (101) conozcan la pol\xEDtica. \n\u2022 Considere los\
            \ dispositivos m\xF3viles, como tel\xE9fonos inteligentes y tabletas,\
            \ y determine una estrategia para la administraci\xF3n de dispositivos\
            \ m\xF3viles, incluido Bring-Your-Own-Device (BYOD) (102).\n\n(101) Se\
            \ incluyen los veh\xEDculos que pueden almacenar datos localmente en el\
            \ veh\xEDculo y/o compartir datos externamente mediante telem\xE1tica.\n\
            (102) BSI, \xABSYS.3.2.1 Mobile Device Management, IT-Grundschutz-Compendium\xBB\
            , versi\xF3n inglesa, 1 de febrero de 2022, https://www.bsi.bund.de/SharedDocs/Downloads/EN/BSI/Grundschutz/International/bsi_it_gs_comp_2022.html.\
            \ Publicaci\xF3n especial 800-46 del NIST, \"Gu\xEDa para el teletrabajo\
            \ empresarial, el acceso remoto y la seguridad de Bring Your Own Device\
            \ (BYOD)\", https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-46r2.pdf."
          typical_evidence: "\u2022 Pol\xEDtica sobre el manejo adecuado de los activos.\
            \  \n\u2022 Manuales de usuario o instrucciones proporcionadas a empleados,\
            \ proveedores directos, proveedores de servicios y cualquier otro tercero\
            \ que utilice o maneje los activos de la entidad. \n\u2022 Documentaci\xF3\
            n que demuestre que los empleados han completado sesiones de capacitaci\xF3\
            n sobre la pol\xEDtica de manejo de activos. \n\u2022 Formularios o registros\
            \ electr\xF3nicos que los empleados, proveedores directos, proveedores\
            \ de servicios y terceros hayan firmado para reconocer que han le\xED\
            do y entendido la pol\xEDtica."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty vytvo\u0159\xED, zavedou\
            \ a uplat\u0148uj\xED politiku spr\xE1vn\xE9ho zach\xE1zen\xED s aktivy,\
            \ v\u010Detn\u011B informac\xED, kter\xE1 je v souladu s jejich politikou\
            \ bezpe\u010Dnosti s\xEDt\xED a informac\xED, a sd\u011Bl\xED politiku\
            \ spr\xE1vn\xE9ho nakl\xE1d\xE1n\xED s aktivy v\u0161em, kte\u0159\xED\
            \ aktiva pou\u017E\xEDvaj\xED nebo s nimi nakl\xE1daj\xED."
          annotation: "\u2022 Zajistit, aby zam\u011Bstnanci, p\u0159\xEDm\xED dodavatel\xE9\
            , poskytovatel\xE9 slu\u017Eeb a jak\xE9koli dal\u0161\xED t\u0159et\xED\
            \ strany, kter\xE9 pou\u017E\xEDvaj\xED aktiva subjektu nebo s n\xEDm\
            \ nakl\xE1daj\xED (101), byli informov\xE1ni o t\u011Bchto z\xE1sad\xE1\
            ch. \n\u2022 Zva\u017Ete mobiln\xED za\u0159\xEDzen\xED, jako jsou chytr\xE9\
            \ telefony a tablety, a ur\u010Dete strategii pro spr\xE1vu mobiln\xED\
            ch za\u0159\xEDzen\xED, v\u010Detn\u011B BYOD (Bring-Your-Own-Device)\
            \ (102).\n\n(101) Pat\u0159\xED sem vozidla, kter\xE1 mohou ukl\xE1dat\
            \ \xFAdaje lok\xE1ln\u011B ve vozidle a/nebo je sd\xEDlet extern\u011B\
            \ prost\u0159ednictv\xEDm telematiky.\n(102) BSI, \"SYS.3.2.1 Mobile Device\
            \ Management, IT-Grundschutz-Compendium\", anglick\xE1 verze, 1. \xFA\
            nora 2022, https://www.bsi.bund.de/SharedDocs/Downloads/EN/BSI/Grundschutz/International/bsi_it_gs_comp_2022.html.\
            \ Speci\xE1ln\xED publikace NIST 800-46, Guide to Enterprise Telework,\
            \ Remote Access and Bring Your Own Device (BYOD) Security, https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-46r2.pdf."
          typical_evidence: "\u2022 Z\xE1sady spr\xE1vn\xE9ho nakl\xE1d\xE1n\xED s\
            \ majetkem.  \n\u2022 U\u017Eivatelsk\xE9 p\u0159\xEDru\u010Dky nebo pokyny\
            \ poskytovan\xE9 zam\u011Bstnanc\u016Fm, p\u0159\xEDm\xFDm dodavatel\u016F\
            m, poskytovatel\u016Fm slu\u017Eeb a dal\u0161\xEDm t\u0159et\xEDm stran\xE1\
            m, kter\xE9 pou\u017E\xEDvaj\xED nebo manipuluj\xED s aktivy subjektu.\
            \ \n\u2022 Dokumentace prokazuj\xEDc\xED, \u017Ee zam\u011Bstnanci absolvovali\
            \ \u0161kolen\xED o z\xE1sad\xE1ch nakl\xE1d\xE1n\xED s datov\xFDmi zdroji.\
            \ \n\u2022 Formul\xE1\u0159e nebo elektronick\xE9 z\xE1znamy, kter\xE9\
            \ zam\u011Bstnanci, p\u0159\xEDm\xED dodavatel\xE9, poskytovatel\xE9 slu\u017E\
            eb a t\u0159et\xED strany podepsali, aby potvrdili, \u017Ee si tyto z\xE1\
            sady p\u0159e\u010Detli a porozum\u011Bli jim."
        it:
          description: I soggetti pertinenti stabiliscono, attuano e applicano una
            politica per la corretta gestione delle risorse, comprese le informazioni,
            conformemente alla loro politica in materia di sicurezza delle reti e
            delle informazioni, e comunicano la politica per la corretta gestione
            delle risorse a chiunque utilizzi o gestisca le risorse.
          annotation: "\u2022 Garantire che i dipendenti, i fornitori diretti, i fornitori\
            \ di servizi e qualsiasi altra terza parte che utilizza o gestisce i beni\
            \ dell'entit\xE0 (101) siano a conoscenza della politica. \n\u2022 Prendere\
            \ in considerazione i dispositivi mobili, come smartphone e tablet, e\
            \ determinare una strategia per la gestione dei dispositivi mobili, compreso\
            \ il BYOD (Bring Your Own Device) (102).\n\n(101) Sono inclusi i veicoli\
            \ in grado di memorizzare dati localmente sul veicolo e/o di condividere\
            \ dati all'esterno mediante la telematica.\n(102) BSI, \xABSYS.3.2.1 Mobile\
            \ Device Management, IT-Grundschutz-Compendium\xBB, versione inglese,\
            \ 1o febbraio 2022, https://www.bsi.bund.de/SharedDocs/Downloads/EN/BSI/Grundschutz/International/bsi_it_gs_comp_2022.html.\
            \ Pubblicazione speciale NIST 800-46, \"Guida al telelavoro aziendale,\
            \ all'accesso remoto e alla sicurezza BYOD (Bring Your Own Device)\",\
            \ https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-46r2.pdf."
          typical_evidence: "\u2022 Politica sulla corretta gestione dei beni.  \n\
            \u2022 Manuali d'uso o istruzioni fornite a dipendenti, fornitori diretti,\
            \ fornitori di servizi e qualsiasi altra terza parte che utilizza o gestisce\
            \ i beni dell'entit\xE0. \n\u2022 Documentazione che dimostri che i dipendenti\
            \ hanno completato sessioni di formazione sulla politica di gestione degli\
            \ asset. \n\u2022 Moduli o registrazioni elettroniche che dipendenti,\
            \ fornitori diretti, fornitori di servizi e terze parti hanno firmato\
            \ per confermare di aver letto e compreso l'informativa."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:12.2.2
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:12.2
      ref_id: 12.2.2
      description: 'The policy shall:'
      annotation: "\u2022 Identify, document and implement a policy for handling assets\
        \ (103) throughout their life cycle (acquisition, use, storage, transportation\
        \ and disposal). \n\u2022 Ensure that the policy includes at least safe storage,\
        \ safe transport; and irretrievable deletion and destruction. For example:\n\
        \    o create user manuals and training materials on the correct and secure\
        \ use of assets;\n    o establish guidelines for secure storage, taking into\
        \ account backup management (section 4.2);\n    o define protocols for secure\
        \ transfer, including consider secure migration processes, when transferring\
        \ data to a cloud service;\n    o outline methods for data wiping and physical\
        \ destruction, ensuring complete and irretrievable deletion. \n\u2022 Ensure\
        \ that the policy covers the proper usage of all in-scope assets, both on-premises\
        \ and off-premises (e.g. mobile devices, data in the cloud, transient data\
        \ (104) or sensitive information). \n\u2022 Ensure that assets may be transferred\
        \ to external premises only after approval by authorized management bodies,\
        \ in accordance with the policy. \n\u2022 Link the asset handling policy with\
        \ the asset classification by providing handling details for each classification\
        \ level.\n\n(103) Vehicles that can store data locally on the vehicle and/or\
        \ share data externally by means of telematics are included.\n(104) Data that\
        \ moves between systems, users, or devices, often temporarily or for processing\
        \ purposes."
      typical_evidence: "\u2022 Documented policy for handling assets. \n\u2022 User\
        \ access lists, access request forms and approval records. \n\u2022 Incident\
        \ reports related to asset handling (e.g. loss, theft or damage)."
      translations:
        fr:
          description: 'Cette politique:'
          annotation: "\u2022 Identifier, documenter et mettre en \u0153uvre une politique\
            \ de gestion des actifs (103) tout au long de leur cycle de vie (acquisition,\
            \ utilisation, stockage, transport et \xE9limination). \n\u2022 Veiller\
            \ \xE0 ce que la politique comprenne au moins un stockage et un transport\
            \ s\xFBrs\_; et l\u2019effacement et la destruction irr\xE9m\xE9diables.\
            \ Par exemple:\n    o Cr\xE9er des manuels d\u2019utilisation et des supports\
            \ de formation sur l\u2019utilisation correcte et s\xE9curis\xE9e des\
            \ actifs ;\n    o \xE9tablir des lignes directrices pour un stockage s\xE9\
            curis\xE9, en tenant compte de la gestion des sauvegardes (section 4.2)\_\
            ;\n    o D\xE9finir des protocoles de transfert s\xE9curis\xE9, y compris\
            \ envisager des processus de migration s\xE9curis\xE9s, lors du transfert\
            \ de donn\xE9es vers un service cloud ;\n    o D\xE9finir les m\xE9thodes\
            \ d\u2019effacement et de destruction physique des donn\xE9es, garantissant\
            \ une suppression compl\xE8te et irr\xE9cup\xE9rable. \n\u2022 Assurez-vous\
            \ que la politique couvre l\u2019utilisation appropri\xE9e de tous les\
            \ actifs concern\xE9s, sur site et hors site (par exemple, les appareils\
            \ mobiles, les donn\xE9es dans le cloud, les donn\xE9es transitoires (104)\
            \ ou les informations sensibles). \n\u2022 Veiller \xE0 ce que les actifs\
            \ ne puissent \xEAtre transf\xE9r\xE9s dans des locaux ext\xE9rieurs qu\u2019\
            apr\xE8s approbation par les organes de gestion autoris\xE9s, conform\xE9\
            ment \xE0 la politique. \n\u2022 Associez la politique de gestion des\
            \ actifs \xE0 la classification des actifs en fournissant des d\xE9tails\
            \ de traitement pour chaque niveau de classification.\n\n(103) Sont inclus\
            \ les v\xE9hicules qui peuvent stocker des donn\xE9es localement sur le\
            \ v\xE9hicule et/ou partager des donn\xE9es \xE0 l\u2019ext\xE9rieur au\
            \ moyen de la t\xE9l\xE9matique.\n(104) Donn\xE9es qui circulent entre\
            \ des syst\xE8mes, des utilisateurs ou des appareils, souvent temporairement\
            \ ou \xE0 des fins de traitement."
          typical_evidence: "\u2022 Politique document\xE9e pour la gestion des actifs.\
            \ \n\u2022 Listes d\u2019acc\xE8s des utilisateurs, formulaires de demande\
            \ d\u2019acc\xE8s et dossiers d\u2019approbation. \n\u2022 Rapports d\u2019\
            incidents li\xE9s \xE0 la manutention d\u2019actifs (par exemple, perte,\
            \ vol ou dommage)."
        es:
          description: "Dicha pol\xEDtica:"
          annotation: "\u2022 Identificar, documentar e implementar una pol\xEDtica\
            \ de manejo de activos (103) a lo largo de su ciclo de vida (adquisici\xF3\
            n, uso, almacenamiento, transporte y eliminaci\xF3n). \n\u2022 Garantizar\
            \ que la pol\xEDtica incluya al menos un almacenamiento seguro, un transporte\
            \ seguro; y la eliminaci\xF3n y destrucci\xF3n irrecuperables. Por ejemplo:\n\
            \    o crear manuales de usuario y materiales de capacitaci\xF3n sobre\
            \ el uso correcto y seguro de los activos;\n    o establecer directrices\
            \ para el almacenamiento seguro, teniendo en cuenta la gesti\xF3n de copias\
            \ de seguridad (secci\xF3n 4.2);\n    o definir protocolos para la transferencia\
            \ segura, incluida la consideraci\xF3n de procesos de migraci\xF3n seguros,\
            \ al transferir datos a un servicio en la nube;\n    o Describir m\xE9\
            todos para el borrado de datos y la destrucci\xF3n f\xEDsica, asegurando\
            \ la eliminaci\xF3n completa e irrecuperable. \n\u2022 Garantizar que\
            \ la pol\xEDtica cubra el uso adecuado de todos los activos dentro del\
            \ alcance, tanto en las instalaciones como fuera de ellas (por ejemplo,\
            \ dispositivos m\xF3viles, datos en la nube, datos transitorios (104)\
            \ o informaci\xF3n confidencial). \n\u2022 Asegurar que los activos puedan\
            \ ser transferidos a locales externos s\xF3lo despu\xE9s de la aprobaci\xF3\
            n de los \xF3rganos de gesti\xF3n autorizados, de conformidad con la pol\xED\
            tica. \n\u2022 Vincule la pol\xEDtica de manejo de activos con la clasificaci\xF3\
            n de activos proporcionando detalles de manejo para cada nivel de clasificaci\xF3\
            n.\n\n(103) Se incluyen los veh\xEDculos que pueden almacenar datos localmente\
            \ en el veh\xEDculo y/o compartir datos externamente por medio telem\xE1\
            tico.\n(104) Datos que se mueven entre sistemas, usuarios o dispositivos,\
            \ a menudo temporalmente o con fines de procesamiento."
          typical_evidence: "\u2022 Pol\xEDtica documentada para el manejo de activos.\
            \ \n\u2022 Listas de acceso de usuarios, formularios de solicitud de acceso\
            \ y registros de aprobaci\xF3n. \n\u2022 Informes de incidentes relacionados\
            \ con el manejo de activos (por ejemplo, p\xE9rdida, robo o da\xF1o)."
        cs:
          description: 'Tato politika:'
          annotation: "\u2022 Identifikovat, dokumentovat a prov\xE1d\u011Bt z\xE1\
            sady pro nakl\xE1d\xE1n\xED s aktivy (103) b\u011Bhem cel\xE9ho jejich\
            \ \u017Eivotn\xEDho cyklu (po\u0159\xEDzen\xED, pou\u017E\xEDv\xE1n\xED\
            , skladov\xE1n\xED, p\u0159eprava a likvidace). \n\u2022 Zajistit, aby\
            \ pojistn\xE1 smlouva zahrnovala alespo\u0148 bezpe\u010Dn\xE9 skladov\xE1\
            n\xED, bezpe\u010Dnou p\u0159epravu; a nen\xE1vratn\xE9 vymaz\xE1n\xED\
            \ a zni\u010Den\xED. Nap\u0159\xEDklad:\n    o vytv\xE1\u0159et u\u017E\
            ivatelsk\xE9 p\u0159\xEDru\u010Dky a \u0161kolic\xED materi\xE1ly o spr\xE1\
            vn\xE9m a bezpe\u010Dn\xE9m pou\u017E\xEDv\xE1n\xED datov\xFDch zdroj\u016F\
            ;\n    o stanovit pokyny pro bezpe\u010Dn\xE9 ukl\xE1d\xE1n\xED s ohledem\
            \ na spr\xE1vu z\xE1loh (odd\xEDl 4.2);\n    o definovat protokoly pro\
            \ bezpe\u010Dn\xFD p\u0159enos, v\u010Detn\u011B zv\xE1\u017Een\xED bezpe\u010D\
            n\xFDch proces\u016F migrace, p\u0159i p\u0159enosu dat do cloudov\xE9\
            \ slu\u017Eby;\n    o nast\xEDnit metody vymaz\xE1n\xED a fyzick\xE9ho\
            \ zni\u010Den\xED dat, kter\xE9 zajist\xED \xFApln\xE9 a nen\xE1vratn\xE9\
            \ vymaz\xE1n\xED. \n\u2022 Ujist\u011Bte se, \u017Ee z\xE1sady pokr\xFD\
            vaj\xED spr\xE1vn\xE9 pou\u017E\xEDv\xE1n\xED v\u0161ech datov\xFDch zdroj\u016F\
            \ v oboru, a to jak m\xEDstn\xEDch, tak mimo n\u011B (nap\u0159. mobiln\xED\
            ch za\u0159\xEDzen\xED, dat v cloudu, p\u0159echodn\xFDch dat (104) nebo\
            \ citliv\xFDch informac\xED). \n\u2022 Zajistit, aby majetek mohl b\xFD\
            t p\u0159eveden do extern\xEDch prostor pouze po schv\xE1len\xED opr\xE1\
            vn\u011Bn\xFDmi \u0159\xEDd\xEDc\xEDmi org\xE1ny v souladu se z\xE1sadami.\
            \ \n\u2022 Propojte z\xE1sady zpracov\xE1n\xED datov\xFDch zdroj\u016F\
            \ s klasifikac\xED datov\xFDch zdroj\u016F poskytnut\xEDm podrobnost\xED\
            \ o zpracov\xE1n\xED pro ka\u017Edou \xFArove\u0148 klasifikace.\n\n(103)\
            \ Pat\u0159\xED sem vozidla, kter\xE1 mohou ukl\xE1dat \xFAdaje lok\xE1\
            ln\u011B ve vozidle a/nebo sd\xEDlet \xFAdaje extern\u011B prost\u0159\
            ednictv\xEDm telematiky.\n(104) \xDAdaje, kter\xE9 se p\u0159esouvaj\xED\
            \ mezi syst\xE9my, u\u017Eivateli nebo za\u0159\xEDzen\xEDmi, \u010Dasto\
            \ do\u010Dasn\u011B nebo pro \xFA\u010Dely zpracov\xE1n\xED."
          typical_evidence: "\u2022 Zdokumentovan\xE9 z\xE1sady pro nakl\xE1d\xE1\
            n\xED s datov\xFDmi zdroji. \n\u2022 Seznamy p\u0159\xEDstup\u016F u\u017E\
            ivatel\u016F, formul\xE1\u0159e \u017E\xE1dost\xED o p\u0159\xEDstup a\
            \ z\xE1znamy o schv\xE1len\xED. \n\u2022 Zpr\xE1vy o incidentech souvisej\xED\
            c\xEDch s manipulac\xED s majetkem (nap\u0159. ztr\xE1ta, kr\xE1de\u017E\
            \ nebo po\u0161kozen\xED)."
        it:
          description: 'La politica deve:'
          annotation: "\u2022 Identificare, documentare e attuare una politica per\
            \ la gestione dei beni (103) durante tutto il loro ciclo di vita (acquisizione,\
            \ utilizzo, stoccaggio, trasporto e smaltimento). \n\u2022 Garantire che\
            \ la politica includa almeno uno stoccaggio sicuro, un trasporto sicuro;\
            \ e la cancellazione e la distruzione irrimediabili. Per esempio:\n  \
            \  o creare manuali d'uso e materiali di formazione sull'uso corretto\
            \ e sicuro degli asset;\n    o stabilire linee guida per l'archiviazione\
            \ sicura, tenendo conto della gestione dei backup (sezione 4.2);\n   \
            \ o definire protocolli per il trasferimento sicuro, inclusi i processi\
            \ di migrazione sicuri, durante il trasferimento dei dati a un servizio\
            \ cloud;\n    o delineare metodi per la cancellazione e la distruzione\
            \ fisica dei dati, garantendo la cancellazione completa e irrecuperabile.\
            \ \n\u2022 Assicurarsi che la policy copra l'uso corretto di tutte le\
            \ risorse nell'ambito, sia on-premise che off-premise (ad es. dispositivi\
            \ mobili, dati nel cloud, dati temporanei (104) o informazioni sensibili).\
            \ \n\u2022 Garantire che i beni possano essere trasferiti in locali esterni\
            \ solo dopo l'approvazione da parte degli organi di gestione autorizzati,\
            \ in conformit\xE0 con la politica. \n\u2022 Collegare i criteri di gestione\
            \ degli asset con la classificazione degli asset fornendo i dettagli di\
            \ gestione per ogni livello di classificazione.\n\n(103) Sono inclusi\
            \ i veicoli in grado di memorizzare dati localmente sul veicolo e/o di\
            \ condividere dati all'esterno mediante la telematica.\n(104) Dati che\
            \ si spostano tra sistemi, utenti o dispositivi, spesso temporaneamente\
            \ o a fini di elaborazione."
          typical_evidence: "\u2022 Politica documentata per la gestione delle risorse.\
            \ \n\u2022 Liste di accesso degli utenti, moduli di richiesta di accesso\
            \ e registri di approvazione. \n\u2022 Rapporti sugli incidenti relativi\
            \ alla gestione dei beni (ad es. smarrimento, furto o danneggiamento)."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:12.2.2.a
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:12.2.2
      ref_id: 12.2.2.a
      description: cover the entire life cycle of the assets, including acquisition,
        use, storage, transportation and disposal;
      translations:
        fr:
          description: "couvre l\u2019ensemble du cycle de vie des actifs, y compris\
            \ l\u2019acquisition, l\u2019utilisation, le stockage, le transport et\
            \ la destruction;"
        es:
          description: "har\xE1 referencia a toda la vida \xFAtil de los activos,\
            \ especialmente su adquisici\xF3n, uso, almacenamiento, transporte y eliminaci\xF3\
            n;"
        cs:
          description: "pokr\xFDv\xE1 cel\xFD \u017Eivotn\xED cyklus aktiv, v\u010D\
            etn\u011B po\u0159\xEDzen\xED, pou\u017E\xEDv\xE1n\xED, uchov\xE1v\xE1\
            n\xED, p\u0159epravy a likvidace;"
        it:
          description: coprire l'intero ciclo di vita dei beni, compresi l'acquisizione,
            l'uso, lo stoccaggio, il trasporto e la cessione;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:12.2.2.b
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:12.2.2
      ref_id: 12.2.2.b
      description: provide rules on the safe use, safe storage, safe transport, and
        the irretrievable deletion and destruction of the assets;
      translations:
        fr:
          description: "pr\xE9voit des r\xE8gles concernant l\u2019utilisation s\xFB\
            re, le stockage en toute s\xE9curit\xE9, le transport en toute s\xE9curit\xE9\
            \ et la suppression et la destruction irr\xE9versibles des actifs;"
        es:
          description: "establecer\xE1 normas para su uso seguro, su almacenamiento\
            \ seguro, su transporte seguro y la supresi\xF3n y destrucci\xF3n irreversibles\
            \ de los activos;"
        cs:
          description: "poskytuje pravidla bezpe\u010Dn\xE9ho pou\u017E\xEDv\xE1n\xED\
            , bezpe\u010Dn\xE9 skladov\xE1n\xED, bezpe\u010Dnou p\u0159epravu a nevratn\xE9\
            \ vymaz\xE1n\xED a zni\u010Den\xED aktiv."
        it:
          description: fornire norme sull'uso sicuro, la conservazione sicura, il
            trasporto sicuro e la cancellazione e la distruzione irrimediabili dei
            beni;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:12.2.2.c
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:12.2.2
      ref_id: 12.2.2.c
      description: provide that the transfer shall take place in a secure manner,
        in accordance with the type of asset to be transferred.
      translations:
        fr:
          description: "pr\xE9voit que le transfert a lieu de mani\xE8re s\xE9curis\xE9\
            e, en fonction du type d\u2019actif \xE0 transf\xE9rer."
        es:
          description: "prever\xE1 que la transferencia se lleve a cabo de manera\
            \ segura, de conformidad con el tipo de activo que transfiera."
        cs:
          description: "stanov\xED, \u017Ee p\u0159evod se uskute\u010Dn\xED bezpe\u010D\
            n\xFDm zp\u016Fsobem v souladu s typem p\u0159ev\xE1d\u011Bn\xE9ho aktiva."
        it:
          description: "prevedere che il trasferimento avvenga in modo sicuro, in\
            \ funzione del tipo di attivit\xE0 da trasferire."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:12.2.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:12.2
      ref_id: 12.2.3
      description: The relevant entities shall review and, where appropriate, update
        the policy at planned intervals and when significant incidents or significant
        changes to operations or risks occur.
      annotation: "\u2022 Review and update the policy for asset handling at least\
        \ annually."
      typical_evidence: "\u2022 Up-to date policy for asset handling \n\u2022 Records\
        \ of reviews or history of changes."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es r\xE9examinent et, s\u2019il\
            \ est besoin, mettent \xE0 jour leur politique \xE0 intervalles pr\xE9\
            d\xE9finis, ainsi qu\u2019en cas d\u2019incidents importants ou lorsque\
            \ des changements majeurs concernant les op\xE9rations ou les risques\
            \ se produisent."
          annotation: "\u2022 Examiner et mettre \xE0 jour la politique de gestion\
            \ des actifs au moins une fois par an."
          typical_evidence: "\u2022 Politique actualis\xE9e pour la gestion des actifs\
            \ \n\u2022 Enregistrements des avis ou historique des modifications."
        es:
          description: "Las entidades pertinentes revisar\xE1n y, cuando proceda,\
            \ actualizar\xE1n la pol\xEDtica a intervalos planificados o cuando se\
            \ produzcan incidentes significativos o cambios significativos en las\
            \ operaciones o los riesgos."
          annotation: "\u2022 Revisar y actualizar la pol\xEDtica de manejo de activos\
            \ al menos una vez al a\xF1o."
          typical_evidence: "\u2022 Pol\xEDtica actualizada para el manejo de activos\
            \ \n\u2022 Registros de revisiones o historial de cambios."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty tuto politiku p\u0159ezkoum\xE1\
            vaj\xED a\_v\_p\u0159\xEDpad\u011B pot\u0159eby aktualizuj\xED v\_pl\xE1\
            novan\xFDch intervalech a\_p\u0159i v\xFDskytu v\xFDznamn\xFDch incident\u016F\
            \ nebo v\xFDznamn\xFDch zm\u011Bn operac\xED \u010Di rizik."
          annotation: "\u2022 Alespo\u0148 jednou ro\u010Dn\u011B p\u0159ezkoumat\
            \ a aktualizovat z\xE1sady pro nakl\xE1d\xE1n\xED s datov\xFDmi zdroji."
          typical_evidence: "\u2022 Aktu\xE1ln\xED z\xE1sady pro nakl\xE1d\xE1n\xED\
            \ s aktivy \n\u2022 Z\xE1znamy o recenz\xEDch nebo historii zm\u011Bn."
        it:
          description: I soggetti pertinenti riesaminano e, se del caso, aggiornano
            la politica a intervalli pianificati e quando si verificano incidenti
            significativi o modifiche significative delle operazioni o dei rischi.
          annotation: "\u2022 Rivedere e aggiornare la politica per la gestione delle\
            \ risorse almeno una volta all'anno."
          typical_evidence: "\u2022 Policy aggiornate per la gestione delle risorse\
            \ \n\u2022 Registrazioni di revisioni o cronologia delle modifiche."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:12.3
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:12
      ref_id: '12.3'
      name: Removable media policy
      translations:
        fr:
          name: "Politique en mati\xE8re de supports amovibles"
        es:
          name: "Pol\xEDtica de soportes extra\xEDbles"
        cs:
          name: "Politika t\xFDkaj\xEDc\xED se vym\u011Bniteln\xFDch m\xE9di\xED"
        it:
          name: Criteri relativi ai supporti rimovibili
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:12.3.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:12.3
      ref_id: 12.3.1
      description: "The relevant entities shall establish, implement and apply a policy\
        \ on the management of removable storage media and communicate it to their\
        \ employees and third parties who handle removable storage media at the relevant\
        \ entities\u2019 premises or other locations where the removable media is\
        \ connected to the relevant entities\u2019 network and information systems."
      annotation: "\u2022 Define, document and implement a policy on the management\
        \ of removable media (105). \n\u2022 Communicate the policy to employees and\
        \ third parties who handle removable storage media to ensure that they are\
        \ aware of the policy.\n\n(105) Including \u2018bring your own device\u2019\
        , if personal devices are used to store corporate data. Vehicles that can\
        \ store data locally on a vehicle and/or share data externally by means of\
        \ telematics are also included."
      typical_evidence: "\u2022 Documented policy on the management of removable media,\
        \ including at least the items in point 12.3.2 of the Annex to the regulation.\
        \ \n\u2022 User manuals or instructions provided to employees and third parties\
        \ concerning the correct usage of the removable media. \n\u2022 Documentation\
        \ showing that employees and third parties have completed training sessions\
        \ on the policy or forms or electronic records that employees and third parties\
        \ have signed to acknowledge they have read and understood the policy. \n\u2022\
        \ Evidence of ongoing awareness campaigns, such as posters, emails or intranet\
        \ posts, reminding employees about the risks and policies associated with\
        \ removable media."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es \xE9tablissent, mettent en \u0153\
            uvre et appliquent une politique de gestion des supports de stockage amovibles\
            \ et la communiquent aux membres de leur personnel et aux tiers qui manipulent\
            \ des supports de stockage amovibles dans les locaux des entit\xE9s concern\xE9\
            es ou dans d\u2019autres lieux o\xF9 ces supports sont connect\xE9s aux\
            \ r\xE9seaux et aux syst\xE8mes d\u2019information des entit\xE9s concern\xE9\
            es."
          annotation: "\u2022 D\xE9finir, documenter et mettre en \u0153uvre une politique\
            \ de gestion des supports amovibles (105). \n\u2022 Communiquer la politique\
            \ aux employ\xE9s et aux tiers qui manipulent des supports de stockage\
            \ amovibles pour s\u2019assurer qu\u2019ils sont au courant de la politique.\n\
            \n(105) Y compris \xAB\_apportez votre propre appareil\_\xBB, si des appareils\
            \ personnels sont utilis\xE9s pour stocker des donn\xE9es d\u2019entreprise.\
            \ Les v\xE9hicules qui peuvent stocker des donn\xE9es localement sur un\
            \ v\xE9hicule et/ou partager des donn\xE9es \xE0 l\u2019ext\xE9rieur au\
            \ moyen de la t\xE9l\xE9matique sont \xE9galement inclus."
          typical_evidence: "\u2022 Politique document\xE9e sur la gestion des supports\
            \ amovibles, incluant au moins les \xE9l\xE9ments du point 12.3.2 de l\u2019\
            annexe du r\xE8glement. \n\u2022 Manuels d\u2019utilisation ou instructions\
            \ fournis aux employ\xE9s et aux tiers concernant l\u2019utilisation correcte\
            \ du support amovible. \n\u2022 Des documents montrant que les employ\xE9\
            s et les tiers ont suivi des s\xE9ances de formation sur la politique\
            \ ou que les formulaires ou les dossiers \xE9lectroniques que les employ\xE9\
            s et les tiers ont sign\xE9s pour reconna\xEEtre qu\u2019ils ont lu et\
            \ compris la politique. \n\u2022 Des preuves de campagnes de sensibilisation\
            \ continues, telles que des affiches, des courriels ou des messages intranet,\
            \ rappelant aux employ\xE9s les risques et les politiques associ\xE9s\
            \ aux supports amovibles."
        es:
          description: "Las entidades pertinentes establecer\xE1n, pondr\xE1n en marcha\
            \ y aplicar\xE1n una pol\xEDtica relativa a la gesti\xF3n de soportes\
            \ de almacenamiento extra\xEDbles y la pondr\xE1n en conocimiento de sus\
            \ empleados y de terceros que manipulen soportes de almacenamiento extra\xED\
            bles en las instalaciones de las entidades pertinentes o en otros lugares\
            \ en los que los soportes extra\xEDbles est\xE9n conectados a los sistemas\
            \ de redes y de informaci\xF3n de la entidad."
          annotation: "\u2022 Definir, documentar e implementar una pol\xEDtica sobre\
            \ la gesti\xF3n de los medios extra\xEDbles (105). \n\u2022 Comunique\
            \ la pol\xEDtica a los empleados y terceros que manejan medios de almacenamiento\
            \ extra\xEDbles para asegurarse de que est\xE9n al tanto de la pol\xED\
            tica.\n\n(105) Incluido el \xABtraiga su propio dispositivo\xBB, si se\
            \ utilizan dispositivos personales para almacenar datos corporativos.\
            \ Tambi\xE9n se incluyen los veh\xEDculos que pueden almacenar datos localmente\
            \ en un veh\xEDculo y/o compartir datos externamente por medio de la telem\xE1\
            tica."
