NIS2 / BSIG / CRA

Słownik terminologii NIS2

Pojęcia z NIS2, BSIG i CRA prostymi słowami (w sumie 229). Tam, gdzie kurs używa danego pojęcia, widzisz lekcję i zdanie.

Simon Orzel·Laufend geprüft

Definicje pochodzą ze słowników naszych kursów. Te same teksty pojawiają się, gdy najedziesz kursorem na pojęcie w dowolnym miejscu wiki. Pojęcie o niemieckiej nazwie jest też wymienione pod tą nazwą i odsyła do hasła angielskiego, ponieważ teksty UE i nasze kursy posługują się angielskim terminem. Tam, gdzie znamy przepis, na którym opiera się definicja, jest on podany pod tekstem.

#

§ 30 BSIG: Cybersecurity measures: Centralny przepis NIS2 w prawie niemieckim. Wymienia dziesięć kategorii środków zarządzania ryzykiem cyberbezpieczeństwa, które wszystkie podmioty objęte zakresem muszą wdrożyć. Obejmuje ocenę ryzyka, obsługę incydentów, ciągłość działania, bezpieczeństwo łańcucha dostaw, bezpieczny rozwój, ocenę skuteczności, szkolenia, kryptografię, kontrolę dostępu oraz uwierzytelnianie wieloskładnikowe. Środki muszą być 'odpowiednie, proporcjonalne i skuteczne': nie złocone ponad miarę, ale rzeczywiste.; §30 BSIG
§ 32 BSIG: Incident reporting: Obowiązkowa kaskada zgłaszania incydentów. Gdy wystąpi poważny incydent: wczesne ostrzeżenie dla BSI w ciągu 24 godzin od powzięcia wiadomości, zgłoszenie incydentu w ciągu 72 godzin, sprawozdanie okresowe, jeśli BSI o nie poprosi, i sprawozdanie końcowe najpóźniej miesiąc po zgłoszeniu w ciągu 72 godzin (zamiast niego sprawozdanie z postępów, jeśli incydent nadal trwa). Każdy etap ma określone wymagania co do treści. Spóźnione lub brakujące zgłoszenia są odrębnymi naruszeniami z własnymi przepisami o karach (§ 65(2) nr 4 i 5 BSIG).; §32 BSIG
§ 33 BSIG: Registration obligation: Obowiązek prawny dla wszystkich podmiotów objętych zakresem zarejestrowania się w BSI. Podajesz informacje o podmiocie, klasyfikację sektorową, dane kontaktowe ds. cyberbezpieczeństwa oraz zakresy adresów IP. Brak rejestracji jest samodzielnym naruszeniem zagrożonym karą do 500 000 EUR: odrębnym od kar za niewdrożenie rzeczywistych środków bezpieczeństwa.; §33 BSIG
§ 38 BSIG: Implementation and oversight duty: Przepis, który zobowiązuje organ zarządzający do wdrożenia środków zarządzania ryzykiem wymaganych na podstawie § 30 BSIG i nadzorowania ich wdrożenia (§ 38(1) BSIG) oraz do uczestniczenia w regularnych szkoleniach z zakresu ryzyk cyberbezpieczeństwa (§ 38(3) BSIG). Obowiązek zatwierdzenia tych środków ustanawia art. 20(1) NIS 2; sam § 38(1) wymienia wdrażanie i nadzorowanie. Naruszenie obowiązków wdrożenia i nadzoru czyni kierownictwo odpowiedzialnym wobec firmy za szkodę spowodowaną z winy, zgodnie z przepisami prawa spółek właściwymi dla jej formy prawnej (§ 38(2) BSIG). Czy firma może zrzec się takich roszczeń, zależy od tego prawa spółek; § 38 niczego na ten temat nie mówi. To właśnie ten paragraf przykuwa uwagę dyrektorów zarządzających.; §38(1)-(3) BSIG

A

Access control: Polityki i mechanizmy ograniczające, kto może uzyskać dostęp do systemów i danych.; Ludzie i dostęp: (g) cyberhigiena i szkolenie pracowników, (h) polityki kryptografii, (i) bezpieczeństwo zasobów ludzkich, kontrola dostępu i zarządzanie aktywami oraz (j) uwierzytelnianie wieloskładnikowe i zabezpieczona komunikacja.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 1.9: Dziesięć środków: przegląd
access review: Okresowa kontrola tego, kto ma do czego dostęp, w celu usunięcia uprawnień, które nie są już potrzebne.
Actively exploited vulnerability: Podatność w Twoim produkcie, w odniesieniu do której istnieją wiarygodne dowody, że złośliwy podmiot wykorzystał ją w systemie bez zgody właściciela systemu (artykuł 3(42) CRA). Przesłanka uruchamiająca obowiązek zgłoszenia z artykułu 14(1) CRA, który zaczyna się od wczesnego ostrzeżenia w ciągu 24 godzin (artykuł 14(2)(a)). Odróżnia się ją od podatności ujawnionej publicznie, ale jeszcze niewykorzystanej.; Obowiązek jest uruchamiany przez aktywnie wykorzystywana podatność, czyli podatność, którą złośliwy podmiot aktualnie wykorzystuje przeciwko rzeczywistym systemom bez uprawnienia.Podstawy CRA SBOM, Lekcja 3.2: Utrzymywanie aktualnego SBOM i monitorowanie podatności. Także w: Lekcja 0.1
acts of war: Kategoria wyłączenia uruchamiana, gdy atak przypisuje się państwu lub podmiotowi sponsorowanemu przez państwo.; Sprawa Mondelez dowodzi tej prawidłowości: nawet polisa na sto milionów dolarów może zostać odrzucona na podstawie jednej klauzuli wyłączającej, gdy ubezpieczyciel zdecyduje, że atak kwalifikuje się jako akt wojny.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 4.1: Ubezpieczenie nie zastępuje środków bezpieczeństwa
Administrative fine: Kara, którą organ regulacyjny nakłada na firmę na mocy artykułu 34 dyrektywy NIS2.; Artykuł 34 dyrektywy NIS2 ustala maksymalną administracyjną karę pieniężną dla podmiotów kluczowych na wyższą z kwot: dziesięć milionów euro lub dwa procent całkowitego światowego rocznego obrotu.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 1.3: Sankcje i zakaz pełnienia funkcji kierowniczych
All-hazards approach: Zasada z artykułu 21(2), zgodnie z którą Twój obowiązek obejmuje każde zagrożenie dla systemów, nie tylko cyberataki, w tym zagrożenia fizyczne, środowiskowe i ludzkie.; Artykuł 21(2) wymaga zarządzania ryzykiem "w oparciu o podejście uwzględniające wszystkie zagrożenia, którego celem jest ochrona sieci i systemów informatycznych oraz środowiska fizycznego tych systemów przed incydentami".Szkolenie NIS2 dla kadry zarządzającej, Lekcja 1.10: Podejście uwzględniające wszystkie zagrożenia i stan techniki
Appropriate and proportionate: Standard z artykułu 21(1) NIS 2 dla środków cyberbezpieczeństwa. Muszą odpowiadać ryzyku i być dostosowane do wielkości podmiotu (§ 30(1) BSIG dodaje „skuteczne”). Trudno obronić jako odpowiedni plan, którego nigdy nie przetestowano, ponieważ artykuł 21(2)(f) wymaga procedur oceny, czy środki działają.; Posługuje się zasadą appropriate and proportionate w art. 21 ust.Szkolenie z ćwiczeń sztabowych NIS 2, Lekcja 3.1: Coroczny rytm, quiz końcowy i zaświadczenie
Article 21(2)(g) NIS 2: Ustęp dyrektywy, który wymaga podstawowych praktyk cyberhigieny i szkolenia z cyberbezpieczeństwa. Podstawa prawna szkolenia właściwego dla roli, które obejmuje zaświadczenie z tego kursu.; Plik PDF, który otrzymujesz na końcu tego kursu, jest dowodem ukończenia szkolenia z cyberbezpieczeństwa właściwego dla roli na podstawie Article 21(2)(g) NIS 2 dla roli facylitatora.Szkolenie z ćwiczeń sztabowych NIS 2, Lekcja 3.1: Coroczny rytm, quiz końcowy i zaświadczenie
Asset: Wszystko, od czego zależy funkcjonowanie firmy: ludzie, procesy, subskrypcje chmurowe, budynki i sprzęt informatyczny.; Ta lekcja omawia, co oznacza "zasób" pod rządami NIS2 i dlaczego inwentaryzacja tych zasobów jest fundamentem, na którym opiera się każdy inny środek bezpieczeństwa.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 2.2: Czym jest aktywo?
Asset inventory: Utrzymywana lista wszystkich zasobów, aktualizowana w miarę zmian w firmie; fundament, na którym opiera się każdy inny środek bezpieczeństwa.; Pełna ich lista nazywa się inwentaryzacją zasobów i musi być utrzymywana w aktualności - inwentaryzacja, która była poprawna rok temu i nie została zaktualizowana, jest już luką.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 2.2: Czym jest aktywo?
Asset management: Proces identyfikacji, inwentaryzacji i zarządzania wszystkimi zasobami IT, od których zależy firma.; Ludzie i dostęp: (g) cyberhigiena i szkolenie pracowników, (h) polityki kryptografii, (i) bezpieczeństwo zasobów ludzkich, kontrola dostępu i zarządzanie aktywami oraz (j) uwierzytelnianie wieloskładnikowe i zabezpieczona komunikacja.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 1.9: Dziesięć środków: przegląd
Attestation: Opatrzony datą plik PDF, który ten kurs wydaje po ukończeniu. Dowód odbycia szkolenia z cyberbezpieczeństwa właściwego dla roli zgodnie z artykułem 21(2)(g) NIS 2 dla roli prowadzącego. To nie to samo co szkolenie organu zarządzającego zgodnie z artykułem 20(2).; Po zaliczeniu platforma generuje opatrzony datą plik PDF attestation.Podstawy CRA SBOM, Lekcja 4.1: Ocena końcowa. Także w: Szkolenie z ćwiczeń sztabowych NIS 2, Lekcja 0.1; Lekcja 0.1
Attribution: Ustalenie, kto stoi za atakiem; decyduje o tym, czy mają zastosowanie klauzule dotyczące aktów wojny i czy uruchamia się prawo sankcji.; W szczególności w przypadku klauzuli aktów wojny zadaj trzy pytania: jak w tej polisie zdefiniowano "działanie wrogie lub wojenne", co dzieje się, gdy przypisanie sprawstwa jest niejasne, oraz jakie jest deklarowane stanowisko ubezpieczyciela wobec grup ransomware powiązanych z państwami.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 4.4: Typowe wyłączenia w polisie, na które należy zwrócić uwagę. Także w: Lekcja 4.5; Lekcja 4.6
audit rights: Klauzule umowne dające Ci prawo do kontroli środków bezpieczeństwa dostawcy.; Trzecia: klauzule umowne - powiadamianie o incydentach, by szybko poinformowali Cię o naruszeniu, bazowy poziom bezpieczeństwa oraz prawa do audytu, by Ty lub osoba wyznaczona mogli sprawdzić ich pracę.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 2.9: Środek 4 - Bezpieczeństwo łańcucha dostaw. Także w: Lekcja 3.9
Audit trail: Chronologiczny zapis tego, co było wiadome, kiedy i przez kogo; powód, dla którego ukrywanie czegoś rzadko działa.; §30(1) sentence 3 BSIG, §61 BSIG; Ukrycie luki lub jej cicha naprawa zawodzą, gdy ślad audytowy opowiada tę historię, a ślad audytowy zawsze opowiada tę historię.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 3.11: Scenariusz - Wykrycie luki przed kontrolą
Availability: Właściwość systemu polegająca na dostępności i użyteczności w razie potrzeby.
awareness training: Cykliczne szkolenia z bezpieczeństwa dla wszystkich pracowników, obejmujące podstawy cyberhigieny; CIR oczekuje, że będą powtarzane i oferowane w planowanych odstępach (8.1.2, 8.1.3).

