ווי אַרטיקל 24 ענדערט סייבער-זיכערהייט סערטיפיקאַציע אין דער אי.יו.: באַלדיקע אַקציעס פֿאַר NIS 2 טימז
אַרטיקל 24 פֿון דער NIS 2 דירעקטיווע פֿאַרבעסערט נישט נאָר די רעקווייערמענץ פֿאַר סייבער-זיכערהייט סערטיפֿיקאַציע איבער דער אי.יו.; עס פֿאַרענדערט פֿונדאַמענטאַל ווי אָרגאַניזאַציעס, סאַפּלייערז, און אפילו נאַציאָנאַלע רעגולאַטאָרן מוזן דעפֿינירן און באַווײַזן זייער זיכערהייט שטעלונג. אויב אײַער מאַנשאַפֿט איז פֿאַראַנטוואָרטלעך פֿאַר קאָנפֿאָרמאַנס, פּראָקורמענט, אָדער אָדיט אין אַ באדעקטן סעקטאָר, איז דאָס נישט קיין אַבסטראַקט לעגאַלע דערהייַנטיקונג אָדער אַ לאַנגזאַמע איבערגאַנג - עס איז אַ לעבעדיקע רעגולאַטאָרישע גרענעץ וואָס איר מוזט איבערגיין. אָנהייבנדיק אָקטאָבער 2024, קענען בלויז סערטיפֿיקאַטן און סכעמעס ספּעציפֿיש אנערקענט אונטער אי.יו. געזעץ און ליסטעד אין ENISA'ס רעגיסטרי (למשל, EUCC פֿאַר ICT פּראָדוקטן, EUCS פֿאַר וואָלקן, EU5G פֿאַר טעלעקאָם) ווערן גענוצט ווי הויפּט באַווײַז פֿון קאָנפֿאָרמאַנס . סטאַנדאַרדן ווי ISO 27001 , SOC 2, אָדער NIST, לאַנג באַטראַכט גאָלד סטאַנדאַרדן אין זיכערהייט, ווערן שטיצנדיקע אַקטן סײַדן זיי ווערן עקספּליציט דערהויבן צו עקוויוואַלענץ דורך אַ קאָמיסיע דעלעגירטן אַקט - אַן אויסנאַם אלא ווי די הערשן.
מאָדערנע קאָנפאָרמאַנס איז נישט וועגן בראַנד נעמען - עס איז וועגן באַווייַזן וואָס טרעפן היינטיקע רעגולאַטאָרישע שוועל פֿאַר פארזיכערונג און טרעיסאַביליטי.
אין פּראַקטיק, ניצן סערטיפיקאַציעס וואָס זענען נישט געפֿונען אין די ENISA רעגיסטרי אָדער באדעקט דורך אַ ספּעציפיש דעלעגירט אַקט, שטעלט אויס ביידע אייער אָרגאַניזאַציע און אייער סאַפּליי קייט צו אָדיט דורכפאַל, קאָנטראַקטואַל דיספּיוץ, און אפילו דירעקט רעגולאַטאָרי פּענאַלטיז. פּראָקורעמענט טשעקליסטן און אָנבאָרדינג פּראָטאָקאָלן וואָס אַנקערן אויף עפּעס ווייניקער ווי דעם רעגולאַטאָרי באַזע לאַדען איין אומנייטיקע ריזיקע. ווי דעלעגירט אַקטן דעקן איצט בלויז אַ האַנדפול פון פּראָדוקט אָדער סערוויס קאַטעגאָריעס (און קען זיין צוריקגעצויגן מיט קליין וואָרענונג), מוזט איר מאָניטאָרירן די לעגאַלע באַפרייאונגען דינאַמיש - נישט נאָר אין אָדיט צייט, אָבער ווי אַ טייל פון אייער אָפּעראַציאָנעלן ריטם.
אָנהייבנדיק איצט:
- אויספארשן יעדע סערטיפיקאציע אין אייער קאמפלייענס אינווענטאר.
- שרייבט איבער די פארקויפער קוועסטשאַנערס און אָנבאָרדינג פלאָוז צו פארלאנגען ENISA רעגיסטרי באַווייַזן ווי אַ ניט-פאַרהאַנדעלבאַרע באַזע.
- באַהאַנדלען לעגאַסי אָדער אינטערנאַציאָנאַלע סערטיפיקאַטן ווי צווייטיק - נוצלעך פֿאַר איבערגאַנג, אָבער נישט פֿאַר לעגאַל אָדער אָדיט קלאַראַנס.
וואָס ENISA טוט טאַקע - און פאַרוואָס עס איז וויכטיק פֿאַר קאָנפאָרמאַנס און אָדיט
הינטער די קוליסן פון אַרטיקל 24 זיצט ENISA, די אי־יו אַגענטור וואָס איז באַאויפֿטראַגט מיטן פּלאַנירן, רעגיסטרירן און אויפֿהאַלטן די זעלבע סערטיפיקאַציע־פֿרэйמווערקס וואָס דעפֿינירן קאָנפֿאָרמאַנס. ENISA איז נישט נאָר אַ פּאָליטיק־קערפּער; עס איז דער לעבעדיקער אָפּעראַציאָנעלער קערן פֿון דער אייראָפּעיִשער סייבער־סערטיפיקאַציע־עקאָסיסטעם.
שליסל ENISA פֿאַראַנטוואָרטלעכקייטן אַרייַננעמען:
- האַלטן אַרויף-צו-דאַטע רעגיסטערס פון אי.יו.-אנערקענטע סערטיפיקאציע סכעמעס, ליסטינג גילטיקע סערטיפיקאטן פאר פראדוקטן/סערוויסעס איבער אינפארמאציע און קאמפאניעס (ICT), וואָלקן, טעלעקאם, OT, און נייע סעקטארן ווי סכעמעס ווערן באשטעטיקט.
- פּובלישינג אפיציעלע טשעקליסטן, SoA מאַפּינג מכשירים, און ימפּלעמענטאַציע גיידס פֿאַר פּראָקורמענט, קאָנפאָרמאַנס און אָדיט טימז - וואָס דערמעגלעכט אָרגאַניזאַציעס צו גלייך שפּיגלען די פארלאנגטע באַווייַזן און אַקסעפּטאַנס טעסץ.