          typical_evidence: "\u2022 Pol\xEDtica documentada sobre la gesti\xF3n de\
            \ soportes extra\xEDbles, incluyendo al menos los puntos del punto 12.3.2\
            \ del anexo del reglamento. \n\u2022 Manuales de usuario o instrucciones\
            \ proporcionadas a los empleados y terceros sobre el uso correcto de los\
            \ medios extra\xEDbles. \n\u2022 Documentaci\xF3n que demuestre que los\
            \ empleados y terceros han completado sesiones de capacitaci\xF3n sobre\
            \ la p\xF3liza o formularios o registros electr\xF3nicos que los empleados\
            \ y terceros han firmado para reconocer que han le\xEDdo y entendido la\
            \ pol\xEDtica. \n\u2022 Evidencia de campa\xF1as de concientizaci\xF3\
            n en curso, como carteles, correos electr\xF3nicos o publicaciones en\
            \ la intranet, que recuerden a los empleados los riesgos y las pol\xED\
            ticas asociadas con los medios extra\xEDbles."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty stanov\xED, zavedou a uplat\u0148\
            uj\xED politiku spr\xE1vy vym\u011Bniteln\xFDch pam\u011B\u0165ov\xFD\
            ch m\xE9di\xED a sd\u011Bl\xED ji sv\xFDm zam\u011Bstnanc\u016Fm a t\u0159\
            et\xEDm stran\xE1m, kter\xE9 s vym\u011Bniteln\xFDmi pam\u011B\u0165ov\xFD\
            mi m\xE9dii nakl\xE1daj\xED v prostor\xE1ch p\u0159\xEDslu\u0161n\xFD\
            ch subjekt\u016F nebo na jin\xFDch m\xEDstech, kde jsou vym\u011Bniteln\xE1\
            \ m\xE9dia p\u0159ipojena k s\xEDt\xEDm a informa\u010Dn\xEDm syst\xE9\
            m\u016Fm p\u0159\xEDslu\u0161n\xFDch subjekt\u016F."
          annotation: "\u2022 definovat, zdokumentovat a prov\xE1d\u011Bt politiku\
            \ spr\xE1vy vym\u011Bniteln\xFDch m\xE9di\xED (105). \n\u2022 Sd\u011B\
            lte z\xE1sady zam\u011Bstnanc\u016Fm a t\u0159et\xEDm stran\xE1m, kter\xE9\
            \ manipuluj\xED s vym\u011Bniteln\xFDmi pam\u011B\u0165ov\xFDmi m\xE9\
            dii, abyste se ujistili, \u017Ee jsou o z\xE1sad\xE1ch informov\xE1ni.\n\
            \n(105) V\u010Detn\u011B mo\u017Enosti \"p\u0159ineste si vlastn\xED za\u0159\
            \xEDzen\xED\", pokud se k ukl\xE1d\xE1n\xED firemn\xEDch \xFAdaj\u016F\
            \ pou\u017E\xEDvaj\xED osobn\xED za\u0159\xEDzen\xED. Pat\u0159\xED sem\
            \ tak\xE9 vozidla, kter\xE1 mohou ukl\xE1dat data lok\xE1ln\u011B ve vozidle\
            \ a/nebo sd\xEDlet data extern\u011B prost\u0159ednictv\xEDm telematiky."
          typical_evidence: "\u2022 Zdokumentovan\xE9 politiky nakl\xE1d\xE1n\xED\
            \ s vym\u011Bniteln\xFDmi m\xE9dii, v\u010Detn\u011B alespo\u0148 polo\u017E\
            ek uveden\xFDch v bod\u011B 12.3.2 p\u0159\xEDlohy na\u0159\xEDzen\xED\
            . \n\u2022 U\u017Eivatelsk\xE9 p\u0159\xEDru\u010Dky nebo pokyny poskytnut\xE9\
            \ zam\u011Bstnanc\u016Fm a t\u0159et\xEDm stran\xE1m t\xFDkaj\xEDc\xED\
            \ se spr\xE1vn\xE9ho pou\u017E\xEDv\xE1n\xED vym\u011Bniteln\xFDch m\xE9\
            di\xED. \n\u2022 Dokumentace prokazuj\xEDc\xED, \u017Ee zam\u011Bstnanci\
            \ a t\u0159et\xED strany absolvovali \u0161kolen\xED o z\xE1sad\xE1ch\
            \ nebo formul\xE1\u0159e nebo elektronick\xE9 z\xE1znamy, kter\xE9 zam\u011B\
            stnanci a t\u0159et\xED strany podepsali jako potvrzen\xED \n\u2022 D\u016F\
            kazy o prob\xEDhaj\xEDc\xEDch osv\u011Btov\xFDch kampan\xEDch, jako jsou\
            \ plak\xE1ty, e-maily nebo p\u0159\xEDsp\u011Bvky na intranetu, kter\xE9\
            \ zam\u011Bstnanc\u016Fm p\u0159ipom\xEDnaj\xED rizika a z\xE1sady spojen\xE9\
            \ s vym\u011Bniteln\xFDmi m\xE9dii."
        it:
          description: I soggetti pertinenti stabiliscono, attuano e applicano una
            politica in materia di gestione dei supporti di archiviazione rimovibili
            e la comunicano ai loro dipendenti e ai terzi che gestiscono i supporti
            di archiviazione rimovibili presso i locali dei soggetti interessati o
            in altri luoghi in cui i supporti rimovibili sono collegati alla rete
            e ai sistemi informativi dei soggetti interessati.
          annotation: "\u2022 Definire, documentare e attuare una politica sulla gestione\
            \ dei supporti rimovibili (105). \n\u2022 Comunicare la politica ai dipendenti\
            \ e alle terze parti che gestiscono supporti di archiviazione rimovibili\
            \ per assicurarsi che siano a conoscenza della politica.\n\n(105) Compreso\
            \ il \xABbring your own device\xBB, se i dispositivi personali sono utilizzati\
            \ per archiviare dati aziendali. Sono inclusi anche i veicoli in grado\
            \ di memorizzare i dati localmente su un veicolo e/o di condividerli esternamente\
            \ tramite la telematica."
          typical_evidence: "\u2022 Politica documentata sulla gestione dei supporti\
            \ rimovibili, comprendente almeno gli elementi di cui al punto 12.3.2\
            \ dell'Allegato al regolamento. \n\u2022 Manuali d'uso o istruzioni fornite\
            \ ai dipendenti e a terzi in merito al corretto utilizzo dei supporti\
            \ rimovibili. \n\u2022 Documentazione attestante che i dipendenti e le\
            \ terze parti hanno completato le sessioni di formazione sulla politica\
            \ o sui moduli o sui registri elettronici che i dipendenti e le terze\
            \ parti hanno firmato per confermare di aver letto e compreso la politica.\
            \ \n\u2022 Prove di campagne di sensibilizzazione in corso, come poster,\
            \ e-mail o post intranet, che ricordano ai dipendenti i rischi e le politiche\
            \ associate ai supporti rimovibili."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:12.3.2
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:12.3
      ref_id: 12.3.2
      description: 'The policy shall:'
      annotation: "\u2022 Align the policy with the asset classification (section\
        \ 12.1) and include at least the following:\n    o definitions and scope of\
        \ removable media, o authorization requirements, o usage guidelines,  o measures\
        \ for control and protection of removable media while in storage and in transit;,\
        \ o techniques to protect information on removable storage media and o incident\
        \ response procedures for lost or compromised media. \n\u2022 Configure network\
        \ and information systems to disable the autorun feature for all removable\
        \ media, to prevent the automatic execution of potentially malicious software.\
        \ \n\u2022 If connection of removable media is not prohibited for an organisational\
        \ (business) reason, removable media should be scanned for malicious code,\
        \ where appropriate, with up-to-date software against malicious code before\
        \ being connected to the entity\u2019s network and information systems and/or\
        \ in real time. \n\u2022 Encrypt sensitive data stored on removable media\
        \ using strong cryptographic algorithms to protect against unauthorized access\
        \ \n\u2022 Use encryption to protect data stored on portable storage devices,\
        \ ensuring that unauthorized users cannot access the data if the device is\
        \ lost or stolen. \n\u2022 Implement physical security measures, where appropriate,\
        \ such as secure storage locations and tracking logs for portable storage\
        \ devices."
      typical_evidence: "\u2022 Configuration settings of endpoint protection software,\
        \ if any. \n\u2022 Audit logs that track the use of removable media, including\
        \ insertion, removal and data transfer activities. \n\u2022 Reports of incidents\
        \ involving removable media, if any."
      translations:
        fr:
          description: 'Cette politique:'
          annotation: "\u2022 Aligner la politique sur la classification des biens\
            \ (section 12.1) et inclure au moins les \xE9l\xE9ments suivants :\n \
            \   o les d\xE9finitions et le champ d\u2019application des supports amovibles,\
            \ o les exigences d\u2019autorisation, o les directives d\u2019utilisation,\
            \ o les mesures de contr\xF4le et de protection des supports amovibles\
            \ pendant le stockage et le transit, o les techniques de protection des\
            \ informations sur les supports de stockage amovibles et o les proc\xE9\
            dures d\u2019intervention en cas d\u2019incident pour les supports perdus\
            \ ou compromis. \n\u2022 Configurez le r\xE9seau et les syst\xE8mes d\u2019\
            information de mani\xE8re \xE0 d\xE9sactiver la fonction d\u2019ex\xE9\
            cution automatique pour tous les supports amovibles, afin d\u2019emp\xEA\
            cher l\u2019ex\xE9cution automatique de logiciels potentiellement malveillants.\
            \ \n\u2022 Si la connexion de supports amovibles n\u2019est pas interdite\
            \ pour une raison organisationnelle (commerciale), les supports amovibles\
            \ doivent \xEAtre analys\xE9s \xE0 la recherche de code malveillant, le\
            \ cas \xE9ch\xE9ant, avec des logiciels \xE0 jour contre les codes malveillants\
            \ avant d\u2019\xEAtre connect\xE9s au r\xE9seau et aux syst\xE8mes d\u2019\
            information de l\u2019entit\xE9 et/ou en temps r\xE9el. \n\u2022 Chiffrez\
            \ les donn\xE9es sensibles stock\xE9es sur des supports amovibles \xE0\
            \ l\u2019aide d\u2019algorithmes cryptographiques puissants pour vous\
            \ prot\xE9ger contre les acc\xE8s non autoris\xE9s. \n\u2022 Utilisez\
            \ le cryptage pour prot\xE9ger les donn\xE9es stock\xE9es sur des p\xE9\
            riph\xE9riques de stockage portables, en veillant \xE0 ce que les utilisateurs\
            \ non autoris\xE9s ne puissent pas acc\xE9der aux donn\xE9es en cas de\
            \ perte ou de vol de l\u2019appareil. \n\u2022 Mettre en \u0153uvre des\
            \ mesures de s\xE9curit\xE9 physique, le cas \xE9ch\xE9ant, telles que\
            \ des emplacements de stockage s\xE9curis\xE9s et des journaux de suivi\
            \ pour les p\xE9riph\xE9riques de stockage portables."
          typical_evidence: "\u2022 Param\xE8tres de configuration du logiciel de\
            \ protection des terminaux, le cas \xE9ch\xE9ant. \n\u2022 Journaux d\u2019\
            audit qui suivent l\u2019utilisation des supports amovibles, y compris\
            \ les activit\xE9s d\u2019insertion, de retrait et de transfert de donn\xE9\
            es. \n\u2022 Rapports d\u2019incidents impliquant des supports amovibles,\
            \ le cas \xE9ventuel."
        es:
          description: "Dicha pol\xEDtica:"
          annotation: "\u2022 Alinear la pol\xEDtica con la clasificaci\xF3n de activos\
            \ (secci\xF3n 12.1) e incluir al menos lo siguiente:\n    o Definiciones\
            \ y alcance de los medios extra\xEDbles, o Requisitos de autorizaci\xF3\
            n, o Directrices de uso, o Medidas para el control y la protecci\xF3n\
            \ de los medios extra\xEDbles mientras est\xE1n almacenados y en tr\xE1\
            nsito;, o T\xE9cnicas para proteger la informaci\xF3n en los medios de\
            \ almacenamiento extra\xEDbles y o Procedimientos de respuesta a incidentes\
            \ para medios perdidos o comprometidos. \n\u2022 Configure la red y los\
            \ sistemas de informaci\xF3n para deshabilitar la funci\xF3n de ejecuci\xF3\
            n autom\xE1tica para todos los medios extra\xEDbles, para evitar la ejecuci\xF3\
            n autom\xE1tica de software potencialmente malicioso. \n\u2022 Si la conexi\xF3\
            n de medios extra\xEDbles no est\xE1 prohibida por una raz\xF3n organizativa\
            \ (comercial), los medios extra\xEDbles deben escanearse en busca de c\xF3\
            digo malicioso, cuando corresponda, con software actualizado contra c\xF3\
            digo malicioso antes de conectarse a la red y los sistemas de informaci\xF3\
            n de la entidad y/o en tiempo real. \n\u2022 Cifre los datos confidenciales\
            \ almacenados en medios extra\xEDbles mediante algoritmos criptogr\xE1\
            ficos s\xF3lidos para protegerlos contra el acceso no autorizado. \n\u2022\
            \ Utilice el cifrado para proteger los datos almacenados en dispositivos\
            \ de almacenamiento port\xE1tiles, asegurando que usuarios no autorizados\
            \ no puedan acceder a los datos si el dispositivo se pierde o es robado.\
            \ \n\u2022 Implementar medidas de seguridad f\xEDsica, cuando corresponda,\
            \ como ubicaciones de almacenamiento seguras y registros de seguimiento\
            \ para dispositivos de almacenamiento port\xE1tiles."
          typical_evidence: "\u2022 Ajustes de configuraci\xF3n del software de protecci\xF3\
            n de endpoints, si los hubiera. \n\u2022 Registros de auditor\xEDa que\
            \ rastrean el uso de medios extra\xEDbles, incluidas las actividades de\
            \ inserci\xF3n, eliminaci\xF3n y transferencia de datos. \n\u2022 Informes\
            \ de incidentes relacionados con medios extra\xEDbles, si los hubiera."
        cs:
          description: 'Tato politika:'
          annotation: "\u2022 Sladit z\xE1sady s klasifikac\xED aktiv (odd\xEDl 12.1)\
            \ a obsahovat alespo\u0148 n\xE1sleduj\xEDc\xED:\n    o definice a rozsah\
            \ vym\u011Bniteln\xFDch m\xE9di\xED, o po\u017Eadavky na autorizaci, o\
            \ pokyny k pou\u017Eit\xED, o opat\u0159en\xED pro kontrolu a ochranu\
            \ vym\u011Bniteln\xFDch m\xE9di\xED b\u011Bhem skladov\xE1n\xED a p\u0159\
            epravy, o techniky ochrany informac\xED na vym\u011Bniteln\xFDch pam\u011B\
            \u0165ov\xFDch m\xE9di\xEDch a o postupy reakce na incidenty v p\u0159\
            \xEDpad\u011B ztracen\xFDch nebo ohro\u017Een\xFDch m\xE9di\xED. \n\u2022\
            \ Nakonfigurujte s\xED\u0165ov\xE9 a informa\u010Dn\xED syst\xE9my tak,\
            \ aby deaktivovaly funkci automatick\xE9ho spu\u0161t\u011Bn\xED pro v\u0161\
            echna vym\u011Bniteln\xE1 m\xE9dia, aby se zabr\xE1nilo automatick\xE9\
            mu spu\u0161t\u011Bn\xED potenci\xE1ln\u011B \u0161kodliv\xE9ho softwaru.\
            \ \n\u2022 Pokud p\u0159ipojen\xED vym\u011Bniteln\xFDch m\xE9di\xED nen\xED\
            \ zak\xE1z\xE1no z organiza\u010Dn\xEDch (obchodn\xEDch) d\u016Fvod\u016F\
            , m\u011Bla by b\xFDt vym\u011Bniteln\xE1 m\xE9dia p\u0159ed p\u0159ipojen\xED\
            m k s\xEDti a informa\u010Dn\xEDm syst\xE9m\u016Fm subjektu a/nebo v re\xE1\
            ln\xE9m \u010Dase zkontrolov\xE1na na p\u0159\xEDtomnost \u0161kodliv\xE9\
            ho k\xF3du p\u0159\xEDpadn\u011B pomoc\xED aktu\xE1ln\xEDho softwaru proti\
            \ \u0161kodliv\xE9mu k\xF3du. \n\u2022 \u0160ifrujte citliv\xE1 data ulo\u017E\
            en\xE1 na vym\u011Bniteln\xFDch m\xE9di\xEDch pomoc\xED siln\xFDch kryptografick\xFD\
            ch algoritm\u016F pro ochranu p\u0159ed neopr\xE1vn\u011Bn\xFDm p\u0159\
            \xEDstupem \n\u2022 Pou\u017E\xEDvejte \u0161ifrov\xE1n\xED k ochran\u011B\
            \ dat ulo\u017Een\xFDch na p\u0159enosn\xFDch \xFAlo\u017En\xFDch za\u0159\
            \xEDzen\xEDch a zajist\u011Bte, aby neopr\xE1vn\u011Bn\xED u\u017Eivatel\xE9\
            \ nem\u011Bli p\u0159\xEDstup k dat\u016Fm v p\u0159\xEDpad\u011B ztr\xE1\
            ty nebo kr\xE1de\u017Ee za\u0159\xEDzen\xED. \n\u2022 V p\u0159\xEDpad\u011B\
            \ pot\u0159eby implementujte fyzick\xE1 bezpe\u010Dnostn\xED opat\u0159\
            en\xED, jako jsou zabezpe\u010Den\xE1 \xFAlo\u017Ei\u0161t\u011B a protokoly\
            \ sledov\xE1n\xED pro p\u0159enosn\xE1 \xFAlo\u017En\xE1 za\u0159\xED\
            zen\xED."
          typical_evidence: "\u2022 Konfigura\u010Dn\xED nastaven\xED softwaru pro\
            \ ochranu koncov\xFDch bod\u016F, pokud existuje. \n\u2022 Protokoly auditu,\
            \ kter\xE9 sleduj\xED pou\u017E\xEDv\xE1n\xED vym\u011Bniteln\xFDch m\xE9\
            di\xED, v\u010Detn\u011B vkl\xE1d\xE1n\xED, odeb\xEDr\xE1n\xED a p\u0159\
            enosu dat. \n\u2022 Zpr\xE1vy o incidentech t\xFDkaj\xEDc\xEDch se vym\u011B\
            niteln\xFDch m\xE9di\xED, pokud existuj\xED."
        it:
          description: 'La politica deve:'
          annotation: "\u2022 Allineare la politica con la classificazione delle attivit\xE0\
            \ (sezione 12.1) e includere almeno quanto segue:\n    o Definizioni e\
            \ ambito di applicazione dei supporti rimovibili, o Requisiti di autorizzazione,\
            \ o Linee guida per l'uso, o Misure per il controllo e la protezione dei\
            \ supporti rimovibili durante lo stoccaggio e il trasporto;, o Tecniche\
            \ per proteggere le informazioni sui supporti di archiviazione rimovibili\
            \ e o Procedure di risposta agli incidenti per supporti smarriti o compromessi.\
            \ \n\u2022 Configurare la rete e i sistemi informativi in modo da disabilitare\
            \ la funzione di esecuzione automatica per tutti i supporti rimovibili,\
            \ per impedire l'esecuzione automatica di software potenzialmente dannoso.\
            \ \n\u2022 Se la connessione di supporti rimovibili non \xE8 vietata per\
            \ motivi organizzativi (commerciali), i supporti rimovibili devono essere\
            \ scansionati alla ricerca di codice dannoso, se del caso, con software\
            \ aggiornato per verificare la presenza di codice dannoso prima di essere\
            \ collegati alla rete e ai sistemi informativi dell'entit\xE0 e/o in tempo\
            \ reale. \n\u2022 Crittografa i dati sensibili memorizzati su supporti\
            \ rimovibili utilizzando potenti algoritmi crittografici per proteggerli\
            \ da accessi non autorizzati \n\u2022 Utilizzare la crittografia per proteggere\
            \ i dati archiviati su dispositivi di archiviazione portatili, garantendo\
            \ che gli utenti non autorizzati non possano accedere ai dati in caso\
            \ di smarrimento o furto del dispositivo. \n\u2022 Implementare misure\
            \ di sicurezza fisica, ove appropriato, come posizioni di archiviazione\
            \ sicure e registri di tracciamento per i dispositivi di archiviazione\
            \ portatili."
          typical_evidence: "\u2022 Impostazioni di configurazione del software di\
            \ protezione degli endpoint, se presenti. \n\u2022 Registri di controllo\
            \ che tengono traccia dell'utilizzo dei supporti rimovibili, comprese\
            \ le attivit\xE0 di inserimento, rimozione e trasferimento dei dati. \n\
            \u2022 Segnalazioni di incidenti che coinvolgono supporti rimovibili,\
            \ se presenti."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:12.3.2.a
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:12.3.2
      ref_id: 12.3.2.a
      description: provide for a technical prohibition of the connection of removable
        media unless there is an organisational reason for their use;
      translations:
        fr:
          description: "pr\xE9voit une interdiction technique de connecter des supports\
            \ amovibles, \xE0 moins que leur utilisation ne soit justifi\xE9e par\
            \ une raison d\u2019organisation;"
        es:
          description: "prever\xE1 una prohibici\xF3n t\xE9cnica para la conexi\xF3\
            n de soportes extra\xEDbles salvo que existan razones internas para su\
            \ uso;"
        cs:
          description: "stanov\xED technick\xFD z\xE1kaz p\u0159ipojen\xED vym\u011B\
            niteln\xFDch m\xE9di\xED, pokud pro pou\u017Eit\xED neexistuj\xED organiza\u010D\
            n\xED d\u016Fvody;"
        it:
          description: prevedere un divieto tecnico del collegamento di supporti amovibili,
            a meno che non vi sia un motivo organizzativo per il loro utilizzo;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:12.3.2.b
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:12.3.2
      ref_id: 12.3.2.b
      description: "provide for disabling self-execution from such media and scanning\
        \ the media for malicious code before they are used on the relevant entities\u2019\
        \ systems;"
      translations:
        fr:
          description: "pr\xE9voit le blocage de l\u2019autoex\xE9cution \xE0 partir\
            \ de ces supports et la d\xE9tection de codes malveillants dans les supports\
            \ avant qu\u2019ils ne soient utilis\xE9s sur les syst\xE8mes des entit\xE9\
            s concern\xE9es;"
        es:
          description: "prever\xE1 la deshabilitaci\xF3n de la reproducci\xF3n autom\xE1\
            tica desde dichos soportes y la detecci\xF3n de c\xF3digos maliciosos\
            \ en los mismos antes de que se utilicen en los sistemas de las entidades\
            \ pertinentes;"
        cs:
          description: "zajist\xED, aby bylo zak\xE1z\xE1no samospou\u0161t\u011B\
            n\xED z takov\xFDch m\xE9di\xED a aby byla m\xE9dia p\u0159ed jejich pou\u017E\
            it\xEDm v syst\xE9mech p\u0159\xEDslu\u0161n\xFDch subjekt\u016F prov\u011B\
            \u0159ov\xE1na na p\u0159\xEDtomnost \u0161kodliv\xE9ho k\xF3du;"
        it:
          description: "provvedere alla disabilitazione dell'autoesecuzione da tali\
            \ supporti e alla scansione dei supporti alla ricerca di codice dannoso\
            \ prima che siano utilizzati sui sistemi delle entit\xE0 pertinenti;"
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:12.3.2.c
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:12.3.2
      ref_id: 12.3.2.c
      description: provide measures for controlling and protecting portable storage
        devices containing data while in transit and in storage;
      translations:
        fr:
          description: "pr\xE9voit des mesures de contr\xF4le et de protection des\
            \ dispositifs de stockage portables contenant des donn\xE9es pendant le\
            \ transit et le stockage;"
        es:
          description: "prever\xE1 medidas para controlar y proteger los soportes\
            \ de almacenamiento extra\xEDbles que contengan datos durante el tr\xE1\
            nsito y el almacenamiento;"
        cs:
          description: "poskytuje opat\u0159en\xED pro zaji\u0161t\u011Bn\xED kontroly\
            \ a ochrany p\u0159enosn\xFDch pam\u011B\u0165ov\xFDch za\u0159\xEDzen\xED\
            \ obsahuj\xEDc\xEDch data p\u0159i p\u0159eprav\u011B a skladov\xE1n\xED\
            ;"
        it:
          description: fornire misure per il controllo e la protezione dei dispositivi
            di archiviazione portatili contenenti dati durante il transito e l'archiviazione;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:12.3.2.d
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:12.3.2
      ref_id: 12.3.2.d
      description: where appropriate, provide measures for the use of cryptographic
        techniques to protect data on removable storage media.
      translations:
        fr:
          description: "s\u2019il est besoin, pr\xE9voit des mesures pour l\u2019\
            utilisation de techniques cryptographiques pour prot\xE9ger les donn\xE9\
            es sur les supports de stockage amovibles."
        es:
          description: "seg\xFAn proceda, prever\xE1 medidas para la utilizaci\xF3\
            n de t\xE9cnicas criptogr\xE1ficas para proteger los datos contenidos\
            \ en los soportes de almacenamiento extra\xEDbles."
        cs:
          description: "v p\u0159\xEDpad\u011B pot\u0159eby stanov\xED opat\u0159\
            en\xED pro pou\u017Eit\xED kryptografick\xFDch technik s c\xEDlem chr\xE1\
            nit \xFAdaje na vym\u011Bniteln\xFDch pam\u011B\u0165ov\xFDch m\xE9di\xED\
            ch."
        it:
          description: se del caso, prevedere misure per l'uso di tecniche crittografiche
            per proteggere i dati su supporti di archiviazione rimovibili.
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:12.3.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:12.3
      ref_id: 12.3.3
      description: The relevant entities shall review and, where appropriate, update
        the policy at planned intervals and when significant incidents or significant
        changes to operations or risks occur.
      annotation: "\u2022 Regularly monitor and audit the use of removable media to\
        \ ensure compliance with the policy."
      typical_evidence: "\u2022 Up-to date removable media policy. \n\u2022 Records\
        \ of reviews or history of changes."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es r\xE9examinent et, s\u2019il\
            \ est besoin, mettent \xE0 jour leur politique \xE0 intervalles pr\xE9\
            d\xE9finis, ainsi qu\u2019en cas d\u2019incidents importants ou lorsque\
            \ des changements majeurs concernant les op\xE9rations ou les risques\
            \ se produisent."
          annotation: "\u2022 Surveiller et auditer r\xE9guli\xE8rement l\u2019utilisation\
            \ des supports amovibles pour s\u2019assurer de la conformit\xE9 \xE0\
            \ la politique."
          typical_evidence: "\u2022 Politique de support amovible \xE0 jour. \n\u2022\
            \ Enregistrements des avis ou historique des modifications."
        es:
          description: "Las entidades pertinentes revisar\xE1n y, cuando proceda,\
            \ actualizar\xE1n la pol\xEDtica a intervalos planificados o cuando se\
            \ produzcan incidentes significativos o cambios significativos en las\
            \ operaciones o los riesgos."
          annotation: "\u2022 Monitorear y auditar regularmente el uso de medios extra\xED\
            bles para garantizar el cumplimiento de la pol\xEDtica."
          typical_evidence: "\u2022 Pol\xEDtica actualizada de medios extra\xEDbles.\
            \ \n\u2022 Registros de revisiones o historial de cambios."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty tuto politiku p\u0159ezkoum\xE1\
            vaj\xED a v p\u0159\xEDpad\u011B pot\u0159eby aktualizuj\xED v pl\xE1\
            novan\xFDch intervalech a p\u0159i v\xFDskytu v\xFDznamn\xFDch incident\u016F\
            \ nebo v\xFDznamn\xFDch zm\u011Bn operac\xED \u010Di rizik."
          annotation: "\u2022 Pravideln\u011B sledovat a kontrolovat pou\u017E\xED\
            v\xE1n\xED vym\u011Bniteln\xFDch m\xE9di\xED, aby bylo zaji\u0161t\u011B\
            no dodr\u017Eov\xE1n\xED z\xE1sad."
          typical_evidence: "\u2022 Aktu\xE1ln\xED z\xE1sady pro vym\u011Bniteln\xE1\
            \ m\xE9dia. \n\u2022 Z\xE1znamy o recenz\xEDch nebo historii zm\u011B\
            n."
        it:
          description: I soggetti pertinenti riesaminano e, se del caso, aggiornano
            la politica a intervalli pianificati e quando si verificano incidenti
            significativi o modifiche significative delle operazioni o dei rischi.
          annotation: "\u2022 Monitorare e verificare regolarmente l'uso di supporti\
            \ rimovibili per garantire la conformit\xE0 alla politica."
          typical_evidence: "\u2022 Politica aggiornata sui supporti rimovibili. \n\
            \u2022 Registrazioni di revisioni o cronologia delle modifiche."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:12.4
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:12
      ref_id: '12.4'
      name: Asset inventory
      translations:
        fr:
          name: Inventaire des actifs
        es:
          name: Inventario de activos
        cs:
          name: Soupis aktiv
        it:
          name: Inventario delle risorse
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:12.4.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:12.4
      ref_id: 12.4.1
      description: The relevant entities shall develop and maintain a complete, accurate,
        up-to-date and consistent inventory of their assets. They shall record changes
        to the entries in the inventory in a traceable manner.
      annotation: "\u2022 Ensure that all assets, including hardware, software, data\
        \ and services, are listed in the inventory. \n\u2022 Regularly verify the\
        \ accuracy of the inventory entries. \n\u2022 Update the inventory promptly\
        \ to reflect any changes, such as new assets, decommissioned assets or changes\
        \ in asset status (section 6.4) \n\u2022 Use standardised naming conventions\
        \ and categorization methods to maintain consistency across the inventory.\
        \ \n\u2022 Make sure that inventory entries contain the data in the guidance\
        \ below (sampling). \n\u2022 Implement validation rules within the inventory\
        \ to ensure data entered is complete and consistent."
      typical_evidence: "\u2022 Documentation for the inventory of assets \n\u2022\
        \ Up to date inventory of assets \n\u2022 Records of reviews or history of\
        \ changes. \n\u2022 Records of key metrics tracked, such as the number of\
        \ assets, types of assets, compliance with inventory policies and the timeliness\
        \ of updates."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es \xE9laborent et tiennent \xE0\
            \ jour un inventaire complet, pr\xE9cis, actualis\xE9 et coh\xE9rent de\
            \ leurs actifs. Elles enregistrent de mani\xE8re tra\xE7able les modifications\
            \ apport\xE9es aux entr\xE9es de l\u2019inventaire."
          annotation: "\u2022 S\u2019assurer que tous les actifs, y compris le mat\xE9\
            riel, les logiciels, les donn\xE9es et les services, sont r\xE9pertori\xE9\
            s dans l\u2019inventaire. \n\u2022 V\xE9rifier r\xE9guli\xE8rement l\u2019\
            exactitude des entr\xE9es d\u2019inventaire. \n\u2022 Mettre \xE0 jour\
            \ l\u2019inventaire rapidement pour refl\xE9ter tout changement, comme\
            \ les nouveaux actifs, les actifs mis hors service ou les changements\
            \ dans l\u2019\xE9tat des actifs (section 6.4) \n\u2022 Utilisez des conventions\
            \ de nommage et des m\xE9thodes de cat\xE9gorisation standardis\xE9es\
            \ pour maintenir la coh\xE9rence de l\u2019inventaire. \n\u2022 Assurez-vous\
            \ que les entr\xE9es d\u2019inventaire contiennent les donn\xE9es d\xE9\
            crites dans les conseils ci-dessous (\xE9chantillonnage). \n\u2022 Mettre\
            \ en place des r\xE8gles de validation au sein de l\u2019inventaire pour\
            \ s\u2019assurer que les donn\xE9es saisies sont compl\xE8tes et coh\xE9\
            rentes."
          typical_evidence: "\u2022 Documentation pour l\u2019inventaire des actifs\
            \ \n\u2022 Inventaire \xE0 jour des actifs \n\u2022 Enregistrements des\
            \ avis ou historique des modifications. \n\u2022 Enregistrement des indicateurs\
            \ cl\xE9s suivis, tels que le nombre d\u2019actifs, les types d\u2019\
            actifs, la conformit\xE9 aux politiques d\u2019inventaire et la rapidit\xE9\
            \ des mises \xE0 jour."
        es:
          description: "Las entidades pertinentes crear\xE1n y mantendr\xE1n un inventario\
            \ completo, preciso, actualizado y coherente de sus activos. Registrar\xE1\
            n los cambios en las entradas del inventario de manera que puedan rastrearse."
          annotation: "\u2022 Asegurarse de que todos los activos, incluidos el hardware,\
            \ el software, los datos y los servicios, se enumeren en el inventario.\
            \ \n\u2022 Verificar regularmente la exactitud de las entradas de inventario.\
            \ \n\u2022 Actualizar el inventario con prontitud para reflejar cualquier\
            \ cambio, como nuevos activos, activos retirados o cambios en el estado\
            \ de los activos (secci\xF3n 6.4) \n\u2022 Utilice convenciones de nomenclatura\
            \ estandarizadas y m\xE9todos de categorizaci\xF3n para mantener la coherencia\
            \ en todo el inventario. \n\u2022 Aseg\xFArese de que las entradas de\
            \ inventario contengan los datos de la gu\xEDa a continuaci\xF3n (muestreo).\
            \ \n\u2022 Implementar reglas de validaci\xF3n dentro del inventario para\
            \ garantizar que los datos ingresados est\xE9n completos y sean consistentes."