B

back door: Ukryty punkt wejścia w oprogramowaniu umożliwiający nieuprawniony dostęp, często podłożony przez atakującego.
breach of trust: Niemieckie przestępstwo (§ 266 StGB) polegające na naruszeniu obowiązku dbania o interesy majątkowe firmy i wyrządzeniu jej przez to szkody, na przykład przez wydawanie jej pieniędzy wbrew jej interesowi.; W Niemczech sprzeniewierzenie na mocy paragrafu 266 kodeksu karnego ma zastosowanie, gdy pieniądze firmy są wydawane wbrew interesowi firmy.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 4.6: Decyzje dotyczące zapłaty okupu za ransomware
BSI registration: Obowiązkowa rejestracja podmiotów objętych zakresem w BSI za pośrednictwem jego portalu internetowego. Wymagana przez §33 BSIG z własnym przepisem karnym. Podajesz dane firmy, klasyfikację sektorową, osobę kontaktową ds. cyberbezpieczeństwa oraz zakresy adresów IP. To samodzielny obowiązek prawny: jego dopełnienie nie spełnia pozostałych wymogów NIS2, ale jego niedopełnienie jest odrębnym naruszeniem.; §33 BSIG
BSI Standard 200-4: Standard niemieckiego BSI dotyczący zarządzania ciągłością działania. Określa pięć rodzajów ćwiczeń (przegląd planu lub kontrola biurkowa, ćwiczenie kadrowe, rozszerzone ćwiczenie kadrowe, ćwiczenie alarmowe, test funkcjonalny) i wymaga rocznego planu ćwiczeń.; BSI Standard 200-4 oraz norma międzynarodowa ISO 22301:2019, sekcja 8.6, wymieniają cztery rodzaje ćwiczeń:Szkolenie z ćwiczeń sztabowych NIS 2, Lekcja 0.1: Czym jest ćwiczenie sztabowe i dlaczego NIS 2 go wymaga
BSI TR-02102: Wytyczna techniczna BSI wymieniająca aktualnie zalecane algorytmy kryptograficzne; odwołaj się do niej w polityce, aby pozostawała automatycznie aktualna.; Zamiast zapamiętywania nazw algorytmów, właściwym odniesieniem dla europejskich firm jest BSI TR-02102, które BSI aktualizuje w miarę ewolucji badań.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 2.13: Środek 8 - Kryptografia
BSIG: Niemiecka ustawa o BSI (ustawa o Federalnym Urzędzie Bezpieczeństwa Informacji i o bezpieczeństwie technologii informacyjnych podmiotów), krajowa ustawa wdrażająca NIS2 w Niemczech.; BSIG (Art. 1 of the Act of 2 December 2025, BGBl. 2025 I Nr. 301); W Niemczech tym prawem jest BSIG (federalna ustawa o bezpieczeństwie IT, znowelizowana ustawą wdrażającą NIS2).Szkolenie NIS2 dla kadry zarządzającej, Lekcja 1.1: Czym jest NIS2 i dlaczego istnieje
Business continuity: Plany i procesy zapewniające ciągłość krytycznych operacji w trakcie zakłócenia i po nim.; Incydenty i ciągłość: (b) obsługa incydentów i (c) ciągłość działania - kopie zapasowe, odtwarzanie i zarządzanie kryzysowe.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 1.9: Dziesięć środków: przegląd
Business continuity (BCM): Ogólna dziedzina utrzymywania działania firmy w trakcie incydentów; obejmuje kopie zapasowe, odtwarzanie po awarii i zarządzanie kryzysowe.; "Jakie jest nasze RTO dla kluczowego systemu biznesowego i co mówi ostatni test przywracania sprawności po awarii o faktycznym czasie odtwarzania?"Szkolenie NIS2 dla kadry zarządzającej, Lekcja 2.8: Środek 3 - Ciągłość działania
Business impact analysis (BIA): Analiza skutków poważnych zakłóceń dla działalności firmy; ustala wymagania dotyczące ciągłości, takie jak czasy przywrócenia i dopuszczalna utrata danych (CIR 4.1.3), i pozwala przełożyć macierz ryzyka na konkretne działania.; Dokument, który przekłada te kategorie na liczby biznesowe, nazywa się analizą wpływu na działalność - BIA.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 2.5: Triada CIA i wpływ na działalność
business interruption: Strata finansowa wynikająca z zatrzymania lub pogorszenia działalności w trakcie incydentu i po nim.; Pokrywa koszty obsługi incydentu cybernetycznego: analizę śledczą, reagowanie na incydent, powiadomienie klientów oraz straty z tytułu przerwy w działalności.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 4.3: Ubezpieczenie cybernetyczne vs D&O: różne produkty, różne zakresy ochrony
Business Judgment Rule: Zasada prawa spółek chroniąca członków zarządu przed osobistą odpowiedzialnością za decyzje biznesowe podjęte w dobrej wierze na podstawie rozsądnych informacji.; Zasada osądu biznesowego chroni członków zarządu przed osobistą odpowiedzialnością za decyzje biznesowe podejmowane w dobrej wierze, na podstawie rozsądnej informacji, dla dobra firmy.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 1.8: Business judgment rule cię nie chroni

C

chain of evidence: Nieprzerwany zapis tego, jak zebrano, przechowywano i obsługiwano dowody cyfrowe; niszczony przez przywrócenie systemów przed analizą kryminalistyczną.; Przywracanie, zanim informatyka śledcza zbada zainfekowane systemy, niszczy łańcuch dowodowy i pozostawia wektor wejścia otwarty.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 3.8: Scenariusz - Atak ransomware w piątkowe popołudnie
CIA triad: Poufność, integralność, dostępność - trzy rodzaje szkód, jakie może wyrządzić incydent; język, którym posługuje się każda rozmowa o bezpieczeństwie.; Pod tym sformułowaniem kryje się trzyliterowe słownictwo, którego używa każda rozmowa o bezpieczeństwie: triada CIA.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 2.5: Triada CIA i wpływ na działalność
CIR: Rozporządzenie wykonawcze Komisji (UE) 2024/2690, szczegółowy techniczny zbiór zasad dla niektórych dostawców cyfrowych (takich jak dostawcy usług DNS, usług chmurowych, usług ośrodka przetwarzania danych i usług zarządzanych oraz internetowe platformy handlowe) i dla dostawców usług zaufania; stosuje się je bezpośrednio we wszystkich państwach członkowskich.; Commission Implementing Regulation (EU) 2024/2690; Ponad dyrektywą stoi drugi akt prawa unijnego: rozporządzenie wykonawcze Komisji (UE) 2024/2690 - CIR.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 1.1: Czym jest NIS2 i dlaczego istnieje
CIR 2024/2690: Rozporządzenie wykonawcze Komisji (UE) 2024/2690. Określa wymagania techniczne i metodologiczne dotyczące środków cyberbezpieczeństwa dla określonych podmiotów infrastruktury cyfrowej.; CIR 2024/2690, art. 3, definiuje, co uznaje się za istotne.Szkolenie z ćwiczeń sztabowych NIS 2, Lekcja 1.1: Kaskada zgłoszeń z artykułu 23, którą Twoje ćwiczenie musi przećwiczyć. Także w: Lekcja 2.2; Lekcja 2.3
CISO: Chief Information Security Officer; osoba odpowiedzialna za program cyberbezpieczeństwa firmy.; Gdyby Twój organ nadzoru wszedł jutro do Twojego biura i zapytał o cyberbezpieczeństwo, na ile pytań mógłbyś odpowiedzieć bez zwracania się do swojego CISO?Szkolenie NIS2 dla kadry zarządzającej, Lekcja 3.1: Pytania, na które musi odpowiedzieć każdy CEO
Civil liability: Ryzyko prawne, które pozwala Twojej własnej firmie pozwać Cię osobiście o odszkodowanie na mocy krajowego prawa spółek.
Competent authority: Krajowy organ, który nadzoruje i egzekwuje NIS2 (w Niemczech BSI). Państwo członkowskie może wyznaczyć więcej niż jeden organ.; Każdy kraj wyznacza właściwy organ - organ nadzoru, który nadzoruje, audytuje i nakłada kary na objęte przepisami firmy.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 1.1: Czym jest NIS2 i dlaczego istnieje. Także w: Lekcja 1.4
Compliance gap: Brakujący lub niekompletny element wymaganego programu zgodności.; Bez niej nie mogą się z wami skontaktować - a ta luka komunikacyjna jest sama w sobie luką w zgodności.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 1.4: Obowiązek rejestracji
compliance officer: Osoba odpowiedzialna za zapewnienie, że firma spełnia swoje obowiązki prawne i regulacyjne.; Na miejscu przesłuchuje CISO, specjalistę ds. zgodności oraz Ciebie.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 3.7: Co dzieje się podczas kontroli organu nadzorczego
Compliance scope: Zakres podmiotów i działalności objętych danym prawem, a więc obowiązków, które się do nich stosują.; Różnica polega na intensywności egzekwowania, nie na zakresie zgodności.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 1.2: Kogo to dotyczy: podmioty kluczowe i ważne
confidentiality: Dane są dostępne wyłącznie dla osób, które powinny je widzieć; ich utrata to wyciek.
Conformity assessment: Proces, za pomocą którego producent wykazuje, że jego produkt spełnia wymagania CRA. Produkty klasy domyślnej mogą podlegać samoocenie. Ważne produkty klasy I mogą podlegać samoocenie z wykorzystaniem norm zharmonizowanych. Ważne produkty klasy II wymagają oceny zgodności przez jednostkę notyfikowaną (CAB). SBOM stanowi część dokumentacji technicznej ocenianej podczas oceny zgodności.
containment: Natychmiastowe działania podejmowane, aby powstrzymać dalsze rozprzestrzenianie się incydentu.; Poczekaj do poniedziałku, a zmarnujesz sześćdziesiąt cztery godziny powstrzymywania: dwudziestoczterogodzinny zegar regulacyjny tyka niezależnie od tego, czy ogłosisz kryzys, czy nie.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 3.8: Scenariusz - Atak ransomware w piątkowe popołudnie. Także w: Lekcja 3.10
Coordinated vulnerability disclosure: Proces, w którym badacz bezpieczeństwa zgłasza podatność producentowi prywatnie, zanim opublikuje szczegóły. Załącznik I część II punkt (5) CRA wymaga od producentów wprowadzenia i egzekwowania polityki skoordynowanego ujawniania podatności (zob. także artykuł 13(8)). Zwykle realizowany za pomocą pliku security.txt i dedykowanego kontaktu ds. bezpieczeństwa.; Dokumentacja projektu i rozwoju obejmująca architekturę, decyzje projektowe, model zagrożeń oraz politykę koordynowanego ujawniania podatnościPodstawy CRA SBOM, Lekcja 1.3: Zasada przechowywania przez 10 lat i kto uzyskuje dostęp
Coverage gap: Konkretna przestrzeń między tym, co pokrywają Twoje polisy, a tym, czego organ regulacyjny może faktycznie od Ciebie żądać; miejsce, w którym znajduje się nieubezpieczona odpowiedzialność osobista.; Luka między tym, co zakładałeś, że polisa pokrywa, a tym, co faktycznie pokrywa, to przestrzeń, w której czai się kosztowna niespodzianka.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 4.2: Ubezpieczenie D&O: co obejmuje i wyłączenia cybernetyczne
Crisis declaration: Formalna czynność przełączająca firmę w tryb reagowania na incydenty, którą może autoryzować tylko organ zarządzający.
crisis management: Wyznaczony zespół kryzysowy z wcześniej przydzielonymi uprawnieniami decyzyjnymi i udokumentowanym planem; NIS2 wymienia zarządzanie kryzysowe obok ciągłości działania w artykule 21(2)(c).
critical asset: Zasób, którego utrata wyrządziłaby firmie znaczną szkodę; priorytetowy w BIA.
Critical sectors: Branże, które UE uznaje za istotne dla społeczeństwa i gospodarki, wymienione w załącznikach I i II do NIS2.; Jeden ogólnounijny zbiór zasad dotyczący tego, jak firmy w sektorach krytycznych chronią się przed cyberatakami i co muszą zrobić, gdy coś pójdzie nie tak.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 1.1: Czym jest NIS2 i dlaczego istnieje
critical vulnerability: Słabość systemu oceniona na najwyższym poziomie dotkliwości; CIR oczekuje, że podatności krytyczne dla działalności będą usuwane bez zbędnej zwłoki (6.10.2(c)).
Cross-border impact: Wpływ incydentu na usługi lub podmioty w innych państwach członkowskich UE.; Przyczyna źródłowa, zastosowane środki łagodzące oraz wszelki wpływ transgraniczny.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 1.11: Kaskada zgłaszania i poważne incydenty
Cryptography: Wykorzystanie szyfrowania i powiązanych technik do ochrony poufności i integralności danych.; Ludzie i dostęp: (g) cyberhigiena i szkolenie pracowników, (h) polityki kryptografii, (i) bezpieczeństwo zasobów ludzkich, kontrola dostępu i zarządzanie aktywami oraz (j) uwierzytelnianie wieloskładnikowe i zabezpieczona komunikacja.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 1.9: Dziesięć środków: przegląd
CSIRT: Computer Security Incident Response Team, krajowy organ (państwo członkowskie może mieć ich kilka), który zajmuje się incydentami; zgłoszenia trafiają do niego lub, w stosownych przypadkach, do właściwego organu (artykuł 23(1)).; NIS2 Directive Art. 10, §32 BSIG; Artykuł 23 dyrektywy NIS2 wymaga, by objęte firmy zgłaszały poważne incydenty swojemu krajowemu CSIRT lub właściwemu organowi.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 1.11: Kaskada zgłaszania i poważne incydenty. Także w: Lekcja 4.5; Szkolenie z ćwiczeń sztabowych NIS 2, Lekcja 1.1
Customer notification: Twój obowiązek na mocy artykułu 23(1) polegający na poinformowaniu w stosownych przypadkach poszkodowanych klientów o poważnym incydencie, odrębny od obowiązku zgłoszenia do organu regulacyjnego.; Jeśli nie potrafią odpowiedzieć, zakładaj najgorsze i przygotuj powiadomienie klientów.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 3.9: Scenariusz - Naruszenie u dostawcy dotyczące Twoich danych klientów
customer notification duty: Prawny obowiązek poinformowania, w stosownych przypadkach, poszkodowanych klientów o poważnym incydencie, który może niekorzystnie wpłynąć na usługę, jaką otrzymują.; Obowiązek powiadomienia klientów na mocy Artykułu 23(1), ten i tak spada na ciebie.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 4.1: Ubezpieczenie nie zastępuje środków bezpieczeństwa
CVE: Common Vulnerabilities and Exposures. Standaryzowany identyfikator publicznie znanych podatności cyberbezpieczeństwa. Format: CVE-ROK-NUMER (np. CVE-2021-44228 dla Log4Shell). SBOM powiązany z bazą CVE informuje, które znane podatności dotyczą produktu.; Każdy wpis o podatności odwołuje się do CVE i wskazanego komponentu.Podstawy CRA SBOM, Lekcja 2.1: CycloneDX: format SBOM zorientowany na bezpieczeństwo. Także w: Lekcja 1.1; Lekcja 3.2
Cyber hygiene: Podstawowe praktyki bezpieczeństwa (instalowanie poprawek, zarządzanie hasłami, podnoszenie świadomości), które zmniejszają codzienne ryzyko.; Ludzie i dostęp: (g) cyberhigiena i szkolenie pracowników, (h) polityki kryptografii, (i) bezpieczeństwo zasobów ludzkich, kontrola dostępu i zarządzanie aktywami oraz (j) uwierzytelnianie wieloskładnikowe i zabezpieczona komunikacja.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 1.9: Dziesięć środków: przegląd. Także w: Lekcja 2.12
Cyber insurance: Polisa, która wypłaca świadczenie po incydencie, pokrywając niektóre straty finansowe, z zastrzeżeniem wyłączeń.; Mondelez posiadał polisę cybernetyczną w Zurich Insurance opiewającą na tę kwotę.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 4.1: Ubezpieczenie nie zastępuje środków bezpieczeństwa. Także w: Lekcja 4.3; Lekcja 4.4
CycloneDX: Standard SBOM stworzony przez OWASP w formacie JSON lub XML. Nastawiony na bezpieczeństwo: zbudowany wokół śledzenia podatności, oświadczeń VEX i integracji z CVE. Aktualna jest wersja 1.7. CRA nie wskazuje preferowanego formatu (załącznik I część II punkt (1) wymaga formatu powszechnie używanego i czytelnego maszynowo), ale CycloneDX wprost odpowiada procesom zarządzania podatnościami.; Formaty CycloneDX i SPDX wypełniają tę lukę.Podstawy CRA SBOM, Lekcja 1.1: Co wchodzi w skład SBOM: komponenty, wersje i identyfikatory. Także w: Lekcja 0.1; Lekcja 2.1; Lekcja 2.2; Lekcja 4.1