- שטיצן נאציאנאלע און סעקטאראלע אויטאריטעטן: (BSI, ANSSI, ECB, אאז"וו) צו זיכער מאכן אז סעקטאר כּללים (ווי DORA פֿאַר פינאַנץ, MDR פֿאַר געזונט) שטימען מיט, אנשטאט דופליקירן אדער קאָנפליקטירן מיט, אי.יו. גרונט־רעגולאציעס.
- קרבן מאַפּינג טישן וואָס פֿאַרבינדן נישט-אי.יו. סטאַנדאַרדן (ISO 27001, NIST 800 סעריע, SOC 2) צו אי.יו. קאנטראלן - א וויכטיגע רעסורס פארן פארוואלטן ביידע איבערגאנג און צווייפאכיגע קאמפלייענס גאפען.
- ארויסגעבן נייעס, דערהייַנטיקונגען און וואָרענונגען וועגן סכעמע ענדערונגען, דעלעגירטע אקטן, און רעגיסטרי אמענדמענטן - די זענען נישט אפציאנאלע אימעילס; זיי זענען קאמפלייענס-קריטישע סיגנאלן.
ווען פּראָצעדורן שפּיגלען אָפּ די ENISA רעגיסטרי פּראָטאָקאָלן, מאַכט איר זיכער אַז איר זענט אין דער צוקונפֿט – קיין מער איבערראַשונגען בעת די אָפּשאַצונג, אויספֿאָרשונג אָדער באַזוכן פֿון די רעגולאַטאָרן.
אפעראציאנעלע טשעקליסט פאר קאמפלייענס טימז:
- בויט סאַפּלייער און קאָנטראַקט באריכטן מיט לעבעדיקע רעגיסטרי פֿראַגעס אויבן - פֿאַרלאָזט זיך נישט נאָר אויף אימעיל סערטיפיקאַטן אָדער פּדף טעקעס.
- אינטעגרירט ENISA'ס סעקטאָר-געצילטע אנווייזונגען אין ביידע אייער באווייז-זאמלונג פּראָצעס און אייערע אינערלעכע אויספארשונגען.
- האַלט אַן אויג אויף נײַע אָדער צוריקגעצויגענע דעלעגירטע אקטן און דערהייַנטיקט אײַער SoA און פּראָצעס פלאָוז פּראָאַקטיוו - נעמט נישט אָן עקוויוואַלענץ ביז עס איז ממש קאָדיפֿיצירט.
בעל NIS 2 אָן ספּרעדשיט כאַאָס
צענטראַליזירן ריזיקע, אינצידענטן, סאַפּלייערז און באַווייַזן אין איין ריינער פּלאַטפאָרמע.
אינטערנאציאנאלע סערטיפיקאציעס: נוצלעך פאר מאטוריטעט - נישט גענוג פאר NIS 2 קאמפלייענס
אסאך דערוואקסענע ארגאניזאציעס – ספעציעל די וואס ארבעטן אינטערנאציאנאל – פארלאזן זיך אויף שטארקע נישט-אי.יו. סערטיפיקאציעס (ווי ISO 27001, SOC 2, NIST, FedRAMP) אלס דע-פאקטא סיגנאלן פון שטארקע זיכערהייט. ארטיקל 24 מאכט עס קלאר: קיינע פון די סערטיפיקאציעס זענען נישט אויטאמאטיש גענוג פאר לעגאלע קאנפארמיטי אינעם אי.יו. NIS 2 פארנעם, אחוץ אויב א דעלעגירטער אקט זאגט אזוי.
די פראגע איז נישט צי האבן מיר ISO 27001? נאר צי ווערט אונזער ISO 27001 סערטיפיקאט אנערקענט אין די ENISA רעגיסטרי, אדער געגעבן עס קלארע עקוויוואלענץ פאר אונזער פראדוקט/סערוויס דורך א יעצטיגן דעלעגירטן אקט?
איצטיקע לאַנדשאַפט:
- אויסער זעלטענע דעלעגירטע אקטן, קיין קעגנזייטיגע לעגאַלע דערקענונג עקזיסטירט נישט צווישן אי.יו.-אנערקענטע סכעמעס און גרויסע נישט-אי.יו. סטאַנדאַרדן. זינט יולי 2025, זאגט ENISA'ס רעגיסטרי און אפיציעלע דאקומענטאציע קלאר: *נאר פראדוקטן, סערוויסעס, אדער פּלאַטפאָרמעס מיט גילטיקע סערטיפיקאַטן אין זייער רעגיסטרי ציילן זיך פאר NIS 2 אוידיט דורכפיר*.
- נישט-אי.יו. סערטיפיקאציעס קענען בריקן גאַפּס אָדער צושטעלן צייַטיקייט סיגנאַלן אין אייער אייגענער מאַנשאַפֿט, צושטעל קייט, אָדער אינערלעכע קאָנטראָלן, אָבער זיי זענען נישט קיין באַווייַז פֿאַר אָדיטאָרס אָדער רעגולאַטאָרן סיידן ספּעציפֿיש דערהויבן דורך אי.יו. געזעץ.
- דעלעגירטע אקטן קענען אָנבאָטן צייט-געבונדענע אדער ענג באגרענצטע עקוויוואַלענץ (למשל, פֿאַר אַ סעקטאָר, טעכנאָלאָגיע קלאַס, אָדער איבערגאַנג פּעריאָד) - אָבער די זאָלן ווערן מאָניטאָרירט ווי מאַטעריאַלע ריסקס, ווײַל זיי קענען אויסגיין אָדער צוריקגעצויגן ווערן מיט אַ קורצער צייט.
פּראַקטישע אנווייזונגען:
- האַלטן נישט-אי.יו. סערטיפיקאַציעס פֿאַר ברייטערע זיכערקייט, אָבער באַהאַנדלען זיי ווי אינערלעכע אָדער פאַרוואַלטונגס-באַווייַזן - קיינמאָל ווי דערפילן פון אַרטיקל 24 רעקווייערמענץ סייַדן געשטיצט דורך אַ בינדנדיקן דעלעגירטן אַקט.
- פֿאָלגט ענדערונגען צו דעלעגירטע אקטן ניצנדיק אפיציעלע ENISA פֿידס און לעגאַלע מאָניטאָרס; דערהייַנטיקט אייער קאָמפּליאַנס SoA גלייך נאָך ענדערונגען.