          typical_evidence: "\u2022 Documentaci\xF3n para el inventario de activos\
            \ \n\u2022 Inventario actualizado de activos \n\u2022 Registros de revisiones\
            \ o historial de cambios. \n\u2022 Registros de m\xE9tricas clave rastreadas,\
            \ como la cantidad de activos, tipos de activos, cumplimiento de las pol\xED\
            ticas de inventario y la puntualidad de las actualizaciones."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty vypracuj\xED a udr\u017E\
            uj\xED \xFApln\xFD, p\u0159esn\xFD, aktu\xE1ln\xED a ucelen\xFD soupis\
            \ sv\xFDch aktiv. Dohledateln\xFDm zp\u016Fsobem zaznamen\xE1vaj\xED zm\u011B\
            ny polo\u017Eek v soupisu."
          annotation: "\u2022 Zajist\u011Bte, aby v\u0161echny prost\u0159edky, v\u010D\
            etn\u011B hardwaru, softwaru, dat a slu\u017Eeb, byly uvedeny v invent\xE1\
            \u0159i. \n\u2022 Pravideln\u011B kontrolujte spr\xE1vnost invent\xE1\
            rn\xEDch z\xE1znam\u016F. \n\u2022 Aktualizujte invent\xE1\u0159 neprodlen\u011B\
            \ tak, aby odr\xE1\u017Eel jak\xE9koli zm\u011Bny, jako jsou nov\xE9 prost\u0159\
            edky, vy\u0159azen\xE9 prost\u0159edky nebo zm\u011Bny stavu majetku (odd\xED\
            l 6.4) \n\u2022 Pou\u017E\xEDvejte standardizovan\xE9 konvence pojmenov\xE1\
            n\xED a metody kategorizace, abyste zachovali konzistenci nap\u0159\xED\
            \u010D invent\xE1\u0159em. \n\u2022 Ujist\u011Bte se, \u017Ee polo\u017E\
            ky invent\xE1\u0159e obsahuj\xED \xFAdaje uveden\xE9 v n\xED\u017Ee uveden\xFD\
            ch pokynech (vzorkov\xE1n\xED). \n\u2022 Implementujte valida\u010Dn\xED\
            \ pravidla v r\xE1mci invent\xE1\u0159e, abyste zajistili, \u017Ee zadan\xE1\
            \ data jsou \xFApln\xE1 a konzistentn\xED."
          typical_evidence: "\u2022 Dokumentace pro inventarizaci majetku \n\u2022\
            \ Aktu\xE1ln\xED inventarizace majetku \n\u2022 Z\xE1znamy o recenz\xED\
            ch nebo historii zm\u011Bn. \n\u2022 Z\xE1znamy o sledovan\xFDch kl\xED\
            \u010Dov\xFDch metrik\xE1ch, jako je po\u010Det aktiv, typy aktiv, soulad\
            \ se z\xE1sadami inventarizace a v\u010Dasnost aktualizac\xED."
        it:
          description: "I soggetti pertinenti elaborano e mantengono un inventario\
            \ completo, accurato, aggiornato e coerente delle loro attivit\xE0. Essi\
            \ registrano le modifiche apportate alle voci dell'inventario in modo\
            \ tracciabile."
          annotation: "\u2022 Assicurarsi che tutte le risorse, inclusi hardware,\
            \ software, dati e servizi, siano elencate nell'inventario. \n\u2022 Verificare\
            \ regolarmente l'accuratezza delle registrazioni dell'inventario. \n\u2022\
            \ Aggiornare tempestivamente l'inventario per riflettere eventuali modifiche,\
            \ come nuovi asset, asset dismessi o cambiamenti nello stato degli asset\
            \ (sezione 6.4) \n\u2022 Utilizzare convenzioni di denominazione e metodi\
            \ di categorizzazione standardizzati per mantenere la coerenza in tutto\
            \ l'inventario. \n\u2022 Assicurarsi che le voci di inventario contengano\
            \ i dati riportati nella guida sottostante (campionamento). \n\u2022 Implementare\
            \ regole di convalida all'interno dell'inventario per garantire che i\
            \ dati inseriti siano completi e coerenti."
          typical_evidence: "\u2022 Documentazione per l'inventario dei beni \n\u2022\
            \ Inventario aggiornato dei beni \n\u2022 Registrazioni di revisioni o\
            \ cronologia delle modifiche. \n\u2022 Registrazioni delle metriche chiave\
            \ tracciate, come il numero di risorse, i tipi di risorse, la conformit\xE0\
            \ alle politiche di inventario e la tempestivit\xE0 degli aggiornamenti."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:12.4.2
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:12.4
      ref_id: 12.4.2
      description: 'The granularity of the inventory of the assets shall be at a level
        appropriate for the needs of the relevant entities. The inventory shall include
        the following:'
      annotation: "\u2022 Consider adding one or more of the following to the inventory\
        \ (indicative, non-exhaustive list):\n    o asset unique ID, o asset type,\
        \ for example software including virtual machines (version), hardware (operating\
        \ system / firmware), services, supporting utilities, facilities, heating,\
        \ ventilation and air conditioning (HVAC) systems, personnel and physical\
        \ records, o asset owner and contact information, o operational unit responsible\
        \ for the asset, either internal department name or external provider name\
        \ (106), o asset description, o asset location, o date of asset\u2019s last\
        \ update/patch, o asset classification consistent with the risk assessment,\
        \ o type of information and its classification processed in the basset, o\
        \ asset end of life, where applicable, o relation to other assets and o logging\
        \ requirements.\n\n(106) In the case of external provider(s), a reference\
        \ to the SLA covering this relation will also be useful."
      typical_evidence: "\u2022 Configuration of the asset inventory tool, if any."
      translations:
        fr:
          description: "Le niveau de d\xE9tail de l\u2019inventaire des actifs est\
            \ adapt\xE9 aux besoins des entit\xE9s concern\xE9es. L\u2019inventaire\
            \ comprend les \xE9l\xE9ments suivants:"
          annotation: "\u2022 Envisagez d\u2019ajouter un ou plusieurs des \xE9l\xE9\
            ments suivants \xE0 l\u2019inventaire (liste indicative, non exhaustive)\
            \ :\n    o l\u2019identifiant unique de l\u2019actif, o le type d\u2019\
            actif, par exemple le logiciel, y compris les machines virtuelles (version),\
            \ le mat\xE9riel (syst\xE8me d\u2019exploitation / micrologiciel), les\
            \ services, les services publics de soutien, les installations, les syst\xE8\
            mes de chauffage, de ventilation et de climatisation (CVC), les dossiers\
            \ personnels et physiques, o le propri\xE9taire de l\u2019actif et ses\
            \ coordonn\xE9es, o l\u2019unit\xE9 op\xE9rationnelle responsable de l\u2019\
            actif, soit le nom du service interne ou le nom du fournisseur externe\
            \ (106), o la description de l\u2019actif,  o l\u2019emplacement de l\u2019\
            actif, o la date de la derni\xE8re mise \xE0 jour/correction de l\u2019\
            actif, o la classification des actifs conforme \xE0 l\u2019\xE9valuation\
            \ des risques, o le type d\u2019information et sa classification trait\xE9\
            es dans le basset, o la fin de vie de l\u2019actif, le cas \xE9ch\xE9\
            ant, o la relation avec d\u2019autres actifs et o les exigences en mati\xE8\
            re d\u2019enregistrement.\n\n(106) Dans le cas d\u2019un ou de plusieurs\
            \ fournisseurs externes, il sera \xE9galement utile de faire r\xE9f\xE9\
            rence au SLA couvrant cette relation."
          typical_evidence: "\u2022 Configuration de l\u2019outil d\u2019inventaire\
            \ des actifs, le cas \xE9ch\xE9ant."
        es:
          description: "La granularidad del inventario de los activos se situar\xE1\
            \ en un nivel adecuado a las necesidades de las entidades pertinentes.\
            \ El inventario incluir\xE1 lo siguiente:"
          annotation: "\u2022 Considere la posibilidad de a\xF1adir uno o m\xE1s de\
            \ los siguientes elementos al inventario (lista indicativa y no exhaustiva):\n\
            \    o ID \xFAnico del activo, o tipo de activo, por ejemplo, software,\
            \ incluidas las m\xE1quinas virtuales (versi\xF3n), hardware (sistema\
            \ operativo / firmware), servicios, servicios p\xFAblicos de apoyo, instalaciones,\
            \ sistemas de calefacci\xF3n, ventilaci\xF3n y aire acondicionado (HVAC),\
            \ registros f\xEDsicos y de personal, o propietario del activo e informaci\xF3\
            n de contacto, o unidad operativa responsable del activo, ya sea nombre\
            \ del departamento interno o nombre del proveedor externo (106), o descripci\xF3\
            n del activo,  o Ubicaci\xF3n de los activos, o Fecha de la \xFAltima\
            \ actualizaci\xF3n/parche del activo, o Clasificaci\xF3n de los activos\
            \ coherente con la evaluaci\xF3n de riesgos, o Tipo de informaci\xF3n\
            \ y su clasificaci\xF3n procesada en el Basset, o Fin de la vida \xFA\
            til de los activos, cuando proceda, o Relaci\xF3n con otros activos y\
            \ o Requisitos de registro.\n\n(106) En el caso del proveedor o proveedores\
            \ externos, tambi\xE9n ser\xE1 \xFAtil hacer referencia al acuerdo de\
            \ nivel de servicio que abarque esta relaci\xF3n."
          typical_evidence: "\u2022 Configuraci\xF3n de la herramienta de inventario\
            \ de activos, si la hubiera."
        cs:
          description: "Podrobnost soupisu aktiv by m\u011Bla b\xFDt na \xFArovni\
            \ odpov\xEDdaj\xEDc\xED pot\u0159eb\xE1m p\u0159\xEDslu\u0161n\xFDch subjekt\u016F\
            . Soupis obsahuje:"
          annotation: "\u2022 Zva\u017Ete p\u0159id\xE1n\xED jedn\xE9 nebo v\xEDce\
            \ z n\xE1sleduj\xEDc\xEDch polo\u017Eek do invent\xE1\u0159e (orienta\u010D\
            n\xED, ne\xFApln\xFD seznam):\n    o jedine\u010Dn\xE9 ID aktiva, o typ\
            \ aktiva, nap\u0159\xEDklad software v\u010Detn\u011B virtu\xE1ln\xED\
            ch stroj\u016F (verze), hardware (opera\u010Dn\xED syst\xE9m / firmware),\
            \ slu\u017Eby, podp\u016Frn\xE9 in\u017Een\xFDrsk\xE9 s\xEDt\u011B, za\u0159\
            \xEDzen\xED, syst\xE9my vyt\xE1p\u011Bn\xED, ventilace a klimatizace (HVAC),\
            \ person\xE1ln\xED a fyzick\xE9 z\xE1znamy, o vlastn\xEDk aktiva a kontaktn\xED\
            \ \xFAdaje, o provozn\xED jednotka odpov\u011Bdn\xE1 za aktivum, bu\u010F\
            \ n\xE1zev intern\xEDho odd\u011Blen\xED, nebo n\xE1zev extern\xEDho poskytovatele\
            \ (106), o popis aktiva,  o um\xEDst\u011Bn\xED aktiva, o datum posledn\xED\
            \ aktualizace/opravy aktiva, o klasifikace aktiv v souladu s posouzen\xED\
            m rizik, o druh informac\xED a jejich klasifikace zpracovan\xE1 v basetu,\
            \ o konec \u017Eivotnosti aktiva, je-li to relevantn\xED, o vztah k jin\xFD\
            m aktiv\u016Fm a o po\u017Eadavky na protokolov\xE1n\xED.\n\n(106) V p\u0159\
            \xEDpad\u011B extern\xEDho poskytovatele (poskytovatel\u016F) bude rovn\u011B\
            \u017E u\u017Eite\u010Dn\xFD odkaz na smlouvu SLA, kter\xE1 se vztahuje\
            \ na tento vztah."
          typical_evidence: "\u2022 Konfigurace n\xE1stroje pro inventarizaci aktiv,\
            \ pokud existuje."
        it:
          description: "La granularit\xE0 dell'inventario delle attivit\xE0 \xE8 a\
            \ un livello adeguato alle esigenze dei soggetti interessati. L'inventario\
            \ comprende i seguenti elementi:"
          annotation: "\u2022 Considerare l'aggiunta di uno o pi\xF9 dei seguenti\
            \ elementi all'inventario (elenco indicativo, non esaustivo):\n    o ID\
            \ univoco dell'asset, o tipo di asset, ad esempio software che include\
            \ macchine virtuali (versione), hardware (sistema operativo/firmware),\
            \ servizi, utenze di supporto, strutture, sistemi di riscaldamento, ventilazione\
            \ e condizionamento dell'aria (HVAC), personale e registri fisici, o proprietario\
            \ dell'asset e informazioni di contatto, o unit\xE0 operativa responsabile\
            \ dell'asset, nome del reparto interno o nome del fornitore esterno (106),\
            \ o descrizione dell'asset,  o Ubicazione dell'asset, o Data dell'ultimo\
            \ aggiornamento/patch dell'asset, o Classificazione dell'asset coerente\
            \ con la valutazione del rischio, o Tipo di informazioni e relativa classificazione\
            \ elaborate nel Basset, o Fine del ciclo di vita dell'asset, se applicabile,\
            \ o Relazione con altri asset e o Requisiti di registrazione.\n\n(106)\
            \ Nel caso di uno o pi\xF9 fornitori esterni, sar\xE0 utile anche un riferimento\
            \ all'SLA che copre tale relazione."
          typical_evidence: "\u2022 Configurazione dello strumento di inventario dei\
            \ cespiti, se presente."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:12.4.2.a
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:12.4.2
      ref_id: 12.4.2.a
      description: the list of operations and services and their description,
      translations:
        fr:
          description: "la liste des op\xE9rations et des services et leur description,"
        es:
          description: "la lista de operaciones y servicios y su descripci\xF3n;"
        cs:
          description: "seznam operac\xED a slu\u017Eeb a jejich popis;"
        it:
          description: l'elenco delle operazioni e dei servizi e la loro descrizione,
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:12.4.2.b
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:12.4.2
      ref_id: 12.4.2.b
      description: "the list of network and information systems and other associated\
        \ assets supporting the relevant entities\u2019 operations and services."
      translations:
        fr:
          description: "la liste des r\xE9seaux et syst\xE8mes d\u2019information\
            \ et des autres actifs associ\xE9s soutenant les activit\xE9s et les services\
            \ des entit\xE9s concern\xE9es."
        es:
          description: "la lista de sistemas de redes y de informaci\xF3n y otros\
            \ activos asociados que sirvan de apoyo a las operaciones y servicios\
            \ de las entidades pertinentes."
        cs:
          description: "seznam s\xEDt\xED a informa\u010Dn\xEDch syst\xE9m\u016F a\
            \ dal\u0161\xEDch souvisej\xEDc\xEDch aktiv podporuj\xEDc\xEDch operace\
            \ a slu\u017Eby p\u0159\xEDslu\u0161n\xFDch subjekt\u016F."
        it:
          description: l'elenco delle reti e dei sistemi informativi e di altri beni
            associati a sostegno delle operazioni e dei servizi dei soggetti pertinenti.
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:12.4.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:12.4
      ref_id: 12.4.3
      description: The relevant entities shall regularly review and update the inventory
        and their assets and document the history of changes.
      annotation: "\u2022 Conduct regular reviews to verify the accuracy and completeness\
        \ of the inventory. \n\u2022 Maintain history of changes. \n\n[TIPS]\n\n\u2022\
        \ Use tools that support the comprehensive tracking and management of assets.\
        \ \n\u2022 Ideally, consider the use of tools for automated discovery and\
        \ asset tracking to continuously discover, categorize, and monitor both on-premises\
        \ and cloud assets, ensuring comprehensive, up-to-date visibility and security.\
        \ Alternatively, consider manual update procedures. \n\u2022 Configure the\
        \ chosen tool to capture the defined attributes and categories, ensuring it\
        \ supports relevant functionalities such as tagging, searching and reporting.\
        \ \n\u2022 Set up automated alerts for missing or incomplete data, discrepancies\
        \ and anomalies detected in the inventory."
      typical_evidence: "\u2022 Up-to-date inventory of assets including history of\
        \ changes. \n\u2022 Regular reports generated on inventory status, changes\
        \ and audit findings.\n\n[TIPS]\n\n\u2022 Configuration settings of the asset\
        \ management tool."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es r\xE9examinent et mettent \xE0\
            \ jour r\xE9guli\xE8rement l\u2019inventaire et leurs actifs et documentent\
            \ l\u2019historique des changements."
          annotation: "\u2022 Effectuer des examens r\xE9guliers pour v\xE9rifier\
            \ l\u2019exactitude et l\u2019exhaustivit\xE9 de l\u2019inventaire. \n\
            \u2022 Tenir \xE0 jour l\u2019historique des modifications. \n\n[CONSEILS]\n\
            \n\u2022 Utiliser des outils qui soutiennent le suivi et la gestion complets\
            \ des actifs. \n\u2022 Id\xE9alement, envisagez l\u2019utilisation d\u2019\
            outils de d\xE9couverte et de suivi automatis\xE9s des actifs pour d\xE9\
            couvrir, cat\xE9goriser et surveiller en permanence les actifs sur site\
            \ et dans le cloud, garantissant ainsi une visibilit\xE9 et une s\xE9\
            curit\xE9 compl\xE8tes et \xE0 jour. Vous pouvez \xE9galement envisager\
            \ des proc\xE9dures de mise \xE0 jour manuelles. \n\u2022 Configurer l\u2019\
            outil choisi pour capturer les attributs et les cat\xE9gories d\xE9finis,\
            \ en s\u2019assurant qu\u2019il prend en charge les fonctionnalit\xE9\
            s pertinentes telles que le balisage, la recherche et le reporting. \n\
            \u2022 Mettre en place des alertes automatis\xE9es pour les donn\xE9es\
            \ manquantes ou incompl\xE8tes, les \xE9carts et les anomalies d\xE9tect\xE9\
            s dans l\u2019inventaire."
          typical_evidence: "\u2022 Inventaire \xE0 jour des actifs, y compris l\u2019\
            historique des modifications. \n\u2022 G\xE9n\xE9ration r\xE9guli\xE8\
            re de rapports sur l\u2019\xE9tat des stocks, les changements et les r\xE9\
            sultats des audits.\n\n[CONSEILS]\n\n\u2022 Param\xE8tres de configuration\
            \ de l\u2019outil de gestion des actifs."
        es:
          description: "Las entidades pertinentes revisar\xE1n y actualizar\xE1n peri\xF3\
            dicamente el inventario y sus activos y registrar\xE1n el historial de\
            \ cambios."
          annotation: "\u2022 Realizar revisiones peri\xF3dicas para verificar la\
            \ exactitud e integridad del inventario. \n\u2022 Mantener un historial\
            \ de cambios. \n\n[CONSEJOS]\n\n\u2022 Utilizar herramientas que apoyen\
            \ el seguimiento y la gesti\xF3n integral de los activos. \n\u2022 Idealmente,\
            \ considere el uso de herramientas para la detecci\xF3n automatizada y\
            \ el seguimiento de activos para descubrir, categorizar y monitorear continuamente\
            \ los activos tanto en las instalaciones como en la nube, lo que garantiza\
            \ una visibilidad y seguridad integrales y actualizadas. Como alternativa,\
            \ considere los procedimientos de actualizaci\xF3n manual. \n\u2022 Configure\
            \ la herramienta elegida para capturar los atributos y categor\xEDas definidos,\
            \ asegur\xE1ndose de que admita funcionalidades relevantes como el etiquetado,\
            \ la b\xFAsqueda y la generaci\xF3n de informes. \n\u2022 Configure alertas\
            \ autom\xE1ticas para datos faltantes o incompletos, discrepancias y anomal\xED\
            as detectadas en el inventario."
          typical_evidence: "\u2022 Inventario actualizado de activos, incluido el\
            \ historial de cambios. \n\u2022 Generaci\xF3n de informes peri\xF3dicos\
            \ sobre el estado del inventario, los cambios y los resultados de las\
            \ auditor\xEDas.\n\n[CONSEJOS]\n\n\u2022 Ajustes de configuraci\xF3n de\
            \ la herramienta de gesti\xF3n de activos."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty pravideln\u011B p\u0159\
            ezkoum\xE1vaj\xED a aktualizuj\xED soupis a sv\xE1 aktiva a dokumentuj\xED\
            \ historii zm\u011Bn."
          annotation: "\u2022 Prov\xE1d\u011Bt pravideln\xE9 kontroly za \xFA\u010D\
            elem ov\u011B\u0159en\xED p\u0159esnosti a \xFAplnosti invent\xE1\u0159\
            e. \n\u2022 Udr\u017Eujte historii zm\u011Bn. \n\n[TIPY]\n\n\u2022 Pou\u017E\
            \xEDvejte n\xE1stroje, kter\xE9 podporuj\xED komplexn\xED sledov\xE1n\xED\
            \ a spr\xE1vu majetku. \nV ide\xE1ln\xEDm p\u0159\xEDpad\u011B zva\u017E\
            te pou\u017Eit\xED n\xE1stroj\u016F pro automatizovan\xE9 zji\u0161\u0165\
            ov\xE1n\xED a sledov\xE1n\xED aktiv k pr\u016Fb\u011B\u017En\xE9mu zji\u0161\
            \u0165ov\xE1n\xED, kategorizaci a monitorov\xE1n\xED m\xEDstn\xEDch i\
            \ cloudov\xFDch aktiv a zaji\u0161t\u011Bn\xED komplexn\xED, aktu\xE1\
            ln\xED viditelnosti a zabezpe\u010Den\xED. P\u0159\xEDpadn\u011B zva\u017E\
            te postupy ru\u010Dn\xED aktualizace. \n\u2022 Nakonfigurujte vybran\xFD\
            \ n\xE1stroj tak, aby zachycoval definovan\xE9 atributy a kategorie a\
            \ zaji\u0161\u0165oval podporu relevantn\xEDch funkc\xED, jako je ozna\u010D\
            ov\xE1n\xED, vyhled\xE1v\xE1n\xED a reportov\xE1n\xED. \n\u2022 Nastavte\
            \ automatick\xE1 upozorn\u011Bn\xED na chyb\u011Bj\xEDc\xED nebo ne\xFA\
            pln\xE1 data, nesrovnalosti a anom\xE1lie zji\u0161t\u011Bn\xE9 v invent\xE1\
            \u0159i."
          typical_evidence: "\u2022 Aktu\xE1ln\xED inventarizace majetku v\u010Detn\u011B\
            \ historie zm\u011Bn. \n\u2022 Pravideln\xE9 reporty o stavu z\xE1sob,\
            \ zm\u011Bn\xE1ch a zji\u0161t\u011Bn\xEDch auditu.\n\n[TIPY]\n\n\u2022\
            \ Nastaven\xED konfigurace n\xE1stroje pro spr\xE1vu datov\xFDch zdroj\u016F\
            ."
        it:
          description: "I soggetti pertinenti riesaminano e aggiornano periodicamente\
            \ l'inventario e le loro attivit\xE0 e documentano la cronologia delle\
            \ modifiche."
          annotation: "\u2022 Condurre revisioni periodiche per verificare l'accuratezza\
            \ e la completezza dell'inventario. \n\u2022 Mantenere la cronologia delle\
            \ modifiche. \n\n[CONSIGLI]\n\n\u2022 Utilizzare strumenti che supportino\
            \ il monitoraggio e la gestione completi delle risorse. \n\u2022 Idealmente,\
            \ prendere in considerazione l'uso di strumenti per il rilevamento automatizzato\
            \ e il monitoraggio delle risorse per scoprire, classificare e monitorare\
            \ continuamente sia le risorse on-premise che quelle cloud, garantendo\
            \ visibilit\xE0 e sicurezza complete e aggiornate. In alternativa, prendere\
            \ in considerazione le procedure di aggiornamento manuale. \n\u2022 Configura\
            \ lo strumento scelto per acquisire gli attributi e le categorie definiti,\
            \ assicurandoti che supporti funzionalit\xE0 pertinenti come il tagging,\
            \ la ricerca e la reportistica. \n\u2022 Imposta avvisi automatici per\
            \ dati mancanti o incompleti, discrepanze e anomalie rilevate nell'inventario."
          typical_evidence: "\u2022 Inventario aggiornato delle risorse, compresa\
            \ la cronologia delle modifiche. \n\u2022 Generazione di report regolari\
            \ sullo stato dell'inventario, sulle modifiche e sui risultati degli audit.\n\
            \n[CONSIGLI]\n\n\u2022 Impostazioni di configurazione dello strumento\
            \ di gestione delle risorse."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:12.5
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:12
      ref_id: '12.5'
      name: Deposit, return or deletion of assets upon termination of employment
      annotation: "\u2022 Define procedures to ensure that assets are deposited, returned\
        \ or irrevocably deleted on termination of employment or contractual relationships.\
        \ \n\u2022 Make sure that the procedures clearly identify all assets to be\
        \ returned, according to the asset inventory (Annex to the regulation, point\
        \ 12.4.1), which can include (indicative, non-exhaustive list):\n    o user\
        \ endpoint devices, e.g. computers, tablets and phones etc and/or portable\
        \ storage devices, including vehicles, that can store data locally on the\
        \ vehicle and/or share data externally by means of telematics. Identify where\
        \ the user process, transfer or store entity data to determine the scope of\
        \ user endpoint devices;\n    o specialised equipment;\n    o authentication\
        \ hardware (e.g. access cards, mechanical keys, physical tokens and smart\
        \ cards);\n    o physical copies of information.\n\n[TIPS]\n\n\u2022 In cases\
        \ where employees (and other third parties) use their own personal equipment,\
        \ follow procedures to ensure that all relevant information is traced and\
        \ transferred to the entity and securely deleted from the equipment. \n\u2022\
        \ Keep a record of the implementation of the policy (list of employees who\
        \ have left or contractors whose contracts have ended and list of the assets\
        \ they returned, including return date). \n\u2022 Make sure that relevant\
        \ terms are part of the employment or service contract. \n\u2022 Communicate\
        \ the procedures to employees during the induction process and during the\
        \ exit process. \n\u2022 Check that there is an employee exit interview process\
        \ and the return of the assets is linked with it. \n\u2022 Where the deposit,\
        \ return or deletion of assets is not possible (indicative, non-exhaustive\
        \ list):\n    o ensure that any credentials associated with the assets are\
        \ revoked or disabled;\n    o isolate the assets by placing them in a separate\
        \ network segment;\n    o use access control lists to restrict access to and\
        \ from the isolated assets;\n    o ensure that only authorised personnel can\
        \ interact with these assets;\n    o configure firewalls to block any traffic\
        \ to and from the isolated assets;\n    o physically or logically disable\
        \ the network interfaces of the assets;\n    o continuously monitor the isolated\
        \ assets and log any access attempts."
      typical_evidence: "\u2022 Documented procedures for the timely return of assets\
        \ upon termination of employment. \n\u2022 Logs or records indicating that\
        \ data on returned assets was deleted according to the procedures.   \n\u2022\
        \ Completed exit checklist forms that include asset return and data deletion\
        \ steps, signed by the departing employee and relevant supervisors.\n\n[TIPS]\n\
        \n\u2022 Personnel aware of the procedures. \n\u2022 Communication materials,\
        \ such as emails or intranet posts, that remind employees of their obligations\
        \ upon termination. \n\u2022 Statements confirming that data was irrevocably\
        \ deleted, especially for external employees or contractors. \n\u2022 Documentation\
        \ of the termination process, including coordination between HR and IT departments.\
        \ \n\u2022 Sample checks of lists of employees/contractors and the assets\
        \ they were assigned and those they returned."
      translations:
        fr:
          name: "D\xE9p\xF4t, restitution ou suppression d\u2019actifs en cas de cessation\
            \ d\u2019emploi"
          annotation: "\u2022 D\xE9finir des proc\xE9dures pour s\u2019assurer que\
            \ les actifs sont d\xE9pos\xE9s, restitu\xE9s ou irr\xE9vocablement supprim\xE9\
            s \xE0 la fin d\u2019un emploi ou d\u2019une relation contractuelle. \n\
            \u2022 S\u2019assurer que les proc\xE9dures identifient clairement tous\
            \ les biens \xE0 restituer, selon l\u2019inventaire des actifs (annexe\
            \ du r\xE8glement, point 12.4.1), qui peut inclure (liste indicative et\
            \ non exhaustive) :\n    o les terminaux de l\u2019utilisateur, par exemple\
            \ les ordinateurs, les tablettes et les t\xE9l\xE9phones, etc., et/ou\
            \ les p\xE9riph\xE9riques de stockage portables, y compris les v\xE9hicules,\
            \ qui peuvent stocker des donn\xE9es localement sur le v\xE9hicule et/ou\
            \ partager des donn\xE9es en externe au moyen de la t\xE9l\xE9matique.\
            \ Identifier l\u2019endroit o\xF9 l\u2019utilisateur traite, transf\xE8\
            re ou stocke les donn\xE9es de l\u2019entit\xE9 afin de d\xE9terminer\
            \ l\u2019\xE9tendue des terminaux de l\u2019utilisateur ;\n    o \xC9\
            quipement sp\xE9cialis\xE9 ;\n    o mat\xE9riel d\u2019authentification\
            \ (par exemple, cartes d\u2019acc\xE8s, cl\xE9s m\xE9caniques, jetons\
            \ physiques et cartes \xE0 puce) ;\n    o Copies physiques des informations.\n\
            \n[CONSEILS]\n\n\u2022 Dans les cas o\xF9 des employ\xE9s (et d\u2019\
            autres tiers) utilisent leur propre \xE9quipement personnel, suivez les\
            \ proc\xE9dures pour vous assurer que toutes les informations pertinentes\
            \ sont retrac\xE9es et transf\xE9r\xE9es \xE0 l\u2019entit\xE9 et supprim\xE9\
            es en toute s\xE9curit\xE9 de l\u2019\xE9quipement. \n\u2022 Tenir un\
            \ registre de la mise en \u0153uvre de la politique (liste des employ\xE9\
            s qui ont quitt\xE9 la politique ou des sous-traitants dont le contrat\
            \ a pris fin et liste des biens qu\u2019ils ont rendus, y compris la date\
            \ de retour). \n\u2022 Assurez-vous que les conditions pertinentes font\
            \ partie du contrat de travail ou de service. \n\u2022 Communiquer les\
            \ proc\xE9dures aux employ\xE9s pendant le processus d\u2019int\xE9gration\
            \ et pendant le processus de sortie. \n\u2022 V\xE9rifier qu\u2019il y\
            \ a un processus d\u2019entretien de d\xE9part de l\u2019employ\xE9 et\
            \ que la restitution des actifs y est li\xE9e. \n\u2022 Lorsque le d\xE9\
            p\xF4t, la restitution ou l\u2019effacement d\u2019actifs n\u2019est pas\
            \ possible (liste indicative et non exhaustive) :\n    o S\u2019assurer\
            \ que toutes les informations d\u2019identification associ\xE9es aux actifs\
            \ sont r\xE9voqu\xE9es ou d\xE9sactiv\xE9es ;\n    o isoler les actifs\
            \ en les pla\xE7ant dans un segment de r\xE9seau distinct ;\n    o utiliser\
            \ des listes de contr\xF4le d\u2019acc\xE8s pour restreindre l\u2019acc\xE8\
            s aux actifs isol\xE9s ;\n    o veiller \xE0 ce que seul le personnel\
            \ autoris\xE9 puisse interagir avec ces actifs ;\n    o Configurer des\
            \ pare-feu pour bloquer tout trafic \xE0 destination et en provenance\
            \ des actifs isol\xE9s ;\n    o d\xE9sactiver physiquement ou logiquement\
            \ les interfaces r\xE9seau des actifs ;\n    o Surveiller en permanence\
            \ les actifs isol\xE9s et consigner toutes les tentatives d\u2019acc\xE8\
            s."
          typical_evidence: "\u2022 Proc\xE9dures document\xE9es pour la restitution\
            \ en temps opportun des actifs \xE0 la cessation d\u2019emploi. \n\u2022\
            \ Journaux ou enregistrements indiquant que les donn\xE9es des actifs\
            \ retourn\xE9s ont \xE9t\xE9 supprim\xE9es conform\xE9ment aux proc\xE9\
            dures.   \n\u2022 Formulaires de liste de contr\xF4le de sortie remplis\
            \ qui comprennent les \xE9tapes de retour des actifs et de suppression\
            \ des donn\xE9es, sign\xE9s par l\u2019employ\xE9 sortant et les superviseurs\
            \ concern\xE9s.\n\n[CONSEILS]\n\n\u2022 Le personnel conna\xEEt les proc\xE9\
            dures. \n\u2022 Des documents de communication, tels que des courriels\
            \ ou des messages intranet, qui rappellent aux employ\xE9s leurs obligations\
            \ en cas de licenciement. \n\u2022 D\xE9clarations confirmant que les\
            \ donn\xE9es ont \xE9t\xE9 irr\xE9vocablement supprim\xE9es, en particulier\
            \ pour les employ\xE9s ou les sous-traitants externes. \n\u2022 Documentation\
            \ du processus de licenciement, y compris la coordination entre les d\xE9\
            partements RH et informatique. \n\u2022 V\xE9rification par \xE9chantillonnage\
            \ des listes d\u2019employ\xE9s/sous-traitants et des actifs qui leur\
            \ ont \xE9t\xE9 attribu\xE9s et de ceux qu\u2019ils ont rendus."