D

D&O insurance: Ubezpieczenie odpowiedzialności członków zarządu i kadry kierowniczej (D&O); produkt odrębny od ubezpieczenia cybernetycznego, obejmujący roszczenia z tytułu osobistej odpowiedzialności wobec organu zarządzającego.; Natomiast odpowiedzialność osobista na mocy Artykułu 20(1) jest objęta ubezpieczeniem D&O, a nie ubezpieczeniem cybernetycznym, to różne produkty.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 4.1: Ubezpieczenie nie zastępuje środków bezpieczeństwa. Także w: Lekcja 4.3
deductible: Kwota, którą ubezpieczony musi pokryć z własnej kieszeni, zanim zacznie obowiązywać ochrona.
Digital infrastructure entities: Rodzaje podmiotów, do których CIR 2024/2690 stosuje się bezpośrednio („odpowiednie podmioty” w jego artykule 1): dostawcy usług DNS, rejestry nazw TLD, dostawcy usług chmurowych, ośrodki przetwarzania danych, CDN, MSP, MSSP, internetowe platformy handlowe, wyszukiwarki internetowe, sieci społecznościowe, dostawcy usług zaufania. Nie jest tożsamy z sektorem NIS 2 „infrastruktura cyfrowa”, który obejmuje także punkty wymiany ruchu internetowego i dostawców usług telekomunikacyjnych.; CIR 2024/2690 (rozporządzenie wykonawcze Komisji, które podaje szczegóły techniczne dla digital infrastructure entities) jest bardziej bezpośrednie.Szkolenie z ćwiczeń sztabowych NIS 2, Lekcja 0.1: Czym jest ćwiczenie sztabowe i dlaczego NIS 2 go wymaga
Direct reporting line: Struktura organizacyjna, która daje co najmniej jednej osobie bezpośrednią linię do organu zarządzającego w sprawach cyberbezpieczeństwa; wymagana dla rodzajów dostawców objętych rozporządzeniem wykonawczym (UE) 2024/2690 (załącznik 1.2.3) i sprawdzana przez audytorów.; Jeśli firma następnie dozna incydentu, brak bezpośredniej linii raportowania jest dowodem na to, że organ zarządzający nie nadzorował właściwie programu cyberbezpieczeństwa.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 3.6: CISO i linie raportowania do rady nadzorczej
Directive: Akt prawny UE, który wskazuje każdemu krajowi, jaki rezultat ma osiągnąć; każdy kraj tworzy własne prawo krajowe w celu jego wdrożenia.; Formalna nazwa to dyrektywa (UE) 2022/2555 - dyrektywa NIS2.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 1.1: Czym jest NIS2 i dlaczego istnieje. Także w: Lekcja 0.1
Directors and officers liability insurance: Produkt sprzedawany w celu ochrony członków zarządu przed roszczeniami o nienależyte zarządzanie; zazwyczaj obejmuje roszczenia o odszkodowanie za naruszenie obowiązków, ale nie kary pieniężne nałożone na firmę ani świadome naruszenia.; Sekretarz zarządu przesyła ci ofertę odnowienia firmowego ubezpieczenia odpowiedzialności członków organów zarządczych i nadzorczych.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 4.2: Ubezpieczenie D&O: co obejmuje i wyłączenia cybernetyczne
disaster recovery: Procedury i infrastruktura, które przywracają działanie firmy po poważnym zdarzeniu.
DPO: Data Protection Officer. Rola uregulowana w artykułach 37 do 39 GDPR (wyznaczenie, pozycja, zadania). Zdecydowanie zalecany przy każdym ćwiczeniu typu tabletop, w którym występują dane osobowe.; DPO lub osoba kontaktowa ds. ochrony danych, gdy w grę wchodzą personal data.Szkolenie z ćwiczeń sztabowych NIS 2, Lekcja 1.2: Przydział ról: kto musi być obecny
Due care: Standard staranności i należytej uwagi, jakiego oczekuje się od rozsądnego członka zarządu.; Zadanie tego pytania i udokumentowanie, że je zadaliście, jest już częścią standardu należytej staranności.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 1.3: Sankcje i zakaz pełnienia funkcji kierowniczych. Także w: Lekcja 1.7; Lekcja 1.8; Lekcja 3.2
Due diligence: Praca przygotowawcza, którą musisz wykonać przed podpisaniem czegoś o wadze prawnej; standard, który decyduje, czy Twoje zatwierdzenie jest możliwe do obrony.
Duty of legality: Szczególny obowiązek członka zarządu polegający na przestrzeganiu obowiązującego prawa, który ma pierwszeństwo przed Business Judgment Rule: nie ma swobody oceny co do tego, czy należy wypełnić obowiązek prawny.; Zasada nazywa się obowiązkiem legalności: członek zarządu musi przestrzegać obowiązującego prawa i nie jest dozwolony żaden osąd biznesowy co do tego, czy stosować się do obowiązku prawnego.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 1.8: Business judgment rule cię nie chroni

E

Early warning: Pierwszy etap zgłaszania, wymagany w ciągu dwudziestu czterech godzin od powzięcia wiedzy o istotnym incydencie.; Po pierwsze: wczesne ostrzeżenie.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 1.11: Kaskada zgłaszania i poważne incydenty. Także w: Lekcja 3.8; Szkolenie z ćwiczeń sztabowych NIS 2, Lekcja 1.1; Szkolenie z ćwiczeń sztabowych NIS 2, Lekcja 2.1
Encryption at rest: Szyfrowanie przechowywanych danych (na dysku, w bazie danych lub w kopii zapasowej), aby kradzież fizyczna ich nie ujawniła.; Szyfrowanie w spoczynku oznacza, że dane leżące na dysku, w bazie danych lub w kopii zapasowej są zaszyfrowane tak, że ktoś, kto wykradnie nośnik, nie może ich odczytać.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 2.13: Środek 8 - Kryptografia
Encryption in transit: Szyfrowanie danych przesyłanych między systemami, aby przechwycenie ich nie ujawniło.; Szyfrowanie w tranzycie oznacza, że dane przemieszczające się między systemami są zaszyfrowane tak, że ktoś, kto przechwyci ruch, nie może ich odczytać.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 2.13: Środek 8 - Kryptografia
ENISA: Agencja Unii Europejskiej ds. Cyberbezpieczeństwa. Wraz z CSIRT wyznaczonym jako koordynator przyjmuje zgłoszenia podatności i incydentów na podstawie artykułu 14 CRA za pośrednictwem jednolitej platformy zgłoszeniowej (działa od 11 września 2026 r.). Zgodnie z artykułem 23 NIS 2 podmioty zgłaszają się do swojego CSIRT lub właściwego organu, a nie do ENISA; ENISA otrzymuje informacje o incydentach transgranicznych i kwartalne sprawozdania zbiorcze od organów krajowych.
ENISA registry: Rejestr prowadzony przez ENISA na podstawie art. 27 NIS2, obejmujący dostawców usługi DNS, rejestry nazw TLD, dostawców usług chmurowych, dostawców usług ośrodka przetwarzania danych, dostawców sieci dostarczania treści, dostawców usług zarządzanych i usług zarządzanych w zakresie bezpieczeństwa oraz dostawców internetowych platform handlowych, wyszukiwarek internetowych i platform usług sieci społecznościowych, zasilany informacjami z pojedynczych punktów kontaktowych.
Essential entity: Duża firma z sektora wymienionego w załączniku I lub niektórzy dostawcy, tacy jak dostawcy usług DNS, niezależnie od wielkości. Podlega nadzorowi proaktywnemu.; §28(1), §61(5), §65(5) BSIG, NIS2 Directive Art. 3(1); Jeśli jesteście sklasyfikowani jako podmiot kluczowy, organ nadzoru może was audytować, kiedy tylko zechce - bez powodu, bez incydentu, bez potrzeby skargi.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 1.2: Kogo to dotyczy: podmioty kluczowe i ważne
Exclusion: Wskazana kategoria straty, której polisa nie pokrywa (akty wojny, wcześniej istniejące podatności, sankcje).; Ubezpieczenie rozkłada stratę finansową po fakcie, i to wyłącznie stratę finansową, z zastrzeżeniem wyłączeń, które napisali prawnicy ubezpieczyciela.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 4.1: Ubezpieczenie nie zastępuje środków bezpieczeństwa. Także w: Lekcja 4.2
exclusion clause: Konkretne sformułowanie umowne, które wyłącza kategorię straty z ochrony.; Sprawa Mondelez dowodzi tej prawidłowości: nawet polisa na sto milionów dolarów może zostać odrzucona na podstawie jednej klauzuli wyłączającej, gdy ubezpieczyciel zdecyduje, że atak kwalifikuje się jako akt wojny.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 4.1: Ubezpieczenie nie zastępuje środków bezpieczeństwa. Także w: Lekcja 4.4
exfiltration: Kradzież danych z Twoich systemów; moment, w którym powstrzymywanie incydentu może zmienić się w obowiązek powiadomienia.; Trzecie pytanie: czy dane zostały wykradzione?Szkolenie NIS2 dla kadry zarządzającej, Lekcja 3.10: Scenariusz - Udany phishing: istotny czy nie?