אוידיט-גרייט ענדיגט זיך נישט מיט סערטיפיקאציע - נאציאנאלע און סעקטאראלע איבערדעקונגען זענען וויכטיג
זיכערהייט טימז אין העכסט רעגולירטע ווערטיקאַלן - פון באַנקינג ביז קריטישע אינפראַסטרוקטור - שטייען פאר א נאך גרעסערער באווייז-לאסט: ניט נאר מוזט איר טרעפן ENISA'ס באַזעלינע און NIS 2 רעקווייערמענץ , נאר איר מוזט באפרידיקן יעדן נאציאנאלן רעגולאַטאָר אדער סעקטאָראַלן פּלאַן וואָס שטעלט אויף שטרענגערע אדער פּאַראַלעלע פליכטן . DORA, MDR, HERA, און אנדערע רעגולאַציעס לייגן זיך אויף שפּיץ - אָבער גאָרנישט אונטערמינערט קיינמאָל די נויטווענדיקייט פון אַ ENISA-ליסטעד סערטיפֿיקאַט.
טאָפּלטע באַריכטן און מינימום פּלוס קאָנפאָרמאַנס זענען די נייע נאָרמאַל. גייט נישט אויס פון דעם אַז איין סערטיפיקאַט, אפילו פון ENISA, קען איבערקומען אַלע רעגולאַטאָרישע שטערונגען.
וואָס מיינט דאָס אין פּראַקטיק?
- יעדער סאַפּלייער, סערוויס, אדער סיסטעם מוז זיין מאַפּט קעגן ביידע די ENISA רעגיסטרי (פֿאַר מינימום קאָנפאָרמאַטי) און אַלע באַטייַטיק סעקטאָר/נאַציאָנאַלע אָוווערלייעס. האַסקאָמע אָדער סערטיפיקאַטן פארלאנגט דורך BSI (דײַטשלאַנד), ANSSI (פֿראַנקרײַך), אָדער DNB (נעטהערלאַנדס) קען זײַן נייטיק אין דערצו צו - אָבער קיינמאָל נישט אַנשטאָט - די אי.יו. סכעמע.
- טענדער און סאַפּלייער אָנבאָרדינג איצט דאַרפן אַ מאַטריץ קאָמפּליאַנס טראַקעראיין רייע פאר יעדן רעגולאטורישן רעזשים, קאלום'ס פאר אי.יו. און נאציאנאלע/סעקטאר סכעמעס, באווייז לינקס, גאפ לאגס, דעלעגירטע אקט אפהענגיקייטן, און פאראנטווארטלעכע אייגענטימער.
- ווען סעקטאָראַלע איבערדעקונג עקזיסטירט, הערשט די שטרענגערע סכעמע. שטענדיק דערגרייכן דעם העכסטן באַר - אויב איר וועט נישט דערגרייכן דעם אַקס, ווערט דורכגעפירט דורך דעם געזעץ.
רעגולער אַפּדייט אייער קאָמפלייאַנס דאַשבאָרד און אָדיט טרייל יעדעס מאָל ווען ENISA אדער אַ נאַציאָנאַלער רעגולאַטאָר גיט ארויס אַ סכעמע אַפּדייט, דעלעגירט אַקט, אדער אָפּרופט אַ לעגאַסי עקוויוואַלענץ. לייגט צו יעדן געשעעניש צו אייער ריזיקאָ רעגיסטער און SoA.
זייט NIS 2-גרייט פון טאג איינס
לאָנטש מיט אַ באַוויזן וואָרקספּייס און טעמפּלאַטן – נאָר צופּאַסן, צוטיילן, און גיין.
אימפלעמענטאציע שטערונגען: ווען סערטיפיקאציע גאַפּס סטראשען געשעפט אפעראציעס
דער שאַרפֿסטער אָפּעראַציאָנעלער ריזיקע וואָס שטייט היינט אַנטקעגן גרויסע און מולטינאַציאָנאַלע אָרגאַניזאַציעס? זיך פֿאַרלאָזן אויף אַלטע אָדער נישט-אי.יו. סערטיפֿיקאַטן - FedRAMP, NIST, אָדער SOC 2 - אָן אַ לעבעדיקן קאָנפאָרמאַנס איבערגאַנג צו ENISA רעגיסטרי באַווײַזן.
אוידיט דורכפעלער זענען איצט קאנטראקטועלע און רעפּוטאַציע ריזיקעס, אָפט ריזאַלטינג פון אַ פאַרהאַלטן אין דערהייַנטיקן באַווייַז פון ניט-אי.יו. באַר צו קראַנט אי.יו. סכעמע - און ינקריסינגלי טריגערינג סאַפּליי קייט האָלדס אָדער חשבון סאַספּענשאַנז.
איבערקומען די אלגעמיינע פראבלעמען:
- אויסנאַם לאָגס זענען נישט מער גוט צו האָבן: אַלע אויסנעמען פֿון סאַפּלייער, אַלטע סערטיפֿיקאַטן, קאָמפּענסירנדיקע קאָנטראָלן, אדער איינפיר-גאַפּן מוזן רעקאָרדירט ווערן מיט באַשטימטע אייגנטימער, דעדליינז, און קלאָוזינג אַקציעס. ניצט אייער ISMS פּלאַטפאָרמע ווי די אָפּעראַציאָנעלע האַרץ פון דעם פּראָצעס.
- פּראָקורמענט און ריזיקאָ טימז מוזן האָבן אַ "פּויזע/שפּיל" אויטאָריטעט: פֿאַר יעדער באַציִונג אָדער קאָנטראַקט אויף וועלכן ENISA (אָדער סעקטאָראַל) סכעמע באַווייַזן איז נישט פֿולשטענדיק אָדער אויסגעלאָפן. עסקאַלירן פּראָבלעמען גלייך צום באָרד אָדער קאָנפאָרמאַנס השגחה - וואַרט נישט ביז אַן אוידיט צו אַנטדעקן נישט-קאָנפאָרמאַנס.
- קעסיידערדיק דערהייַנטיקט: נייע דעלעגירטע אקטן, אוידיטינג אינסטרוקציעס, אדער ENISA רעגיסטרי איינטראגעס זאלן גלייך אויסרופן א וואָרקפלאָו דערהייַנטיקונג, אייגענטימער אַקציע, און דאָקומענטאַציע דערפרישונג.