        es:
          name: "Dep\xF3sito, devoluci\xF3n o supresi\xF3n de activos al t\xE9rmino\
            \ de la relaci\xF3n laboral"
          annotation: "\u2022 Definir procedimientos para asegurar que los activos\
            \ sean depositados, devueltos o eliminados irrevocablemente al finalizar\
            \ las relaciones laborales o contractuales. \n\u2022 Aseg\xFArese de que\
            \ los procedimientos identifiquen claramente todos los activos que deben\
            \ devolverse, de acuerdo con el inventario de activos (anexo del reglamento,\
            \ punto 12.4.1), que puede incluir (lista indicativa, no exhaustiva):\n\
            \    o dispositivos de punto final de usuario, por ejemplo, ordenadores,\
            \ tabletas y tel\xE9fonos, etc., y/o dispositivos de almacenamiento port\xE1\
            tiles, incluidos veh\xEDculos, que pueden almacenar datos localmente en\
            \ el veh\xEDculo y/o compartir datos externamente mediante telem\xE1tica.\
            \ Identifique d\xF3nde el usuario procesa, transfiere o almacena datos\
            \ de la entidad para determinar el alcance de los dispositivos de punto\
            \ final del usuario;\n    o equipos especializados;\n    o hardware de\
            \ autenticaci\xF3n (por ejemplo, tarjetas de acceso, llaves mec\xE1nicas,\
            \ tokens f\xEDsicos y tarjetas inteligentes);\n    o Copias f\xEDsicas\
            \ de la informaci\xF3n.\n\n[CONSEJOS]\n\n\u2022 En los casos en que los\
            \ empleados (y otros terceros) utilicen su propio equipo personal, siga\
            \ los procedimientos para garantizar que toda la informaci\xF3n relevante\
            \ se rastree y transfiera a la entidad y se elimine de forma segura del\
            \ equipo. \n\u2022 Mantener un registro de la implementaci\xF3n de la\
            \ pol\xEDtica (lista de empleados que se han ido o contratistas cuyos\
            \ contratos han finalizado y lista de los activos que regresaron, incluida\
            \ la fecha de regreso). \n\u2022 Aseg\xFArese de que los t\xE9rminos relevantes\
            \ formen parte del contrato de trabajo o servicio. \n\u2022 Comunicar\
            \ los procedimientos a los empleados durante el proceso de inducci\xF3\
            n y durante el proceso de salida. \n\u2022 Comprobar que existe un proceso\
            \ de entrevista de salida de los empleados y que la devoluci\xF3n de los\
            \ activos est\xE1 vinculada al mismo. \n\u2022 En caso de que no sea posible\
            \ el dep\xF3sito, la devoluci\xF3n o la supresi\xF3n de activos (lista\
            \ indicativa no exhaustiva):\n    o asegurarse de que las credenciales\
            \ asociadas con los activos sean revocadas o deshabilitadas;\n    o aislar\
            \ los activos coloc\xE1ndolos en un segmento de red separado;\n    o utilizar\
            \ listas de control de acceso para restringir el acceso hacia y desde\
            \ los activos aislados;\n    o garantizar que solo el personal autorizado\
            \ pueda interactuar con estos activos;\n    o configurar firewalls para\
            \ bloquear cualquier tr\xE1fico hacia y desde los activos aislados;\n\
            \    o desactivar f\xEDsica o l\xF3gicamente las interfaces de red de\
            \ los activos;\n    o Supervise continuamente los activos aislados y registre\
            \ cualquier intento de acceso."
          typical_evidence: "\u2022 Procedimientos documentados para la devoluci\xF3\
            n oportuna de activos a la terminaci\xF3n del empleo. \n\u2022 Registros\
            \ o registros que indiquen que los datos sobre los activos devueltos se\
            \ eliminaron de acuerdo con los procedimientos.   \n\u2022 Formularios\
            \ de lista de verificaci\xF3n de salida completados que incluyen pasos\
            \ de devoluci\xF3n de activos y eliminaci\xF3n de datos, firmados por\
            \ el empleado que se va y los supervisores relevantes.\n\n[CONSEJOS]\n\
            \n\u2022 Personal conocedor de los procedimientos. \n\u2022 Materiales\
            \ de comunicaci\xF3n, como correos electr\xF3nicos o publicaciones en\
            \ la intranet, que recuerden a los empleados sus obligaciones tras la\
            \ rescisi\xF3n. \n\u2022 Declaraciones que confirmen que los datos se\
            \ han eliminado de forma irrevocable, especialmente para empleados o contratistas\
            \ externos. \n\u2022 Documentaci\xF3n del proceso de terminaci\xF3n, incluida\
            \ la coordinaci\xF3n entre los departamentos de RRHH y TI. \n\u2022 Ejemplos\
            \ de comprobaciones de las listas de empleados/contratistas y de los activos\
            \ que se les asignaron y los que devolvieron."
        cs:
          name: "Ulo\u017Een\xED, vr\xE1cen\xED nebo smaz\xE1n\xED aktiv po ukon\u010D\
            en\xED pracovn\xEDho pom\u011Bru"
          annotation: "\u2022 Definovat postupy, kter\xE9 zajist\xED, \u017Ee majetek\
            \ bude ulo\u017Een, vr\xE1cen nebo nen\xE1vratn\u011B vymaz\xE1n p\u0159\
            i ukon\u010Den\xED pracovn\xEDho pom\u011Bru nebo smluvn\xEDho vztahu.\
            \ \n\u2022 Zajistit, aby postupy jasn\u011B identifikovaly ve\u0161ker\xFD\
            \ majetek, kter\xFD m\xE1 b\xFDt vr\xE1cen, podle soupisu majetku (p\u0159\
            \xEDloha na\u0159\xEDzen\xED, bod 12.4.1), kter\xFD m\u016F\u017Ee zahrnovat\
            \ (orienta\u010Dn\xED, ne\xFApln\xFD seznam):\n    o koncov\xE1 za\u0159\
            \xEDzen\xED u\u017Eivatele, nap\u0159. po\u010D\xEDta\u010De, tablety\
            \ a telefony atd. a/nebo p\u0159enosn\xE1 \xFAlo\u017En\xE1 za\u0159\xED\
            zen\xED, v\u010Detn\u011B vozidel, kter\xE1 mohou ukl\xE1dat data lok\xE1\
            ln\u011B ve vozidle a/nebo sd\xEDlet data extern\u011B prost\u0159ednictv\xED\
            m telematiky. Identifikovat, kde u\u017Eivatel zpracov\xE1v\xE1, p\u0159\
            en\xE1\u0161\xED nebo ukl\xE1d\xE1 data o entit\u011B, aby ur\u010Dil\
            \ rozsah koncov\xFDch za\u0159\xEDzen\xED u\u017Eivatele;\n    o specializovan\xE9\
            \ vybaven\xED;\n    o autentiza\u010Dn\xED hardware (nap\u0159. p\u0159\
            \xEDstupov\xE9 karty, mechanick\xE9 kl\xED\u010De, fyzick\xE9 tokeny a\
            \ \u010Dipov\xE9 karty);\n    o fyzick\xE9 kopie informac\xED.\n\n[TIPY]\n\
            \n\u2022 V p\u0159\xEDpadech, kdy zam\u011Bstnanci (a dal\u0161\xED t\u0159\
            et\xED strany) pou\u017E\xEDvaj\xED sv\xE9 vlastn\xED osobn\xED vybaven\xED\
            , dodr\u017Eujte postupy, kter\xE9 zajist\xED, \u017Ee v\u0161echny relevantn\xED\
            \ informace budou vysledov\xE1ny a p\u0159eneseny do subjektu a bezpe\u010D\
            n\u011B odstran\u011Bny ze za\u0159\xEDzen\xED. \n\u2022 V\xE9st z\xE1\
            znamy o prov\xE1d\u011Bn\xED politiky (seznam zam\u011Bstnanc\u016F, kte\u0159\
            \xED ode\u0161li, nebo dodavatel\u016F, kter\xFDm skon\u010Dily smlouvy,\
            \ a seznam majetku, kter\xFD vr\xE1tili, v\u010Detn\u011B data vr\xE1\
            cen\xED). \n\u2022 Ujist\u011Bte se, \u017Ee sou\u010D\xE1st\xED pracovn\xED\
            \ smlouvy nebo smlouvy o poskytov\xE1n\xED slu\u017Eeb jsou p\u0159\xED\
            slu\u0161n\xE9 podm\xEDnky. \n\u2022 Sd\u011Blit postupy zam\u011Bstnanc\u016F\
            m b\u011Bhem procesu zapracov\xE1n\xED a b\u011Bhem procesu odchodu. \n\
            \u2022 Zkontrolujte, zda prob\xEDh\xE1 proces v\xFDstupn\xEDho pohovoru\
            \ se zam\u011Bstnancem a je s n\xEDm spojeno vr\xE1cen\xED majetku. \n\
            \u2022 Pokud nen\xED mo\u017En\xE9 vlo\u017Eit, vr\xE1tit nebo smazat\
            \ majetek (orienta\u010Dn\xED, ne\xFApln\xFD seznam):\n    o zajistit,\
            \ aby byly v\u0161echny p\u0159ihla\u0161ovac\xED \xFAdaje spojen\xE9\
            \ s datov\xFDmi zdroji zru\u0161eny nebo deaktivov\xE1ny;\n    o izolovat\
            \ datov\xE9 zdroje jejich um\xEDst\u011Bn\xEDm do samostatn\xE9ho segmentu\
            \ s\xEDt\u011B;\n    o pou\u017E\xEDvat seznamy \u0159\xEDzen\xED p\u0159\
            \xEDstupu k izolovan\xFDm datov\xFDm zdroj\u016Fm a z nich;\n    o zajistit,\
            \ aby s t\u011Bmito prost\u0159edky mohly interagovat pouze opr\xE1vn\u011B\
            n\xE9 osoby;\n    o konfigurovat br\xE1ny firewall tak, aby blokovaly\
            \ ve\u0161ker\xFD provoz do a z izolovan\xFDch aktiv;\n    o fyzicky nebo\
            \ logicky deaktivovat s\xED\u0165ov\xE1 rozhran\xED datov\xFDch zdroj\u016F\
            ;\n    o Pr\u016Fb\u011B\u017En\u011B monitorujte izolovan\xE9 datov\xE9\
            \ zdroje a zaznamen\xE1vejte v\u0161echny pokusy o p\u0159\xEDstup."
          typical_evidence: "\u2022 Zdokumentovan\xE9 postupy pro v\u010Dasn\xE9 vr\xE1\
            cen\xED majetku p\u0159i skon\u010Den\xED pracovn\xEDho pom\u011Bru. \n\
            \u2022 Protokoly nebo z\xE1znamy ozna\u010Duj\xEDc\xED, \u017Ee data o\
            \ vr\xE1cen\xFDch datov\xFDch zdroj\xEDch byla odstran\u011Bna v souladu\
            \ s postupy.   \n\u2022 Vypln\u011Bn\xE9 formul\xE1\u0159e v\xFDstupn\xED\
            ho kontroln\xEDho seznamu, kter\xE9 zahrnuj\xED kroky pro vr\xE1cen\xED\
            \ majetku a odstran\u011Bn\xED dat, podepsan\xE9 odch\xE1zej\xEDc\xED\
            m zam\u011Bstnancem a p\u0159\xEDslu\u0161n\xFDmi nad\u0159\xEDzen\xFD\
            mi.\n\n[TIPY]\n\n\u2022 Person\xE1l obezn\xE1men\xFD s postupy. \n\u2022\
            \ Komunika\u010Dn\xED materi\xE1ly, jako jsou e-maily nebo p\u0159\xED\
            sp\u011Bvky na intranetu, kter\xE9 zam\u011Bstnanc\u016Fm p\u0159ipom\xED\
            naj\xED jejich povinnosti p\u0159i ukon\u010Den\xED pracovn\xEDho pom\u011B\
            ru. \n\u2022 Prohl\xE1\u0161en\xED potvrzuj\xEDc\xED, \u017Ee \xFAdaje\
            \ byly nen\xE1vratn\u011B vymaz\xE1ny, zejm\xE9na u extern\xEDch zam\u011B\
            stnanc\u016F nebo dodavatel\u016F. \n\u2022 Dokumentace procesu ukon\u010D\
            en\xED pracovn\xEDho pom\u011Bru, v\u010Detn\u011B koordinace mezi HR\
            \ a IT odd\u011Blen\xEDm. \n\u2022 Vzorov\xE9 kontroly seznam\u016F zam\u011B\
            stnanc\u016F/dodavatel\u016F a majetku, kter\xFD jim byl p\u0159id\u011B\
            len, a t\u011Bch, kter\xE9 vr\xE1tili."
        it:
          name: Deposito, restituzione o cancellazione di beni in caso di cessazione
            del rapporto di lavoro
          annotation: "\u2022 Definire procedure per garantire che i beni siano depositati,\
            \ restituiti o cancellati irrevocabilmente al momento della cessazione\
            \ del rapporto di lavoro o dei rapporti contrattuali. \n\u2022 Assicurarsi\
            \ che le procedure identifichino in modo univoco tutti i beni da restituire,\
            \ secondo l'inventario dei beni (Allegato al regolamento, punto 12.4.1),\
            \ che pu\xF2 includere (elenco indicativo, non esaustivo):\n    o dispositivi\
            \ endpoint dell'utente, ad esempio computer, tablet e telefoni, ecc. e/o\
            \ dispositivi di archiviazione portatili, compresi i veicoli, in grado\
            \ di memorizzare dati localmente sul veicolo e/o condividere dati esternamente\
            \ mediante mezzi telematici. Identificare dove l'utente elabora, trasferisce\
            \ o archivia i dati dell'entit\xE0 per determinare l'ambito dei dispositivi\
            \ endpoint dell'utente;\n    o attrezzature specializzate;\n    o hardware\
            \ di autenticazione (ad es. tessere di accesso, chiavi meccaniche, token\
            \ fisici e smart card);\n    o copie fisiche delle informazioni.\n\n[CONSIGLI]\n\
            \n\u2022 Nei casi in cui i dipendenti (e altre terze parti) utilizzino\
            \ le proprie apparecchiature personali, seguire le procedure per garantire\
            \ che tutte le informazioni pertinenti siano tracciate e trasferite all'entit\xE0\
            \ ed eliminate in modo sicuro dall'apparecchiatura. \n\u2022 Tenere un\
            \ registro dell'attuazione della politica (elenco dei dipendenti che hanno\
            \ lasciato o degli appaltatori i cui contratti sono scaduti ed elenco\
            \ dei beni che hanno restituito, compresa la data di restituzione). \n\
            \u2022 Assicurarsi che i termini pertinenti facciano parte del contratto\
            \ di lavoro o di servizio. \n\u2022 Comunicare le procedure ai dipendenti\
            \ durante il processo di inserimento e durante il processo di uscita.\
            \ \n\u2022 Verificare che esista un processo di colloquio di uscita del\
            \ dipendente e che la restituzione dei beni sia collegata ad esso. \n\u2022\
            \ Laddove il deposito, la restituzione o la cancellazione di beni non\
            \ siano possibili (elenco indicativo e non esaustivo):\n    o garantire\
            \ che tutte le credenziali associate agli asset siano revocate o disabilitate;\n\
            \    o isolare gli asset collocandoli in un segmento di rete separato;\n\
            \    o utilizzare elenchi di controllo degli accessi per limitare l'accesso\
            \ da e verso le risorse isolate;\n    o garantire che solo il personale\
            \ autorizzato possa interagire con tali risorse;\n    o configurare i\
            \ firewall per bloccare qualsiasi traffico da e verso gli asset isolati;\n\
            \    o disabilitare fisicamente o logicamente le interfacce di rete degli\
            \ asset;\n    o monitorare continuamente le risorse isolate e registrare\
            \ eventuali tentativi di accesso."
          typical_evidence: "\u2022 Procedure documentate per la restituzione tempestiva\
            \ dei beni al momento della cessazione del rapporto di lavoro. \n\u2022\
            \ Registri o registrazioni che indichino che i dati sulle risorse restituite\
            \ sono stati eliminati secondo le procedure.   \n\u2022 Moduli di checklist\
            \ di uscita compilati che includono le fasi di restituzione degli asset\
            \ e di eliminazione dei dati, firmati dal dipendente uscente e dai supervisori\
            \ competenti.\n\n[CONSIGLI]\n\n\u2022 Personale a conoscenza delle procedure.\
            \ \n\u2022 Materiali di comunicazione, come e-mail o post intranet, che\
            \ ricordano ai dipendenti i loro obblighi in caso di licenziamento. \n\
            \u2022 Dichiarazioni che confermano che i dati sono stati cancellati irrevocabilmente,\
            \ in particolare per dipendenti esterni o appaltatori. \n\u2022 Documentazione\
            \ del processo di licenziamento, compreso il coordinamento tra i dipartimenti\
            \ HR e IT. \n\u2022 Verifiche a campione delle liste dei dipendenti/collaboratori\
            \ e dei beni loro assegnati e di quelli che hanno restituito."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:12.5:1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:12.5
      ref_id: 12.5.1
      description: "The relevant entities shall establish, implement and apply procedures\
        \ which ensure that their assets which are under custody of personnel are\
        \ deposited, returned or deleted upon termination of employment, and shall\
        \ document the deposit, return and deletion of those assets. Where the deposit,\
        \ return or deletion of assets is not possible, the relevant entities shall\
        \ ensure that the assets can no longer access the relevant entities\u2019\
        \ network and information systems in accordance with point 12.2.2."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es \xE9tablissent, mettent en \u0153\
            uvre et appliquent des proc\xE9dures garantissant que leurs actifs qui\
            \ sont sous la garde de leur personnel sont d\xE9pos\xE9s, restitu\xE9\
            s ou supprim\xE9s \xE0 la cessation de l\u2019emploi dudit personnel,\
            \ et documentent le d\xE9p\xF4t, la restitution et la suppression de ces\
            \ actifs. Lorsque le d\xE9p\xF4t, la restitution ou la suppression d\u2019\
            actifs n\u2019est pas possible, les entit\xE9s concern\xE9es veillent\
            \ \xE0 ce que les actifs ne puissent plus acc\xE9der \xE0 leurs r\xE9\
            seaux et syst\xE8mes d\u2019information conform\xE9ment au point 12.2.2."
        es:
          description: "Las entidades pertinentes crear\xE1n, pondr\xE1n en marcha\
            \ y aplicar\xE1n procedimientos para que los activos bajo custodia del\
            \ personal sean depositados, devueltos o suprimidos al t\xE9rmino de la\
            \ relaci\xF3n laboral, y documentar\xE1n el dep\xF3sito, la devoluci\xF3\
            n y la supresi\xF3n de dichos activos.\n\nCuando no sea posible el dep\xF3\
            sito, la devoluci\xF3n o la supresi\xF3n de activos, las entidades pertinentes\
            \ se asegurar\xE1n de que dichos activos ya no puedan acceder a los sistemas\
            \ de redes y de informaci\xF3n de la entidad de conformidad con el punto\
            \ 12.2.2."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty stanov\xED, zavedou a uplat\u0148\
            uj\xED postupy, kter\xE9 zajist\xED, aby jejich aktiva, kter\xE1 maj\xED\
            \ zam\u011Bstnanci v \xFAschov\u011B, byla po skon\u010Den\xED pracovn\xED\
            ho pom\u011Bru ulo\u017Eena, vr\xE1cena nebo smaz\xE1na, a zdokumentuj\xED\
            \ ulo\u017Een\xED, vr\xE1cen\xED a smaz\xE1n\xED t\u011Bchto aktiv. Pokud\
            \ ulo\u017Een\xED, vr\xE1cen\xED nebo vymaz\xE1n\xED aktiv nen\xED mo\u017E\
            n\xE9, p\u0159\xEDslu\u0161n\xE9 subjekty zajist\xED, aby aktiva ji\u017E\
            \ nem\u011Bla p\u0159\xEDstup do s\xEDt\u011B a informa\u010Dn\xEDch syst\xE9\
            m\u016F p\u0159\xEDslu\u0161n\xFDch subjekt\u016F v souladu s bodem 12.2.2."
        it:
          description: "I soggetti pertinenti istituiscono, attuano e applicano procedure\
            \ atte a garantire che i loro beni che sono sotto la custodia del personale\
            \ siano depositati, restituiti o cancellati al momento della cessazione\
            \ del rapporto di lavoro e documentano il deposito, la restituzione e\
            \ la cancellazione di tali beni. Qualora il deposito, la restituzione\
            \ o la cancellazione delle attivit\xE0 non siano possibili, i soggetti\
            \ pertinenti provvedono affinch\xE9 le attivit\xE0 non possano pi\xF9\
            \ accedere alla rete e ai sistemi informativi dei soggetti pertinenti\
            \ conformemente al punto 12.2.2."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:13
      assessable: false
      depth: 1
      ref_id: '13'
      name: ENVIRONMENTAL AND PHYSICAL SECURITY (ARTICLE 21(2), POINTS (C), (E) AND
        (I) OF DIRECTIVE (EU) 2022/2555)
      translations:
        fr:
          name: "S\xE9curit\xE9 environnementale et physique [article 21, paragraphe\
            \ 2, points c), e) et i), de la directive (UE) 2022/2555]"
        es:
          name: "SEGURIDAD MEDIOAMBIENTAL Y F\xCDSICA [Art\xEDculo 21, Apartado 2,\
            \ Letras C), E) e I), de la directiva (UE) 2022/2555]"
        cs:
          name: "Environment\xE1ln\xED a fyzick\xE1 bezpe\u010Dnost (\u010Dl. 21 odst.\
            \ 2 p\xEDsm. c), e) a i) sm\u011Brnice (EU) 2022/2555)"
        it:
          name: SICUREZZA FISICA E AMBIENTALE [ARTICOLO 21, PARAGRAFO 2, LETTERE C),
            E) E I), DELLA DIRETTIVA (UE) 2022/2555]
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:13.1
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:13
      ref_id: '13.1'
      name: Supporting utilities
      translations:
        fr:
          name: "Services d\u2019utilit\xE9 publique"
        es:
          name: "Servicios p\xFAblicos"
        cs:
          name: "Podp\u016Frn\xE9 slu\u017Eby"
        it:
          name: "Utilit\xE0 di supporto"
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:13.1.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:13.1
      ref_id: 13.1.1
      description: For the purpose of Article 21(2)(c) of Directive (EU) 2022/2555,
        the relevant entities shall prevent loss, damage or compromise of network
        and information systems or interruption to their operations due to the failure
        and disruption of supporting utilities.
      annotation: "\u2022 Consider supporting utilities, where relevant (107), that\
        \ ensure the continuous operation of network and information systems, such\
        \ as (indicative, non-exhaustive list):\n    o power supply \u2013 electricity\
        \ to keep systems running;\n    o water for cooling and other operational\
        \ needs;\n    o gas for heating or backup power generation;\n    o HVAC to\
        \ maintain optimal operating conditions;\n    o telecommunications \u2013\
        \ internet and network connectivity. \n\u2022 Include the potential failure\
        \ and disruption of supporting utilities in the risk assessment.\n\n(107)\
        \ In cases where an entity operates with a fully remote workforce and does\
        \ not maintain any on-premises servers or infrastructure, the requirement\
        \ for supporting utility services at a centralized location may be rendered\
        \ unnecessary. Remote work inherently introduces geographical and infrastructural\
        \ diversification, thereby reducing the overall utility-related risk. By distributing\
        \ operations across various locations, the organization benefits from a decentralized\
        \ utility dependency, which enhances resilience against localized disruptions."
      typical_evidence: "\u2022 List of supporting utilities and associated risk assessment\
        \ results. \n\u2022 Measures to protect against the failure and disruption\
        \ of supporting utilities."
      translations:
        fr:
          description: "Aux fins de l\u2019article 21, paragraphe 2, point c), de\
            \ la directive (UE) 2022/2555, les entit\xE9s concern\xE9es pr\xE9viennent\
            \ la perte, la d\xE9t\xE9rioration ou la compromission des r\xE9seaux\
            \ et des syst\xE8mes d\u2019information ou l\u2019interruption de leurs\
            \ op\xE9rations caus\xE9es par la d\xE9faillance et la perturbation des\
            \ services d\u2019utilit\xE9 publique."
          annotation: "\u2022 Envisager de soutenir les services publics, le cas \xE9\
            ch\xE9ant (107), qui assurent le fonctionnement continu du r\xE9seau et\
            \ des syst\xE8mes d\u2019information, tels que (liste indicative et non\
            \ exhaustive) :\n    o l\u2019alimentation \xE9lectrique \u2013 l\u2019\
            \xE9lectricit\xE9 pour maintenir les syst\xE8mes en fonctionnement ;\n\
            \    o l\u2019eau pour le refroidissement et d\u2019autres besoins op\xE9\
            rationnels\_;\n    o gaz pour le chauffage ou la production d\u2019\xE9\
            nergie de secours ;\n    o CVC pour maintenir des conditions de fonctionnement\
            \ optimales\_;\n    o T\xE9l\xE9communications \u2013 connectivit\xE9\
            \ Internet et r\xE9seau. \n\u2022 Inclure la d\xE9faillance et l\u2019\
            interruption potentielles des services publics de soutien dans l\u2019\
            \xE9valuation des risques.\n\n(107) Dans les cas o\xF9 une entit\xE9 travaille\
            \ avec un personnel enti\xE8rement \xE0 distance et ne g\xE8re pas de\
            \ serveurs ou d\u2019infrastructures sur site, l\u2019obligation de prendre\
            \ en charge les services publics dans un lieu centralis\xE9 peut \xEA\
            tre rendue inutile. Le travail \xE0 distance introduit intrins\xE8quement\
            \ une diversification g\xE9ographique et infrastructurelle, r\xE9duisant\
            \ ainsi le risque global li\xE9 aux services publics. En r\xE9partissant\
            \ les op\xE9rations sur plusieurs sites, l\u2019organisation b\xE9n\xE9\
            ficie d\u2019une d\xE9pendance d\xE9centralis\xE9e des services publics,\
            \ ce qui am\xE9liore la r\xE9silience face aux perturbations localis\xE9\
            es."
          typical_evidence: "\u2022 Liste des services publics de soutien et r\xE9\
            sultats de l\u2019\xE9valuation des risques associ\xE9s. \n\u2022 Mesures\
            \ de protection contre la d\xE9faillance et l\u2019interruption des services\
            \ publics de soutien."
        es:
          description: "A los efectos del art\xEDculo 21, apartado 2, letra c), de\
            \ la Directiva (UE) 2022/2555, las entidades pertinentes evitar\xE1n las\
            \ p\xE9rdidas, los da\xF1os o riesgos de los sistemas de redes y de informaci\xF3\
            n o la interrupci\xF3n de sus operaciones debido al fallo y la interrupci\xF3\
            n de los servicios p\xFAblicos."
          annotation: "\u2022 Considerar la posibilidad de apoyar a los servicios\
            \ p\xFAblicos, cuando proceda (107), que garanticen el funcionamiento\
            \ continuo de las redes y los sistemas de informaci\xF3n, como (lista\
            \ indicativa y no exhaustiva):\n    o suministro de energ\xEDa: electricidad\
            \ para mantener los sistemas en funcionamiento;\n    o agua para refrigeraci\xF3\
            n y otras necesidades operativas;\n    o gas para calefacci\xF3n o generaci\xF3\
            n de energ\xEDa de respaldo;\n    o HVAC para mantener las condiciones\
            \ \xF3ptimas de funcionamiento;\n    o Telecomunicaciones: Internet y\
            \ conectividad de red. \n\u2022 Incluir en la evaluaci\xF3n de riesgos\
            \ el posible fallo e interrupci\xF3n de los servicios p\xFAblicos de apoyo.\n\
            \n(107) En los casos en que una entidad opere con una fuerza de trabajo\
            \ totalmente remota y no mantenga servidores o infraestructura en las\
            \ instalaciones, el requisito de respaldar los servicios p\xFAblicos en\
            \ una ubicaci\xF3n centralizada puede resultar innecesario. El trabajo\
            \ remoto introduce inherentemente una diversificaci\xF3n geogr\xE1fica\
            \ y de infraestructura, lo que reduce el riesgo general relacionado con\
            \ los servicios p\xFAblicos. Al distribuir las operaciones en varias ubicaciones,\
            \ la organizaci\xF3n se beneficia de una dependencia descentralizada de\
            \ los servicios p\xFAblicos, lo que mejora la resiliencia frente a las\
            \ interrupciones localizadas."
          typical_evidence: "\u2022 Lista de servicios p\xFAblicos de apoyo y resultados\
            \ de la evaluaci\xF3n de riesgos asociados. \n\u2022 Medidas para proteger\
            \ contra la falla y la interrupci\xF3n de los servicios p\xFAblicos de\
            \ apoyo."
        cs:
          description: "Pro \xFA\u010Dely \u010Dl. 21 odst. 2 p\xEDsm. c) sm\u011B\
            rnice (EU) 2022/2555 p\u0159\xEDslu\u0161n\xE9 subjekty zabr\xE1n\xED\
            \ ztr\xE1t\u011B, po\u0161kozen\xED nebo ohro\u017Een\xED s\xEDt\xED a\
            \ informa\u010Dn\xEDch syst\xE9m\u016F nebo p\u0159eru\u0161en\xED jejich\
            \ provozu v d\u016Fsledku selh\xE1n\xED a naru\u0161en\xED podp\u016F\
            rn\xFDch slu\u017Eeb."
          annotation: "\u2022 Zv\xE1\u017Eit podp\u016Frn\xE9 slu\u017Eby, kde je\
            \ to relevantn\xED (107), kter\xE9 zaji\u0161\u0165uj\xED nep\u0159etr\u017E\
            it\xFD provoz s\xED\u0165ov\xFDch a informa\u010Dn\xEDch syst\xE9m\u016F\
            , jako jsou (orienta\u010Dn\xED, ne\xFApln\xFD seznam):\n    o nap\xE1\
            jen\xED \u2013 elekt\u0159ina pro udr\u017Een\xED syst\xE9m\u016F v chodu;\n\
            \    o vodu pro chlazen\xED a dal\u0161\xED provozn\xED pot\u0159eby;\n\
            \    o plyn pro vyt\xE1p\u011Bn\xED nebo z\xE1lo\u017En\xED v\xFDrobu\
            \ energie;\n    o HVAC pro udr\u017Een\xED optim\xE1ln\xEDch provozn\xED\
            ch podm\xEDnek;\n    o telekomunikace \u2013 p\u0159ipojen\xED k internetu\
            \ a s\xEDti. \n\u2022 Zahr\u0148te do hodnocen\xED rizik potenci\xE1ln\xED\
            \ selh\xE1n\xED a naru\u0161en\xED podp\u016Frn\xFDch slu\u017Eeb.\n\n\
            (107) V p\u0159\xEDpadech, kdy subjekt pracuje s pracovn\xEDky pln\u011B\
            \ vzd\xE1len\xFDmi a neudr\u017Euje \u017E\xE1dn\xE9 m\xEDstn\xED servery\
            \ ani infrastrukturu, m\u016F\u017Ee b\xFDt po\u017Eadavek na podporu\
            \ slu\u017Eeb ve\u0159ejn\xFDch slu\u017Eeb v centralizovan\xE9m m\xED\
            st\u011B zbyte\u010Dn\xFD. Pr\xE1ce na d\xE1lku ze sv\xE9 podstaty p\u0159\
            in\xE1\u0161\xED geografickou a infrastrukturn\xED diverzifikaci, \u010D\
            \xEDm\u017E sni\u017Euje celkov\xE9 riziko souvisej\xEDc\xED s komun\xE1\
            ln\xEDmi slu\u017Ebami. D\xEDky distribuci operac\xED na r\u016Fzn\xE1\
            \ m\xEDsta m\u016F\u017Ee organizace t\u011B\u017Eit z decentralizovan\xE9\
            \ z\xE1vislosti na ve\u0159ejn\xFDch slu\u017Eb\xE1ch, co\u017E zvy\u0161\
            uje odolnost proti lokalizovan\xFDm naru\u0161en\xEDm."
          typical_evidence: "\u2022 Seznam podp\u016Frn\xFDch in\u017Een\xFDrsk\xFD\
            ch s\xEDt\xED a souvisej\xEDc\xED v\xFDsledky hodnocen\xED rizik. \n\u2022\
            \ Opat\u0159en\xED na ochranu p\u0159ed selh\xE1n\xEDm a naru\u0161en\xED\
            m podp\u016Frn\xFDch in\u017Een\xFDrsk\xFDch s\xEDt\xED."
        it:
          description: Ai fini dell'articolo 21, paragrafo 2, lettera c), della direttiva
            (UE) 2022/2555, i soggetti pertinenti prevengono la perdita, il danneggiamento
            o la compromissione della rete e dei sistemi informativi o l'interruzione
            delle loro operazioni a causa di guasti e perturbazioni delle utenze di
            supporto.