F

Fiduciary duty: Prawny obowiązek członka zarządu działania w najlepszym interesie firmy.
Final report: Trzeci etap zgłaszania, wymagany najpóźniej miesiąc po zgłoszeniu incydentu, obejmujący przyczynę źródłową, działania ograniczające i wpływ transgraniczny.; Po trzecie: raport końcowy.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 1.11: Kaskada zgłaszania i poważne incydenty. Także w: Szkolenie z ćwiczeń sztabowych NIS 2, Lekcja 1.1; Szkolenie z ćwiczeń sztabowych NIS 2, Lekcja 2.1
forensics: Techniczne dochodzenie w sprawie incydentu cybernetycznego w celu ustalenia przyczyny, zakresu i skutków.; Dziewiąta: zaangażowanie zewnętrznych specjalistów ds. informatyki śledczej lub doradcy prawnego w poważnych incydentach.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 3.5: Czego nie możesz delegować - lista kontrolna. Także w: Lekcja 3.8; Lekcja 3.10; Lekcja 4.3

G

Good-faith disclosure: Czynność poinformowania organu regulacyjnego o luce, zanim ją wykryje, co organy uwzględniają jako okoliczność łagodzącą w decyzjach egzekucyjnych.; Ujawnienie w dobrej wierze zazwyczaj skutkuje nakazem działań naprawczych lub ostrzeżeniem, a nie grzywną.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 3.11: Scenariusz - Wykrycie luki przed kontrolą
Grype: Skaner podatności open source od Anchore. Przyjmuje SBOM na wejściu i dopasowuje komponenty do NVD, GitHub Advisory Database i innych źródeł podatności. Narzędzie, które zamienia SBOM w ciągłe monitorowanie podatności, wspiera obowiązki dotyczące obsługi podatności z załącznika I części II i pomaga zauważyć podatności, które mogą uruchomić zgłoszenie na podstawie artykułu 14.; Grype firmy Anchore to standardowe narzędzie do pętli monitorowania.Podstawy CRA SBOM, Lekcja 3.2: Utrzymywanie aktualnego SBOM i monitorowanie podatności. Także w: Lekcja 2.1; Lekcja 4.1

H

hardware token: Fizyczne urządzenie (np. YubiKey), które generuje lub przechowuje drugi czynnik uwierzytelniania.
Hash: Odcisk palca o stałej długości pliku obliczony algorytmem takim jak SHA-256. Dołączenie skrótu dla każdego komponentu SBOM pozwala zweryfikować, że komponent nie został zmodyfikowany od momentu wygenerowania SBOM. Zarówno CycloneDX, jak i SPDX obsługują skróty dla każdego komponentu.; Skrót to odcisk o stałej długości pliku komponentu.Podstawy CRA SBOM, Lekcja 1.1: Co wchodzi w skład SBOM: komponenty, wersje i identyfikatory
Holding statement: Krótkie, rzeczowe potwierdzenie wydane wcześnie, zanim znane są wszystkie fakty. Daje czas na rzetelne ich ustalenie i nie sprawia wrażenia milczenia.; Druga: wydaj oświadczenie wstępne w ciągu dwóch godzin.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 4.5: Pierwsze 48 godzin komunikacji kryzysowej
Hot wash: Spotkanie podsumowujące zaraz po ćwiczeniu. Ta sama sala, ten sam dzień, około dwudziestu minut. Cztery rundy: co poszło dobrze, co poszło źle, co nas zaskoczyło, co musi się zmienić.; Wskazówki należą do hot wash po ćwiczeniu.Szkolenie z ćwiczeń sztabowych NIS 2, Lekcja 1.3: Rozdzielenie roli prowadzącego i uczestnika. Także w: Lekcja 2.2; Lekcja 2.3

I

Impact: Jak poważne byłoby zdarzenie, gdyby do niego doszło: mierzone w pieniądzach, przestojach, klientach lub szkodach.; Tę ekspozycję mierzy się dwiema liczbami: prawdopodobieństwem - jak często złe zdarzenie może wystąpić - oraz skutkiem - ile by Cię kosztowało, gdyby do niego doszło, mierzonym w pieniądzu, przestojach, klientach lub szkodach.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 2.1: Ryzyko = Prawdopodobieństwo x Skutek
Important entity: Firma z sektora wymienionego w załączniku I lub II, która jest objęta przepisami, ale nie jest podmiotem kluczowym: średnia w załączniku I, średnia lub duża w załączniku II. Podlega nadzorowi reaktywnemu.; §28(2), §62, §65(5) BSIG, NIS2 Directive Art. 3(2); Jeśli jesteście sklasyfikowani jako podmiot ważny, organ nadzoru audytuje was tylko wtedy, gdy coś to uruchomi - incydent, skarga, zgłoszenie.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 1.2: Kogo to dotyczy: podmioty kluczowe i ważne
Improvement item: Punkt działania wynikający z podsumowania. Zawiera opis, osobę odpowiedzialną, termin, odniesienie do środka z artykułu 21(2), w którym wypełnia lukę, oraz jasne kryterium zakończenia.; Każda z nich staje się improvement item z właścicielem, terminem i odniesieniem do odpowiedniego środka z art. 21 ust.Szkolenie z ćwiczeń sztabowych NIS 2, Lekcja 2.2: Omówienie na gorąco (hot wash)
In scope: Podlegający wymogom prawa; firma mieści się w kryteriach objęcia regulacją.
Incident contact: Osoba wyznaczona przez firmę do komunikacji z organem regulacyjnym w sprawie incydentów bezpieczeństwa. Ze względu na 24-godzinny termin wczesnego ostrzeżenia dobrą praktyką jest zaplanowanie jej dostępności także poza godzinami pracy.
Incident handling: Procedury wykrywania, reagowania i przywracania po incydentach bezpieczeństwa.; Incydenty i ciągłość: (b) obsługa incydentów i (c) ciągłość działania - kopie zapasowe, odtwarzanie i zarządzanie kryzysowe.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 1.9: Dziesięć środków: przegląd
Incident notification: Drugi etap zgłaszania, wymagany w ciągu siedemdziesięciu dwóch godzin, z określeniem dotkliwości, skutków i wskaźników naruszenia.; Po drugie: zgłoszenie incydentu.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 1.11: Kaskada zgłaszania i poważne incydenty. Także w: Szkolenie z ćwiczeń sztabowych NIS 2, Lekcja 1.1; Szkolenie z ćwiczeń sztabowych NIS 2, Lekcja 2.1
incident response plan: Udokumentowana procedura wykrywania, powstrzymywania i przywracania po incydencie bezpieczeństwa.; Jeśli nie znasz odpowiedzi na wszystkie trzy, zanim ten telefon zadzwoni, Twój plan reagowania na incydenty już zawiódł.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 2.7: Środek 2 - Obsługa incydentów. Także w: Lekcja 3.8; Lekcja 4.6
Indemnification: Klauzula umowna zobowiązująca stronę winną do zrekompensowania Ci kosztów spowodowanych jej uchybieniem.; Konkretnie: terminy powiadamiania o incydentach, prawa do audytu, odszkodowanie umowne.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 3.9: Scenariusz - Naruszenie u dostawcy dotyczące Twoich danych klientów
Indicators of compromise: Artefakty techniczne (adresy IP, skróty, domeny), które świadczą o naruszeniu bezpieczeństwa.; Zaktualizowana ocena obejmująca dotkliwość, skutki oraz, gdy są dostępne, wskaźniki kompromitacji.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 1.11: Kaskada zgłaszania i poważne incydenty
Information security policy: Nadrzędny dokument bezpieczeństwa, stojący ponad wszystkimi innymi regułami bezpieczeństwa w firmie; pierwszy dokument, który czyta audytor.; Dokument najwyższego szczebla nazywa się polityką bezpieczeństwa informacji.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 2.6: Środek 1 - Analiza ryzyka i polityki bezpieczeństwa informacji. Także w: Lekcja 3.2
Initial compromise: Najwcześniejszy moment, w którym atakujący dostał się do Twojego środowiska. Operatorzy ransomware często pozostają w nim przez dni, czasem tygodnie, zanim cokolwiek zaszyfrują. Właściwy punkt przywracania jest wcześniejszy niż ten moment, a nie tylko niż szyfrowanie.; Właściwa odpowiedź: Najnowsza kopia zapasowa sprzed initial compromise, potwierdzona jako czysta przez zespół kryminalistyczny.Szkolenie z ćwiczeń sztabowych NIS 2, Lekcja 2.1: Jeden kompletny scenariusz: ransomware w systemie ERP
Insider threat: Ryzyko pochodzące z wnętrza organizacji: pracownicy, podwykonawcy lub partnerzy.; Cyberataki, fizyczne włamania, pożary, powodzie, przerwy w zasilaniu, awarie dostawców, zagrożenia wewnętrzne oraz błąd ludzki są wszystkie w zakresie.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 1.10: Podejście uwzględniające wszystkie zagrożenia i stan techniki
integrity: Dane są dokładne i nienaruszone; ich utrata to uszkodzenie.
Intermediate report: Aktualizacja statusu zgodnie z artykułem 23(4)(c) NIS 2 wysyłana na żądanie CSIRT. Brak ustalonego terminu. Odpowiadasz, gdy zostaniesz o to poproszony.; Art. 23 ust. 4 lit. c) stanowi, że CSIRT może zażądać intermediate report, kiedy zechce.Szkolenie z ćwiczeń sztabowych NIS 2, Lekcja 1.1: Kaskada zgłoszeń z artykułu 23, którą Twoje ćwiczenie musi przećwiczyć
Internal controls: Procesy i zabezpieczenia, które firma utrzymuje, aby zapewnić zgodność i zarządzać ryzykiem.; Zarzut polegał na tym, że brakowało prawnie wymaganych kontroli wewnętrznych i ujawnień.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 1.8: Business judgment rule cię nie chroni
ISMS: System zarządzania bezpieczeństwem informacji - kompletny zestaw polityk, procesów i osób zarządzających bezpieczeństwem.; Cały zestaw dokumentów, ludzi i cykli przeglądu wokół nich to to, co Twój CISO nazywa ISMS - Systemem Zarządzania Bezpieczeństwem Informacji.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 2.6: Środek 1 - Analiza ryzyka i polityki bezpieczeństwa informacji
IT-Grundschutz: Własna metodyka cyberbezpieczeństwa BSI: kompleksowe ramy modułów bezpieczeństwa (Bausteine) ze wskazówkami wdrożeniowymi krok po kroku. Dla firm nie jest obowiązkowa: BSI mówi, że certyfikacja IT-Grundschutz może ułatwić wykazanie zgodności z NIS2, ale trzeba ją sprawdzić względem środków wymaganych przez § 30 BSIG i w razie potrzeby uzupełnić. § 44(2) BSIG traktuje minimalne wymagania oparte na Grundschutz jako spełniające § 30, ale tylko dla podmiotów administracji federalnej.; BSI-Standards 200-1 through 200-4; §44(2) BSIG applies to federal administration entities only

J

Joiner-mover-leaver: Proces nadawania dostępu przy zatrudnieniu, dostosowywania przy zmianie roli i odbierania przy odejściu.; Proces łączący HR i IT na przestrzeni całego cyklu życia pracownika - dołączenie, zmiana roli i odejście - nazywa się procesem przyjmowania, zmiany roli i odejścia.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 2.14: Środek 9 - Bezpieczeństwo kadrowe, kontrola dostępu i zarządzanie aktywami

K

Key management: Generowanie, przechowywanie, rotacja i niszczenie kluczy kryptograficznych, które umożliwiają szyfrowanie; miejsce, w którym kryptografia najczęściej zawodzi.; Zarządzanie kluczami decyduje, czy szyfrowanie jest solidne, czy puste.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 2.13: Środek 8 - Kryptografia
Key performance indicator: Wskaźniki pokazujące, czy środki bezpieczeństwa działają zgodnie z założeniami.; Spotkania raportujące muszą być regularne, udokumentowane i zawierać konkretne treści: wskaźniki KPI, wskaźniki KRI, podsumowanie incydentów, status budżetu, krajobraz zagrożeń oraz decyzje wymagające eskalacji.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 3.6: CISO i linie raportowania do rady nadzorczej
Key risk indicator: Wskaźniki pokazujące, gdzie znajduje się ekspozycja cybernetyczna firmy w danym momencie i w jakim kierunku zmierza.; Spotkania raportujące muszą być regularne, udokumentowane i zawierać konkretne treści: wskaźniki KPI, wskaźniki KRI, podsumowanie incydentów, status budżetu, krajobraz zagrożeń oraz decyzje wymagające eskalacji.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 3.6: CISO i linie raportowania do rady nadzorczej
key rotation: Planowa wymiana kluczy kryptograficznych w celu ograniczenia szkód w razie skompromitowania klucza.
KPI: Key Performance Indicator - mierzy, jak dobrze działa proces bezpieczeństwa (np. odsetek poprawek wdrożonych na czas).; KPI - Key Performance Indicators - mierzą, jak dobrze działa proces (na przykład, jaki procent poprawek zastosowano na czas).Szkolenie NIS2 dla kadry zarządzającej, Lekcja 2.11: Środek 6 - Ocena skuteczności
KRI: Key Risk Indicator - mierzy, jak duże ryzyko firma obecnie ponosi (np. liczbę otwartych krytycznych podatności).; KRI - Key Risk Indicators - mierzą, ile ryzyka aktualnie ponosisz (na przykład, ile krytycznych podatności jest obecnie otwartych).Szkolenie NIS2 dla kadry zarządzającej, Lekcja 2.11: Środek 6 - Ocena skuteczności
KRITIS: Operatorzy obiektów krytycznych, którzy przekraczają progi zdefiniowane w rozporządzeniu BSI-KritisV (zazwyczaj 500 000 obsługiwanych osób). Operatorzy KRITIS są automatycznie klasyfikowani jako podmioty kluczowe (w BSIG: besonders wichtige Einrichtungen) i mają dodatkowe obowiązki poza standardowym NIS2: dowód swoich środków co trzy lata, obowiązkowe systemy wykrywania ataków oraz dodatkową treść w zgłoszeniach incydentów (rodzaj obiektu i usługa krytyczna). Terminy zgłaszania są takie same jak dla innych podmiotów.; §2 No. 22, §28(1), §31(2), §32(3), §39 BSIG; §2 No. 3 KRITISDachG; BSI-KritisV