קנסות פאר נישט-נאכקומען קענען דערגרייכן €10 מיליאן אדער 2% פון גלאבאלער איינקונפט; צושטערונג אין צושטעל-קייט און דירעקטארן-אחריות זענען אין געפאר.
באווייזן טיש: מאכן קאמפלייענס אפעראציאנעל, נישט נאר דאקומענטירט
רעגולאַטאָרישע ענינים אין סייבערספּייס האָבן זיך באַוועגט ווייטער ווי סטאַטישע טשעקליסטן. אַרטיקל 24 פארלאנגט אַ לעבעדיקע באַווייַז מאַטריץ, וואָס פֿאַרבינדט גלייך יעדע באַשאַפונג, פאַרקויפער אָדער סאַפּלייער אַקציע צו אַ קאָרעספּאָנדירנדיקער ENISA רעגיסטרי אַרייַנטרעטונג און אי.יו. סכעמע.
אפעראציאנעלע בלויפרינט:
- הייבט אָן יעדן אָנבאָאַרדינג, אוידיט, אָדער קריטישן פּראָיעקט מיט אַ לייוו ENISA טשעקליסט-קראָס-רעפֿערענץ מיט סעקטאָראַלע/נאַציאָנאַלע אָוווערלאַגז.
- פֿאַר יעדער קאָנטראָל (למשל, אַקסעס פאַרוואַלטונג, ינסידענט ענטפער, צושטעל קייט), בויען א באווייזן איבערגאנג טיש טרעקינג:
- סכעמע און סערטיפיקאַט (מיט רעגיסטרי לינק)
- צוגאב אדער עלטערע סערטיפיקאטן
- אויסנאַם, גאַפּ, אָדער דעלעגירט אַקט דעפּענדענסי
- אייגענטימער, רעמעדיאַציע פּלאַן, סטאַטוס, און קלאָוזינג דאַטע
בייַשפּיל פֿוסגייער איבערגאַנג:
| ENISA קאָנטראָל | אי.יו. סכעמעס סערטיפיקאַט | צוגאב סערטיפיקאַט | גאַפּ/אויסנאַם | מאַצעוו | טאָג פארמאכט |
|---|---|---|---|---|---|
| צוטריט קאָנטראָל (AC-1) | EUCC–1234–2024 | יסאָ קסנומקס: קסנומקס | גאָרניט | גאַנץ | 14/02/2025 |
| צושטעלן ריזיליאַנס | EUCC–5678–2024 | SOC 2 טיפּ וו | עלטער: סאַפּלייער נישט קיין EUCC | פּלאַנירטע רעמעדיאַציע | - |
| ינסידענט ענטפער | EUCS–9012–2025 | NIST 800-53:2017 | ווארטנדיק אויף EUCS | Q3 2025 אַפּגרעיד | - |
אוידיט גרייטקייט ווערט איצט געמאסטן אין רעגיסטרי דערהייַנטיקונגען, נישט PDF האָאַרדינג. לעבן לינקס, אַקציע לאָגס, און באַזיצער אַסיינמאַנץ זענען נישט אָפּציאָנאַל.
אויטאָמאַטיזירט די טאַבעלעס און דערמאָנונגען אין אייער ISMS פּלאַטפאָרמע פֿאַר שנעלקייט און גענויקייט.
אַלע אייערע NIS 2, אַלץ אין איין אָרט
פֿון אַרטיקלען 20–23 ביז אוידיט פּלענער – דורכפֿירן און באַווײַזן קאָנפֿאָרמאַנס, פֿון ענד צו ענד.
ריזיקע, דירעקטאָרן-רעפּאָרטאַזש, און ענדערונג-טריגערס: בלייבט פאָרויס, נישט נאָר קאָמפּליאַנט
אמתע אפעראציאנעלע עקסעלענץ קומט ארויס ווען פירערשאפט באהאנדלט קאמפלייענס ווי א לעבעדיגע ריזיקע דיסציפלין , נישט א סטאטישער סערטיפיקאציע פראצעס. ארטיקל 24'ס עכטע סכנה איז שטילע דריפט-באווייזן וואס זענען אלטמאדיש, סערטיפיקאטן וואס זענען אויסגעלאפן, אדער דעלעגירטע אקטן וואס שטילערהייט פארלירן.
בעסטע-אין-קלאַס פּראָצעסן:
- בונד קוואַרטאַלע ENISA רעגיסטרי און דעלעגירטע אַקט באריכטן גלייך צו ביידע קאַמפּליאַנס באַזיצער און באָרד ציקלען (למשל, פאַרוואַלטונג איבערבליק, באָרד ריזיקאָ קאמיטעט אַגענדאַ).
- האַלט אַ לעבעדיק ריזיקע און באַווײַז רעגיסטער: איבער אלע רעגולירטע געביטן אדער אפטיילונגען. יעדע אויסנאם איז נאכפאלגלעך. פארבינדט רעגיסטרי טשעקס, דעלעגירטע אקט ענדערונגען, און דעדליין געשעענישן גלייך צו אייער SoA און ריזיקע בויגן.
- מאַכן דיין באַווײַזן איבערגאַנג און אויסנאַם סטאַטוס אַ שטייענדיק פּונקט אין פאַרוואַלטונג באריכטן און באָרד פּאַקס; עסאַקאַלירן דריפט גלייך און באַשטימען רעמעדיאַטיאָן אָונערז.
ISO 27001 בריק טאַבעלע:
| דערוואַרטונג | אָפּעראַציאָנעלע פּראַקטיק | אַנעקס א רעפערענץ |
|---|---|---|
| אי.יו. סערטיפיקאַט פֿאַר אַלע פֿאַרקויפֿער | רעגיסטרי קאָנטראָל + פארלאנגטע אָנבאָרדינג | א.15.1, א.15.2 |
| באווייז גאַפּ רעקאָרדירט, באַזיצער באַשטימט | פֿוסגייער־איבערגאַנג טאַבעלע אויטאָמאַטיש אַפּדייטעד, ברעט עסקאַלירט | א.9.1, א.5.35 |
| אינצידענט לאָגגעדינגט אין ENISA סכעמע | צווייפֿאַכיקע באַווײַזן רעקאָרדירט (EUCS + נאַציאָנאַל), באָרד אַלערט | א.5, א.5.29 |
דירעקטאָרן-באָרדס ערוואַרטן פירנדיקע אינדיקאַטאָרן, נישט רעאַקטיווע באַריכטן. איבערראשונג פון אַן אויספֿאָרשונג איז אַ סיגנאַל פֿון דורכפֿאַל סײַ אין ריזיקע און סײַ אין גאַווערנאַנס.