          annotation: "\u2022 Prendere in considerazione la possibilit\xE0 di sostenere\
            \ le utility, se del caso (107), che garantiscono il funzionamento continuo\
            \ delle reti e dei sistemi informativi, come (elenco indicativo e non\
            \ esaustivo):\n    o Alimentazione elettrica: elettricit\xE0 per mantenere\
            \ in funzione i sistemi;\n    o acqua per il raffreddamento e altre esigenze\
            \ operative;\n    o gas per il riscaldamento o la produzione di energia\
            \ di riserva;\n    o HVAC per mantenere condizioni operative ottimali;\n\
            \    o Telecomunicazioni \u2013 Internet e connettivit\xE0 di rete. \n\
            \u2022 Includere nella valutazione del rischio il potenziale guasto e\
            \ l'interruzione delle utenze di supporto.\n\n(107) Nei casi in cui un'entit\xE0\
            \ operi con una forza lavoro completamente remota e non mantenga server\
            \ o infrastrutture locali, l'obbligo di supportare i servizi di pubblica\
            \ utilit\xE0 in una sede centralizzata pu\xF2 essere reso superfluo. Il\
            \ lavoro a distanza introduce intrinsecamente una diversificazione geografica\
            \ e infrastrutturale, riducendo cos\xEC il rischio complessivo legato\
            \ alle utenze. Distribuendo le operazioni in varie sedi, l'organizzazione\
            \ beneficia di una dipendenza decentralizzata dalle utenze, che migliora\
            \ la resilienza contro le interruzioni localizzate."
          typical_evidence: "\u2022 Elenco delle utility di supporto e dei relativi\
            \ risultati della valutazione del rischio. \n\u2022 Misure di protezione\
            \ contro i guasti e le interruzioni delle utenze di supporto."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:13.1.2
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:13.1
      ref_id: 13.1.2
      description: 'For that purpose, the relevant entities shall, where appropriate:'
      annotation: "\u2022 Consider the availability of supporting utilities in the\
        \ business continuity plan (section 4.1). \n\u2022 Consider the availability\
        \ of supporting utilities, when implementing backup management (section 4.2).\
        \ \n\u2022 Consider implementing measures for the protection of supporting\
        \ utilities, such as (indicative, non- exhaustive list):\n    o active/passive\
        \ cooling;\n    o automatic restart after power interruption;\n    o battery\
        \ backup power;\n    o diesel generators;\n    o backup fuel;\n    o uninterruptable\
        \ power supply, hot standby power generators;\n    o sufficient fuel delivery\
        \ SLA;\n    o delivery companies;\n    o redundant cooling;\n    o spare parts\
        \ for components of network and information systems; and\n    o power backup\
        \ systems."
      typical_evidence: "\u2022 Description of different types of supporting utilities.\
        \ \n\u2022 Measures to protect against the failure and disruption of supporting\
        \ utilities."
      translations:
        fr:
          description: "\xC0 cette fin, les entit\xE9s concern\xE9es, s\u2019il est\
            \ besoin:"
          annotation: "\u2022 Tenir compte de la disponibilit\xE9 des services publics\
            \ de soutien dans le plan de continuit\xE9 des activit\xE9s (section 4.1).\
            \ \n\u2022 Tenir compte de la disponibilit\xE9 des services publics de\
            \ soutien lors de la mise en \u0153uvre de la gestion des sauvegardes\
            \ (section 4.2). \n\u2022 Envisager de mettre en \u0153uvre des mesures\
            \ de protection des services publics de soutien, telles que (liste indicative,\
            \ non exhaustive) :\n    o refroidissement actif/passif ;\n    o red\xE9\
            marrage automatique apr\xE8s une coupure de courant ;\n    o Alimentation\
            \ de secours de la batterie ;\n    o g\xE9n\xE9rateurs diesel ;\n    o\
            \ carburant de secours ;\n    o alimentation sans coupure, groupes \xE9\
            lectrog\xE8nes de secours \xE0 chaud\_;\n    o un SLA de livraison de\
            \ carburant suffisant ;\n    o les soci\xE9t\xE9s de livraison ;\n   \
            \ o refroidissement redondant ;\n    o pi\xE8ces de rechange pour les\
            \ composants de r\xE9seaux et de syst\xE8mes d\u2019information ; et\n\
            \    o Syst\xE8mes d\u2019alimentation de secours."
          typical_evidence: "\u2022 Description des diff\xE9rents types d\u2019utilit\xE9\
            s de support. \n\u2022 Mesures de protection contre la d\xE9faillance\
            \ et l\u2019interruption des services publics de soutien."
        es:
          description: 'A tal efecto, cuando proceda, las entidades pertinentes:'
          annotation: "\u2022 Considerar la disponibilidad de servicios p\xFAblicos\
            \ de apoyo en el plan de continuidad del negocio (secci\xF3n 4.1). \n\u2022\
            \ Tenga en cuenta la disponibilidad de servicios p\xFAblicos de apoyo\
            \ al implementar la gesti\xF3n de copias de seguridad (secci\xF3n 4.2).\
            \ \n\u2022 Considerar la posibilidad de aplicar medidas para la protecci\xF3\
            n de los servicios p\xFAblicos de apoyo, tales como (lista indicativa\
            \ y no exhaustiva):\n    o refrigeraci\xF3n activa/pasiva;\n    o reinicio\
            \ autom\xE1tico despu\xE9s de una interrupci\xF3n del suministro el\xE9\
            ctrico;\n    o energ\xEDa de respaldo de la bater\xEDa;\n    o generadores\
            \ diesel;\n    o combustible de reserva;\n    o sistema de alimentaci\xF3\
            n ininterrumpida, generadores de energ\xEDa de reserva en caliente;\n\
            \    o SLA de suministro de combustible suficiente;\n    o empresas de\
            \ entrega;\n    o refrigeraci\xF3n redundante;\n    o piezas de repuesto\
            \ para componentes de redes y sistemas de informaci\xF3n; y\n    o Sistemas\
            \ de respaldo de energ\xEDa."
          typical_evidence: "\u2022 Descripci\xF3n de los diferentes tipos de servicios\
            \ p\xFAblicos de apoyo. \n\u2022 Medidas para proteger contra la falla\
            \ y la interrupci\xF3n de los servicios p\xFAblicos de apoyo."
        cs:
          description: "Za t\xEDmto \xFA\u010Delem p\u0159\xEDslu\u0161n\xE9 subjekty\
            \ v p\u0159\xEDpad\u011B pot\u0159eby:"
          annotation: "\u2022 Zva\u017Ete dostupnost podp\u016Frn\xFDch slu\u017E\
            eb v pl\xE1nu kontinuity podnik\xE1n\xED (\u010D\xE1st 4.1). \n\u2022\
            \ P\u0159i implementaci spr\xE1vy z\xE1lohov\xE1n\xED zva\u017Ete dostupnost\
            \ podp\u016Frn\xFDch n\xE1stroj\u016F (\u010D\xE1st 4.2). \n\u2022 Zva\u017E\
            te zaveden\xED opat\u0159en\xED na ochranu podp\u016Frn\xFDch ve\u0159\
            ejn\xFDch slu\u017Eeb, jako je (orienta\u010Dn\xED, ne\xFApln\xFD seznam):\n\
            \    o aktivn\xED/pasivn\xED chlazen\xED;\n    o automatick\xFD restart\
            \ po p\u0159eru\u0161en\xED nap\xE1jen\xED;\n    o z\xE1lo\u017En\xED\
            \ nap\xE1jen\xED z baterie;\n    o dieselov\xE9 gener\xE1tory;\n    o\
            \ z\xE1lo\u017En\xED palivo;\n    o nep\u0159eru\u0161iteln\xFD zdroj\
            \ nap\xE1jen\xED, gener\xE1tory energie v hork\xE9m pohotovostn\xEDm re\u017E\
            imu;\n    o dostate\u010Dn\xE1 dod\xE1vka paliva SLA;\n    o doru\u010D\
            ovac\xED spole\u010Dnosti;\n    o nadbyte\u010Dn\xE9 chlazen\xED;\n  \
            \  o n\xE1hradn\xED d\xEDly pro komponenty s\xEDt\xED a informa\u010D\
            n\xEDch syst\xE9m\u016F; a\n    o z\xE1lo\u017En\xED syst\xE9my."
          typical_evidence: "\u2022 Popis r\u016Fzn\xFDch typ\u016F podp\u016Frn\xFD\
            ch n\xE1stroj\u016F. \n\u2022 Opat\u0159en\xED na ochranu p\u0159ed selh\xE1\
            n\xEDm a naru\u0161en\xEDm podp\u016Frn\xFDch in\u017Een\xFDrsk\xFDch\
            \ s\xEDt\xED."
        it:
          description: 'A tal fine, i soggetti interessati, se del caso:'
          annotation: "\u2022 Considerare la disponibilit\xE0 di utenze di supporto\
            \ nel piano di continuit\xE0 operativa (sezione 4.1). \n\u2022 Considerare\
            \ la disponibilit\xE0 di utilit\xE0 di supporto, quando si implementa\
            \ la gestione del backup (sezione 4.2). \n\u2022 Prendere in considerazione\
            \ l'attuazione di misure per la protezione delle utenze di supporto, quali\
            \ (elenco indicativo, non esaustivo):\n    o raffreddamento attivo/passivo;\n\
            \    o riavvio automatico dopo un'interruzione di corrente;\n    o alimentazione\
            \ di backup della batteria;\n    o generatori diesel;\n    o combustibile\
            \ di riserva;\n    o gruppi di continuit\xE0, generatori di corrente a\
            \ caldo;\n    o SLA di erogazione di carburante sufficiente;\n    o societ\xE0\
            \ di consegna;\n    o raffreddamento ridondante;\n    o parti di ricambio\
            \ per componenti di reti e sistemi informativi; e\n    o sistemi di backup\
            \ dell'alimentazione."
          typical_evidence: "\u2022 Descrizione dei diversi tipi di utenze di supporto.\
            \ \n\u2022 Misure di protezione contro i guasti e le interruzioni delle\
            \ utenze di supporto."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:13.1.2.a
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:13.1.2
      ref_id: 13.1.2.a
      description: protect facilities from power failures and other disruptions caused
        by failures in supporting utilities such as electricity, telecommunications,
        water supply, gas, sewage, ventilation and air conditioning;
      translations:
        fr:
          description: "prot\xE8gent les installations contre les pannes d\u2019\xE9\
            lectricit\xE9 et autres perturbations caus\xE9es par des d\xE9faillances\
            \ des services d\u2019utilit\xE9 publique tels que l\u2019\xE9lectricit\xE9\
            , les t\xE9l\xE9communications, l\u2019approvisionnement en eau ou en\
            \ gaz, l\u2019\xE9vacuation des eaux us\xE9es, la ventilation et la climatisation;"
        es:
          description: "proteger\xE1n las instalaciones de los fallos el\xE9ctricos\
            \ y de otras alteraciones causadas por fallos en servicios p\xFAblicos\
            \ como la electricidad, las telecomunicaciones, el suministro de agua,\
            \ el gas, las aguas residuales, la ventilaci\xF3n o el aire acondicionado;"
        cs:
          description: "chr\xE1n\xED za\u0159\xEDzen\xED p\u0159ed v\xFDpadky nap\xE1\
            jen\xED a dal\u0161\xEDmi naru\u0161en\xEDmi zp\u016Fsoben\xFDmi v\xFD\
            padky podp\u016Frn\xFDch slu\u017Eeb, jako jsou elekt\u0159ina, telekomunikace,\
            \ dod\xE1vky vody, plynu, kanalizace, ventilace a klimatizace;"
        it:
          description: "proteggere le strutture da interruzioni di corrente e altre\
            \ interruzioni causate da guasti nelle utenze di supporto come elettricit\xE0\
            , telecomunicazioni, approvvigionamento idrico, gas, fognature, ventilazione\
            \ e aria condizionata;"
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:13.1.2.b
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:13.1.2
      ref_id: 13.1.2.b
      description: consider the use of redundancy in utilities services;
      translations:
        fr:
          description: "envisagent le recours \xE0 la redondance dans les services\
            \ d\u2019utilit\xE9 publique;"
        es:
          description: "considerar\xE1n la utilizaci\xF3n de redundancias en los servicios\
            \ de utilidad p\xFAblica;"
        cs:
          description: "zv\xE1\u017E\xED vyu\u017Eit\xED redundance v oblasti ve\u0159\
            ejn\xFDch slu\u017Eeb;"
        it:
          description: "prendere in considerazione l'uso della ridondanza nei servizi\
            \ di pubblica utilit\xE0;"
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:13.1.2.c
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:13.1.2
      ref_id: 13.1.2.c
      description: protect utility services for electricity and telecommunications,
        which transport data or supply network and information systems, against interception
        and damage;
      translations:
        fr:
          description: "prot\xE8gent les services d\u2019utilit\xE9 publique li\xE9\
            s \xE0 l\u2019\xE9lectricit\xE9 et aux t\xE9l\xE9communications, qui transportent\
            \ des donn\xE9es ou fournissent des r\xE9seaux et des syst\xE8mes d\u2019\
            information, contre les interceptions et les d\xE9t\xE9riorations;"
        es:
          description: "proteger\xE1n los servicios p\xFAblicos de electricidad y\
            \ telecomunicaciones, que transportan datos u ofrecen sistemas de redes\
            \ y de informaci\xF3n, frente a la interceptaci\xF3n y los da\xF1os;"
        cs:
          description: "chr\xE1n\xED slu\u017Eby v oblasti elekt\u0159iny a telekomunikac\xED\
            , kter\xE9 p\u0159en\xE1\u0161ej\xED data nebo z\xE1sobuj\xED s\xEDt\u011B\
            \ a informa\u010Dn\xED syst\xE9my, proti p\u0159eru\u0161en\xED a po\u0161\
            kozen\xED;"
        it:
          description: "proteggere i servizi di pubblica utilit\xE0 per l'energia\
            \ elettrica e le telecomunicazioni, che trasportano dati o alimentano\
            \ reti e sistemi informativi, da intercettazioni e danni;"
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:13.1.2.d
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:13.1.2
      ref_id: 13.1.2.d
      description: monitor the utility services referred to in point (c) and report
        to the competent internal or external personnel events outside the minimum
        and maximum control thresholds referred to in point 13.2.2(b) affecting the
        utility services;
      translations:
        fr:
          description: "surveillent les services d\u2019utilit\xE9 publique vis\xE9\
            s au point c) et signalent aux membres comp\xE9tents du personnel interne\
            \ ou externe les \xE9v\xE9nements qui se situent au-dessous et au-dessus\
            \ des seuils de contr\xF4le minimaux et maximaux vis\xE9s au point 13.2.2\
            \ b) et qui ont un impact sur les services d\u2019utilit\xE9 publique;"
        es:
          description: "supervisar\xE1n los servicios p\xFAblicos contemplados en\
            \ la letra c) e informar\xE1n al personal interno o externo competente\
            \ de los sucesos que tengan lugar m\xE1s all\xE1 de los umbrales m\xED\
            nimo y m\xE1ximo de control a que se refiere el punto 13.2.2, letra b),\
            \ que afecten a los servicios de utilidad p\xFAblica;"
        cs:
          description: "sleduje slu\u017Eby uveden\xE9 v p\xEDsmenu c) a oznamuje\
            \ p\u0159\xEDslu\u0161n\xFDm intern\xEDm nebo extern\xEDm pracovn\xED\
            k\u016Fm ud\xE1losti, kter\xE9 p\u0159ekra\u010Duj\xED minim\xE1ln\xED\
            \ a maxim\xE1ln\xED prahov\xE9 hodnoty kontroly uveden\xE9 v bod\u011B\
            \ 13.2.2 p\xEDsm. b) a kter\xE9 ovliv\u0148uj\xED tyto slu\u017Eby;"
        it:
          description: "monitorare i servizi di pubblica utilit\xE0 di cui alla lettera\
            \ c) e segnalare al personale interno o esterno competente eventi al di\
            \ fuori delle soglie minime e massime di controllo di cui al punto 13.2.2,\
            \ lettera b), che interessano i servizi di pubblica utilit\xE0;"
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:13.1.2.e
      assessable: false
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:13.1.2
      ref_id: 13.1.2.e
      description: conclude contracts for the emergency supply with corresponding
        services, such as for the fuel for emergency power supply;
      translations:
        fr:
          description: "concluent des contrats d\u2019alimentation d\u2019urgence\
            \ avec les services correspondants, par exemple pour le carburant destin\xE9\
            \ \xE0 l\u2019alimentation \xE9lectrique de secours;"
        es:
          description: "concluir\xE1n contratos para el suministro de emergencia con\
            \ los servicios correspondientes, tales como el combustible para el suministro\
            \ el\xE9ctrico de emergencia;"
        cs:
          description: "uzav\xEDraj\xED smlouvy na nouzov\xE9 dod\xE1vky s odpov\xED\
            daj\xEDc\xEDmi slu\u017Ebami, nap\u0159\xEDklad pokud jde o pohonn\xE9\
            \ hmoty pro nouzov\xE9 z\xE1sobov\xE1n\xED elekt\u0159inou;"
        it:
          description: concludere contratti per l'alimentazione di emergenza con i
            servizi corrispondenti, ad esempio per il combustibile per l'alimentazione
            di emergenza;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:13.1.2.f
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:13.1.2
      ref_id: 13.1.2.f
      description: ensure continuous effectiveness, monitor, maintain and test the
        supply of the network and information systems necessary for the operation
        of the service offered, in particular the electricity, temperature and humidity
        control, telecommunications and Internet connection.
      translations:
        fr:
          description: "veillent \xE0 l\u2019efficacit\xE9 ininterrompue, surveillent,\
            \ entretiennent et testent l\u2019alimentation du r\xE9seau et des syst\xE8\
            mes d\u2019information n\xE9cessaires au fonctionnement du service propos\xE9\
            , en particulier le contr\xF4le de l\u2019\xE9lectricit\xE9, de la temp\xE9\
            rature et de l\u2019humidit\xE9, les t\xE9l\xE9communications et la connexion\
            \ internet."
        es:
          description: "Garantizar\xE1n la eficacia continua, supervisar\xE1n, mantendr\xE1\
            n y probar\xE1n el suministro de los sistemas de redes y de informaci\xF3\
            n necesarios para el funcionamiento del servicio ofrecido, especialmente\
            \ la electricidad, el control de la temperatura y la humedad, las telecomunicaciones\
            \ y la conexi\xF3n a Internet."
        cs:
          description: "zaji\u0161\u0165uj\xED trvalou \xFA\u010Dinnost, sleduj\xED\
            , udr\u017Euj\xED a testuj\xED dod\xE1vky pro s\xEDt\u011B a informa\u010D\
            n\xED syst\xE9my nezbytn\xE9 pro provoz nab\xEDzen\xE9 slu\u017Eby, zejm\xE9\
            na v oblasti elektrick\xE9 energie, regulace teploty a vlhkosti, telekomunikac\xED\
            \ a internetov\xE9ho p\u0159ipojen\xED."
        it:
          description: "garantire l'efficacia continua, monitorare, mantenere e testare\
            \ l'alimentazione della rete e dei sistemi informativi necessari per il\
            \ funzionamento del servizio offerto, in particolare l'elettricit\xE0\
            , il controllo della temperatura e dell'umidit\xE0, le telecomunicazioni\
            \ e la connessione a Internet."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:13.1.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:13.1
      ref_id: 13.1.3
      description: The relevant entities shall test, review and, where appropriate,
        update the protection measures on a regular basis or following significant
        incidents or significant changes to operations or risks.
      annotation: "\u2022 Conduct routine tests of protection measures. \n\u2022 Set\
        \ up periodic reviews to evaluate the effectiveness of current protection\
        \ measures.\n\n[TIPS]\n\n\u2022 Include a simulated total power failure in\
        \ the verification of the testing procedure for power generators. \n\u2022\
        \ Make employees aware of dependencies on supporting utilities. \n\u2022 Train\
        \ staff in how to respond effectively to failures and disruptions of supporting\
        \ utilities. \n\u2022 Set up monitoring systems to detect utility failures\
        \ or disruptions."
      typical_evidence: "\u2022 Updated measures to protect against the failure and\
        \ disruption of supporting utilities, review comments and/or change logs.\
        \ \n\u2022 Evidence that the measures that protect supporting utilities against\
        \ failures and disruptions are deployed and regularly tested.\n\n[TIPS]\n\n\
        \u2022 Records of internal communications, emails or newsletters highlighting\
        \ the importance of supporting utilities and their impact on operations. \
        \  \n\u2022 Logs demonstrating detection and recording of any utility failures\
        \ or disruptions."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es testent, r\xE9examinent et, s\u2019\
            il est besoin, mettent \xE0 jour les mesures de protection de fa\xE7on\
            \ r\xE9guli\xE8re, \xE0 la suite d\u2019incidents importants ou lorsque\
            \ des changements majeurs concernant les op\xE9rations ou les risques\
            \ se produisent."
          annotation: "\u2022 Effectuer des tests r\xE9guliers des mesures de protection.\
            \ \n\u2022 Mettre en place des examens p\xE9riodiques pour \xE9valuer\
            \ l\u2019efficacit\xE9 des mesures de protection actuelles.\n\n[CONSEILS]\n\
            \n\u2022 Inclure une panne totale de courant simul\xE9e dans la v\xE9\
            rification de la proc\xE9dure d\u2019essai des groupes \xE9lectrog\xE8\
            nes. \n\u2022 Sensibiliser les employ\xE9s aux d\xE9pendances vis-\xE0\
            -vis des services publics. \n\u2022 Former le personnel sur la fa\xE7\
            on de r\xE9agir efficacement aux pannes et aux interruptions des services\
            \ publics de soutien. \n\u2022 Mettre en place des syst\xE8mes de surveillance\
            \ pour d\xE9tecter les pannes ou les interruptions de services publics."
          typical_evidence: "\u2022 Mise \xE0 jour des mesures de protection contre\
            \ la d\xE9faillance et l\u2019interruption des services publics, des commentaires\
            \ d\u2019examen et/ou des journaux de modifications. \n\u2022 La preuve\
            \ que les mesures de protection des services publics de soutien contre\
            \ les pannes et les perturbations sont d\xE9ploy\xE9es et r\xE9guli\xE8\
            rement test\xE9es.\n\n[CONSEILS]\n\n\u2022 Enregistrements de communications\
            \ internes, de courriels ou de bulletins d\u2019information soulignant\
            \ l\u2019importance de soutenir les services publics et leur impact sur\
            \ les op\xE9rations.   \n\u2022 Registres d\xE9montrant la d\xE9tection\
            \ et l\u2019enregistrement de toute d\xE9faillance ou interruption des\
            \ services publics."
        es:
          description: "Las entidades pertinentes comprobar\xE1n, revisar\xE1n y,\
            \ cuando proceda, actualizar\xE1n las medidas de protecci\xF3n de forma\
            \ peri\xF3dica o despu\xE9s de incidentes significativos o cambios significativos\
            \ en las operaciones o los riesgos."
          annotation: "\u2022 Realizar pruebas rutinarias de las medidas de protecci\xF3\
            n. \n\u2022 Establecer revisiones peri\xF3dicas para evaluar la efectividad\
            \ de las medidas de protecci\xF3n vigentes.\n\n[CONSEJOS]\n\n\u2022 Incluir\
            \ una falla total de energ\xEDa simulada en la verificaci\xF3n del procedimiento\
            \ de prueba para generadores de energ\xEDa. \n\u2022 Hacer que los empleados\
            \ sean conscientes de las dependencias de los servicios p\xFAblicos de\
            \ apoyo. \n\u2022 Capacitar al personal sobre c\xF3mo responder de manera\
            \ efectiva a las fallas e interrupciones de los servicios p\xFAblicos\
            \ de apoyo. \n\u2022 Establecer sistemas de monitoreo para detectar fallas\
            \ o interrupciones de los servicios p\xFAblicos."
          typical_evidence: "\u2022 Medidas actualizadas para proteger contra la falla\
            \ e interrupci\xF3n de los servicios p\xFAblicos de soporte, revisar comentarios\
            \ y / o registros de cambios. \n\u2022 Evidencia de que las medidas que\
            \ protegen a las empresas de servicios p\xFAblicos de apoyo contra fallas\
            \ e interrupciones se implementan y prueban peri\xF3dicamente.\n\n[CONSEJOS]\n\
            \n\u2022 Registros de comunicaciones internas, correos electr\xF3nicos\
            \ o boletines informativos que destaquen la importancia de apoyar a las\
            \ empresas de servicios p\xFAblicos y su impacto en las operaciones. \
            \  \n\u2022 Registros que demuestran la detecci\xF3n y el registro de\
            \ cualquier falla o interrupci\xF3n de los servicios p\xFAblicos."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty pravideln\u011B nebo po\
            \ v\xFDznamn\xFDch incidentech nebo v\xFDznamn\xFDch zm\u011Bn\xE1ch operac\xED\
            \ \u010Di rizik tato ochrann\xE1 opat\u0159en\xED testuj\xED, p\u0159\
            ezkoum\xE1vaj\xED a v p\u0159\xEDpad\u011B pot\u0159eby aktualizuj\xED\
            ."
          annotation: "\u2022 Prov\xE1d\u011Bt rutinn\xED testy ochrann\xFDch opat\u0159\
            en\xED. \n\u2022 Nastavit pravideln\xE9 p\u0159ezkumy k vyhodnocen\xED\
            \ \xFA\u010Dinnosti sou\u010Dasn\xFDch ochrann\xFDch opat\u0159en\xED\
            .\n\n[TIPY]\n\n\u2022 Zahrnout simulovan\xFD \xFApln\xFD v\xFDpadek nap\xE1\
            jen\xED do ov\u011B\u0159en\xED zku\u0161ebn\xEDho postupu pro gener\xE1\
            tory energie. \n\u2022 Upozorn\u011Bte zam\u011Bstnance na z\xE1vislost\
            \ na podp\u016Frn\xFDch slu\u017Eb\xE1ch. \n\u2022 Vy\u0161kolit person\xE1\
            l v tom, jak efektivn\u011B reagovat na poruchy a naru\u0161en\xED podp\u016F\
            rn\xFDch slu\u017Eeb. \n\u2022 Nastavte monitorovac\xED syst\xE9my pro\
            \ detekci selh\xE1n\xED nebo naru\u0161en\xED ve\u0159ejn\xFDch slu\u017E\
            eb."
          typical_evidence: "\u2022 Aktualizovan\xE1 opat\u0159en\xED na ochranu p\u0159\
            ed selh\xE1n\xEDm a naru\u0161en\xEDm podp\u016Frn\xFDch in\u017Een\xFD\
            rsk\xFDch s\xEDt\xED, kontrola koment\xE1\u0159\u016F a/nebo protokol\u016F\
            \ zm\u011Bn. \n\u2022 D\u016Fkaz, \u017Ee opat\u0159en\xED, kter\xE1 chr\xE1\
            n\xED podp\u016Frn\xE9 spole\u010Dnosti p\u0159ed selh\xE1n\xEDm a naru\u0161\
            en\xEDm, jsou nasazena a pravideln\u011B testov\xE1na.\n\n[TIPY]\n\n\u2022\
            \ Z\xE1znamy intern\xED komunikace, e-mail\u016F nebo newsletter\u016F\
            \ zd\u016Fraz\u0148uj\xEDc\xEDch d\u016Fle\u017Eitost podpory ve\u0159\
            ejn\xFDch slu\u017Eeb a jejich dopad na provoz.   \n\u2022 Protokoly prokazuj\xED\
            c\xED detekci a zaznamen\xE1v\xE1n\xED jak\xFDchkoli selh\xE1n\xED nebo\
            \ naru\u0161en\xED ve\u0159ejn\xFDch slu\u017Eeb."
        it:
          description: I soggetti pertinenti testano, riesaminano e, se del caso,
            aggiornano le misure di protezione su base periodica o a seguito di incidenti
            significativi o modifiche significative delle operazioni o dei rischi.
          annotation: "\u2022 Condurre test di routine delle misure di protezione.\
            \ \n\u2022 Istituire revisioni periodiche per valutare l'efficacia delle\
            \ attuali misure di protezione.\n\n[CONSIGLI]\n\n\u2022 Includere un'interruzione\
            \ di corrente totale simulata nella verifica della procedura di prova\
            \ per i generatori di corrente. \n\u2022 Rendere i dipendenti consapevoli\
            \ delle dipendenze dalle utenze di supporto. \n\u2022 Formare il personale\
            \ su come rispondere in modo efficace ai guasti e alle interruzioni delle\
            \ utenze di supporto. \n\u2022 Impostare sistemi di monitoraggio per rilevare\
            \ guasti o interruzioni delle utenze."
          typical_evidence: "\u2022 Misure aggiornate per la protezione contro il\
            \ guasto e l'interruzione delle utenze di supporto, revisione dei commenti\
            \ e/o dei registri delle modifiche. \n\u2022 Prove che le misure che proteggono\
            \ le utility di supporto da guasti e interruzioni sono implementate e\
            \ regolarmente testate.\n\n[CONSIGLI]\n\n\u2022 Registrazioni di comunicazioni\
            \ interne, e-mail o newsletter che evidenziano l'importanza di supportare\
            \ le utility e il loro impatto sulle operazioni.   \n\u2022 Registri che\
            \ dimostrano il rilevamento e la registrazione di eventuali guasti o interruzioni\
            \ delle utenze."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:13.2
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:13
      ref_id: '13.2'
      name: Protection against physical and environmental threats
      translations:
        fr:
          name: Protection contre les menaces physiques et environnementales
        es:
          name: "Protecci\xF3n contra las amenazas f\xEDsicas y medioambientales"
        cs:
          name: "Ochrana p\u0159ed fyzick\xFDmi a environment\xE1ln\xEDmi hrozbami"
        it:
          name: Protezione contro le minacce fisiche e ambientali
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:13.2.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:13.2
      ref_id: 13.2.1
      description: For the purpose of Article 21(2)(e) of Directive (EU) 2022/2555,
        the relevant entities shall prevent or reduce the consequences of events originating
        from physical and environmental threats, such as natural disasters and other
        intentional or unintentional threats, based on the results of the risk assessment
        carried out pursuant to point 2.1.
      annotation: "\u2022 Consider risks associated with current and forecasted physical\
        \ and environmental threats to the network and information systems, where\
        \ relevant (108).\n    o Include in the assessment the (physical) locations\
        \ of the entity\u2019s facilities. \n\u2022 Based on the results of the risk\
        \ assessment determine the assets that need to be protected from physical\
        \ and environmental threats.\n\n(108) Where a company operates with a fully\
        \ remote workforce and lacks centralized on-premises infrastructure, traditional\
        \ physical and environmental threat protections at a single location may be\
        \ less critical. The distributed nature of remote work inherently provides\
        \ resilience by diversifying exposure to localized physical and environmental\
        \ risks. Consequently organizations should focus on ensuring that remote employees\u2019\
        \ home work environments meet minimum security and safety standards and consider\
        \ leveraging cloud service providers\u2019 robust physical security controls.\
        \ This distributed operational model reduces dependency on any single physical\
        \ site, thereby mitigating the impact of localized environmental or physical\
        \ incidents."
      typical_evidence: "\u2022 Risk assessment report that includes:\n    o identification\
        \ and evaluation of physical locations, such as data centres, offices and\
        \ server rooms, o analysis of potential physical and environmental threats\
        \ and o mapping of critical assets to physical locations."
      translations:
        fr:
          description: "Aux fins de l\u2019article 21, paragraphe 2, point e), de\
            \ la directive (UE) 2022/2555, les entit\xE9s concern\xE9es pr\xE9viennent\
            \ ou r\xE9duisent les cons\xE9quences d\u2019\xE9v\xE9nements r\xE9sultant\
            \ de menaces physiques et environnementales, telles que les catastrophes\
            \ naturelles et d\u2019autres menaces intentionnelles ou non intentionnelles,\
            \ sur la base des r\xE9sultats de l\u2019\xE9valuation des risques effectu\xE9\
            e conform\xE9ment au point 2.1."
          annotation: "\u2022 Examiner les risques associ\xE9s aux menaces physiques\
            \ et environnementales actuelles et pr\xE9vues pour le r\xE9seau et les\
            \ syst\xE8mes d\u2019information, le cas \xE9ch\xE9ant (108).\n    o Inclure\
            \ dans l\u2019\xE9valuation les emplacements (physiques) des installations\
            \ de l\u2019entit\xE9. \n\u2022 Sur la base des r\xE9sultats de l\u2019\
            \xE9valuation des risques, d\xE9terminer les actifs qui doivent \xEAtre\
            \ prot\xE9g\xE9s contre les menaces physiques et environnementales.\n\n\
            (108) Lorsqu\u2019une entreprise travaille avec une main-d\u2019\u0153\
            uvre enti\xE8rement \xE0 distance et qu\u2019elle ne dispose pas d\u2019\
            une infrastructure centralis\xE9e sur site, les protections traditionnelles\
            \ contre les menaces physiques et environnementales en un seul endroit\
            \ peuvent \xEAtre moins critiques. La nature distribu\xE9e du travail\
            \ \xE0 distance est intrins\xE8quement r\xE9siliente en diversifiant l\u2019\
            exposition aux risques physiques et environnementaux localis\xE9s. Par\
            \ cons\xE9quent, les organisations doivent s\u2019assurer que les environnements\
            \ de travail \xE0 domicile des employ\xE9s \xE0 distance r\xE9pondent\
            \ aux normes minimales de s\xE9curit\xE9 et de s\xFBret\xE9, et envisager\
            \ de tirer parti des contr\xF4les de s\xE9curit\xE9 physique robustes\
            \ des fournisseurs de services cloud. Ce mod\xE8le op\xE9rationnel distribu\xE9\
            \ r\xE9duit la d\xE9pendance \xE0 l\u2019\xE9gard d\u2019un seul site\
            \ physique, att\xE9nuant ainsi l\u2019impact d\u2019incidents environnementaux\
            \ ou physiques localis\xE9s."