L

Layered insurance: Podejście polegające na łączeniu polis D&O, cybernetycznych i ochrony prawnej, aby zamknąć luki między nimi.
Least privilege: Zasada, zgodnie z którą każdy użytkownik ma tylko taki dostęp, jaki jest mu potrzebny do pracy - nie więcej i nie mniej.
Leitfragen: Niemiecki termin określający uporządkowane pytania w rozdziale 3 niewiążącej pomocy szkoleniowej BSI dla organów zarządzających (§ 38 Abs. 3 BSIG).; Twój audytor lub konsultant nazwie tę listę BSI Leitfragen.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 3.1: Pytania, na które musi odpowiedzieć każdy CEO
Lessons learned: Pisemny dokument po incydencie, który zapisuje przyczynę źródłową i aktualizuje plan; DER.2.1.A17 stwierdza, że kierownictwo powinno (SOLLTE) być informowane o incydentach co roku.; Ma pięć części, a audytor sprawdza, czy wszystkie pięć istnieje i czy zostały przetestowane: wykrywanie (jak zauważasz, że coś jest nie tak), klasyfikacja (jak poważne to jest i czy przekracza próg zgłaszania z Lekcji 1.11), reagowanie (kto co robi i w jakiej kolejności), odtwarzanie (jak przywracasz usługę - to wiąże się ze Środkiem 3, ciągłością działania) oraz wnioski z incydentu (co się stało, dlaczego i co się w wyniku tego zmienia).Szkolenie NIS2 dla kadry zarządzającej, Lekcja 2.7: Środek 2 - Obsługa incydentów
Likelihood: Jak często niekorzystne zdarzenie może wystąpić w danym okresie.; Tę ekspozycję mierzy się dwiema liczbami: prawdopodobieństwem - jak często złe zdarzenie może wystąpić - oraz skutkiem - ile by Cię kosztowało, gdyby do niego doszło, mierzonym w pieniądzu, przestojach, klientach lub szkodach.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 2.1: Ryzyko = Prawdopodobieństwo x Skutek

M

malware: Złośliwe oprogramowanie zaprojektowane do uszkadzania, zakłócania lub uzyskiwania nieuprawnionego dostępu do systemów.; W 2017 roku firma spożywcza Mondelez została zaatakowana złośliwym oprogramowaniem NotPetya i poniosła szkody rzędu stu milionów dolarów.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 4.1: Ubezpieczenie nie zastępuje środków bezpieczeństwa
Management approval: Formalny akt podpisania przez organ zarządzający środków zarządzania ryzykiem w cyberbezpieczeństwie, jak wymaga artykuł 20(1), tworzący opatrzony datą zapis świadomej zgody.
Management body: Zespół kierowniczy firmy: dyrektor generalny (CEO), dyrektorzy zarządzający, członkowie zarządu oraz każdy, kogo prawo lub statut spółki uprawnia do prowadzenia spraw firmy i jej reprezentowania.; § 2 No. 13 BSIG; Dyrektywa tworzy osobistą odpowiedzialność organu zarządzającego - dlatego zwraca się bezpośrednio do zespołu kierowniczego, a nie tylko do IT.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 1.1: Czym jest NIS2 i dlaczego istnieje. Także w: Lekcja 0.1; Lekcja 1.5; Szkolenie z ćwiczeń sztabowych NIS 2, Lekcja 0.1; Szkolenie z ćwiczeń sztabowych NIS 2, Lekcja 1.2
Management body training: Obowiązek szkoleniowy ustanowiony przez artykuł 20(2), odrębny od szkolenia uświadamiającego dla pracowników; osobisty obowiązek każdego członka organu zarządzającego.
Management liability: Osobista odpowiedzialność kierownictwa firmy (Geschäftsführung) wobec własnej firmy za zgodność z NIS2 na podstawie § 38 BSIG. Kierownictwo musi wdrożyć środki zarządzania ryzykiem na podstawie § 30, nadzorować ich wdrożenie i regularnie odbywać szkolenia z cyberbezpieczeństwa (§ 38(1) i (3)). Naruszenie obowiązków wdrożenia i nadzoru czyni kierownictwo odpowiedzialnym wobec firmy za szkodę spowodowaną z winy, zgodnie z przepisami prawa spółek właściwymi dla jej formy prawnej (§ 38(2)). Obowiązek zatwierdzenia tych środków ustanawia art. 20(1) NIS 2; sam § 38(1) wymienia wdrażanie i nadzorowanie. To, czy firma może zrzec się takich roszczeń, zależy od tego prawa spółek; § 38 niczego na ten temat nie mówi. To przepis, który przenosi cyberbezpieczeństwo z działu IT do sali zarządu.; §38(1)-(3) BSIG
management review: Regularna ocena, w której organ zarządzający przegląda stan bezpieczeństwa organizacji; BSI-Standard 200-1 (rozdział 4.3) zaleca ją jako element systemu zarządzania bezpieczeństwem informacji.; BSI Standard 200-1, Sekcja 7.4 ustala to na sztywno jako jedyną obowiązkową częstotliwość roczną w tych ramach - formalny przegląd zarządzania, podczas którego Ty, organ zarządzający, siadasz i oceniasz, czy cały program bezpieczeństwa nadal działa.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 2.4: Dlaczego zarządzanie ryzykiem jest procesem ciągłym. Także w: Lekcja 2.11; Lekcja 3.3; Lekcja 5.1
Management review protocol: Opatrzony datą i podpisany dokument rejestrujący, co poddano przeglądowi, jakie decyzje podjęto i kto odpowiada za każde działanie następcze z corocznego przeglądu zarządzania.; Przegląd zarządzania to opatrzony datą, podpisany dokument - protokół przeglądu zarządzania - rejestrujący, co przejrzano, co postanowiono i kto jest właścicielem każdego działania następczego.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 2.11: Środek 6 - Ocena skuteczności
Manager ban: Uprawnienie na mocy artykułu 32(5)(b), wyłącznie wobec podmiotów kluczowych, do doprowadzenia do tymczasowego zakazu pełnienia funkcji zarządczych w tym podmiocie przez osobę na poziomie dyrektora generalnego lub przedstawiciela prawnego, gdy nakazy organu są ignorowane mimo upływu wyznaczonego terminu.; Jeśli podmiot kluczowy ich nie dotrzyma, organ nadzoru może wystąpić o tymczasowy zakaz pełnienia funkcji menedżerskiej na mocy artykułu 32(5)(b), który obowiązuje do czasu usunięcia luk.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 1.3: Sankcje i zakaz pełnienia funkcji kierowniczych
Mandatory incident reporting: Twój prawny obowiązek zgłoszenia poważnego incydentu organowi regulacyjnemu w ramach kaskady 24 godziny / 72 godziny / jeden miesiąc, określonej w artykule 23.
Market surveillance authority: Krajowy organ, który sprawdza zgodność z CRA w każdym państwie członkowskim UE. Na uzasadniony wniosek organy nadzoru rynku mogą żądać dokumentacji potrzebnej do sprawdzenia zgodności oraz SBOM, jeśli jest on konieczny do tej kontroli. Nie musisz udostępniać go publicznie.; Organ nadzoru rynku badający podatność sprzed trzech lat potrzebuje SBOM wersji, która znajdowała się wówczas na rynku.Podstawy CRA SBOM, Lekcja 1.3: Zasada przechowywania przez 10 lat i kto uzyskuje dostęp. Także w: Lekcja 0.1
MUK: Centralne konto firmowe Niemiec dla usług administracji federalnej, uwierzytelniane za pomocą certyfikatów ELSTER. Warunek rejestracji w BSI: firmy muszą najpierw utworzyć konto MUK, a następnie uzyskać przez nie dostęp do portalu rejestracyjnego BSI. Jeśli nie masz jeszcze konta MUK, nie możesz zarejestrować się w BSI: to pierwszy praktyczny krok przed jakąkolwiek pracą nad zgodnością.; OZG, ELSTER
Multi-factor authentication: Środek bezpieczeństwa wymagający dwóch lub więcej czynników weryfikacji w celu uzyskania dostępu do systemu.; Jeśli zatwierdziliście uwierzytelnianie wieloskładnikowe dla logowań pracowników, używacie uwierzytelniania wieloskładnikowego.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 1.5: Twój obowiązek zatwierdzania i nadzoru. Także w: Lekcja 1.9
Multi-factor authentication (MFA): Logowanie wymagające dwóch lub więcej czynników weryfikacji, takich jak hasło i token sprzętowy lub telefon; NIS2 oczekuje go w stosownych przypadkach (artykuł 21(2)(j)), a CIR wskazuje konta uprzywilejowane i klasyfikację zasobu, do którego uzyskuje się dostęp (11.3.2, 11.7.1).; §30(2)(10) BSIG; Pojedynczą największą przyczyną udanych przejęć kont jest to, że uwierzytelnianie wieloskładnikowe nie było włączone.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 2.15: Środek 10 - Uwierzytelnianie wieloskładnikowe i zabezpieczona komunikacja

N

NACE code: Statystyczna klasyfikacja działalności gospodarczej we Wspólnocie Europejskiej (Nomenclature statistique des Activités économiques dans la Communauté Européenne). NIS2 i BSIG odwołują się do kodów NACE Rev. 2 tylko dla kilku rodzajów podmiotów, takich jak działalność farmaceutyczna, chemiczna i niektóre rodzaje produkcji. Większość sektorów jest określona przez rodzaj działalności. BSI nie mówi Ci, czy Twoja firma wchodzi w zakres; sprawdzasz to samodzielnie.; Regulation (EC) No 1893/2006 (NACE Rev. 2); NIS2 Annex I point 5 and Annex II point 5; Anlage 1 and 2 BSIG
named insured: Konkretna osoba lub podmiot wskazany w polisie jako objęty ochroną.; To osobiste roszczenie musi być bronione przez polisę, która wskazuje ciebie osobiście jako osobę ubezpieczoną.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 4.3: Ubezpieczenie cybernetyczne vs D&O: różne produkty, różne zakresy ochrony
nation-state: Państwo prowadzące operacje cybernetyczne za pośrednictwem swoich służb wywiadowczych lub wojskowych.; Wyłączenie aktów wojny lub ataku państwowego: Lloyd's zaostrzył to sformułowanie w 2023 roku w następstwie sprawy Mondelez.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 4.4: Typowe wyłączenia w polisie, na które należy zwrócić uwagę
NIS2 Annex I: High-criticality sectors: Lista sektorów, których podmioty są klasyfikowane jako „kluczowe” (podmioty kluczowe), gdy przekraczają pułapy dla średnich przedsiębiorstw, czyli są dużymi firmami; średnie podmioty w tych sektorach są podmiotami ważnymi. W BSIG klasa podmiotów kluczowych nazywa się „besonders wichtige Einrichtungen”. Obejmuje: energetykę (energia elektryczna, ropa naftowa, gaz, wodór, ciepłownictwo systemowe), transport (lotniczy, kolejowy, wodny, drogowy), bankowość, infrastrukturę rynków finansowych, zdrowie, wodę pitną, ścieki, infrastrukturę cyfrową, zarządzanie usługami ICT, administrację publiczną oraz przestrzeń kosmiczną.; NIS2 Directive Annex I and Art. 3(1)(a), Anlage 1 and §28(1) BSIG
NIS2 Annex II: Other critical sectors: Lista sektorów, których podmioty są klasyfikowane jako 'ważne' (wichtige Einrichtungen), gdy spełniają próg wielkości. Obejmuje: usługi pocztowe i kurierskie, gospodarkę odpadami, produkcję i dystrybucję chemikaliów, produkcję i dystrybucję żywności, produkcję (wyroby medyczne, elektronika, maszyny, pojazdy), dostawców usług cyfrowych (internetowe platformy handlowe, wyszukiwarki, sieci społecznościowe) oraz organizacje badawcze.; Dyrektywa NIS2 załącznik II, §28 ust. 2 BSIG
NIS2 Directive: Dyrektywa (UE) 2022/2555, ogólnounijne prawo dotyczące cyberbezpieczeństwa dla podmiotów kluczowych i ważnych.; Directive (EU) 2022/2555; Formalna nazwa to dyrektywa (UE) 2022/2555 - dyrektywa NIS2.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 1.1: Czym jest NIS2 i dlaczego istnieje
NIS2UmsuCG: Krajowe wdrożenie dyrektywy NIS2 w Niemczech, oficjalnie „Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung”, w projektach nazywane NIS-2 Implementation and Cybersecurity Strengthening Act. Uchwalone przez Bundestag 13 listopada 2025 r., opublikowane 5 grudnia 2025 r. i obowiązujące od 6 grudnia 2025 r. Wprowadza nowy BSIG i włącza obowiązki wynikające z NIS2 do prawa niemieckiego. Gdy prawo niemieckie mówi o „zgodności z NIS2”, ma na myśli zgodność z BSIG.; Act of 2 December 2025, BGBl. 2025 I Nr. 301
non-conformance: Konkretne niespełnienie wymogu prawnego; formalna nazwa ustalenia.; Ustalenie to niezgodność: coś, czego wymaga ustawa, a czego nie masz lub nie robisz.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 3.7: Co dzieje się podczas kontroli organu nadzorczego
Non-delegable: Nie może zostać przeniesione na inną osobę ani wykonane przez kogoś innego w Twoim imieniu.; Obowiązek szkoleniowy jest osobisty i niedelegowalny.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 1.6: Twój obowiązek szkoleniowy. Także w: Lekcja 0.1; Lekcja 4.6
Non-delegable duty: Obowiązek, który prawo przypisuje samemu organowi zarządzającemu: zatwierdzanie środków zarządzania ryzykiem i nadzór nad nimi (art. 20(1)). CISO lub zespół ds. zgodności mogą przygotować i wykonać pracę, ale odpowiedzialność pozostaje po stronie kierownictwa.; Gdy granica jest niewyraźna, traktuj decyzję jako niepodlegającą delegowaniu i podpisz ją sam.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 3.5: Czego nie możesz delegować - lista kontrolna
Notification clause: Klauzula wymagająca zawiadomienia ubezpieczyciela w krótkim terminie. W przeciwnym razie ryzykujesz utratę ochrony.; Klauzula spóźnionego powiadomienia: unieważnia ochronę, jeśli zgłosisz roszczenie ubezpieczycielowi po ścisłym terminie określonym w polisie.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 4.4: Typowe wyłączenia w polisie, na które należy zwrócić uwagę
notification window: Ścisły termin, w którym szkoda musi zostać zgłoszona ubezpieczycielowi.