טרעיסאַביליטי, אויסנאַם פאַרוואַלטונג, און ENISA רעגיסטרי וואָרקפלאָו - טעגלעך פּראַקטיק
פֿאַר אויডিץ און קאָנפאָרמאַנס פירערשאַפט, זענען טרעיסאַביליטי און אויסנאַם פאַרוואַלטונג איצט טעגלעכע דיסציפּלינעס, נישט יערלעכע ריטואַלן . יעדער אַרטיקל 24-רעלאַוואַנט קאָנטראָל מוז גלייך פֿאַרבינדן צו באַווייַז אין די ENISA רעגיסטרי אָדער, פֿאַר אויסנאַמען, אַ קראַנט דעלעגירט אַקט און אַ לאָגד רעמעדיאַטיאָן פּלאַן.
טרעיסאַביליטי טיש בייַשפּיל:
| צינגל | ריזיקע/קאנטראל דערהייַנטיקונג | SoA לינק | באַווײַזן רעקאָרדירט |
|---|---|---|---|
| דעלעגירטער אקט דערהייַנטיקט | נייער פּראָדוקט/סערוויס קלאַס קאַרטירט | SoA + פֿוסגייער איבערגאַנג איז דערהייַנטיקט | ENISA רעגיסטרי באַווייַז אַטאַטשט |
| אָנבאָאַרדינג פון סאַפּלייער | ריזיקע און איבערבליק ציקל אויסגעלאָשן | א.15.1, א.5.6 | אָנבאָאַרדינג אוידיט, באָרד פיד |
| קוואַרטאַל רעגיסטרי איבערבליק | אויסגעלאָפענע סערטיפיקאַט / דעלעגירטע אַקט איז אָנגעצייכנט | באַווײַז טאַבעלע, ריזיקאָ בלאַט | רעמעדיאַציע לאָג; באַזיצער טריגערד |
אויסנאַם עסקאַלאַציע וואָרקפלאָו:
- לאָגין יעדע אויסנאַם אין SoA, ריזיקירן רעגיסטרירן, און באווייז טיש.
- באַשטימען רעמעדיאַציע באַזיצער און צייטפּלאַן.
- אינטעגרירן דערהייַנטיקונגען אין די דירעקטאָרן-אָרדענונג/איבערבליק.
- שליסן נאָר נאָכדעם ווי רעגיסטרי אָדער דעלעגירט אַקט באַווייַז איז אַטאַטשט און אַקציע פּלענער זענען געענדיקט אין SoA.
טראַסעאַביליטי פאַרהאַלטונג צייט איז אַ קריטיש ריזיקירן מעטריק - באָרדז און אָדיטאָרס זוכן פֿאַר אָדיט-צו-באַווייַז גאַפּס ווי ערשטע וואונדער פון קאָנטראָל דריפט.
ISMS.online עצה: ניצט אייער פּלאַטפאָרמע צו פּלאַנירן, לאָגן און אויטאָמאַטיזירן די ציקל באריכטן, באַווייַז אַטאַטשמאַנץ און באָרד ריפּאָרטינג לינקס.
ISMS.online אין דער אַרטיקל 24 תקופה: אויטאָמאַטיזירן באַווייזן, רעגיסטרי מאַפּינג, און באָרד צוטרוי
פֿאַר אָרגאַניזאַציעס וואָס פֿירן אָן NIS 2 קאָנפאָרמאַטי, איז ISMS.online אינזשענירט צו מאַכן אַרטיקל 24 רעקווייערמענץ אָפּעראַציאָנעל - נישט נאָר אָדיטאַבאַל - פֿאַר יעדן סטייקהאָולדער.
פירנדיקע מאַנשאַפֿטן:
- אינטעגרירן ENISA רעגיסטרי טשעקס אין יעדן וואָרקפלאָו-פּראָקורעמענט, אָנבאָרדינג, אוידיט, און סאַפּליי טשיין איבערבליק.
- אויטאמאטיזירן איבערגאנג, אויסנאם, און באווייז מאטריץ פארוואלטונג; דינאמיש דערהיינטיקן מיט יעדער ENISA רעגיסטרי אדער דעלעגירטן אקט ענדערונג.
- לעבעדיגע דאַשבאָרדז צושטעלן טרעיסאַביליטי און רעגיסטרי מאַפּינג אין אַלע צייטן, נישט נאָר בעת אָדיט ציקלען.
- באַהאַנדלט אַלע נישט-אי.יו. סערטיפֿיקאַטן ווי גאַפּ/טרענזישאַן סיגנאַלן - געמאַכט פֿאַר צוקונפֿטיקע אַקציע, קיינמאָל נישט אָנגענומען אַליין.
קאנטינעווער באווייזן זענען א קאמפעטיטיווע פארטייל. אין דער ארטיקל 24 תקופה, ווערן צוטרוי און ווידערשטאנדסקראפט געמאסטן אין שנעלקייט - צווישן רעגולאטורישע ענדערונגען און באווייז פון קאמפלייענס צווישן סאַפּלייערס.
ווייטערדיקע טריט פֿאַר טימז וואָס האָבן בדעה צו זיין גרייט אויף באָרד-לעוועל:
- פאַרנעם אַן ISMS.online פּלאַטפאָרמע איבערבליק האָט זיך פאָקוסירט אויף רעגיסטרי אינטעגראַציע, פֿוסגייער איבערגאַנג אויטאָמאַציע, און דעלעגירטע אַקט אַלערטינג.
- איינפירן אַרטיקל 24 לאָגיק אין טעגלעכע סאַפּלייער אָפּשאַצונג, קאָנטראַקט האַסקאָמע, און פאַרוואַלטונג באַריכט פלאָוז.
- לאַדט אײַן אײַערע פֿירערשאַפֿט און קאָנפֿאָרמאַנס טימז צו פּרובירן ENISA-געמאַפּטע וואָרקפֿלאָוז, טרעיסאַבאַל אָדיט לאָגס, און דינאַמישע אויסנאַם טראַקינג.