          typical_evidence: "\u2022 Rapport d\u2019\xE9valuation des risques qui comprend\
            \ :\n    o l\u2019identification et l\u2019\xE9valuation d\u2019emplacements\
            \ physiques, tels que les centres de donn\xE9es, les bureaux et les salles\
            \ de serveurs, o l\u2019analyse des menaces physiques et environnementales\
            \ potentielles et o la cartographie des actifs critiques aux emplacements\
            \ physiques."
        es:
          description: "A los efectos del art\xEDculo 21, apartado 2, letra e), de\
            \ la Directiva (UE) 2022/2555, las entidades pertinentes evitar\xE1n o\
            \ reducir\xE1n las consecuencias de los sucesos que tengan lugar a causa\
            \ de amenazas f\xEDsicas y medioambientales, como las cat\xE1strofes naturales\
            \ y otras amenazas intencionadas o inintencionadas, a partir de los resultados\
            \ de la evaluaci\xF3n de riesgos realizada de conformidad con el punto\
            \ 2.1."
          annotation: "\u2022 Considerar los riesgos asociados con las amenazas f\xED\
            sicas y ambientales actuales y previstas para la red y los sistemas de\
            \ informaci\xF3n, cuando proceda (108).\n    o Incluir en la evaluaci\xF3\
            n las ubicaciones (f\xEDsicas) de las instalaciones de la entidad. \n\u2022\
            \ Con base en los resultados de la evaluaci\xF3n de riesgos, determine\
            \ los activos que deben protegerse de las amenazas f\xEDsicas y ambientales.\n\
            \n(108) Cuando una empresa opera con una fuerza de trabajo totalmente\
            \ remota y carece de una infraestructura centralizada en las instalaciones,\
            \ las protecciones tradicionales contra las amenazas f\xEDsicas y ambientales\
            \ en un solo lugar pueden ser menos cr\xEDticas. La naturaleza distribuida\
            \ del trabajo remoto proporciona inherentemente resiliencia al diversificar\
            \ la exposici\xF3n a riesgos f\xEDsicos y ambientales localizados. En\
            \ consecuencia, las organizaciones deben centrarse en garantizar que los\
            \ entornos de trabajo desde casa de los empleados remotos cumplan con\
            \ los est\xE1ndares m\xEDnimos de seguridad y consideren aprovechar los\
            \ s\xF3lidos controles de seguridad f\xEDsica de los proveedores de servicios\
            \ en la nube. Este modelo operativo distribuido reduce la dependencia\
            \ de cualquier sitio f\xEDsico \xFAnico, mitigando as\xED el impacto de\
            \ incidentes ambientales o f\xEDsicos localizados."
          typical_evidence: "\u2022 Informe de evaluaci\xF3n de riesgos que incluya:\n\
            \    o Identificaci\xF3n y evaluaci\xF3n de ubicaciones f\xEDsicas, como\
            \ centros de datos, oficinas y salas de servidores, o An\xE1lisis de posibles\
            \ amenazas f\xEDsicas y ambientales y o Mapeo de activos cr\xEDticos a\
            \ ubicaciones f\xEDsicas."
        cs:
          description: "Pro \xFA\u010Dely \u010Dl. 21 odst. 2 p\xEDsm. e) sm\u011B\
            rnice (EU) 2022/2555 p\u0159\xEDslu\u0161n\xE9 subjekty na z\xE1klad\u011B\
            \ v\xFDsledk\u016F posouzen\xED rizik proveden\xE9ho podle bodu 2.1 p\u0159\
            edch\xE1zej\xED n\xE1sledk\u016Fm ud\xE1lost\xED, kter\xE9 maj\xED p\u016F\
            vod ve fyzick\xFDch a environment\xE1ln\xEDch hrozb\xE1ch, jako jsou p\u0159\
            \xEDrodn\xED katastrofy a jin\xE9 \xFAmysln\xE9 nebo ne\xFAmysln\xE9 hrozby,\
            \ nebo n\xE1sledky t\u011Bchto ud\xE1lost\xED omezuj\xED."
          annotation: "\u2022 v p\u0159\xEDslu\u0161n\xFDch p\u0159\xEDpadech zv\xE1\
            \u017Eit rizika spojen\xE1 se sou\u010Dasn\xFDmi a p\u0159edpokl\xE1dan\xFD\
            mi fyzick\xFDmi a environment\xE1ln\xEDmi hrozbami pro s\xEDt\u011B a\
            \ informa\u010Dn\xED syst\xE9my (108).\n    o Zahrnout do posouzen\xED\
            \ (fyzick\xE9) um\xEDst\u011Bn\xED za\u0159\xEDzen\xED subjektu. \n\u2022\
            \ Na z\xE1klad\u011B v\xFDsledk\u016F posouzen\xED rizik ur\u010Dit aktiva,\
            \ kter\xE1 je t\u0159eba chr\xE1nit p\u0159ed fyzick\xFDmi a environment\xE1\
            ln\xEDmi hrozbami.\n\n(108) Pokud podnik pracuje s pracovn\xEDky pln\u011B\
            \ vzd\xE1len\xFDmi na d\xE1lku a postr\xE1d\xE1 centralizovanou m\xED\
            stn\xED infrastrukturu, m\u016F\u017Ee b\xFDt tradi\u010Dn\xED ochrana\
            \ p\u0159ed fyzick\xFDmi a environment\xE1ln\xEDmi hrozbami na jednom\
            \ m\xEDst\u011B m\xE9n\u011B kritick\xE1. Distribuovan\xE1 povaha pr\xE1\
            ce na d\xE1lku ze sv\xE9 podstaty poskytuje odolnost t\xEDm, \u017Ee diverzifikuje\
            \ vystaven\xED lokalizovan\xFDm fyzick\xFDm a environment\xE1ln\xEDm rizik\u016F\
            m. V d\u016Fsledku toho by se organizace m\u011Bly zam\u011B\u0159it na\
            \ zaji\u0161t\u011Bn\xED toho, aby dom\xE1c\xED pracovn\xED prost\u0159\
            ed\xED vzd\xE1len\xFDch zam\u011Bstnanc\u016F spl\u0148ovalo minim\xE1\
            ln\xED bezpe\u010Dnostn\xED standardy, a zv\xE1\u017Eit vyu\u017Eit\xED\
            \ robustn\xEDch fyzick\xFDch bezpe\u010Dnostn\xEDch kontrol poskytovatel\u016F\
            \ cloudov\xFDch slu\u017Eeb. Tento distribuovan\xFD provozn\xED model\
            \ sni\u017Euje z\xE1vislost na jak\xE9mkoli jednotliv\xE9m fyzick\xE9\
            m m\xEDst\u011B, \u010D\xEDm\u017E zm\xEDr\u0148uje dopad lokalizovan\xFD\
            ch environment\xE1ln\xEDch nebo fyzick\xFDch incident\u016F."
          typical_evidence: "\u2022 Zpr\xE1va o posouzen\xED rizik, kter\xE1 obsahuje:\n\
            \    o identifikace a vyhodnocen\xED fyzick\xFDch m\xEDst, jako jsou datov\xE1\
            \ centra, kancel\xE1\u0159e a serverovny, o anal\xFDza potenci\xE1ln\xED\
            ch fyzick\xFDch a environment\xE1ln\xEDch hrozeb a o mapov\xE1n\xED kritick\xFD\
            ch aktiv na fyzick\xE1 m\xEDsta."
        it:
          description: "Ai fini dell'articolo 21, paragrafo 2, lettera e), della direttiva\
            \ (UE) 2022/2555, i soggetti pertinenti prevengono o riducono le conseguenze\
            \ di eventi derivanti da minacce fisiche e ambientali, quali calamit\xE0\
            \ naturali e altre minacce intenzionali o non intenzionali, sulla base\
            \ dei risultati della valutazione del rischio effettuata a norma del punto\
            \ 2.1."
          annotation: "\u2022 Considerare i rischi associati alle minacce fisiche\
            \ e ambientali attuali e previste per la rete e i sistemi informativi,\
            \ se del caso (108).\n    o Includere nella valutazione l'ubicazione (fisica)\
            \ delle strutture dell'entit\xE0. \n\u2022 Sulla base dei risultati della\
            \ valutazione del rischio, determinare le risorse che devono essere protette\
            \ dalle minacce fisiche e ambientali.\n\n(108) Quando un'impresa opera\
            \ con una forza lavoro completamente remota e non dispone di un'infrastruttura\
            \ centralizzata in loco, le tradizionali protezioni dalle minacce fisiche\
            \ e ambientali in un'unica sede possono essere meno critiche. La natura\
            \ distribuita del lavoro a distanza fornisce intrinsecamente resilienza\
            \ diversificando l'esposizione a rischi fisici e ambientali localizzati.\
            \ Di conseguenza, le organizzazioni dovrebbero concentrarsi sulla garanzia\
            \ che gli ambienti di lavoro domestici dei dipendenti remoti soddisfino\
            \ gli standard minimi di sicurezza e protezione e prendere in considerazione\
            \ l'utilizzo di solidi controlli di sicurezza fisica dei fornitori di\
            \ servizi cloud. Questo modello operativo distribuito riduce la dipendenza\
            \ da un singolo sito fisico, mitigando cos\xEC l'impatto di incidenti\
            \ ambientali o fisici localizzati."
          typical_evidence: "\u2022 Rapporto di valutazione dei rischi che include:\n\
            \    o Identificazione e valutazione di luoghi fisici, come centri dati,\
            \ uffici e sale server, o Analisi di potenziali minacce fisiche e ambientali\
            \ e o Mappatura di risorse critiche in luoghi fisici."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:13.2.2
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:13.2
      ref_id: 13.2.2
      description: 'For that purpose, the relevant entities shall, where appropriate:'
      annotation: "\u2022 Implement measures against physical and environmental threats.\
        \ Parameters to consider are (indicative, non-exhaustive list):\n    o purpose\
        \ and scope;\n    o network and information systems in scope;\n    o description\
        \ of facilities;\n    o roles and responsibilities;\n    o management commitment;\n\
        \    o coordination among organisational units;\n    o compliance with national\
        \ and EU law, including personal data protection.  \n\u2022 Consider potential\
        \ physical and environmental threats relevant to the context, location and\
        \ operational environment. The following list offers examples (indicative\
        \ and non-exhaustive) to support risk-based planning:\n    o fire, flood or\
        \ natural events (e.g. earthquakes, storms), o public disturbances or unauthorized\
        \ access, theft or vandalism, o hazardous material incidents (e.g. chemical\
        \ spills), o long-term environmental changes (e.g. climate trends, air quality).\
        \ \n\u2022 Consider measures against physical and environmental threats such\
        \ as (indicative, non-exhaustive list):\n    o physical access control measures\
        \ (e.g. IDs, badges, logs; visitor management system and physical barriers);\n\
        \    o surveillance systems (e.g. CCTV, entry points, exits, locking mechanisms\
        \ and security personnel);\n    o climate control (e.g. temperature and humidity\
        \ controls and HVAC systems);\n    o fire prevention and response measures\
        \ (e.g. fire alarms, smoke detectors, sprinkler systems and fire extinguishers);\
        \ \n\u2022 Consider enhanced (maximum) measures to be activated during heightened\
        \ threat levels or specific scenarios. Examples of such measures include (indicative,\
        \ non-exhaustive list):\n    o Increased security personnel, advanced biometric\
        \ access controls and lockdown procedures.\n    o Enhanced monitoring systems,\
        \ redundant power supplies and advanced environmental sensors."
      typical_evidence: "\u2022 Detailed documentation showing the design and implementation\
        \ of measures against physical and environmental threats. \n\u2022 Reports\
        \ outlining the defined minimum and maximum control thresholds for various\
        \ threats. \n\u2022 Logs from environmental monitoring systems showing continuous\
        \ tracking of parameters, such as temperature, humidity and security breaches.\
        \ \n\u2022 Records of incidents where parameters fell outside the defined\
        \ thresholds, including the actions taken and notifications sent to relevant\
        \ personnel."
      translations:
        fr:
          description: "\xC0 cette fin, les entit\xE9s concern\xE9es, s\u2019il est\
            \ besoin:"
          annotation: "\u2022 Mettre en \u0153uvre des mesures contre les menaces\
            \ physiques et environnementales. Les param\xE8tres \xE0 prendre en compte\
            \ sont (liste indicative, non exhaustive) :\n    o l\u2019objet et la\
            \ port\xE9e ;\n    o r\xE9seau et syst\xE8mes d\u2019information concern\xE9\
            s ;\n    o description des installations\_;\n    o les r\xF4les et responsabilit\xE9\
            s\_;\n    o l\u2019engagement de la direction ;\n    o coordination entre\
            \ les unit\xE9s organisationnelles ;\n    o le respect de la l\xE9gislation\
            \ nationale et europ\xE9enne, y compris la protection des donn\xE9es personnelles.\
            \  \n\u2022 Tenir compte des menaces physiques et environnementales potentielles\
            \ en fonction du contexte, de l\u2019emplacement et de l\u2019environnement\
            \ op\xE9rationnel. La liste suivante propose des exemples (indicatifs\
            \ et non exhaustifs) pour soutenir la planification bas\xE9e sur les risques\
            \ :\n    o Incendie, inondation ou \xE9v\xE9nements naturels (par exemple,\
            \ tremblements de terre, temp\xEAtes), o Troubles \xE0 l\u2019ordre public\
            \ ou acc\xE8s non autoris\xE9s, vol ou vandalisme, o Incidents impliquant\
            \ des mati\xE8res dangereuses (par exemple, d\xE9versements de produits\
            \ chimiques), o Changements environnementaux \xE0 long terme (par exemple,\
            \ tendances climatiques, qualit\xE9 de l\u2019air). \n\u2022 Envisager\
            \ des mesures contre les menaces physiques et environnementales telles\
            \ que (liste indicative, non exhaustive) :\n    o mesures de contr\xF4\
            le d\u2019acc\xE8s physique (par exemple, pi\xE8ces d\u2019identit\xE9\
            , badges, journaux ; syst\xE8me de gestion des visiteurs et barri\xE8\
            res physiques) ;\n    o les syst\xE8mes de surveillance (par exemple,\
            \ vid\xE9osurveillance, points d\u2019entr\xE9e, sorties, m\xE9canismes\
            \ de verrouillage et personnel de s\xE9curit\xE9) ;\n    o le contr\xF4\
            le du climat (par exemple, les contr\xF4les de la temp\xE9rature et de\
            \ l\u2019humidit\xE9 et les syst\xE8mes CVC) ;\n    o des mesures de pr\xE9\
            vention et d\u2019intervention en cas d\u2019incendie (par exemple, alarmes\
            \ incendie, d\xE9tecteurs de fum\xE9e, syst\xE8mes de gicleurs et extincteurs)\
            \ ; \n\u2022 Envisager des mesures renforc\xE9es (maximales) \xE0 activer\
            \ lorsque les niveaux de menace sont \xE9lev\xE9s ou que des sc\xE9narios\
            \ sp\xE9cifiques sont pr\xE9sents. On peut citer \xE0 titre d\u2019exemple\
            \ (liste indicative et non exhaustive) :\n    o Augmentation du personnel\
            \ de s\xE9curit\xE9, contr\xF4les d\u2019acc\xE8s biom\xE9triques avanc\xE9\
            s et proc\xE9dures de verrouillage.\n    o Des syst\xE8mes de surveillance\
            \ am\xE9lior\xE9s, des alimentations redondantes et des capteurs environnementaux\
            \ avanc\xE9s."
          typical_evidence: "\u2022 Documentation d\xE9taill\xE9e montrant la conception\
            \ et la mise en \u0153uvre de mesures contre les menaces physiques et\
            \ environnementales. \n\u2022 Rapports d\xE9crivant les seuils de contr\xF4\
            le minimum et maximum d\xE9finis pour diverses menaces. \n\u2022 Journaux\
            \ des syst\xE8mes de surveillance de l\u2019environnement montrant un\
            \ suivi continu des param\xE8tres, tels que la temp\xE9rature, l\u2019\
            humidit\xE9 et les failles de s\xE9curit\xE9. \n\u2022 Enregistrements\
            \ des incidents dont les param\xE8tres d\xE9passaient les seuils d\xE9\
            finis, y compris les actions prises et les notifications envoy\xE9es au\
            \ personnel concern\xE9."
        es:
          description: 'A tal efecto, cuando proceda, las entidades pertinentes:'
          annotation: "\u2022 Implementar medidas contra amenazas f\xEDsicas y ambientales.\
            \ Los par\xE1metros a tener en cuenta son (lista indicativa, no exhaustiva):\n\
            \    o objeto y \xE1mbito de aplicaci\xF3n;\n    o redes y sistemas de\
            \ informaci\xF3n en el \xE1mbito de aplicaci\xF3n;\n    o descripci\xF3\
            n de las instalaciones;\n    o funciones y responsabilidades;\n    o compromiso\
            \ de la direcci\xF3n;\n    o la coordinaci\xF3n entre las unidades organizativas;\n\
            \    o cumplimiento de la legislaci\xF3n nacional y de la UE, incluida\
            \ la protecci\xF3n de datos personales.  \n\u2022 Considerar las posibles\
            \ amenazas f\xEDsicas y ambientales relevantes para el contexto, la ubicaci\xF3\
            n y el entorno operativo. La siguiente lista ofrece ejemplos (indicativos\
            \ y no exhaustivos) para respaldar la planificaci\xF3n basada en riesgos:\n\
            \    o incendios, inundaciones o eventos naturales (por ejemplo, terremotos,\
            \ tormentas), o disturbios p\xFAblicos o acceso no autorizado, robo o\
            \ vandalismo, o incidentes con materiales peligrosos (por ejemplo, derrames\
            \ de productos qu\xEDmicos), o cambios ambientales a largo plazo (por\
            \ ejemplo, tendencias clim\xE1ticas, calidad del aire). \n\u2022 Considerar\
            \ la posibilidad de adoptar medidas contra las amenazas f\xEDsicas y ambientales,\
            \ tales como (lista indicativa y no exhaustiva):\n    o medidas de control\
            \ de acceso f\xEDsico (por ejemplo, identificaciones, credenciales, registros;\
            \ sistema de gesti\xF3n de visitantes y barreras f\xEDsicas);\n    o sistemas\
            \ de vigilancia (por ejemplo, circuito cerrado de televisi\xF3n, puntos\
            \ de entrada, salidas, mecanismos de cierre y personal de seguridad);\n\
            \    o control del clima (por ejemplo, controles de temperatura y humedad\
            \ y sistemas de climatizaci\xF3n);\n    o medidas de prevenci\xF3n y respuesta\
            \ a incendios (por ejemplo, alarmas contra incendios, detectores de humo,\
            \ sistemas de rociadores y extintores de incendios); \n\u2022 Considere\
            \ la posibilidad de activar medidas mejoradas (m\xE1ximas) durante niveles\
            \ de amenaza elevados o escenarios espec\xEDficos. Ejemplos de tales medidas\
            \ incluyen (lista indicativa y no exhaustiva):\n    o Aumento del personal\
            \ de seguridad, controles de acceso biom\xE9tricos avanzados y procedimientos\
            \ de bloqueo.\n    o Sistemas de monitoreo mejorados, fuentes de alimentaci\xF3\
            n redundantes y sensores ambientales avanzados."
          typical_evidence: "\u2022 Documentaci\xF3n detallada que muestre el dise\xF1\
            o e implementaci\xF3n de medidas contra amenazas f\xEDsicas y ambientales.\
            \ \n\u2022 Informes que describen los umbrales de control m\xEDnimo y\
            \ m\xE1ximo definidos para diversas amenazas. \n\u2022 Registros de sistemas\
            \ de monitoreo ambiental que muestran un seguimiento continuo de par\xE1\
            metros, como temperatura, humedad y violaciones de seguridad. \n\u2022\
            \ Registros de incidentes en los que los par\xE1metros se salieron de\
            \ los umbrales definidos, incluidas las acciones tomadas y las notificaciones\
            \ enviadas al personal pertinente."
        cs:
          description: "Za t\xEDmto \xFA\u010Delem p\u0159\xEDslu\u0161n\xE9 subjekty\
            \ v p\u0159\xEDpad\u011B pot\u0159eby:"
          annotation: "\u2022 Implementujte opat\u0159en\xED proti fyzick\xFDm a environment\xE1\
            ln\xEDm hrozb\xE1m. Parametry, kter\xE9 je t\u0159eba vz\xEDt v \xFAvahu,\
            \ jsou (orienta\u010Dn\xED, ne\xFApln\xFD seznam):\n    o \xFA\u010Del\
            \ a rozsah;\n    o s\xEDt\u011B a informa\u010Dn\xED syst\xE9my v rozsahu;\n\
            \    o popis za\u0159\xEDzen\xED;\n    o rol\xEDch a odpov\u011Bdnostech;\n\
            \    o z\xE1vazek managementu;\n    o koordinaci mezi organiza\u010Dn\xED\
            mi jednotkami,\n    o soulad s vnitrost\xE1tn\xEDmi pr\xE1vn\xEDmi p\u0159\
            edpisy a pr\xE1vn\xEDmi p\u0159edpisy EU, v\u010Detn\u011B ochrany osobn\xED\
            ch \xFAdaj\u016F.  \n\u2022 Zva\u017Ete potenci\xE1ln\xED fyzick\xE9 a\
            \ environment\xE1ln\xED hrozby relevantn\xED pro kontext, um\xEDst\u011B\
            n\xED a provozn\xED prost\u0159ed\xED. N\xE1sleduj\xEDc\xED seznam obsahuje\
            \ p\u0159\xEDklady (orienta\u010Dn\xED a nevy\u010Derp\xE1vaj\xEDc\xED\
            ) pro podporu pl\xE1nov\xE1n\xED zalo\u017Een\xE9ho na rizic\xEDch:\n\
            \    o po\u017E\xE1r, povode\u0148 nebo p\u0159\xEDrodn\xED ud\xE1losti\
            \ (nap\u0159. zem\u011Bt\u0159esen\xED, bou\u0159e), o ve\u0159ejn\xE9\
            \ nepokoje nebo neopr\xE1vn\u011Bn\xFD p\u0159\xEDstup, kr\xE1de\u017E\
            e nebo vandalismus, o nehody s nebezpe\u010Dn\xFDm materi\xE1lem (nap\u0159\
            . \xFAniky chemik\xE1li\xED), o dlouhodob\xE9 zm\u011Bny \u017Eivotn\xED\
            ho prost\u0159ed\xED (nap\u0159. klimatick\xE9 trendy, kvalita ovzdu\u0161\
            \xED). \n\u2022 Zva\u017Ete opat\u0159en\xED proti fyzick\xFDm a environment\xE1\
            ln\xEDm hrozb\xE1m, jako je (orienta\u010Dn\xED, ne\xFApln\xFD seznam):\n\
            \    o opat\u0159en\xED pro fyzickou kontrolu p\u0159\xEDstupu (nap\u0159\
            . pr\u016Fkazy toto\u017Enosti, pr\u016Fkazy, protokoly; syst\xE9m spr\xE1\
            vy n\xE1v\u0161t\u011Bvn\xEDk\u016F a fyzick\xE9 bari\xE9ry);\n    o dohledov\xE9\
            \ syst\xE9my (nap\u0159. CCTV, vstupn\xED body, v\xFDchody, uzamykac\xED\
            \ mechanismy a bezpe\u010Dnostn\xED person\xE1l);\n    o klimatizace (nap\u0159\
            . regulace teploty a vlhkosti a syst\xE9my HVAC);\n    o opat\u0159en\xED\
            \ pro prevenci po\u017E\xE1ru a reakci na po\u017E\xE1r (nap\u0159. po\u017E\
            \xE1rn\xED hl\xE1si\u010De, detektory kou\u0159e, sprinklerov\xE9 syst\xE9\
            my a hasic\xED p\u0159\xEDstroje); \n\u2022 Zva\u017Ete zv\xFD\u0161en\xE1\
            \ (maxim\xE1ln\xED) opat\u0159en\xED, kter\xE1 maj\xED b\xFDt aktivov\xE1\
            na b\u011Bhem zv\xFD\u0161en\xFDch \xFArovn\xED hrozby nebo specifick\xFD\
            ch sc\xE9n\xE1\u0159\u016F. P\u0159\xEDklady takov\xFDch opat\u0159en\xED\
            \ zahrnuj\xED (orienta\u010Dn\xED, ne\xFApln\xFD seznam):\n    o Zv\xFD\
            \u0161en\xED ostrahy, pokro\u010Dil\xE9 biometrick\xE9 kontroly p\u0159\
            \xEDstupu a postupy uzam\u010Den\xED.\n    o Vylep\u0161en\xE9 monitorovac\xED\
            \ syst\xE9my, redundantn\xED nap\xE1jec\xED zdroje a pokro\u010Dil\xE9\
            \ senzory prost\u0159ed\xED."
          typical_evidence: "\u2022 Podrobn\xE1 dokumentace zobrazuj\xEDc\xED n\xE1\
            vrh a realizaci opat\u0159en\xED proti fyzick\xFDm a environment\xE1ln\xED\
            m hrozb\xE1m. \n\u2022 Zpr\xE1vy popisuj\xEDc\xED definovan\xE9 minim\xE1\
            ln\xED a maxim\xE1ln\xED prahov\xE9 hodnoty kontroly pro r\u016Fzn\xE9\
            \ hrozby. \n\u2022 Protokoly z environment\xE1ln\xEDch monitorovac\xED\
            ch syst\xE9m\u016F ukazuj\xEDc\xED nep\u0159etr\u017Eit\xE9 sledov\xE1\
            n\xED parametr\u016F, jako je teplota, vlhkost a naru\u0161en\xED bezpe\u010D\
            nosti. \n\u2022 Evidence incident\u016F, u kter\xFDch parametry p\u0159\
            ekro\u010Dily definovan\xE9 prahov\xE9 hodnoty, v\u010Detn\u011B p\u0159\
            ijat\xFDch opat\u0159en\xED a zaslan\xFDch notifikac\xED p\u0159\xEDslu\u0161\
            n\xFDm pracovn\xEDk\u016Fm."
        it:
          description: 'A tal fine, i soggetti interessati, se del caso:'
          annotation: "\u2022 Attuare misure contro le minacce fisiche e ambientali.\
            \ I parametri da considerare sono (elenco indicativo, non esaustivo):\n\
            \    o scopo e ambito di applicazione;\n    o rete e sistemi informativi\
            \ nell'ambito di applicazione;\n    o descrizione delle strutture;\n \
            \   o ruoli e responsabilit\xE0;\n    o impegno del management;\n    o\
            \ coordinamento tra le unit\xE0 organizzative;\n    o il rispetto del\
            \ diritto nazionale e dell'UE, compresa la protezione dei dati personali.\
            \  \n\u2022 Considerare le potenziali minacce fisiche e ambientali rilevanti\
            \ per il contesto, l'ubicazione e l'ambiente operativo. L'elenco seguente\
            \ offre esempi (indicativi e non esaustivi) a supporto della pianificazione\
            \ basata sul rischio:\n    o incendi, inondazioni o eventi naturali (ad\
            \ es. terremoti, tempeste), o disturbi pubblici o accessi non autorizzati,\
            \ furti o atti vandalici, o incidenti con materiali pericolosi (ad es.\
            \ fuoriuscite di sostanze chimiche), o cambiamenti ambientali a lungo\
            \ termine (ad es. tendenze climatiche, qualit\xE0 dell'aria). \n\u2022\
            \ Prendere in considerazione misure contro le minacce fisiche e ambientali\
            \ come (elenco indicativo, non esaustivo):\n    o misure di controllo\
            \ degli accessi fisici (ad es. documenti d'identit\xE0, badge, registri,\
            \ sistema di gestione dei visitatori e barriere fisiche);\n    o sistemi\
            \ di sorveglianza (ad es. telecamere a circuito chiuso, punti di ingresso,\
            \ uscite, meccanismi di chiusura e personale di sicurezza);\n    o climatizzazione\
            \ (ad es. controlli di temperatura e umidit\xE0 e sistemi HVAC);\n   \
            \ o misure di prevenzione e risposta agli incendi (ad esempio allarmi\
            \ antincendio, rilevatori di fumo, sistemi sprinkler ed estintori); \n\
            \u2022 Prendere in considerazione l'attivazione di misure avanzate (massime)\
            \ in caso di livelli di minaccia elevati o scenari specifici. Esempi di\
            \ tali misure includono (elenco indicativo e non esaustivo):\n    o Aumento\
            \ del personale di sicurezza, controlli biometrici avanzati degli accessi\
            \ e procedure di blocco.\n    o Sistemi di monitoraggio avanzati, alimentatori\
            \ ridondanti e sensori ambientali avanzati."
          typical_evidence: "\u2022 Documentazione dettagliata che mostra la progettazione\
            \ e l'attuazione di misure contro le minacce fisiche e ambientali. \n\u2022\
            \ Rapporti che delineano le soglie di controllo minime e massime definite\
            \ per varie minacce. \n\u2022 Registri provenienti dai sistemi di monitoraggio\
            \ ambientale che mostrano il monitoraggio continuo di parametri, come\
            \ temperatura, umidit\xE0 e violazioni della sicurezza. \n\u2022 Registrazioni\
            \ degli incidenti in cui i parametri sono scesi al di fuori delle soglie\
            \ definite, comprese le azioni intraprese e le notifiche inviate al personale\
            \ competente."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:13.2.2.a
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:13.2.2
      ref_id: 13.2.2.a
      description: design and implement protection measures against physical and environmental
        threats;
      translations:
        fr:
          description: "con\xE7oivent et mettent en \u0153uvre des mesures de protection\
            \ contre les menaces physiques et environnementales;"
        es:
          description: "dise\xF1ar\xE1n y pondr\xE1n en marcha medidas de protecci\xF3\
            n contra las amenazas f\xEDsicas y medioambientales;"
        cs:
          description: "navrhuj\xED a prov\xE1d\u011Bj\xED ochrann\xE1 opat\u0159\
            en\xED proti fyzick\xFDm a environment\xE1ln\xEDm hrozb\xE1m;"
        it:
          description: progettare e attuare misure di protezione contro le minacce
            fisiche e ambientali;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:13.2.2.b
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:13.2.2
      ref_id: 13.2.2.b
      description: determine minimum and maximum control thresholds for physical and
        environmental threats;
      translations:
        fr:
          description: "fixent des seuils de contr\xF4le minimaux et maximaux pour\
            \ les menaces physiques et environnementales;"
        es:
          description: "determinar\xE1n umbrales m\xEDnimos y m\xE1ximos de control\
            \ de las amenazas f\xEDsicas y medioambientales;"
        cs:
          description: "stanov\xED minim\xE1ln\xED a maxim\xE1ln\xED prahov\xE9 hodnoty\
            \ kontrol pro fyzick\xE9 a environment\xE1ln\xED hrozby;"
        it:
          description: determinare le soglie minime e massime di controllo per le
            minacce fisiche e ambientali;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:13.2.2.c
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:13.2.2
      ref_id: 13.2.2.c
      description: monitor environmental parameters and report to the competent internal
        or external personnel events outside the minimum and maximum control thresholds
        referred to in point (b).
      translations:
        fr:
          description: "surveillent les param\xE8tres environnementaux et signalent\
            \ aux membres comp\xE9tents du personnel interne ou externe les \xE9v\xE9\
            nements qui se situent au-dessous et au-dessus des seuils de contr\xF4\
            le minimaux et maximaux vis\xE9s au point b)."
        es:
          description: "supervisar\xE1n los par\xE1metros medioambientales e informar\xE1\
            n al personal interno o externo competente de los sucesos que tengan lugar\
            \ m\xE1s all\xE1 de los umbrales m\xEDnimo y m\xE1ximo de control a que\
            \ se refiere la letra b)."
        cs:
          description: "sleduj\xED parametry prost\u0159ed\xED a oznamuj\xED p\u0159\
            \xEDslu\u0161n\xFDm intern\xEDm nebo extern\xEDm pracovn\xEDk\u016Fm ud\xE1\
            losti, kdy jsou p\u0159ekra\u010Dov\xE1ny minim\xE1ln\xED a maxim\xE1\
            ln\xED prahov\xE9 hodnoty kontrol uveden\xE9 v p\xEDsmenu b)."
        it:
          description: monitorare i parametri ambientali e segnalare al personale
            interno o esterno competente gli eventi al di fuori delle soglie minime
            e massime di controllo di cui alla lettera b).