O

Observation: Obszar, który audytor odnotowuje do poprawy, a który nie stanowi naruszenia prawa; sankcja sama z siebie nie następuje, ale organ może nakazać wdrożenie zaleceń z audytu (art. 32(4)(f) i 33(4)(f)), a jego zignorowanie zwiększa szansę na ustalenie przy kolejnym audycie.; Spostrzeżenie to obszar poniżej dobrej praktyki, który jednak nie narusza ustawy.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 3.7: Co dzieje się podczas kontroli organu nadzorczego
OFAC: Office of Foreign Assets Control; biuro amerykańskiego Departamentu Skarbu zarządzające listami sankcyjnymi.; Analiza OFAC przebiegała równolegle z decyzją o zapłacie, a nie przed nią.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 4.6: Decyzje dotyczące zapłaty okupu za ransomware
On-site inspection: Fizyczna wizyta zespołu audytowego organu regulacyjnego w Twoich obiektach, dozwolona na mocy artykułu 32(2)(a) dla podmiotów kluczowych i artykułu 33(2)(a) dla podmiotów ważnych.; BSI wysyła pismo zapowiadające kontrolę na miejscu.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 3.7: Co dzieje się podczas kontroli organu nadzorczego
orphaned account: Aktywne konto użytkownika, które nie należy już do obecnego pracownika - częste ustalenie audytowe.
Out-of-band channel: Awaryjny kanał komunikacji oddzielony od normalnych systemów, używany, gdy te systemy są skompromitowane.; Kanał poza pasmem (osobne narzędzie do wiadomości, dedykowana linia telefoniczna) istnieje dokładnie na ten moment.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 2.15: Środek 10 - Uwierzytelnianie wieloskładnikowe i zabezpieczona komunikacja
Oversight duty: Stały obowiązek monitorowania, czy zatwierdzone środki są rzeczywiście wdrażane.

P

patch: Aktualizacja oprogramowania, która naprawia znaną podatność.
Patch SLA: Pisemny termin stosowania poprawek, ustalony według poziomu dotkliwości; CIR oczekuje poprawek w rozsądnym czasie, z udokumentowanymi powodami każdego wyjątku (6.6.1, 6.6.2).; Twój zespół nazywa te terminy SLA łatania.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 2.10: Środek 5 - Nabywanie, rozwój i utrzymanie
Personal civil liability: Ryzyko prawne, że członek zarządu zapłaci odszkodowanie z majątku osobistego, gdy zawinione naruszenie obowiązku ustawowego wyrządzi firmie szkodę.
Personal data: Wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Zdefiniowane w artykule 4(1) GDPR.; DPO lub osoba kontaktowa ds. ochrony danych, gdy w grę wchodzą personal data.Szkolenie z ćwiczeń sztabowych NIS 2, Lekcja 1.2: Przydział ról: kto musi być obecny
personal liability: Odpowiedzialność prawna, która spada na samego członka zarządu, oprócz firmy.; Natomiast odpowiedzialność osobista na mocy Artykułu 20(1) jest objęta ubezpieczeniem D&O, a nie ubezpieczeniem cybernetycznym, to różne produkty.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 4.1: Ubezpieczenie nie zastępuje środków bezpieczeństwa
Phishing simulation: Fałszywe wiadomości phishingowe wysyłane okresowo do pracowników w celu sprawdzenia czujności; element programu szkoleniowego, z dodatkowym szkoleniem dla każdego, kto kliknie.; Ile symulacji phishingu Twoja własna firma wysłała Tobie, osobiście, w ciągu ostatnich dwunastu miesięcy?Szkolenie NIS2 dla kadry zarządzającej, Lekcja 2.12: Środek 7 - Cyberhigiena i szkolenia
Privileged accounts: Konta administratora, root i administratora domeny z podwyższonym dostępem; wymagają odrębnej polityki i własnego rytmu przeglądów zgodnie z załącznikiem 11.3 do CIR.; Na dodatek konta uprzywilejowane - administratorzy, dostęp root, administratorzy domeny - potrzebują własnych zasad z silniejszymi środkami kontroli.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 2.14: Środek 9 - Bezpieczeństwo kadrowe, kontrola dostępu i zarządzanie aktywami
Proactive supervision: Organ regulacyjny może przeprowadzić u Ciebie audyt bez konkretnej przyczyny (dotyczy podmiotów kluczowych).; Dyrektywa nazywa to nadzorem proaktywnym na mocy artykułu 32.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 1.2: Kogo to dotyczy: podmioty kluczowe i ważne
Product with digital elements: Produkt programowy lub sprzętowy i jego rozwiązania do zdalnego przetwarzania danych, w tym komponenty wprowadzane do obrotu osobno (artykuł 3(1) CRA). CRA stosuje się do produktów, których przeznaczenie lub dające się racjonalnie przewidzieć wykorzystanie obejmuje bezpośrednie lub pośrednie połączenie danych z urządzeniem lub siecią (artykuł 2(1)). Obejmuje urządzenia fizyczne z oprogramowaniem układowym, samodzielne oprogramowanie, aplikacje i systemy operacyjne.; CRA stosuje się do każdego produktu z elementami cyfrowymi, sprzętu lub oprogramowania, które może łączyć się bezpośrednio lub pośrednio z innym urządzeniem lub siecią.Podstawy CRA SBOM, Lekcja 0.1: Czym jest SBOM i dlaczego CRA uczynił go obowiązkowym
Progress report: Stosowany zgodnie z artykułem 23(4)(e) NIS 2, gdy incydent nie został jeszcze rozwiązany w terminie jednego miesiąca. Raport końcowy następuje po zamknięciu incydentu.; Zamiast tego wysyłasz progress report.Szkolenie z ćwiczeń sztabowych NIS 2, Lekcja 1.1: Kaskada zgłoszeń z artykułu 23, którą Twoje ćwiczenie musi przećwiczyć
Proportionality: Zasada z artykułu 21(1), która dopasowuje to, co musisz wdrożyć, do Twojej wielkości, narażenia na ryzyko oraz prawdopodobieństwa i dotkliwości incydentów.; Proporcjonalność w artykule 21(1) skaluje głębokość do waszej wielkości, sektora i ekspozycji na ryzyko.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 1.9: Dziesięć środków: przegląd
PURL: Package URL. Standardowy identyfikator komponentów oprogramowania: `pkg:type/namespace/name@version`. Na przykład `pkg:npm/%40angular/core@17.0.0`. PURL są zalecanym unikalnym identyfikatorem zarówno w CycloneDX, jak i SPDX oraz praktycznym łącznikiem między komponentem SBOM a wpisem w bazie CVE.; PURL (Package URL) to standardowy sposób jednoznacznego identyfikowania komponentu w różnych repozytoriach i bazach danych.Podstawy CRA SBOM, Lekcja 1.1: Co wchodzi w skład SBOM: komponenty, wersje i identyfikatory. Także w: Lekcja 2.1; Lekcja 2.2; Lekcja 4.1