דער מאָרגנדיקער ליד אינדיקאַטאָר איז נישט לעצטן יאָר'ס סערטיפֿיקאַט - עס איז אַ לעבעדיקע מאַפּע, פֿאַרבונדן מיט רעגיסטרי, ווידערשטאַנדספֿעיִק אין פּנים פֿון ענדערונגען. נעמט אײַער אָרט בײַ דער קאָנפֿאָרמאַנס גרענעץ - וואו אוידיט, פּראָקורמענט, און פֿאַרטרוי פֿון דירעקטאָרן קומען זיך צוזאַמען.
אָפֿט געשטעלטע פֿראגן
וואָס איז דער אַקטועלער עפֿעקט פֿון NIS 2 אַרטיקל 24 אויף אייער באַניץ פֿון ISO 27001, NIST, אָדער SOC 2 סערטיפֿיקאַטן פֿאַר אי־יו קאָנפֿאָרמאַנס?
אַרטיקל 24 פֿון NIS 2 באַשטעטיקט די דאָזיקע ווירקלעכקייט: נאָר סערטיפֿיקאַטן אַרויסגעגעבן אונטער אי־יו־ברייטע סייבער־זיכערהייט סכעמעס וואָס זענען אַרײַנגעשריבן אין ENISA'ס עפֿנטלעכן רעגיסטרי ווערן אנערקענט ווי דירעקטע באַווײַזן פֿאַר NIS 2 קאָנפאָרמאַטי . סערטיפֿיקאַטן פֿון באַרימטע סטאַנדאַרדן ווי ISO 27001, NIST, אָדער SOC 2, כאָטש נאָך סימנים פֿון אַ ערנסטער זיכערהייט־פּאָזיציע, זענען לעגאַל "צוגעגעבענע" סײַדן די אייראפעישע קאָמיסיע באַשטעטיקט אַ דעלעגירטן אַקט וואָס גיט זיי פֿאָרמעלע עקוויוואַלענץ - און פֿון 2025 אָן, בלייבט דאָס טעאָרעטיש . אָדיטאָרס, פּראָקורעמענט־טימס, און קליענטן בעטן מער און מער מער ווי אַ בראַנד אָדער סערטיפֿיקאַט PDF - זיי דאַרפֿן רעגיסטרי־געשטיצטע טרעיסאַביליטי.
איר קענט נישט ווייזן קאנפארמאַנס אויב אייער אַסעט אָדער סערוויס איז נישט צוריקצופירן אין פאַקטישער צייט צו אַן ENISA-רעגיסטרירטע סערטיפיקאַציע.
ווי זעט דאָס אויס אין פּראַקסיס? אייער טאַבעלע פֿון קאָנפאָרמאַנס־באַווײַזן דאַרף איצט ווײַזן, פֿאַר יעדן אַסעט אָדער סאַפּלייער, דעם נאָמען פֿון דער אי־יו סכעמע, רעגיסטרי־נומער, פֿאַרנעם און גילטיקייט . נישט־אי־יו סערטיפֿיקאַטן קענען נאָך אַלץ דינען ווי באַווײַזן פֿון מאַטוריטעט, אָבער זיי קענען נישט פֿילן דעם גאַפּ אין קאָנפאָרמאַנס לויט אַרטיקל 24. דאָס איז אַ באַוועגונג אַוועק פֿון פּאַפּיר־באַזירטע סערטיפֿיקאַט־קאָנטראָלן צו רעאַל־צײַטיקע, רעגיסטרי־רעפֿערענצירטע באַווײַזן.
| פּראָדוקט / סערוויס | ENISA סערטיפיקאַט # | Scheme | ISO/NIST/SOC2 | העסקעם סטאַטוס |
|---|---|---|---|---|
| קונה טויער | EUCS00415 | יו.עס.עס. | יסאָ קסנומקס | פאָרן |
| וואָלקן פאַרקויפער X | EUCC00867 | אי.יו.סי.סי. | SOC 2 | פאָרן |
| לעגאַט ERP סיסטעם | - | - | יסאָ קסנומקס | ניט געהאָרכיק |
ווי ווערן סערטיפיקאציעס אנערקענט, דערהייַנטיקט און אָפּעראַציאָנעל געמאַכט אונטער NIS 2?
אלע סערטיפיקאציעס וואס ווערן אנגענומען פאר NIS 2 קאמפלייענס גייען דורך די ENISA-געפירטע עקא-סיסטעם. וויכטיגע סכעמעס יעצט שליסן איין EUCC (ICT פראדוקטן), EUCS (קלאָוד), און EU5G - יעדע מיט באשטעטיגונג ציקלען און עפנטלעכע רעגיסטריז. ENISA דערהייַנטיקט ביידע די סכעמע דעפיניציעס און די לייוו רעגיסטרי, אָפט רעאַגירנדיק צו נייע סכנות, סטאַנדאַרדן, אדער רעגולאַטאָרישע אַקציעס. מיטגליד שטאַטן און סעקטאָר אַגענטורן פֿאַראַנקערן אָדאַץ און פּראָקורעמענט טויערן צו די אפיציעלע ליסטעס.
כּדי דאָס אָפּעראַציאָנעל צו מאַכן אין אייער קאָנפאָרמאַנס פּראָגראַם, מוז אייער מאַנשאַפֿט:
- רעפֿערענץ דעם לעבן ENISA רעגיסטרי פֿאַר אַלע אַסעט און סאַפּלייער סערטיפיקאַציעס.
- רעקאָרדירט יעדער סערטיפיקאַציע'ס רעגיסטרי נומער, פאַרנעם, פארזיכערונג לעוועל און עקספּיראַציע דאַטע.
- אויטאמאטיזירן אלערטס פאר סכעמע רעוויזיעס, נייע דעלעגירטע אקטן, אדער אויסגייענדיקע סערטיפיקאציעס.
- פֿאַרבינדט יעדן אַסעט, פּראָדוקט, אָדער סאַפּלייער צו זײַן רעגיסטרי אַרײַנטראָג אין אײַער ISMS און פּראָקורעמענט פֿלוס.
- גרייטן זיך פֿאַר רעגולאַטאָרי טוישן דורך מאָניטאָרינג ENISA, סעקטאָר רעגולאַטאָרן, און דערהייַנטיקונגען צו דעלעגירטע אקטן.