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:13.2.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:13.2
      ref_id: 13.2.3
      description: The relevant entities shall test, review and, where appropriate,
        update the protection measures against physical and environmental threats
        on a regular basis or following significant incidents or significant changes
        to operations or risks.
      annotation: "\u2022 Schedule and perform regular tests, such as quarterly fire\
        \ drills and annual assessments of physical security measures.\n    o Conduct\
        \ both announced and unannounced tests\n\n[TIPS]\n\n\u2022 Consider creating\
        \ a topic-specific policy for protection against physical and environmental\
        \ threats. \n\u2022 Deploy periodic simulations and awareness raising activities\
        \ to assess the readiness of personnel and the adequacy of the procedures\
        \ \n\u2022 Consider implementing physically secure storage facilities for\
        \ high-criticality assets of."
      typical_evidence: "\u2022 Detailed reports of the tests conducted, including\
        \ objectives, procedures, results and any issues identified. \n\u2022 Minutes\
        \ from review meetings detailing discussions, findings and decisions regarding\
        \ protection measures.  \n\n[TIPS]\n\n\u2022 Documented physical and environmental\
        \ security policy, including a description of facilities and network and information\
        \ systems in scope. \n\u2022 Results of periodic simulations and awareness\
        \ raising activities."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es testent, r\xE9examinent et, s\u2019\
            il est besoin, mettent \xE0 jour les mesures de protection contre les\
            \ menaces physiques et environnementales de fa\xE7on r\xE9guli\xE8re,\
            \ \xE0 la suite d\u2019incidents importants ou lorsque des changements\
            \ majeurs concernant les op\xE9rations ou les risques se produisent."
          annotation: "\u2022 Planifier et effectuer des tests r\xE9guliers, tels\
            \ que des exercices d\u2019incendie trimestriels et des \xE9valuations\
            \ annuelles des mesures de s\xE9curit\xE9 physique.\n    o Effectuer des\
            \ tests annonc\xE9s et inopin\xE9s\n\n[CONSEILS]\n\n\u2022 Envisagez de\
            \ cr\xE9er une politique de protection contre les menaces physiques et\
            \ environnementales sp\xE9cifique \xE0 chaque sujet. \n\u2022 D\xE9ployer\
            \ des simulations p\xE9riodiques et des activit\xE9s de sensibilisation\
            \ pour \xE9valuer l\u2019\xE9tat de pr\xE9paration du personnel et l\u2019\
            ad\xE9quation des proc\xE9dures \n\u2022 Envisagez de mettre en place\
            \ des installations de stockage physiquement s\xE9curis\xE9es pour les\
            \ actifs \xE0 haute criticit\xE9."
          typical_evidence: "\u2022 Rapports d\xE9taill\xE9s des tests effectu\xE9\
            s, y compris les objectifs, les proc\xE9dures, les r\xE9sultats et les\
            \ probl\xE8mes identifi\xE9s. \n\u2022 Proc\xE8s-verbaux des r\xE9unions\
            \ d\u2019examen d\xE9taillant les discussions, les conclusions et les\
            \ d\xE9cisions concernant les mesures de protection.  \n\n[CONSEILS]\n\
            \n\u2022 Politique de s\xE9curit\xE9 physique et environnementale document\xE9\
            e, y compris une description des installations et des syst\xE8mes de r\xE9\
            seau et d\u2019information concern\xE9s. \n\u2022 R\xE9sultats de simulations\
            \ p\xE9riodiques et d\u2019activit\xE9s de sensibilisation."
        es:
          description: "Las entidades pertinentes comprobar\xE1n, revisar\xE1n y,\
            \ cuando proceda, actualizar\xE1n las medidas de protecci\xF3n de forma\
            \ peri\xF3dica o despu\xE9s de incidentes significativos o cambios significativos\
            \ en las operaciones o los riesgos."
          annotation: "\u2022 Programar y realizar pruebas peri\xF3dicas, como simulacros\
            \ de incendio trimestrales y evaluaciones anuales de las medidas de seguridad\
            \ f\xEDsica.\n    o Realizar pruebas anunciadas y no anunciadas\n\n[CONSEJOS]\n\
            \n\u2022 Considere la posibilidad de crear una pol\xEDtica espec\xEDfica\
            \ para la protecci\xF3n contra las amenazas f\xEDsicas y ambientales.\
            \ \n\u2022 Realizar simulacros peri\xF3dicos y actividades de sensibilizaci\xF3\
            n para evaluar la preparaci\xF3n del personal y la idoneidad de los procedimientos.\
            \ \n\u2022 Considere la implementaci\xF3n de instalaciones de almacenamiento\
            \ f\xEDsicamente seguras para los activos de alta criticidad."
          typical_evidence: "\u2022 Informes detallados de las pruebas realizadas,\
            \ incluidos los objetivos, los procedimientos, los resultados y cualquier\
            \ problema identificado. \n\u2022 Actas de las reuniones de revisi\xF3\
            n en las que se detallen las discusiones, hallazgos y decisiones con respecto\
            \ a las medidas de protecci\xF3n.  \n\n[CONSEJOS]\n\n\u2022 Pol\xEDtica\
            \ de seguridad f\xEDsica y ambiental documentada, incluyendo una descripci\xF3\
            n de las instalaciones y redes y sistemas de informaci\xF3n en el alcance.\
            \ \n\u2022 Resultados de simulacros peri\xF3dicos y actividades de sensibilizaci\xF3\
            n."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty pravideln\u011B nebo po\
            \ v\xFDznamn\xFDch incidentech nebo v\xFDznamn\xFDch zm\u011Bn\xE1ch operac\xED\
            \ nebo rizik testuj\xED, p\u0159ezkoum\xE1vaj\xED a v p\u0159\xEDpad\u011B\
            \ pot\u0159eby aktualizuj\xED ochrann\xE1 opat\u0159en\xED proti fyzick\xFD\
            m a environment\xE1ln\xEDm hrozb\xE1m."
          annotation: "\u2022 Pl\xE1novat a prov\xE1d\u011Bt pravideln\xE9 testy,\
            \ jako jsou \u010Dtvrtletn\xED po\u017E\xE1rn\xED cvi\u010Den\xED a ka\u017E\
            doro\u010Dn\xED hodnocen\xED fyzick\xFDch bezpe\u010Dnostn\xEDch opat\u0159\
            en\xED.\n    o Prov\xE1d\u011Bt ohl\xE1\u0161en\xE9 i neohl\xE1\u0161\
            en\xE9 testy\n\n[TIPY]\n\n\u2022 Zva\u017Ete vytvo\u0159en\xED tematick\xFD\
            ch z\xE1sad ochrany p\u0159ed fyzick\xFDmi a environment\xE1ln\xEDmi hrozbami.\
            \ \n\u2022 Zav\xE1d\u011Bjte pravideln\xE9 simulace a osv\u011Btov\xE9\
            \ aktivity s c\xEDlem posoudit p\u0159ipravenost person\xE1lu a p\u0159\
            im\u011B\u0159enost postup\u016F \n\u2022 Zva\u017Ete implementaci fyzicky\
            \ zabezpe\u010Den\xFDch skladovac\xEDch za\u0159\xEDzen\xED pro vysoce\
            \ kritick\xE1 aktiva."
          typical_evidence: "\u2022 Podrobn\xE9 zpr\xE1vy o proveden\xFDch testech,\
            \ v\u010Detn\u011B c\xEDl\u016F, postup\u016F, v\xFDsledk\u016F a jak\xFD\
            chkoli zji\u0161t\u011Bn\xFDch probl\xE9m\u016F. \n\u2022 Z\xE1pisy z\
            \ p\u0159ezkumn\xFDch sch\u016Fz\xED s podrobn\xFDm popisem diskus\xED\
            , zji\u0161t\u011Bn\xED a rozhodnut\xED t\xFDkaj\xEDc\xEDch se ochrann\xFD\
            ch opat\u0159en\xED.  \n\n[TIPY]\n\n\u2022 Zdokumentovan\xE1 politika\
            \ fyzick\xE9 a environment\xE1ln\xED bezpe\u010Dnosti, v\u010Detn\u011B\
            \ popisu za\u0159\xEDzen\xED a s\xEDt\xED a informa\u010Dn\xEDch syst\xE9\
            m\u016F v rozsahu. \n\u2022 V\xFDsledky pravideln\xFDch simulac\xED a\
            \ osv\u011Btov\xFDch aktivit."
        it:
          description: I soggetti pertinenti testano, riesaminano e, se del caso,
            aggiornano le misure di protezione contro le minacce fisiche e ambientali
            su base regolare o a seguito di incidenti significativi o modifiche significative
            delle operazioni o dei rischi.
          annotation: "\u2022 Programmare ed eseguire test regolari, come esercitazioni\
            \ antincendio trimestrali e valutazioni annuali delle misure di sicurezza\
            \ fisica.\n    o Condurre test annunciati e non annunciati\n\n[CONSIGLI]\n\
            \n\u2022 Prendere in considerazione la creazione di una politica specifica\
            \ per argomento per la protezione contro le minacce fisiche e ambientali.\
            \ \n\u2022 Effettuare simulazioni periodiche e attivit\xE0 di sensibilizzazione\
            \ per valutare la prontezza del personale e l'adeguatezza delle procedure\
            \ \n\u2022 Prendere in considerazione l'implementazione di strutture di\
            \ stoccaggio fisicamente sicure per le risorse ad alta criticit\xE0 di."
          typical_evidence: "\u2022 Rapporti dettagliati dei test condotti, inclusi\
            \ obiettivi, procedure, risultati e qualsiasi problema identificato. \n\
            \u2022 Verbali delle riunioni di revisione che illustrano in dettaglio\
            \ le discussioni, i risultati e le decisioni relative alle misure di protezione.\
            \  \n\n[CONSIGLI]\n\n\u2022 Politica documentata in materia di sicurezza\
            \ fisica e ambientale, compresa una descrizione delle strutture e delle\
            \ reti e dei sistemi informativi interessati. \n\u2022 Risultati di simulazioni\
            \ periodiche e attivit\xE0 di sensibilizzazione."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:13.3
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:13
      ref_id: '13.3'
      name: Perimeter and physical access control
      translations:
        fr:
          name: "P\xE9rim\xE8tre et contr\xF4le d\u2019acc\xE8s physique"
        es:
          name: "Control de acceso perimetral y f\xEDsico"
        cs:
          name: "Kontrola vn\u011Bj\u0161\xEDho a fyzick\xE9ho p\u0159\xEDstupu"
        it:
          name: Controllo degli accessi fisici e perimetrali
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:13.3.1
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:13.3
      ref_id: 13.3.1
      description: For the purpose of Article 21(2)(i) of Directive (EU) 2022/2555,
        the relevant entities shall prevent and monitor unauthorised physical access,
        damage and interference to their network and information systems.
      annotation: "\u2022 Implement perimeter physical access control, where relevant\
        \ (109), taking into account the measures for protection against physical\
        \ and environmental threats (section 13.2). \n\u2022 Ensure that physical\
        \ access control is integrated with logical and network access control, in\
        \ line with human resources security procedures (section 10.1) to support\
        \ the detection of irregular activities and enhance overall organisational\
        \ security.\n\n(109) In a fully remote operating model where the organization\
        \ does not maintain centralized office spaces or on-premises infrastructure,\
        \ traditional perimeter and physical access control measures (e.g. badge systems,\
        \ mantraps, on-site security personnel) may not be applicable. Instead, the\
        \ focus should shift to ensuring that access to corporate resources is governed\
        \ through strong logical access controls, such as multi-factor authentication\
        \ (MFA), endpoint compliance checks and secure connectivity (e.g. VPN or Zero\
        \ Trust Network Access). For personnel working from home organizations should\
        \ provide guidance on securing home workspaces\u2014such as restricting unauthorized\
        \ physical access to work devices and using locked rooms or cabinets when\
        \ necessary. Where third-party cloud or co-location facilities are used, physical\
        \ access controls should be reviewed and enforced contractually through SLAs\
        \ and verified via audit reports (e.g. ISO 27001, SOC 2)."
      typical_evidence: "\u2022 Documented policy for physical security measures,\
        \ including a description of facilities and network and information systems\
        \ in scope."
      translations:
        fr:
          description: "Aux fins de l\u2019article 21, paragraphe 2, point i), de\
            \ la directive (UE) 2022/2555, les entit\xE9s concern\xE9es pr\xE9viennent\
            \ et surveillent l\u2019acc\xE8s physique non autoris\xE9, les dommages\
            \ et les interf\xE9rences affectant leurs r\xE9seaux et leurs syst\xE8\
            mes d\u2019information."
          annotation: "\u2022 Mettre en \u0153uvre un contr\xF4le d\u2019acc\xE8s\
            \ physique p\xE9rim\xE9trique, le cas \xE9ch\xE9ant (109), en tenant compte\
            \ des mesures de protection contre les menaces physiques et environnementales\
            \ (section 13.2). \n\u2022 Veiller \xE0 ce que le contr\xF4le d\u2019\
            acc\xE8s physique soit int\xE9gr\xE9 au contr\xF4le d\u2019acc\xE8s logique\
            \ et au contr\xF4le d\u2019acc\xE8s au r\xE9seau, conform\xE9ment aux\
            \ proc\xE9dures de s\xE9curit\xE9 des ressources humaines (section 10.1)\
            \ afin de soutenir la d\xE9tection des activit\xE9s irr\xE9guli\xE8res\
            \ et d\u2019am\xE9liorer la s\xE9curit\xE9 organisationnelle globale.\n\
            \n(109) Dans un mod\xE8le d\u2019exploitation enti\xE8rement \xE0 distance\
            \ o\xF9 l\u2019organisation ne dispose pas d\u2019espaces de bureau centralis\xE9\
            s ou d\u2019une infrastructure sur site, les mesures traditionnelles de\
            \ contr\xF4le de l\u2019acc\xE8s au p\xE9rim\xE8tre et \xE0 l\u2019espace\
            \ physique (p. ex. syst\xE8mes de badges, sas-souris, personnel de s\xE9\
            curit\xE9 sur place) peuvent ne pas \xEAtre applicables. Au lieu de cela,\
            \ l\u2019accent doit \xEAtre mis sur la garantie que l\u2019acc\xE8s aux\
            \ ressources de l\u2019entreprise est r\xE9gi par des contr\xF4les d\u2019\
            acc\xE8s logiques solides, tels que l\u2019authentification multifactorielle\
            \ (MFA), les contr\xF4les de conformit\xE9 des terminaux et la connectivit\xE9\
            \ s\xE9curis\xE9e (par exemple, VPN ou Zero Trust Network Access). Pour\
            \ le personnel travaillant \xE0 domicile, les organisations doivent fournir\
            \ des conseils sur la s\xE9curisation des espaces de travail \xE0 domicile,\
            \ par exemple en limitant l\u2019acc\xE8s physique non autoris\xE9 aux\
            \ appareils de travail et en utilisant des pi\xE8ces ou des armoires verrouill\xE9\
            es si n\xE9cessaire. Lorsque des installations cloud ou de colocation\
            \ tierces sont utilis\xE9es, les contr\xF4les d\u2019acc\xE8s physiques\
            \ doivent \xEAtre examin\xE9s et appliqu\xE9s contractuellement par le\
            \ biais de SLA et v\xE9rifi\xE9s par le biais de rapports d\u2019audit\
            \ (e.g. ISO 27001, SOC 2)."
          typical_evidence: "\u2022 Politique document\xE9e sur les mesures de s\xE9\
            curit\xE9 physique, y compris une description des installations, du r\xE9\
            seau et des syst\xE8mes d\u2019information concern\xE9s."
        es:
          description: "A los efectos del art\xEDculo 21, apartado 2, letra i), de\
            \ la Directiva (UE) 2022/2555, las entidades pertinentes evitar\xE1n y\
            \ controlar\xE1n el acceso f\xEDsico no autorizado, los da\xF1os y las\
            \ interferencias a sus sistemas de redes y de informaci\xF3n."
          annotation: "\u2022 Implementar un control de acceso f\xEDsico desde el\
            \ per\xEDmetro, cuando proceda (109), teniendo en cuenta las medidas de\
            \ protecci\xF3n contra amenazas f\xEDsicas y ambientales (secci\xF3n 13.2).\
            \ \n\u2022 Garantizar que el control de acceso f\xEDsico est\xE9 integrado\
            \ con el control de acceso l\xF3gico y de red, de acuerdo con los procedimientos\
            \ de seguridad de recursos humanos (secci\xF3n 10.1) para apoyar la detecci\xF3\
            n de actividades irregulares y mejorar la seguridad general de la organizaci\xF3\
            n.\n\n(109) En un modelo de funcionamiento totalmente a distancia en el\
            \ que la organizaci\xF3n no mantiene espacios de oficina centralizados\
            \ o infraestructura local, las medidas tradicionales de control de acceso\
            \ f\xEDsico y perimetral (por ejemplo, sistemas de tarjetas de identificaci\xF3\
            n, trampas para hombres, personal de seguridad in situ) pueden no ser\
            \ aplicables. En su lugar, el enfoque debe cambiar para garantizar que\
            \ el acceso a los recursos corporativos se rija a trav\xE9s de controles\
            \ de acceso l\xF3gicos s\xF3lidos, como la autenticaci\xF3n multifactor\
            \ (MFA), las comprobaciones de cumplimiento de los puntos finales y la\
            \ conectividad segura (por ejemplo, VPN o acceso a la red Zero Trust).\
            \ Para el personal que trabaja desde casa, las organizaciones deben proporcionar\
            \ orientaci\xF3n sobre c\xF3mo proteger los espacios de trabajo en el\
            \ hogar, como restringir el acceso f\xEDsico no autorizado a los dispositivos\
            \ de trabajo y usar habitaciones o armarios cerrados con llave cuando\
            \ sea necesario. Cuando se utilizan instalaciones de coubicaci\xF3n o\
            \ en la nube de terceros, los controles de acceso f\xEDsico deben revisarse\
            \ y aplicarse contractualmente a trav\xE9s de SLA y verificarse mediante\
            \ informes de auditor\xEDa (e.g. ISO 27001, SOC 2)."
          typical_evidence: "\u2022 Pol\xEDtica documentada de medidas de seguridad\
            \ f\xEDsica, incluida una descripci\xF3n de las instalaciones y redes\
            \ y sistemas de informaci\xF3n en el \xE1mbito de aplicaci\xF3n."
        cs:
          description: "Pro \xFA\u010Dely \u010Dl. 21 odst. 2 p\xEDsm. i) sm\u011B\
            rnice (EU) 2022/2555 p\u0159\xEDslu\u0161n\xE9 subjekty p\u0159edch\xE1\
            zej\xED neopr\xE1vn\u011Bn\xE9mu fyzick\xE9mu p\u0159\xEDstupu k s\xED\
            t\xEDm a informa\u010Dn\xEDm syst\xE9m\u016Fm, jejich po\u0161kozen\xED\
            \ a z\xE1sah\u016Fm do nich a p\u0159ede\u0161le uveden\xE9 sleduj\xED\
            ."
          annotation: "\u2022 v p\u0159\xEDpad\u011B pot\u0159eby zav\xE9st fyzickou\
            \ kontrolu p\u0159\xEDstupu do perimetru (109) s p\u0159ihl\xE9dnut\xED\
            m k opat\u0159en\xEDm na ochranu p\u0159ed fyzick\xFDmi a environment\xE1\
            ln\xEDmi hrozbami (odd\xEDl 13.2). \n\u2022 Zajistit, aby fyzick\xE9 \u0159\
            \xEDzen\xED p\u0159\xEDstupu bylo integrov\xE1no s logick\xFDm a s\xED\
            \u0165ov\xFDm \u0159\xEDzen\xEDm p\u0159\xEDstupu v souladu s bezpe\u010D\
            nostn\xEDmi postupy lidsk\xFDch zdroj\u016F (odd\xEDl 10.1), aby se podpo\u0159\
            ilo odhalov\xE1n\xED nepravideln\xFDch aktivit a zv\xFD\u0161ila celkov\xE1\
            \ bezpe\u010Dnost organizace.\n\n(109) V modelu pln\u011B vzd\xE1len\xE9\
            ho provozu, kdy organizace neudr\u017Euje centralizovan\xE9 kancel\xE1\
            \u0159sk\xE9 prostory nebo m\xEDstn\xED infrastrukturu, nemus\xED b\xFD\
            t tradi\u010Dn\xED opat\u0159en\xED pro kontrolu perimetru a fyzick\xE9\
            ho p\u0159\xEDstupu (nap\u0159. syst\xE9my pr\u016Fkaz\u016F, pasti, bezpe\u010D\
            nostn\xED pracovn\xEDci na m\xEDst\u011B) pou\u017Eiteln\xE1. M\xEDsto\
            \ toho by se m\u011Bl zam\u011B\u0159it na zaji\u0161t\u011Bn\xED toho,\
            \ aby se p\u0159\xEDstup k podnikov\xFDm prost\u0159edk\u016Fm \u0159\xED\
            dil prost\u0159ednictv\xEDm siln\xFDch logick\xFDch \u0159\xEDzen\xED\
            \ p\u0159\xEDstupu, jako je v\xEDcefaktorov\xE9 ov\u011B\u0159ov\xE1n\xED\
            \ (MFA), kontroly dodr\u017Eov\xE1n\xED p\u0159edpis\u016F koncov\xFD\
            ch bod\u016F a zabezpe\u010Den\xE9 p\u0159ipojen\xED (nap\u0159. VPN nebo\
            \ Zero Trust Network Access). Pracovn\xEDk\u016Fm pracuj\xEDc\xEDm z domova\
            \ by organizace m\u011Bly poskytnout pokyny k zabezpe\u010Den\xED dom\xE1\
            c\xEDch pracovn\xEDch prostor, jako je omezen\xED neopr\xE1vn\u011Bn\xE9\
            ho fyzick\xE9ho p\u0159\xEDstupu k pracovn\xEDm za\u0159\xEDzen\xEDm a\
            \ v p\u0159\xEDpad\u011B pot\u0159eby pou\u017E\xEDv\xE1n\xED uzam\u010D\
            en\xFDch m\xEDstnost\xED nebo sk\u0159\xEDn\xED. Pokud se pou\u017E\xED\
            vaj\xED cloudov\xE1 za\u0159\xEDzen\xED nebo za\u0159\xEDzen\xED spole\u010D\
            n\xE9ho um\xEDst\u011Bn\xED t\u0159et\xEDch stran, m\u011Bly by b\xFD\
            t kontroly fyzick\xE9ho p\u0159\xEDstupu p\u0159ezkoum\xE1ny a smluvn\u011B\
            \ vym\xE1h\xE1ny prost\u0159ednictv\xEDm smluv SLA a ov\u011B\u0159eny\
            \ prost\u0159ednictv\xEDm zpr\xE1v o auditu (e.g. ISO 27001, SOC 2)."
          typical_evidence: "\u2022 Zdokumentovan\xE9 z\xE1sady pro fyzick\xE1 bezpe\u010D\
            nostn\xED opat\u0159en\xED, v\u010Detn\u011B popisu za\u0159\xEDzen\xED\
            \ a s\xEDt\xED a informa\u010Dn\xEDch syst\xE9m\u016F v rozsahu."
        it:
          description: Ai fini dell'articolo 21, paragrafo 2, lettera i), della direttiva
            (UE) 2022/2555, i soggetti pertinenti prevengono e monitorano l'accesso
            fisico non autorizzato, i danni e le interferenze alle loro reti e ai
            loro sistemi informativi.
          annotation: "\u2022 Attuare il controllo degli accessi fisici perimetrali,\
            \ se del caso (109), tenendo conto delle misure di protezione contro le\
            \ minacce fisiche e ambientali (sezione 13.2). \n\u2022 Garantire che\
            \ il controllo degli accessi fisici sia integrato con il controllo degli\
            \ accessi logici e di rete, in linea con le procedure di sicurezza delle\
            \ risorse umane (sezione 10.1) per supportare l'individuazione di attivit\xE0\
            \ irregolari e migliorare la sicurezza organizzativa complessiva.\n\n\
            (109) In un modello operativo completamente remoto in cui l'organizzazione\
            \ non dispone di uffici centralizzati o di infrastrutture locali, le tradizionali\
            \ misure di controllo degli accessi perimetrali e fisici (ad esempio sistemi\
            \ di badge, trappole, personale di sicurezza in loco) potrebbero non essere\
            \ applicabili. Al contrario, l'attenzione dovrebbe spostarsi sulla garanzia\
            \ che l'accesso alle risorse aziendali sia regolato attraverso solidi\
            \ controlli di accesso logico, come l'autenticazione a pi\xF9 fattori\
            \ (MFA), i controlli di conformit\xE0 degli endpoint e la connettivit\xE0\
            \ sicura (ad esempio VPN o Zero Trust Network Access). Per il personale\
            \ che lavora da casa, le organizzazioni dovrebbero fornire indicazioni\
            \ su come proteggere gli spazi di lavoro domestici, ad esempio limitando\
            \ l'accesso fisico non autorizzato ai dispositivi di lavoro e utilizzando\
            \ stanze o armadietti chiusi a chiave quando necessario. Laddove vengono\
            \ utilizzate strutture cloud o di co-location di terze parti, i controlli\
            \ degli accessi fisici devono essere esaminati e applicati contrattualmente\
            \ tramite SLA e verificati tramite report di audit (e.g. ISO 27001, SOC\
            \ 2)."
          typical_evidence: "\u2022 Politica documentata per le misure di sicurezza\
            \ fisica, compresa una descrizione delle strutture e dei sistemi informativi\
            \ e di rete interessati."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:13.3.2
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:13.3
      ref_id: 13.3.2
      description: 'For that purpose, the relevant entities shall:'
      annotation: "\u2022 In the risk assessment, consider risks associated with unauthorised\
        \ physical access to, damage to and interference with network and information\
        \ systems.  \n\u2022 Based on the results of the risk assessment, determine\
        \ high-criticality assets and the impact of their being compromised. This\
        \ will help in identifying the perimeter for such assets. \n\u2022 Prevent\
        \ unauthorised physical access to facilities and set up adequate measures.\n\
        \    o Physical access control measures designed to protect the entity as\
        \ a whole will also protect individual assets.\n    o Consider introducing\
        \ further specific access control measures for specific assets or facilities.\
        \ \n\u2022 Consider physical security measures (indicative, non-exhaustive\
        \ list):\n    o physical access controls such as key cards, biometric scanners,\
        \ locks and security personnel to restrict access to high-criticality areas,\
        \ o electronic control of entry, with an audit trail, o segmentation of spaces\
        \ or creation of zones according to authorization levels and their contents,\
        \ o CCTV cameras and monitoring systems to continuously observe sensitive\
        \ areas, o fencing, barriers and security patrols for securing physical perimeters,\
        \ o guards and/or alarms to monitor every physical access point to the facility\
        \ where the information system resides, 24 hours per day, seven days per week.\
        \ \n\u2022 Develop and enforce procedures for granting, reviewing and revoking\
        \ physical access rights (section 11.2).\n    o Identify a designated official\
        \ within the entity to review and approve the list of personnel with authorized\
        \ physical access.\n    o Maintain a list of personnel with authorized access\
        \ to facilities, and their authorization levels."
      typical_evidence: "\u2022 Risk assessment results \n\u2022 Existence of physical\
        \ security measures \n\u2022 Procedures for granting, reviewing and revoking\
        \ physical access rights in accordance with point 11.2 in the Annex to the\
        \ regulation."
      translations:
        fr:
          description: "\xC0 cette fin, les entit\xE9s concern\xE9es:"
          annotation: "\u2022 Dans l\u2019\xE9valuation des risques, tenez compte\
            \ des risques associ\xE9s \xE0 l\u2019acc\xE8s physique non autoris\xE9\
            , aux dommages et aux interf\xE9rences avec le r\xE9seau et les syst\xE8\
            mes d\u2019information.  \n\u2022 Sur la base des r\xE9sultats de l\u2019\
            \xE9valuation des risques, d\xE9terminer les actifs \xE0 haute criticit\xE9\
            \ et l\u2019impact de leur compromission. Cela aidera \xE0 identifier\
            \ le p\xE9rim\xE8tre de ces actifs. \n\u2022 Emp\xEAcher l\u2019acc\xE8\
            s physique non autoris\xE9 aux installations et mettre en place des mesures\
            \ ad\xE9quates.\n    o Les mesures de contr\xF4le d\u2019acc\xE8s physique\
            \ con\xE7ues pour prot\xE9ger l\u2019entit\xE9 dans son ensemble prot\xE9\
            geront \xE9galement les actifs individuels.\n    o Envisager d\u2019introduire\
            \ d\u2019autres mesures de contr\xF4le d\u2019acc\xE8s sp\xE9cifiques\
            \ pour des actifs ou des installations sp\xE9cifiques. \n\u2022 Envisager\
            \ des mesures de s\xE9curit\xE9 physique (liste indicative, non exhaustive)\
            \ :\n    o des contr\xF4les d\u2019acc\xE8s physiques tels que des cartes-cl\xE9\
            s, des scanners biom\xE9triques, des serrures et du personnel de s\xE9\
            curit\xE9 pour restreindre l\u2019acc\xE8s aux zones \xE0 haute criticit\xE9\
            , o un contr\xF4le \xE9lectronique de l\u2019entr\xE9e, avec une piste\
            \ d\u2019audit, o une segmentation des espaces ou la cr\xE9ation de zones\
            \ en fonction des niveaux d\u2019autorisation et de leur contenu, o des\
            \ cam\xE9ras de vid\xE9osurveillance et des syst\xE8mes de surveillance\
            \ pour observer en permanence les zones sensibles, o des cl\xF4tures,\
            \  Des barri\xE8res et des patrouilles de s\xE9curit\xE9 pour s\xE9curiser\
            \ les p\xE9rim\xE8tres physiques, des gardes et/ou des alarmes pour surveiller\
            \ chaque point d\u2019acc\xE8s physique \xE0 l\u2019\xE9tablissement o\xF9\
            \ r\xE9side le syst\xE8me d\u2019information, 24 heures sur 24, sept jours\
            \ sur sept. \n\u2022 \xC9laborer et appliquer des proc\xE9dures pour l\u2019\
            octroi, l\u2019examen et la r\xE9vocation des droits d\u2019acc\xE8s physique\
            \ (section 11.2).\n    o D\xE9signer un repr\xE9sentant d\xE9sign\xE9\
            \ au sein de l\u2019entit\xE9 pour examiner et approuver la liste du personnel\
            \ ayant un acc\xE8s physique autoris\xE9.\n    o Tenir \xE0 jour une liste\
            \ du personnel autoris\xE9 ayant acc\xE8s aux installations, ainsi que\
            \ leurs niveaux d\u2019autorisation."
          typical_evidence: "\u2022 R\xE9sultats de l\u2019\xE9valuation des risques\
            \ \n\u2022 Existence de mesures de s\xE9curit\xE9 physique \n\u2022 Proc\xE9\
            dures d\u2019octroi, de r\xE9vision et de r\xE9vocation des droits d\u2019\
            acc\xE8s physique conform\xE9ment au point 11.2 de l\u2019annexe du r\xE8\
            glement."
        es:
          description: 'A tal efecto, las entidades pertinentes:'
          annotation: "\u2022 En la evaluaci\xF3n de riesgos, se deben tener en cuenta\
            \ los riesgos asociados al acceso f\xEDsico no autorizado, a los da\xF1\
            os y a las interferencias en las redes y los sistemas de informaci\xF3\
            n.  \n\u2022 Con base en los resultados de la evaluaci\xF3n de riesgos,\
            \ determinar los activos de alta criticidad y el impacto de que se vean\
            \ comprometidos. Esto ayudar\xE1 a identificar el per\xEDmetro de dichos\
            \ activos. \n\u2022 Impedir el acceso f\xEDsico no autorizado a las instalaciones\
            \ y establecer medidas adecuadas.\n    Las medidas de control de acceso\
            \ f\xEDsico dise\xF1adas para proteger a la entidad en su conjunto tambi\xE9\
            n proteger\xE1n los activos individuales.\n    o Considerar la posibilidad\
            \ de introducir nuevas medidas espec\xEDficas de control de acceso para\
            \ activos o instalaciones espec\xEDficas. \n\u2022 Considere la posibilidad\
            \ de adoptar medidas de seguridad f\xEDsica (lista indicativa y no exhaustiva):\n\
            \    o controles de acceso f\xEDsicos, como tarjetas de acceso, esc\xE1\
            neres biom\xE9tricos, cerraduras y personal de seguridad para restringir\
            \ el acceso a \xE1reas de alta criticidad, o control electr\xF3nico de\
            \ entrada, con una pista de auditor\xEDa, o segmentaci\xF3n de espacios\
            \ o creaci\xF3n de zonas seg\xFAn niveles de autorizaci\xF3n y su contenido,\
            \ o c\xE1maras de circuito cerrado de televisi\xF3n y sistemas de monitoreo\
            \ para observar continuamente \xE1reas sensibles, o cercas,  Barreras\
            \ y patrullas de seguridad para asegurar los per\xEDmetros f\xEDsicos,\
            \ o Guardias y/o alarmas para monitorear cada punto de acceso f\xEDsico\
            \ a la instalaci\xF3n donde reside el sistema de informaci\xF3n, las 24\
            \ horas del d\xEDa, los siete d\xEDas de la semana. \n\u2022 Desarrollar\
            \ y aplicar procedimientos para otorgar, revisar y revocar los derechos\
            \ de acceso f\xEDsico (secci\xF3n 11.2).\n    o Identificar a un funcionario\
            \ designado dentro de la entidad para revisar y aprobar la lista de personal\
            \ con acceso f\xEDsico autorizado.\n    o Mantener una lista del personal\
            \ con acceso autorizado a las instalaciones, y sus niveles de autorizaci\xF3\
            n."
          typical_evidence: "\u2022 Resultados de la evaluaci\xF3n de riesgos \n\u2022\
            \ Existencia de medidas f\xEDsicas de seguridad \n\u2022 Procedimientos\
            \ para la concesi\xF3n, revisi\xF3n y revocaci\xF3n de los derechos de\
            \ acceso f\xEDsico de conformidad con el punto 11.2 del anexo del Reglamento."