R

ransomware: Złośliwe oprogramowanie, które szyfruje dane i żąda zapłaty za klucz deszyfrujący.; 19 marca 2019 roku oprogramowanie ransomware z dnia na dzień unieruchomiło czterdzieści zakładów produkcyjnych Norsk Hydro.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 3.8: Scenariusz - Atak ransomware w piątkowe popołudnie. Także w: Lekcja 4.4; Lekcja 4.6
RBAC: Role-Based Access Control - uprawnienia przypisywane według roli zawodowej, a nie indywidualnie.
reactive supervision: Uprawnienie organu regulacyjnego do audytu podmiotów ważnych, gdy wywoła to incydent, skarga lub informacja.
Recipients of services: Termin prawny dyrektywy oznaczający klientów podmiotu.; Artykuł 23(1) dyrektywy NIS2 stanowi, że w stosownych przypadkach podmioty powiadamiają odbiorców usług "bez zbędnej zwłoki" o poważnych incydentach, które mogą mieć niekorzystny wpływ na świadczenie tych usług.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 1.12: Obowiązek powiadamiania klientów
Recurring incidents: Incydenty, które pojedynczo nie są poważne, ale występują co najmniej dwa razy w ciągu sześciu miesięcy, mają tę samą widoczną przyczynę źródłową i łącznie spełniają kryterium straty finansowej; liczą się jako jeden poważny incydent (artykuł 4 CIR).
Recurring incidents rule: Zasada z artykułu 4 CIR (dla rodzajów dostawców objętych CIR), która traktuje małe incydenty o tej samej widocznej przyczynie źródłowej, występujące co najmniej dwa razy w ciągu sześciu miesięcy, jako jeden poważny incydent, jeśli łącznie przekraczają próg finansowy.; Artykuł 4 dodaje zasadę incydentów powtarzających się: dwa lub więcej incydentów w ciągu sześciu miesięcy mających tę samą przyczynę źródłową, które łącznie przekraczają próg, liczą się jako jeden poważny incydent.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 3.10: Scenariusz - Udany phishing: istotny czy nie?
Registration: Formalne zgłoszenie do organu regulacyjnego na podstawie artykułu 3(4) NIS2 (w Niemczech § 33 BSIG, w terminie trzech miesięcy od momentu objęcia firmy NIS2).; Jeśli przegapicie to okno, pierwszą rzeczą, którą organ nadzoru widzi, otwierając wasze akta, jest brakująca rejestracja - a to samo w sobie jest osobną karą.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 1.4: Obowiązek rejestracji
Regulation: Akt prawny UE, który stosuje się bezpośrednio w każdym kraju bez transpozycji (np. GDPR, CIR).; NIS2 jest dyrektywą, a nie rozporządzeniem.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 1.1: Czym jest NIS2 i dlaczego istnieje
remediation: Proces usuwania luki lub niezgodności stwierdzonej podczas audytu lub przeglądu.; Po piąte: ustalenie audytu wymagające działań naprawczych.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 3.3: Kiedy ponownie zatwierdzić. Także w: Lekcja 3.7; Lekcja 3.10
Remediation order: Polecenie organu regulacyjnego, by naprawić konkretną lukę w określonym terminie (art. 32(4)(b) i (d)); może zostać wydane z karą pieniężną lub bez niej.; Ujawnienie w dobrej wierze zazwyczaj skutkuje nakazem działań naprawczych lub ostrzeżeniem, a nie grzywną.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 3.11: Scenariusz - Wykrycie luki przed kontrolą
Remediation plan: Pisemna odpowiedź firmy na ustalenia: działanie naprawcze, wskazany właściciel, termin i dowód realizacji dla każdej pozycji.; Uruchamia nakaz działań naprawczych z terminem.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 3.7: Co dzieje się podczas kontroli organu nadzorczego
removable media: Pamięci USB, zewnętrzne dyski twarde i podobne nośniki przenośne; wymaga odrębnej polityki zgodnie z CIR.
Residual risk: Ryzyko, które pozostaje po wdrożeniu środków; to, co zatwierdzasz, podpisując rejestr ryzyka.; To, co pozostaje po zastosowaniu Twoich środków, nazywa się ryzykiem rezydualnym.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 2.3: Opcje postępowania z ryzykiem i apetyt na ryzyko. Także w: Lekcja 3.4; Lekcja 3.5
Responsible disclosure: Opublikowany proces umożliwiający zewnętrznym badaczom bezpieczeństwa zgłaszanie błędów Twojej firmie.; Jest czwarty element w tym samym przepisie: ujawnianie podatności.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 2.10: Środek 5 - Nabywanie, rozwój i utrzymanie
restore test: Proces odtwarzania danych z kopii zapasowej w celu sprawdzenia, czy działa; nieprzetestowana kopia zapasowa nie jest kopią zapasową.
Reverse burden of proof: Zasada niemieckiego prawa spółek (na przykład § 93(2) AktG), zgodnie z którą to członek zarządu musi udowodnić, że działał z należytą starannością, a nie powód ma wykazywać niedbalstwo.; W wielu krajach UE, w tym w Niemczech, do odpowiedzialności członka zarządu stosuje się odwrócony ciężar dowodu.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 1.7: Odpowiedzialność osobista na podstawie krajowego prawa spółek
Risk acceptance: Decyzja, by żyć z ryzykiem zamiast je usuwać; zgodnie z CIR 2.1.1 akceptuje je organ zarządzający lub, w stosownych przypadkach, odpowiedzialny właściciel ryzyka, z odpowiednim raportowaniem do kierownictwa.
Risk analysis: Proces identyfikacji zagrożeń, oceny prawdopodobieństwa i skutków oraz określenia sposobu postępowania.; Podstawa: (a) analiza ryzyka i polityki bezpieczeństwa informacji oraz (f) testowanie skuteczności.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 1.9: Dziesięć środków: przegląd. Także w: Lekcja 3.2
Risk analysis methodology: Udokumentowana procedura identyfikacji i oceny ryzyk; część polityk środka 1 na mocy artykułu 21(2)(a).; Po pierwsze, spisaną metodę, którą Twoja firma stosuje do identyfikacji i oceny ryzyk - metodykę analizy ryzyka (Lekcja 2.1 omówiła równanie, które za nią stoi).Szkolenie NIS2 dla kadry zarządzającej, Lekcja 2.6: Środek 1 - Analiza ryzyka i polityki bezpieczeństwa informacji
Risk appetite: Poziom ryzyka, jaki firma jest gotowa zaakceptować, ustalany przez organ zarządzający jako granica, w której działa CISO.; Jeszcze jedna rzecz należy do dyrektora: apetyt na ryzyko - poziom ryzyka, z którym firma jest skłonna żyć całościowo.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 2.3: Opcje postępowania z ryzykiem i apetyt na ryzyko
Risk assessment: Ocena zagrożeń i ich potencjalnego wpływu na organizację.; Jeśli wasza ocena ryzyka wymienia tylko cyberataki, nie spełnia standardu wszystkich zagrożeń.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 1.10: Podejście uwzględniające wszystkie zagrożenia i stan techniki. Także w: Lekcja 2.1
Risk management cycle: Ciągła pętla identyfikacji, analizy, postępowania i monitorowania: nigdy się nie kończy, ponieważ dane wejściowe zmieniają się szybciej, niż roczny przegląd jest w stanie nadążyć.; Jeśli nie ma udokumentowanego procesu wyzwalania, cykl zarządzania ryzykiem nie działa.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 2.4: Dlaczego zarządzanie ryzykiem jest procesem ciągłym
Risk matrix: Siatka zestawiająca prawdopodobieństwo z wpływem; każde zidentyfikowane ryzyko jest na niej umieszczane, a prawy górny róg to miejsce, w którym zaczyna się zadanie organu zarządzającego.; Po tej lekcji będziesz potrafił spojrzeć na macierz ryzyka, odnaleźć róg, który ma znaczenie, i wiedzieć, od czego zaczyna się rozmowa o budżecie.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 2.1: Ryzyko = Prawdopodobieństwo x Skutek
Risk register: Formalny dokument zawierający zidentyfikowane ryzyka, ich oceny oraz decyzje dotyczące postępowania z nimi.; Opatrzony datą podpis, zapis szkolenia, protokół posiedzenia, rejestr ryzyk z waszym podpisem - to dowody, których używacie, by udowodnić należytą staranność.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 1.7: Odpowiedzialność osobista na podstawie krajowego prawa spółek. Także w: Lekcja 2.1; Lekcja 3.5
Risk treatment: Decyzja o tym, co zrobić ze zidentyfikowanym ryzykiem: unikać, ograniczyć, przenieść lub zaakceptować.; Bez niej każda decyzja o postępowaniu z ryzykiem staje się sporem, a nie procesem.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 2.3: Opcje postępowania z ryzykiem i apetyt na ryzyko
Risk-management measures: Zasady, osoby i narzędzia, za pomocą których Twoja firma zarządza ryzykami dla swoich sieci i systemów informatycznych oraz ogranicza skutki incydentów, określone w artykule 21.; §30(2) BSIG; Czy nasze środki zarządzania ryzykiem spełniają wymogi ustawy i czy są udokumentowane?Szkolenie NIS2 dla kadry zarządzającej, Lekcja 3.1: Pytania, na które musi odpowiedzieć każdy CEO
Root cause: Podstawowa przyczyna wystąpienia incydentu.; Dwa lub więcej incydentów o tej samej widocznej przyczynie źródłowej, występujących w ciągu sześciu miesięcy, które łącznie przekraczają próg finansowy, traktuje się jako jeden poważny incydent.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 1.11: Kaskada zgłaszania i poważne incydenty
RPO: Recovery Point Objective - maksymalna akceptowalna utrata danych, mierzona w czasie.; RPO - Recovery Point Objective - to ile danych możesz sobie pozwolić utracić.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 2.8: Środek 3 - Ciągłość działania
RTO: Recovery Time Objective - maksymalny akceptowalny czas przywrócenia usługi po zakłóceniu.; RTO - Recovery Time Objective - to jak szybko musisz wrócić do działania.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 2.8: Środek 3 - Ciągłość działania

S

sanctions law: Przepisy zakazujące płatności na rzecz określonych osób i grup; według przepisów USA niezależnie od zamiaru, według przepisów UE odpowiedzialność odpada tylko wtedy, gdy nie wiedziałeś i nie miałeś uzasadnionego powodu podejrzewać naruszenia (rozporządzenie Rady (UE) 2019/796, art. 10 ust. 2). Pierwsza kontrola prawna przed jakąkolwiek zapłatą okupu.; Poprawna odpowiedź: "nie teraz i tylko po analizie prawnej prawa sankcyjnego."Szkolenie NIS2 dla kadry zarządzającej, Lekcja 3.8: Scenariusz - Atak ransomware w piątkowe popołudnie. Także w: Lekcja 4.6
sanctions list: Opublikowany rejestr osób, grup i organizacji, którym zakazane jest otrzymywanie płatności.; Kwestia sankcji była aktualna przez cały czas.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 4.6: Decyzje dotyczące zapłaty okupu za ransomware
SBOM: Software Bill of Materials. Maszynowo czytelny wykaz wszystkich komponentów oprogramowania w produkcie: nazwy, wersje, dostawcy oraz identyfikatory. Wymagany dla produktów z elementami cyfrowymi na podstawie Załącznik I Część II punkt (1) CRA.; Ten kurs uczy, jak tworzyć, utrzymywać i przechowywać SBOM spełniający wymagania aktu o cyberodporności.Podstawy CRA SBOM, Lekcja 0.1: Czym jest SBOM i dlaczego CRA uczynił go obowiązkowym
Scoping assessment: Sprawdzenie, czy NIS2 dotyczy Twojej firmy i do której kategorii należy. Możesz je przeprowadzić samodzielnie; prawnik może je wesprzeć.; "Czy przeprowadziliśmy ocenę zakresu objęcia i do której kategorii należymy?"Szkolenie NIS2 dla kadry zarządzającej, Lekcja 1.2: Kogo to dotyczy: podmioty kluczowe i ważne
secure development: Udokumentowany standard tworzenia oprogramowania z wbudowanym bezpieczeństwem, a nie dodawanym później.
Secured communications: Zabezpieczona komunikacja głosowa, wideo i tekstowa do wrażliwych zastosowań biznesowych; artykuł 21(2)(j) wymienia ją jako środek stosowany w stosownych przypadkach.; Druga połowa przepisu obejmuje zabezpieczoną komunikację.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 2.15: Środek 10 - Uwierzytelnianie wieloskładnikowe i zabezpieczona komunikacja
security control: Techniczny lub organizacyjny środek stosowany do zarządzania określonym ryzykiem.
Sign-off: Twoje formalne zatwierdzenie środków cyberbezpieczeństwa firmy w ramach organu zarządzającego, wymagane na mocy artykułu 20(1) dyrektywy NIS2. Dowodem jest opatrzony datą zapis.; Jeśli nie macie żadnego dowodu na to, że próbowaliście zrozumieć swoje obowiązki - żadnego zapisu szkolenia, żadnego udokumentowanego podpisu, żadnego protokołu posiedzenia pokazującego, że zadawaliście pytania - to czynnik, który przechyla wszystkie trzy warstwy w złym kierunku.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 1.3: Sankcje i zakaz pełnienia funkcji kierowniczych. Także w: Lekcja 0.1; Lekcja 1.5; Lekcja 1.7; Lekcja 3.3; Lekcja 3.4
Significant incident: Incydent mający znaczący wpływ na usługi podmiotu, podlegający zgłoszeniu na mocy artykułu 23. Definiuje go artykuł 23(3); CIR 2024/2690 określa dokładne progi tylko dla niektórych rodzajów podmiotów, takich jak dostawcy usług chmurowych i DNS.; Art. 23(3) NIS2, §2 No. 11 BSIG, §32 BSIG, CIR 2024/2690 Art. 3 (for the entity types in its Art. 1); Artykuł 23 dyrektywy NIS2 wymaga, by objęte firmy zgłaszały poważne incydenty swojemu krajowemu CSIRT lub właściwemu organowi.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 1.11: Kaskada zgłaszania i poważne incydenty. Także w: Lekcja 3.1; Lekcja 3.10; Szkolenie z ćwiczeń sztabowych NIS 2, Lekcja 1.1
Size threshold: Liczba pracowników, roczny obrót i suma bilansowa, które decydują o tym, czy firma jest objęta NIS2.; Większość firm wchodzi w zakres przez prosty próg wielkości: pięćdziesięciu lub więcej pracowników albo ponad dziesięć milionów euro zarówno rocznego obrotu, jak i rocznej sumy bilansowej.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 1.2: Kogo to dotyczy: podmioty kluczowe i ważne
SPDX: Software Package Data Exchange. Standard ISO/IEC 5962:2021 dla SBOM, wywodzący się z Linux Foundation. Nastawiony na licencje: zbudowany wokół zgodności z licencjami open source i wskazywania autorstwa. Dostępny w formatach JSON, YAML, RDF i tag-value. Zarówno CycloneDX, jak i SPDX są powszechnie używanymi formatami czytelnymi maszynowo i są akceptowane przez BSI TR-03183-2. Sama CRA nie wskazuje formatu w załączniku I części II punkcie (1); Komisja może go określić (artykuł 13(24)).; Formaty CycloneDX i SPDX wypełniają tę lukę.Podstawy CRA SBOM, Lekcja 1.1: Co wchodzi w skład SBOM: komponenty, wersje i identyfikatory. Także w: Lekcja 0.1; Lekcja 2.1; Lekcja 2.2; Lekcja 4.1
State of the art: Aktualny poziom sprawdzonych najlepszych praktyk, do którego przyczyniają się uznane normy; artykuł 21(1) wymienia jedno i drugie. Miernik audytora przesuwa się wraz ze zmianami praktyki i norm.; Artykuł 21(1) wymaga środków, które "uwzględniają stan techniki".Szkolenie NIS2 dla kadry zarządzającej, Lekcja 1.10: Podejście uwzględniające wszystkie zagrożenia i stan techniki
Statutory duty: Obowiązek, który prawo nakłada na Ciebie osobiście, w odróżnieniu od zwykłej decyzji biznesowej. Artykuł 20 NIS2 ustanawia obowiązki prawne dla organu zarządzającego.; Prawo spółek każdego kraju UE daje firmie mechanizm odzyskania odszkodowania od członka zarządu, który naruszył obowiązek ustawowy - coś, co prawo nakazuje wam osobiście zrobić, w odróżnieniu od zwykłej decyzji biznesowej.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 1.7: Odpowiedzialność osobista na podstawie krajowego prawa spółek. Także w: Lekcja 1.8; Lekcja 4.2
Sufficient knowledge: Standard z artykułu 20(2): wystarczająca wiedza i umiejętności, by rozpoznawać ryzyka oraz oceniać środki i ich wpływ na usługi. Prawo nie wymaga ani egzaminu, ani certyfikacji.
Supervisory board: Organ nadzorczy w dwupoziomowej strukturze korporacyjnej, który może wnosić roszczenia przeciwko członkom zarządu.; Wasza rada nadzorcza zbiera się następnego ranka.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 1.7: Odpowiedzialność osobista na podstawie krajowego prawa spółek. Także w: Lekcja 3.6
Supplier inventory: Utrzymywana lista wszystkich dostawców wraz z tym, do czego mają dostęp, oraz ich klasyfikacją ryzyka.; Pierwsza: inwentaryzacja dostawców - kim są, co robią, do czego mają dostęp.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 2.9: Środek 4 - Bezpieczeństwo łańcucha dostaw
Supply chain: Sieć dostawców i usługodawców, od których zależy Twoja firma.; Łańcuch dostaw i systemy: (d) bezpieczeństwo łańcucha dostaw oraz (e) bezpieczeństwo w sposobie, w jaki kupujecie, budujecie i utrzymujecie systemy IT, w tym obsługa podatności.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 1.9: Dziesięć środków: przegląd. Także w: Lekcja 2.9
Supply chain attack: Atak wymierzony w producenta poprzez skompromitowaną zależność lub dostawcę, a nie bezpośrednio w systemy producenta. Przykładami są SolarWinds i XZ Utils. SBOM jest mapą pozwalającą zidentyfikować, które komponenty łańcucha dostaw są obecne i w związku z tym które ataki na łańcuch dostaw mogą dotrzeć do produktu.; Dostawca ma znaczenie dla obrazu ryzyka ataku w łańcuchu dostaw.Podstawy CRA SBOM, Lekcja 1.1: Co wchodzi w skład SBOM: komponenty, wersje i identyfikatory
Supply chain incident: Zdarzenie bezpieczeństwa u dostawcy, które może rodzić prawny obowiązek Twojej firmy na mocy artykułów 21 i 23.
Supply chain security: Wymóg oceniania ryzyk cyberbezpieczeństwa w łańcuchu dostaw i zarządzania nimi, zwłaszcza u dostawców usług IT, dostawców usług chmurowych i każdego dostawcy z dostępem do Twoich systemów lub danych. Środki mogą obejmować wymogi bezpieczeństwa w umowach z dostawcami, ocenę praktyk dostawców i ich monitorowanie w czasie; zapisy umowne są obowiązkowe tylko dla rodzajów podmiotów objętych CIR 2024/2690.; §30 ust. 2 pkt 4 BSIG
Support period: Okres, w którym producent dostarcza aktualizacje zabezpieczeń dla produktu. Artykuł 13(8) CRA wymaga, aby okres wsparcia wynosił co najmniej pięć lat lub oczekiwany czas użytkowania, jeśli produkt ma być używany krócej niż pięć lat. Okres przechowywania SBOM wynosi 10 lat lub do końca tego okresu wsparcia, w zależności od tego, co jest dłuższe.; lub okres wsparcia, w zależności od tego, który z tych okresów jest dłuższyPodstawy CRA SBOM, Lekcja 1.3: Zasada przechowywania przez 10 lat i kto uzyskuje dostęp
Syft: Generator SBOM typu open source od Anchore. Skanuje obrazy kontenerów, systemy plików oraz manifesty pakietów dla konkretnych języków. Wyprowadza CycloneDX lub SPDX. Najszybszy sposób wygenerowania początkowego SBOM dla istniejącego produktu.; Syft firmy Anchore domyślnie generuje CycloneDX 1.6 JSON:Podstawy CRA SBOM, Lekcja 2.1: CycloneDX: format SBOM zorientowany na bezpieczeństwo. Także w: Lekcja 3.1; Lekcja 4.1