קאָנפאָרמאַנס איז געוואָרן אַ לעבעדיקער פּראָצעס, נישט קיין סטאַטישע דאָקומענטן־געניטונג – איר מוזט באַווייַזן רעגיסטרי־אַליינמאַנט ביי יעדן אוידיט, נישט נאָר איין מאָל אַ יאָר.
א טיפישער קאמפלייענס ארבעטס-פלוס נעמט איצט אריין אויטאמאטישע רעגיסטרי סינגקראניזאציעס, סערטיפיקאט וואַלידאַציע ביי יעדער קאנטראקט באנייאונג, און באארד-לעוועל באריכטן וועגן ארטיקל 24 אַסעט קאַווערידזש.
| אַסעט/סאַפּלייער | ENISA רעגיסטרי נומער | Scheme | פארזיכערונג | עקספּיירי | מאַצעוו |
|---|---|---|---|---|---|
| אָנגעשטעלטער Directory | EUCS01234 | יו.עס.עס. | הויך | 2026-04-21 | אַקטיוו |
| פּייַראָל פּראַוויידער | EUCC05678 | אי.יו.סי.סי. | יקערדיק | 2025-02-10 | ווארטנדיקע דערהייַנטיקונג |
| אויף-פּרעמי דאַטאַבייס | - | - | - | - | גאַפּ/איבערגאַנג |
צי צי נאציאנאלע אגענטור רעקווייערמענץ אדער סעקטאר איבערלעגונגען איבערשרייבן דעם ENISA רעגיסטרי אונטער ארטיקל 24?
נישט- נאציאָנאַלע כּללים, סעקטאָר אָוווערלאַגס, און היסטאָרישע סערטיפיקאַטן לייגן זיך נאָר אויף שפּיץ פון, און פאַרבייטן קיינמאָל נישט, די פּאַן-אי . אַרטיקל 24'ס רעגיסטרי-געשטיצטע סכעמעס פאָרמען דעם לעגאַלן שטאָק: אויב אייער אַסעט, סערוויס, אָדער פאַרקויפער איז נישט געבונדן צו אַ קראַנט ENISA רעגיסטרי אַרייַנטרעטן, וועט ניט אַ נאַציאָנאַלער בולעטין און ניט אַ סעקטאָר טשעקליסט באַפרידיקן דעם געזעץ. אַגענטורן ווי BSI (דײַטשלאַנד) אָדער ANSSI (פֿראַנקרײַך) קענען ליסטן "אַנגענומען" ניט-אי.יו. סערטיפיקאַטן ווי שטיצנדיקע סיגנאַלן, אָבער נישט ווי אַ דירעקטער באַווײַז.
סעקטאָר ראַמען (למשל, DORA פֿאַר פֿינאַנץ, MDR פֿאַר געזונט) קענען אויסרופן ווייטערדיקע קאָנטראָלן אָדער באָרד רעפּאָרטינג לייַערס - אָבער איר הייבט שטענדיק אָן מיטן אי.יו. רעגיסטרי ערשט. אויב אַ דעלעגירטער אַקט לייגט צו נייע דערקענונג אָדער ריטייערט אַ סכעמע, מוז אייער קאָנפאָרמאַנס באַווייַז ווייַזן די צייטפּלאַן און רעאַקציע פֿאַר יעדן אַפעקטירטן אַסעט.
דער גאָלדענער סטאַנדאַרט פֿאַר קאָנפאָרמאַנס איז: באַווײַזן אַז איר טרעפֿט ערשט דעם מערסטן פֿאָדערנדיקן שיכט - ENISA, דערנאָך סעקטאָר, דערנאָך לאָקאַלע אָוווערלייז - און דאָקומענטירן יעדן שריט פֿאַר אײַער אָדיט טרייל.
| שיכטע | פארפליכטעטער באווייז | עקסטרע/איבערליי רעקווייערמענץ |
|---|---|---|
| אי־יו/שילוש־לאנד 2 | ENISA סערטיפיקאַט רעגיסטרי # | |
| סעקטאָר | סעקטאָר-ספּעציפֿישע מאַפּינג | דאָראַ באַריכטעט, MDR אינצידענט פּלייבוקס |
| לאַנדיש | לאַנד אוידיט טשעקליסט | BSI/ANSSI צוגאב, לאקאלער פארקויפער לאג |
פארוואס זענען ISO 27001, NIST, אדער SOC 2 סערטיפיקאטן נישט גענוג פאר NIS 2, אפילו מיט שטארקע קאנטראלן?
ווייל אַרטיקל 24 מאַכט לעגאַלע רעגיסטרי איינשליסונג - דורך ENISA - דער איינציקער דירעקטער באַווייַז קאַנאַל. אינטערנאַציאָנאַלע סכעמעס ווי ISO 27001, SOC 2, און NIST זענען איצט נישט לעגאַל אַרייַנגעשריבן אין די EU סייבער-זיכערהייט געזעץ, און זיי דערשייַנען אויך נישט אין די ENISA רעגיסטרי. אפילו מיט אַ שטאַרקע געשיכטע פון עקסטערנע אָדיטס, קען אַן אָרגאַניזאַציע נישט נוצן די סטאַנדאַרדן ווי אַ פאַרטרעטער סיידן אַ דעלעגירט אַקט ווערט באַשטימט (און קיינער איז נישט, ביז איצט).
די גלאבאלע סטאַנדאַרדן שטייען אָפט הינטער מיט די רעקווירעמענץ פֿאַר GDPR אויסריכטונג, אי.יו. ספּעציפֿישע אינצידענטן אַנטפּלעקונג, און נואַנסירטע סאַפּליי טשיין פארזיכערונג. אייערע קאָנפאָרמאַנס באַווייזן זאָלן זיי נאָך רעקאָרדירן - אָבער ווי מאַטוריטי אינדיקאַטאָרן, גאַפּ אַנאַליז הילף, און ווי צוגרייטונג פֿאַר צוקונפֿטיקע אי.יו. סכעמעס, נישט פֿאַר "דורכגיין/דורכפֿאַלן" אויף אַרטיקל 24.