        cs:
          description: "Za t\xEDmto \xFA\u010Delem p\u0159\xEDslu\u0161n\xE9 subjekty:"
          annotation: "\u2022 P\u0159i hodnocen\xED rizik zva\u017Ete rizika spojen\xE1\
            \ s neopr\xE1vn\u011Bn\xFDm fyzick\xFDm p\u0159\xEDstupem k s\xEDt\xED\
            m a informa\u010Dn\xEDm syst\xE9m\u016Fm, jejich po\u0161kozen\xEDm a\
            \ z\xE1sahy.  \n\u2022 Na z\xE1klad\u011B v\xFDsledk\u016F posouzen\xED\
            \ rizik ur\u010Dete aktiva s vysokou kriti\u010Dnost\xED a dopad jejich\
            \ ohro\u017Een\xED. To pom\u016F\u017Ee p\u0159i identifikaci perimetru\
            \ pro takov\xE1 aktiva. \n\u2022 Zabr\xE1nit neopr\xE1vn\u011Bn\xE9mu\
            \ fyzick\xE9mu p\u0159\xEDstupu do za\u0159\xEDzen\xED a nastavit adekv\xE1\
            tn\xED opat\u0159en\xED.\n    o Opat\u0159en\xED pro kontrolu fyzick\xE9\
            ho p\u0159\xEDstupu ur\u010Den\xE1 k ochran\u011B subjektu jako celku\
            \ budou tak\xE9 chr\xE1nit jednotliv\xE1 aktiva.\n    o Zv\xE1\u017Eit\
            \ zaveden\xED dal\u0161\xEDch specifick\xFDch opat\u0159en\xED kontroly\
            \ p\u0159\xEDstupu pro konkr\xE9tn\xED aktiva nebo za\u0159\xEDzen\xED\
            . \n\u2022 Zva\u017Ete fyzick\xE1 bezpe\u010Dnostn\xED opat\u0159en\xED\
            \ (orienta\u010Dn\xED, ne\xFApln\xFD seznam):\n    o fyzick\xE9 kontroly\
            \ p\u0159\xEDstupu, jako jsou kl\xED\u010Dov\xE9 karty, biometrick\xE9\
            \ skenery, z\xE1mky a bezpe\u010Dnostn\xED person\xE1l pro omezen\xED\
            \ p\u0159\xEDstupu do oblast\xED s vysok\xFDm kritick\xFDm v\xFDznamem,\
            \ o elektronick\xE1 kontrola vstupu s auditn\xED stopou, o segmentace\
            \ prostor nebo vytv\xE1\u0159en\xED z\xF3n podle \xFArovn\xED opr\xE1\
            vn\u011Bn\xED a jejich obsahu, o CCTV kamery a monitorovac\xED syst\xE9\
            my pro nep\u0159etr\u017Eit\xE9 sledov\xE1n\xED citliv\xFDch oblast\xED\
            , o oplocen\xED,  Z\xE1vory a bezpe\u010Dnostn\xED hl\xEDdky pro zabezpe\u010D\
            en\xED fyzick\xFDch perimetr\u016F, Ostrahy a/nebo alarmy pro monitorov\xE1\
            n\xED ka\u017Ed\xE9ho fyzick\xE9ho p\u0159\xEDstupov\xE9ho bodu do objektu,\
            \ kde je um\xEDst\u011Bn informa\u010Dn\xED syst\xE9m, a to 24 hodin denn\u011B\
            , sedm dn\xED v t\xFDdnu. \n\u2022 Vyv\xEDjet a prosazovat postupy pro\
            \ ud\u011Blov\xE1n\xED, p\u0159ezkoum\xE1v\xE1n\xED a odeb\xEDr\xE1n\xED\
            \ fyzick\xFDch p\u0159\xEDstupov\xFDch pr\xE1v (odd\xEDl 11.2).\n    o\
            \ Ur\u010Dete ur\u010Den\xE9ho \xFA\u0159edn\xEDka v r\xE1mci subjektu,\
            \ kter\xFD zkontroluje a schv\xE1l\xED seznam pracovn\xEDk\u016F s opr\xE1\
            vn\u011Bn\xFDm fyzick\xFDm p\u0159\xEDstupem.\n    o V\xE9st seznam pracovn\xED\
            k\u016F s opr\xE1vn\u011Bn\xFDm p\u0159\xEDstupem do za\u0159\xEDzen\xED\
            \ a jejich \xFArovn\u011B opr\xE1vn\u011Bn\xED."
          typical_evidence: "\u2022 V\xFDsledky hodnocen\xED rizik \n\u2022 Existence\
            \ fyzick\xFDch bezpe\u010Dnostn\xEDch opat\u0159en\xED \n\u2022 Postupy\
            \ pro ud\u011Blov\xE1n\xED, p\u0159ezkum a odn\xEDm\xE1n\xED pr\xE1v na\
            \ fyzick\xFD p\u0159\xEDstup v souladu s bodem 11.2 p\u0159\xEDlohy na\u0159\
            \xEDzen\xED."
        it:
          description: 'A tal fine, i soggetti interessati:'
          annotation: "\u2022 Nella valutazione del rischio, considerare i rischi\
            \ associati all'accesso fisico non autorizzato, ai danni e alle interferenze\
            \ con la rete e i sistemi informativi.  \n\u2022 Sulla base dei risultati\
            \ della valutazione del rischio, determinare gli asset ad alta criticit\xE0\
            \ e l'impatto della loro compromissione. Ci\xF2 contribuir\xE0 a identificare\
            \ il perimetro per tali attivit\xE0. \n\u2022 Impedire l'accesso fisico\
            \ non autorizzato alle strutture e predisporre misure adeguate.\n    o\
            \ Le misure di controllo degli accessi fisici volte a proteggere l'entit\xE0\
            \ nel suo complesso proteggeranno anche i singoli beni.\n    o Prendere\
            \ in considerazione l'introduzione di ulteriori misure specifiche di controllo\
            \ dell'accesso per beni o strutture specifici. \n\u2022 Considerare le\
            \ misure di sicurezza fisica (elenco indicativo e non esaustivo):\n  \
            \  o controlli fisici degli accessi come chiavi magnetiche, scanner biometrici,\
            \ serrature e personale di sicurezza per limitare l'accesso alle aree\
            \ ad alta criticit\xE0, o controllo elettronico dell'ingresso, con un\
            \ audit trail, o segmentazione degli spazi o creazione di zone in base\
            \ ai livelli di autorizzazione e ai loro contenuti, o telecamere a circuito\
            \ chiuso e sistemi di monitoraggio per osservare continuamente le aree\
            \ sensibili, o recinzioni,  barriere e pattuglie di sicurezza per la messa\
            \ in sicurezza dei perimetri fisici, o guardie e/o allarmi per monitorare\
            \ ogni punto di accesso fisico alla struttura in cui risiede il sistema\
            \ informativo, 24 ore su 24, sette giorni su sette. \n\u2022 Sviluppare\
            \ e applicare procedure per la concessione, la revisione e la revoca dei\
            \ diritti di accesso fisico (sezione 11.2).\n    o Identificare un funzionario\
            \ designato all'interno dell'entit\xE0 per esaminare e approvare l'elenco\
            \ del personale con accesso fisico autorizzato.\n    o Mantenere un elenco\
            \ del personale con accesso autorizzato alle strutture e i relativi livelli\
            \ di autorizzazione."
          typical_evidence: "\u2022 Risultati della valutazione del rischio \n\u2022\
            \ Esistenza di misure di sicurezza fisica \n\u2022 Procedure per la concessione,\
            \ la revisione e la revoca dei diritti di accesso fisico ai sensi del\
            \ punto 11.2 dell'allegato al regolamento."
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:13.3.2.a
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:13.3.2
      ref_id: 13.3.2.a
      description: on the basis of the risk assessment carried out pursuant to point
        2.1, lay down and use security perimeters to protect areas where network and
        information systems and other associated assets are located;
      translations:
        fr:
          description: "\xE9tablissent et utilisent, sur la base de l\u2019\xE9valuation\
            \ des risques effectu\xE9e conform\xE9ment au point 2.1, des p\xE9rim\xE8\
            tres de s\xE9curit\xE9 pour prot\xE9ger les zones o\xF9 sont situ\xE9\
            s les r\xE9seaux et syst\xE8mes d\u2019information et autres actifs associ\xE9\
            s;"
        es:
          description: "sobre la base de la evaluaci\xF3n de riesgos realizada con\
            \ arreglo al punto 2.1, establecer\xE1n y utilizar\xE1n per\xEDmetros\
            \ de seguridad para proteger las zonas en las que se ubican los sistemas\
            \ de redes y de informaci\xF3n;"
        cs:
          description: "na z\xE1klad\u011B posouzen\xED rizik proveden\xE9ho podle\
            \ bodu 2.1 stanov\xED a pou\u017E\xEDvaj\xED bezpe\u010Dnostn\xED z\xF3\
            ny s c\xEDlem chr\xE1nit oblasti, kde se nach\xE1zej\xED s\xEDt\u011B\
            \ a informa\u010Dn\xED syst\xE9my a dal\u0161\xED souvisej\xEDc\xED aktiva;"
        it:
          description: sulla base della valutazione dei rischi effettuata a norma
            del punto 2.1, predisporre e utilizzare perimetri di sicurezza per proteggere
            le aree in cui sono ubicate le reti e i sistemi informativi e altri beni
            associati;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:13.3.2.b
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:13.3.2
      ref_id: 13.3.2.b
      description: protect the areas referred to in point (a) by appropriate entry
        controls and access points;
      translations:
        fr:
          description: "prot\xE8gent les zones vis\xE9es au point a) par des contr\xF4\
            les \xE0 l\u2019entr\xE9e et des points d\u2019acc\xE8s appropri\xE9s;"
        es:
          description: "proteger\xE1n las zonas a que se refiere la letra a) mediante\
            \ controles de entrada y puntos de acceso adecuados;"
        cs:
          description: "chr\xE1n\xED oblasti uveden\xE9 v p\xEDsmenu a) vhodn\xFD\
            mi kontrolami vstupu a p\u0159\xEDstupov\xFDmi body;"
        it:
          description: proteggere le aree di cui alla lettera a) mediante adeguati
            controlli all'ingresso e punti di accesso;
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:13.3.2.c
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:13.3.2
      ref_id: 13.3.2.c
      description: design and implement physical security for offices, rooms and facilities,
      translations:
        fr:
          description: "con\xE7oivent et mettent en \u0153uvre la s\xE9curit\xE9 physique\
            \ des bureaux, des salles et des installations;"
        es:
          description: "dise\xF1ar\xE1n e implantar\xE1n la seguridad f\xEDsica de\
            \ las oficinas, las salas y las instalaciones;"
        cs:
          description: "navrhuj\xED a prov\xE1d\u011Bj\xED fyzick\xE9 zabezpe\u010D\
            en\xED kancel\xE1\u0159\xED, m\xEDstnost\xED a za\u0159\xEDzen\xED;"
        it:
          description: progettare e realizzare la sicurezza fisica di uffici, locali
            e strutture,
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:13.3.2.d
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:13.3.2
      ref_id: 13.3.2.d
      description: continuously monitor their premises for unauthorised physical access.
      translations:
        fr:
          description: "surveillent en permanence leurs locaux dans l'hypoth\xE8se\
            \ d\u2019un acc\xE8s physique non autoris\xE9."
        es:
          description: "supervisar\xE1n de manera continuada sus instalaciones en\
            \ lo que se refiere al acceso f\xEDsico no autorizado."
        cs:
          description: "pr\u016Fb\u011B\u017En\u011B monitoruj\xED sv\xE9 prostory,\
            \ zda v nich nedoch\xE1z\xED k neopr\xE1vn\u011Bn\xE9mu fyzick\xE9mu p\u0159\
            \xEDstupu."
        it:
          description: monitorare costantemente i propri locali per verificare la
            presenza di accessi fisici non autorizzati.
    - urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:13.3.3
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:annex-technical-and-methodological-requirements-nis2:13.3
      ref_id: 13.3.3
      description: The relevant entities shall test, review and, where appropriate,
        update the physical access control measures on a regular basis or following
        significant incidents or significant changes to operations or risks.
      annotation: "\u2022 Review physical access lists. \n\u2022 Employ intrusion\
        \ tests that include, where applicable, unannounced attempts to bypass or\
        \ circumvent measures associated with physical access points to the facility.\
        \ \n\u2022 At the physical boundary of the facility or network and information\
        \ system, perform security checks for unauthorised exfiltration of information\
        \ or removal of information system components.\n\n[TIPS]\n\n\u2022 Enforce\
        \ authorisation for physical access to network and information systems in\
        \ addition to the physical access controls for the facility. \n\u2022 Remove\
        \ individuals from the facility access list when their access is no longer\
        \ required. \n\u2022 Document procedures for emergencies. \n\u2022 Log and\
        \ monitor personnel physical access (entry and exit) through an entry control\
        \ system. \n\u2022 Authenticate visitors before authorizing access to the\
        \ facility. Escort visitors in accordance with security policies and procedures.\
        \ Maintain records of visitors\u2019 access to the facility. \n\u2022 Employ\
        \ automated mechanisms to facilitate the maintenance and review of visitor\
        \ access records. \n\u2022 Make sure that employees are aware of the existence\
        \ of a secure area on a need-to-know basis. \n\u2022 Define and communicate\
        \ to personnel an intruder response process or emergency procedures. \n\u2022\
        \ Communicate physical access control measures to employees. \n\u2022 Separate\
        \ facilities managed by the entity from those managed by third parties. \n\
        \u2022 Employ automated mechanisms to recognize types of intrusions and initiate\
        \ defined response actions. \n\u2022 Employ video surveillance of operational\
        \ areas and retain video recordings for a defined period, in accordance with\
        \ the GDPR. \n\u2022 Keep physical access records as dictated by applicable\
        \ regulations or based on an entity-defined period in accordance with the\
        \ entity\u2019s policy. Keep and store physical access records in case of\
        \ an audit or investigation. \n\u2022 Take heed of risk-assessment results\
        \ before doing anything with damaged devices containing sensitive data."
      typical_evidence: "\u2022 Periodic simulations and awareness-raising activities\
        \ to assess the readiness of personnel and the adequacy of the procedures\
        \ for physical access control. \n\u2022 Schedule and results of tests and\
        \ security checks. \n\u2022 Up-to-date list of personnel with authorised physical\
        \ access to facilities.  \n\n[TIPS]\n\n\u2022 Perimeter incident response\
        \ procedures in place. \n\u2022 Personnel clearly displaying their ID."
      translations:
        fr:
          description: "Les entit\xE9s concern\xE9es testent, r\xE9examinent et, s\u2019\
            il est besoin, mettent \xE0 jour les mesures de contr\xF4le de l\u2019\
            acc\xE8s physique de fa\xE7on r\xE9guli\xE8re, \xE0 la suite d\u2019incidents\
            \ importants ou lorsque des changements majeurs concernant les op\xE9\
            rations ou les risques se produisent."
          annotation: "\u2022 Examinez les listes d\u2019acc\xE8s physiques. \n\u2022\
            \ Utiliser des tests d\u2019intrusion qui comprennent, le cas \xE9ch\xE9\
            ant, des tentatives inopin\xE9es de contourner les mesures associ\xE9\
            es aux points d\u2019acc\xE8s physiques \xE0 l\u2019installation. \n\u2022\
            \ \xC0 la limite physique de l\u2019installation ou du r\xE9seau et du\
            \ syst\xE8me d\u2019information, effectuer des contr\xF4les de s\xE9curit\xE9\
            \ en vue de l\u2019exfiltration non autoris\xE9e d\u2019informations ou\
            \ de l\u2019enl\xE8vement de composants du syst\xE8me d\u2019information.\n\
            \n[CONSEILS]\n\n\u2022 Faire respecter l\u2019autorisation d\u2019acc\xE8\
            s physique au r\xE9seau et aux syst\xE8mes d\u2019information en plus\
            \ des contr\xF4les d\u2019acc\xE8s physique de l\u2019installation. \n\
            \u2022 Retirer des personnes de la liste d\u2019acc\xE8s aux installations\
            \ lorsque leur acc\xE8s n\u2019est plus n\xE9cessaire. \n\u2022 Documenter\
            \ les proc\xE9dures d\u2019urgence. \n\u2022 Enregistrer et surveiller\
            \ l\u2019acc\xE8s physique du personnel (entr\xE9e et sortie) par le biais\
            \ d\u2019un syst\xE8me de contr\xF4le d\u2019entr\xE9e. \n\u2022 Authentifier\
            \ les visiteurs avant d\u2019autoriser l\u2019acc\xE8s \xE0 l\u2019installation.\
            \ Escorter les visiteurs conform\xE9ment aux politiques et proc\xE9dures\
            \ de s\xE9curit\xE9. Tenir des registres de l\u2019acc\xE8s des visiteurs\
            \ \xE0 l\u2019installation. \n\u2022 Utiliser des m\xE9canismes automatis\xE9\
            s pour faciliter la tenue et l\u2019examen des dossiers d\u2019acc\xE8\
            s des visiteurs. \n\u2022 Assurez-vous que les employ\xE9s sont au courant\
            \ de l\u2019existence d\u2019une zone s\xE9curis\xE9e selon le principe\
            \ du besoin d\u2019en conna\xEEtre. \n\u2022 D\xE9finir et communiquer\
            \ au personnel un processus d\u2019intervention en cas d\u2019intrusion\
            \ ou des proc\xE9dures d\u2019urgence. \n\u2022 Communiquer les mesures\
            \ de contr\xF4le d\u2019acc\xE8s physique aux employ\xE9s. \n\u2022 S\xE9\
            parer les installations g\xE9r\xE9es par l\u2019entit\xE9 de celles g\xE9\
            r\xE9es par des tiers. \n\u2022 Utiliser des m\xE9canismes automatis\xE9\
            s pour reconna\xEEtre les types d\u2019intrusions et initier des actions\
            \ d\u2019intervention d\xE9finies. \n\u2022 Utiliser la vid\xE9osurveillance\
            \ des zones op\xE9rationnelles et conserver les enregistrements vid\xE9\
            o pendant une p\xE9riode d\xE9finie, conform\xE9ment au RGPD. \n\u2022\
            \ Tenir des registres d\u2019acc\xE8s physique conform\xE9ment \xE0 la\
            \ r\xE9glementation applicable ou sur la base d\u2019une p\xE9riode d\xE9\
            finie par l\u2019entit\xE9, conform\xE9ment \xE0 la politique de l\u2019\
            entit\xE9. Conservez et stockez les registres d\u2019acc\xE8s physique\
            \ en cas d\u2019audit ou d\u2019enqu\xEAte. \n\u2022 Tenez compte des\
            \ r\xE9sultats de l\u2019\xE9valuation des risques avant de faire quoi\
            \ que ce soit avec des appareils endommag\xE9s contenant des donn\xE9\
            es sensibles."
          typical_evidence: "\u2022 Simulations p\xE9riodiques et activit\xE9s de\
            \ sensibilisation pour \xE9valuer l\u2019\xE9tat de pr\xE9paration du\
            \ personnel et l\u2019ad\xE9quation des proc\xE9dures de contr\xF4le d\u2019\
            acc\xE8s physique. \n\u2022 Calendrier et r\xE9sultats des tests et contr\xF4\
            les de s\xE9curit\xE9. \n\u2022 Liste \xE0 jour du personnel autoris\xE9\
            \ \xE0 acc\xE9der physiquement aux installations.  \n\n[CONSEILS]\n\n\u2022\
            \ Proc\xE9dures d\u2019intervention en cas d\u2019incident dans le p\xE9\
            rim\xE8tre en place. \n\u2022 Le personnel affiche clairement sa pi\xE8\
            ce d\u2019identit\xE9."
        es:
          description: "Las entidades pertinentes comprobar\xE1n, revisar\xE1n y,\
            \ cuando proceda, actualizar\xE1n las medidas de control del acceso f\xED\
            sico de forma peri\xF3dica o despu\xE9s de incidentes significativos o\
            \ cambios significativos en las operaciones o los riesgos."
          annotation: "\u2022 Revisar las listas de acceso f\xEDsico. \n\u2022 Emplear\
            \ pruebas de intrusi\xF3n que incluyan, cuando corresponda, intentos sin\
            \ previo aviso de eludir o eludir las medidas asociadas con los puntos\
            \ de acceso f\xEDsico a la instalaci\xF3n. \n\u2022 En el l\xEDmite f\xED\
            sico de la instalaci\xF3n o de la red y del sistema de informaci\xF3n,\
            \ realizar comprobaciones de seguridad para detectar la exfiltraci\xF3\
            n no autorizada de informaci\xF3n o la eliminaci\xF3n de componentes del\
            \ sistema de informaci\xF3n.\n\n[CONSEJOS]\n\n\u2022 Hacer cumplir la\
            \ autorizaci\xF3n para el acceso f\xEDsico a la red y a los sistemas de\
            \ informaci\xF3n, adem\xE1s de los controles de acceso f\xEDsico a la\
            \ instalaci\xF3n. \n\u2022 Eliminar a las personas de la lista de acceso\
            \ a las instalaciones cuando su acceso ya no sea necesario. \n\u2022 Documentar\
            \ los procedimientos para emergencias. \n\u2022 Registrar y monitorear\
            \ el acceso f\xEDsico del personal (entrada y salida) a trav\xE9s de un\
            \ sistema de control de entrada. \n\u2022 Autenticar a los visitantes\
            \ antes de autorizar el acceso a las instalaciones. Escoltar a los visitantes\
            \ de acuerdo con las pol\xEDticas y procedimientos de seguridad. Mantener\
            \ registros del acceso de los visitantes a las instalaciones. \n\u2022\
            \ Emplear mecanismos automatizados para facilitar el mantenimiento y la\
            \ revisi\xF3n de los registros de acceso de los visitantes. \n\u2022 Aseg\xFA\
            rese de que los empleados est\xE9n al tanto de la existencia de un \xE1\
            rea segura en funci\xF3n de la necesidad de conocerla. \n\u2022 Definir\
            \ y comunicar al personal un proceso de respuesta a intrusos o procedimientos\
            \ de emergencia. \n\u2022 Comunicar las medidas de control de acceso f\xED\
            sico a los empleados. \n\u2022 Separar las instalaciones gestionadas por\
            \ la entidad de las gestionadas por terceros. \n\u2022 Emplear mecanismos\
            \ automatizados para reconocer tipos de intrusiones e iniciar acciones\
            \ de respuesta definidas. \n\u2022 Emplear la videovigilancia de las \xE1\
            reas operativas y conservar las grabaciones de v\xEDdeo durante un periodo\
            \ definido, de conformidad con el RGPD. \n\u2022 Mantener los registros\
            \ de acceso f\xEDsico seg\xFAn lo dictado por las regulaciones aplicables\
            \ o en funci\xF3n de un per\xEDodo definido por la entidad de acuerdo\
            \ con la pol\xEDtica de la entidad. Mantenga y almacene los registros\
            \ de acceso f\xEDsico en caso de una auditor\xEDa o investigaci\xF3n.\
            \ \n\u2022 Preste atenci\xF3n a los resultados de la evaluaci\xF3n de\
            \ riesgos antes de hacer cualquier cosa con dispositivos da\xF1ados que\
            \ contengan datos confidenciales."
          typical_evidence: "\u2022 Simulacros peri\xF3dicos y actividades de sensibilizaci\xF3\
            n para evaluar la preparaci\xF3n del personal y la idoneidad de los procedimientos\
            \ para el control del acceso f\xEDsico. \n\u2022 Programaci\xF3n y resultados\
            \ de pruebas y controles de seguridad. \n\u2022 Listado actualizado del\
            \ personal con acceso f\xEDsico autorizado a las instalaciones.  \n\n\
            [CONSEJOS]\n\n\u2022 Procedimientos de respuesta a incidentes en el per\xED\
            metro. \n\u2022 Personal que muestre claramente su identificaci\xF3n."
        cs:
          description: "P\u0159\xEDslu\u0161n\xE9 subjekty opat\u0159en\xED ke kontrole\
            \ fyzick\xE9ho p\u0159\xEDstupu testuj\xED, p\u0159ezkoum\xE1vaj\xED a\
            \ v p\u0159\xEDpad\u011B pot\u0159eby aktualizuj\xED pravideln\u011B nebo\
            \ po v\xFDznamn\xFDch incidentech nebo v\xFDznamn\xFDch zm\u011Bn\xE1\
            ch operac\xED nebo rizik."
          annotation: "\u2022 Zkontrolujte seznamy fyzick\xE9ho p\u0159\xEDstupu.\
            \ \n\u2022 Pou\u017E\xEDvat testy naru\u0161en\xED, kter\xE9 zahrnuj\xED\
            , kde je to mo\u017En\xE9, neohl\xE1\u0161en\xE9 pokusy o obejit\xED nebo\
            \ obch\xE1zen\xED opat\u0159en\xED spojen\xFDch s fyzick\xFDmi p\u0159\
            \xEDstupov\xFDmi body do za\u0159\xEDzen\xED. \n\u2022 Na fyzick\xE9m\
            \ okraji za\u0159\xEDzen\xED nebo s\xEDt\u011B a informa\u010Dn\xEDho\
            \ syst\xE9mu prov\xE1d\u011Bt bezpe\u010Dnostn\xED kontroly z hlediska\
            \ neopr\xE1vn\u011Bn\xE9ho \xFAniku informac\xED nebo odstran\u011Bn\xED\
            \ sou\u010D\xE1st\xED informa\u010Dn\xEDho syst\xE9mu.\n\n[TIPY]\n\n\u2022\
            \ Vynucovat opr\xE1vn\u011Bn\xED pro fyzick\xFD p\u0159\xEDstup k s\xED\
            ti a informa\u010Dn\xEDm syst\xE9m\u016Fm krom\u011B kontroly fyzick\xE9\
            ho p\u0159\xEDstupu k za\u0159\xEDzen\xED. \n\u2022 Odebrat jednotlivce\
            \ ze seznamu p\u0159\xEDstup\u016F k za\u0159\xEDzen\xED, pokud jejich\
            \ p\u0159\xEDstup ji\u017E nen\xED pot\u0159eba. \n\u2022 Dokumentovat\
            \ postupy pro mimo\u0159\xE1dn\xE9 ud\xE1losti. \n\u2022 Zaznamen\xE1\
            vat a monitorovat fyzick\xFD p\u0159\xEDstup person\xE1lu (vstup a v\xFD\
            stup) prost\u0159ednictv\xEDm syst\xE9mu kontroly vstupu. \n\u2022 Ov\u011B\
            \u0159te n\xE1v\u0161t\u011Bvn\xEDky p\u0159ed povolen\xEDm p\u0159\xED\
            stupu do za\u0159\xEDzen\xED. Eskortujte n\xE1v\u0161t\u011Bvn\xEDky v\
            \ souladu s bezpe\u010Dnostn\xEDmi z\xE1sadami a postupy. V\xE9st evidenci\
            \ o p\u0159\xEDstupu n\xE1v\u0161t\u011Bvn\xEDk\u016F do za\u0159\xED\
            zen\xED. \n\u2022 Vyu\u017E\xEDvat automatizovan\xE9 mechanismy k usnadn\u011B\
            n\xED \xFAdr\u017Eby a kontroly z\xE1znam\u016F o p\u0159\xEDstupu n\xE1\
            v\u0161t\u011Bvn\xEDk\u016F. \n\u2022 Ujist\u011Bte se, \u017Ee zam\u011B\
            stnanci jsou si v\u011Bdomi existence zabezpe\u010Den\xE9 oblasti na z\xE1\
            klad\u011B pot\u0159eby v\u011Bd\u011Bt. \n\u2022 Definujte a sd\u011B\
            lte person\xE1lu proces reakce na naru\u0161itele nebo nouzov\xE9 postupy.\
            \ \n\u2022 Sd\u011Blte zam\u011Bstnanc\u016Fm opat\u0159en\xED pro fyzickou\
            \ kontrolu p\u0159\xEDstupu. \n\u2022 Odd\u011Blen\xE9 objekty spravovan\xE9\
            \ subjektem od za\u0159\xEDzen\xED spravovan\xFDch t\u0159et\xEDmi stranami.\
            \ \n\u2022 Vyu\u017E\xEDvat automatizovan\xE9 mechanismy k rozpozn\xE1\
            v\xE1n\xED typ\u016F naru\u0161en\xED a iniciov\xE1n\xED definovan\xFD\
            ch reak\u010Dn\xEDch akc\xED. \n\u2022 Vyu\u017E\xEDvat kamerov\xFD dohled\
            \ nad provozn\xEDmi oblastmi a uchov\xE1vat videoz\xE1znamy po stanovenou\
            \ dobu v souladu s GDPR. \n\u2022 Uchov\xE1vat z\xE1znamy o fyzick\xE9\
            m p\u0159\xEDstupu v souladu s platn\xFDmi p\u0159edpisy nebo na z\xE1\
            klad\u011B obdob\xED definovan\xE9ho subjektem v souladu se z\xE1sadami\
            \ subjektu. V\xE9st a uchov\xE1vat z\xE1znamy o fyzick\xE9m p\u0159\xED\
            stupu pro p\u0159\xEDpad auditu nebo vy\u0161et\u0159ov\xE1n\xED. \n\u2022\
            \ Ne\u017E za\u010Dnete cokoli s po\u0161kozen\xFDmi za\u0159\xEDzen\xED\
            mi obsahuj\xEDc\xEDmi citliv\xE1 data, v\u011Bnujte pozornost v\xFDsledk\u016F\
            m posouzen\xED rizik."
          typical_evidence: "\u2022 Pravideln\xE9 simulace a osv\u011Btov\xE9 aktivity\
            \ s c\xEDlem posoudit p\u0159ipravenost person\xE1lu a p\u0159im\u011B\
            \u0159enost postup\u016F pro kontrolu fyzick\xE9ho p\u0159\xEDstupu. \n\
            \u2022 Harmonogram a v\xFDsledky test\u016F a bezpe\u010Dnostn\xEDch prov\u011B\
            rek. \n\u2022 Aktu\xE1ln\xED seznam person\xE1lu s opr\xE1vn\u011Bn\xFD\
            m fyzick\xFDm p\u0159\xEDstupem do za\u0159\xEDzen\xED.  \n\n[TIPY]\n\n\
            \u2022 Jsou zavedeny postupy reakce na incidenty v perimetru. \n\u2022\
            \ Person\xE1l jasn\u011B ukazuje sv\u016Fj pr\u016Fkaz toto\u017Enosti."
        it:
          description: I soggetti pertinenti testano, riesaminano e, se del caso,
            aggiornano le misure di controllo dell'accesso fisico su base periodica
            o a seguito di incidenti significativi o modifiche significative delle
            operazioni o dei rischi.
          annotation: "\u2022 Rivedere gli elenchi di accesso fisico. \n\u2022 Impiegare\
            \ test di intrusione che includono, ove applicabile, tentativi senza preavviso\
            \ di aggirare o eludere le misure associate ai punti di accesso fisici\
            \ alla struttura. \n\u2022 Al confine fisico della struttura o della rete\
            \ e del sistema informativo, eseguire controlli di sicurezza per l'esfiltrazione\
            \ non autorizzata di informazioni o la rimozione di componenti del sistema\
            \ informativo.\n\n[CONSIGLI]\n\n\u2022 Applicare l'autorizzazione per\
            \ l'accesso fisico alla rete e ai sistemi informativi, oltre ai controlli\
            \ di accesso fisico per la struttura. \n\u2022 Rimuovere le persone dall'elenco\
            \ di accesso alla struttura quando il loro accesso non \xE8 pi\xF9 necessario.\
            \ \n\u2022 Documentare le procedure per le emergenze. \n\u2022 Registrare\
            \ e monitorare l'accesso fisico del personale (entrata e uscita) attraverso\
            \ un sistema di controllo degli ingressi. \n\u2022 Autenticare i visitatori\
            \ prima di autorizzare l'accesso alla struttura. Accompagnare i visitatori\
            \ in conformit\xE0 con le politiche e le procedure di sicurezza. Mantenere\
            \ i registri degli accessi dei visitatori alla struttura. \n\u2022 Utilizzare\
            \ meccanismi automatizzati per facilitare la manutenzione e la revisione\
            \ dei registri di accesso dei visitatori. \n\u2022 Assicurarsi che i dipendenti\
            \ siano consapevoli dell'esistenza di un'area sicura in base alla necessit\xE0\
            \ di sapere. \n\u2022 Definire e comunicare al personale un processo di\
            \ risposta alle intrusioni o procedure di emergenza. \n\u2022 Comunicare\
            \ le misure di controllo degli accessi fisici ai dipendenti. \n\u2022\
            \ Strutture gestite dall'ente separate da quelle gestite da terzi. \n\u2022\
            \ Utilizzare meccanismi automatizzati per riconoscere i tipi di intrusione\
            \ e avviare azioni di risposta definite. \n\u2022 Utilizzare la videosorveglianza\
            \ delle aree operative e conservare le registrazioni video per un periodo\
            \ definito, in conformit\xE0 con il GDPR. \n\u2022 Conservare i registri\
            \ degli accessi fisici come dettato dalle normative applicabili o in base\
            \ a un periodo definito dall'entit\xE0 in conformit\xE0 con la politica\
            \ dell'entit\xE0. Conservare e archiviare i registri di accesso fisico\
            \ in caso di audit o indagine. \n\u2022 Prestare attenzione ai risultati\
            \ della valutazione del rischio prima di fare qualsiasi cosa con dispositivi\
            \ danneggiati contenenti dati sensibili."
          typical_evidence: "\u2022 Simulazioni periodiche e attivit\xE0 di sensibilizzazione\
            \ per valutare la prontezza del personale e l'adeguatezza delle procedure\
            \ per il controllo fisico degli accessi. \n\u2022 Calendario e risultati\
            \ dei test e dei controlli di sicurezza. \n\u2022 Elenco aggiornato del\
            \ personale con accesso fisico autorizzato alle strutture.  \n\n[CONSIGLI]\n\
            \n\u2022 Procedure di risposta agli incidenti perimetrali in atto. \n\u2022\
            \ Personale che espone chiaramente il proprio documento d'identit\xE0."