T

tabletop exercise: Ustrukturyzowane przećwiczenie realistycznego scenariusza incydentu z osobami, które by reagowały.; Próba na papierze według scenariusza nazywa się ćwiczeniem sztabowym.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 2.7: Środek 2 - Obsługa incydentów. Także w: Lekcja 5.1; Szkolenie z ćwiczeń sztabowych NIS 2, Lekcja 0.1
Technical and organisational measures: Powszechny skrót w obszarze zgodności (TOMs) oznaczający połączenie narzędzi, procesów i zasad wymaganych dla każdego środka.; Wasz CISO nazwie je środkami technicznymi i organizacyjnymi, czyli TOMs.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 1.9: Dziesięć środków: przegląd
Technical documentation: Zbiór dokumentów, które producent musi sporządzić i przechowywać zgodnie z Artykuł 31 CRA oraz Załącznik VII. Obejmuje SBOM, ocenę ryzyka, decyzje dotyczące bezpiecznego projektowania, wyniki testów oraz deklarację zgodności UE. Dokumenty należy przechowywać przez 10 lat po wprowadzeniu produktu do obrotu lub przez okres wsparcia, w zależności od tego, co jest dłuższe.; Lekcja omawia okres przechowywania, miejsce SBOM w szerszym pakiecie dokumentacji technicznej oraz kto i na jakich warunkach może go żądać.Podstawy CRA SBOM, Lekcja 1.3: Zasada przechowywania przez 10 lat i kto uzyskuje dostęp. Także w: Lekcja 0.1; Lekcja 4.1
The ten measures: Dziesięć kategorii wymienionych w artykule 21(2), stanowiących unijny minimalny zakres środków zarządzania ryzykiem, które musi posiadać każda objęta firma.
Third-party liability: Część polisy, która wypłaca świadczenie osobom spoza firmy, gdy uchybienie firmy wyrządziło im szkodę.
Top-level dependency: Komponent, który produkt importuje lub linkuje bezpośrednio. Minimum CRA w Załącznik I Część II punkt (1) wymaga, aby SBOM obejmował co najmniej te komponenty. Jeśli kod zawiera `import requests` lub `<dependency>spring-boot</dependency>`, są to zależności najwyższego poziomu.; Niniejsza lekcja wyjaśnia różnicę między zależnościami najwyższego poziomu a zależnościami przechodnimi, wyjaśnia powody obecności tego rozróżnienia w przepisach oraz przedstawia przyczyny, dla których praktyka zalecana odbiega od minimum prawnego.Podstawy CRA SBOM, Lekcja 1.2: Zależności bezpośrednie vs zależności przechodnie. Także w: Lekcja 4.1
Training duty: Obowiązek prawny wynikający z artykułu 20(2) NIS2, zgodnie z którym każdy członek organu zarządzającego musi osobiście odbyć szkolenie z zakresu cyberbezpieczeństwa.; Obowiązek szkoleniowy jest osobisty i niedelegowalny.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 1.6: Twój obowiązek szkoleniowy. Także w: Lekcja 0.1
Transitive dependency: Komponent pobierany przez jedną z zależności najwyższego poziomu, a nie bezpośrednio przez kod. Log4Shell (CVE-2021-44228) był zależnością pośrednią w tysiącach aplikacji, o których zespoły nie wiedziały. Minimum CRA nie wymaga ich wymieniania, lecz dobre praktyki tak.; Niniejsza lekcja wyjaśnia różnicę między zależnościami najwyższego poziomu a zależnościami przechodnimi, wyjaśnia powody obecności tego rozróżnienia w przepisach oraz przedstawia przyczyny, dla których praktyka zalecana odbiega od minimum prawnego.Podstawy CRA SBOM, Lekcja 1.2: Zależności bezpośrednie vs zależności przechodnie. Także w: Lekcja 4.1
Transposition: Proces, w którym każdy kraj UE przekształca dyrektywę UE we własne prawo krajowe.; To JEST rozporządzenie, więc obowiązuje bezpośrednio we wszystkich 27 państwach członkowskich bez transpozycji - ale tylko wobec dostawców cyfrowych wymienionych w jego artykule 1: dostawców usług DNS, rejestrów nazw TLD, dostawców usług chmurowych, usług ośrodka przetwarzania danych i sieci dostarczania treści (CDN), dostawców usług zarządzanych i usług zarządzanych w zakresie bezpieczeństwa, dostawców internetowych platform handlowych, wyszukiwarek internetowych i platform usług sieci społecznościowych oraz dostawców usług zaufania.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 1.1: Czym jest NIS2 i dlaczego istnieje. Także w: Lekcja 0.1
Transposition law: Ustawa krajowa, którą kraj uchwala w celu wdrożenia dyrektywy UE.

V

VEX: Vulnerability Exploitability eXchange. Oświadczenie dołączone do SBOM, które dokumentuje, czy znana podatność CVE faktycznie dotyczy Twojego produktu i dlaczego. Natywnie obsługiwane w CycloneDX. CRA nie wspomina o VEX, ale oświadczenie „nie dotyczy” z uzasadnieniem zapisuje, dlaczego znana podatność nie wymagała naprawy (załącznik I część II).; CycloneDX posiada natywne wsparcie dla VEX.Podstawy CRA SBOM, Lekcja 2.2: SPDX i wybór formatu. Także w: Lekcja 1.2; Lekcja 2.1; Lekcja 3.2; Lekcja 4.1
Vulnerability: Słabość systemu, która może zostać wykorzystana przez zagrożenie.; Łańcuch dostaw i systemy: (d) bezpieczeństwo łańcucha dostaw oraz (e) bezpieczeństwo w sposobie, w jaki kupujecie, budujecie i utrzymujecie systemy IT, w tym obsługa podatności.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 1.9: Dziesięć środków: przegląd
Vulnerability handling: Ciągły proces wykrywania, oceny i łatania znanych podatności.; Artykuł 21(2)(e) dyrektywy NIS2 wymaga "bezpieczeństwa w nabywaniu, rozwoju i utrzymaniu sieci i systemów informatycznych, w tym postępowania z podatnościami i ich ujawniania."Szkolenie NIS2 dla kadry zarządzającej, Lekcja 2.10: Środek 5 - Nabywanie, rozwój i utrzymanie

W

Without undue delay: Tak szybko, jak jest to rozsądnie możliwe; prawny standard szybkości powiadamiania klientów.; Artykuł 23(1) dyrektywy NIS2 stanowi, że w stosownych przypadkach podmioty powiadamiają odbiorców usług "bez zbędnej zwłoki" o poważnych incydentach, które mogą mieć niekorzystny wpływ na świadczenie tych usług.Szkolenie NIS2 dla kadry zarządzającej, Lekcja 1.12: Obowiązek powiadamiania klientów

Źródła

BSIG, ustawa o Federalnym Urzędzie Bezpieczeństwa Informacji i o bezpieczeństwie technologii informacyjnych podmiotów (wersja z 2 grudnia 2025 r.): https://www.gesetze-im-internet.de/bsig_2025/
Dyrektywa NIS2 (UE) 2022/2555, Dziennik Urzędowy Unii Europejskiej: https://eur-lex.europa.eu/eli/dir/2022/2555/oj
Rozporządzenie wykonawcze Komisji (UE) 2024/2690, Dziennik Urzędowy Unii Europejskiej: https://eur-lex.europa.eu/eli/reg_impl/2024/2690/oj
Rozporządzenie (UE) 2024/2847 (Cyber Resilience Act), Dziennik Urzędowy Unii Europejskiej: https://eur-lex.europa.eu/eli/reg/2024/2847/oj
Rozporządzenie (UE) 2016/679 (GDPR), Dziennik Urzędowy Unii Europejskiej: https://eur-lex.europa.eu/eli/reg/2016/679/oj
BSI, standardy IT-Grundschutz od BSI-200-1 do BSI-200-4
BSI, IT-Grundschutz Kompendium (aktualne wydanie)

Masz zająć się NIS2?

Prowadzimy Cię krok po kroku. Ty wypełniasz, my wyjaśniamy każdy punkt prostymi słowami, a na końcu podpisuje kierownictwo.

Wypróbuj 30 dni, zwrot pieniędzy

Umów rozmowę

Bezpłatne szkolenie dla zarządu Ceny i warunki

Przewodnik NIS2: Twoja ścieżka krok po kroku, pierwsze punkty gotowe