א שטאַרקע ISO 27001 פּראָגראַם ווײַזט אַז איר נעמט זיכערהייט ערנסט; נאָר אַן ENISA רעגיסטרי סערטיפֿיקאַט באַווײַזט אַז איר זענט NIS 2 קאָמפּאַטיבל פֿאַר יענעם אַסעט.
| קאָנטראָל שטח | ENISA סכעמע | ISO/NIST/SOC2 | ראָלע אין באַווײַזן | באַזיצער |
|---|---|---|---|---|
| באַניצער אַקסעס קאָנטראָל | אי.יו.סי.סי. | יסאָ קסנומקס | ENISA סערטיפיקאַט = הויפּט באַווייַז | IT |
| וואָלקן זיכערהייט | יו.עס.עס. | SOC 2 | SOC 2 ווי אַ צוגאב | העסקעם |
וואָס מיינט אוידיט גרייטקייט ווען אַרטיקל 24 סכעמעס און דעלעגירטע אקטן טוישן זיך כסדר?
"אוידיט-גרייט" מיינט איצט אז אייערע ISMS און באשאפונגס-פייפליין זענען שטענדיג צוגעפאסט צום יעצטיגן לייוו רעגיסטרי - קיין גאפ, קיין אויסגעלאפן סערטיפיקאט, קיין צוויידייטיגקייט:
- נאָר קויפֿן/באַנייַען מכשירים און פֿאַרקויפֿער וואָס באַשטעטיקן אַ גילטיק ENISA-רעגיסטרירט סערטיפֿיקאַט.
- קאַנטיניואַסלי מאַפּ דיין אַסעץ צו רעגיסטרי איינטראַגעס און מאָניטאָר עקספּיירי, פאַרנעם און פארזיכערונג לעוועלס.
- לאָגירן יעדן אַסעט אָדער סאַפּלייער אָן אַ רעגיסטרי איינטראַג ווי אַן אויסנאַם; דאָקומענטירן די ווייטערדיקע טריט (מיגרירן, זוכן אַ דעלעגירטן אַקט, פאַרריכטן).
- אַבאָנירן צו רעגיסטרי און דעלעגירטע אַקט דערהייַנטיקונגען, און דערפרישן קאַמפּליאַנס דאַשבאָרדז יעדן קוואַרטאַל.
- זיכער מאַכן אַז פאַרוואַלטונג און באָרד באריכטן אַרייַננעמען לעבעדיק רעגיסטרי קאַווערידזש, ריס אַנאַליסיס, און אויסנאַם דערהייַנטיקונגען.
אוידיט ווידערשטאנד מיינט אז יעדער פּראָצעס, סיסטעם און פאַרקויפער קען ווערן באַוויזן, אויף פארלאנג, דורך ENISA רעגיסטרי מאַפּינג - נישט נאָך אַ כוואַליע, נאָר ביי יעדער איבערבליק.
| טרעטן | רעגיסטרי מאַפּט | פאַראַנטוואָרטלעך | מאַצעוו | ווייַטער קאַמף |
|---|---|---|---|---|
| וואָלקן פּראָקורעמענט איבערבליק | EUCS00213 | איי-טי קויפער | מאַפּט | יערלעך טשעק |
| אַפּ רינואַל | EUCC04659 | זיכערהייַט | עקספּירירט באַלד | באַנייַונג פּלאַנירט |
| לאקאלע אַפּ | - | - | ריס | מיגראַטיאָן |
ווי אזוי אויטאמאטיזירט ISMS.online דינאמישע אי.יו. רעגיסטרי קאמפלייענס פאר ארטיקל 24?
ISMS.online טראנספארמירט רעגיסטרי-ערשטע קאמפלייענס אין א לעבעדיגע, אויטאמאטישע ארבעטס-פלאך:
- לייוו רעגיסטרי סינקראָניזאַציע: פיטערט ENISA רעגיסטרי דערהייַנטיקונגען און דעלעגירטע אַקט נאָוטאַסיז אין דיין קאַמפּליאַנס לאָגס, פֿאַרבינדנדיק יעדן אַסעט און סאַפּלייער צו זייער באַאַמטער סערטיפיקאַט רעקאָרד.
- אויטאָמאַטישע מאַפּינג: יעדער איינקויף, איי-טי, אדער סאַפּלייער רעקאָרד קאָנטראָלירט אויטאָמאַטיש די רעגיסטרי קאַווערידזש; גאַפּס ווערן אָנגעצייכנט, אייגנטימער ווערן באַשטימט, און רעמעדיאַציע ווערט געטראַקט.
- אויסנאַם האַנדלינג: אַסעץ וואָס פעלן אַ רעגיסטרי גלייַכן טריגערן אַקציע פּלענער און דעלעגירט אַקט מאָניטאָרינג, אַזוי קיין ריס בלייבט נישט געזען אָדער נישט אַדרעסירט.
- דאַשבאָרד איינזיכטן: אוידיט און ברעט דאַשבאָרדז דרייען רעאַל-צייט רעגיסטרי סטאַטוסעס, עקספּיירי אַלערץ, און העסקעם גאַפּס אין פּראַקטישע איינזיכטן - קיין ספּרעדשיט פאַרשפּרייטונג.
- איבערדעקונגען פֿאַר סעקטאָרן און לענדער: לייגט צו DORA, MDR, אדער נאציאנאלע איבערלאגעס צו אייער קאמפלייענס סטאק, שטענדיג פארבינדן צום ENISA רעגיסטרי פאר פולע קאווערידזש און אוידיט פארטיידיגונג.
די מערסט ווידערשטאנדספעאיקע זיכערהייט און קאמפלייענס פירער ווערן קיינמאל נישט איבערראשט - זיי ווייסן, באלד, וועלכע פון זייערע אקטיוון און סאַפּלייערס פּאַסן צו אַרטיקל 24 און קענען דאָס באַווייַזן אין סעקונדעס.
גרייט צו פארפּשוטערן אַרטיקל 24 קאָנפאָרמאַטי?
פֿאַרבינדט זיך מיט ISMS.online צו זען רעגיסטרי-געמאַפּטע, אָדיט-גרייט פּייפּליינז אַריבער דיין סאַפּליי קייט - וואָס פֿאַרוואַנדלט קאָנפאָרמאַנס אין אַ רעאַל-צייט, עווידענס-געטריבן מייַלע וואָס איר קענט פֿאַרלאָזן זיך אויף באָרדרום, טענדערס און אָדאַץ.
