NIS2 / BSIG / CRA

Glosar de terminologie NIS2

229 termeni din NIS2, BSIG și CRA, în cuvinte simple. Acolo unde un curs folosește termenul, vedeți lecția și fraza.

Simon Orzel·Laufend geprüft

Definițiile provin din dicționarele cursurilor noastre. Aceleași texte apar când treceți cu mouse-ul peste un termen oriunde în wiki. Un termen cu denumire germană este listat și sub această denumire și trimite la intrarea în limba engleză, deoarece textele UE și cursurile noastre folosesc termenul englez. Acolo unde cunoaștem dispoziția pe care se sprijină o definiție, aceasta este afișată sub text.

#

§ 30 BSIG: Cybersecurity measures: Dispoziția centrală a NIS2 în dreptul german. Listează zece categorii de măsuri de gestionare a riscurilor de securitate cibernetică pe care toate entitățile din domeniul de aplicare trebuie să le implementeze. Acoperă evaluarea riscurilor, gestionarea incidentelor, continuitatea activității, securitatea lanțului de aprovizionare, dezvoltarea securizată, evaluarea eficacității, instruirea, criptografia, controlul accesului și autentificarea multifactor. Măsurile trebuie să fie 'adecvate, proporționale și eficace': nu exagerate, dar autentice.; §30 BSIG
§ 32 BSIG: Incident reporting: Cascada obligatorie de raportare a incidentelor. Când are loc un incident semnificativ: avertizare timpurie către BSI în termen de 24 de ore de la luarea la cunoștință, notificarea incidentului în termen de 72 de ore, un raport intermediar dacă BSI îl solicită și un raport final cel târziu la o lună după notificarea din 72 de ore (în loc de acesta, un raport privind progresele, dacă incidentul este încă în desfășurare). Fiecare etapă are cerințe specifice de conținut. Raportările întârziate sau lipsă sunt încălcări distincte, cu dispoziții proprii privind sancțiunile (§ 65(2) nr. 4 și 5 BSIG).; §32 BSIG
§ 33 BSIG: Registration obligation: Obligația juridică a tuturor entităților din domeniul de aplicare de a se înregistra la BSI. Furnizați informații despre entitate, clasificarea pe sector, datele de contact pentru securitate cibernetică și intervalele de adrese IP. Neînregistrarea este o încălcare de sine stătătoare, pasibilă de amenzi de până la 500.000 EUR, separată de orice sancțiuni pentru neimplementarea măsurilor reale de securitate.; §33 BSIG
§ 38 BSIG: Implementation and oversight duty: Dispoziția care obligă organul de conducere să pună în aplicare măsurile de gestionare a riscurilor impuse de § 30 BSIG și să supravegheze punerea lor în aplicare (§ 38(1) BSIG), precum și să participe la instruiri periodice privind riscurile de securitate cibernetică (§ 38(3) BSIG). Obligația de a aproba aceste măsuri este stabilită în Art. 20(1) NIS 2; § 38(1) menționează el însuși punerea în aplicare și supravegherea. Încălcarea obligațiilor de punere în aplicare și de supraveghere angajează răspunderea conducerii față de compania sa pentru prejudiciul cauzat din culpă, potrivit normelor de drept societar aplicabile formei sale juridice (§ 38(2) BSIG). Dacă societatea poate renunța la astfel de pretenții depinde de acel drept societar; § 38 nu spune nimic în această privință. Acesta este paragraful care atrage atenția directorilor generali.; §38(1)-(3) BSIG

A

Access control: Politicile și mecanismele care restricționează cine poate accesa sistemele și datele.; Oameni și acces: (g) igiena cibernetică și instruirea personalului, (h) politicile de criptografie, (i) securitatea resurselor umane, controlul accesului și gestionarea activelor, și (j) autentificarea cu factori multipli și comunicațiile securizate.Instruire NIS2 pentru conducere, Lecția 1.9: Cele zece măsuri: prezentare generală
access review: O verificare periodică a cui ce accesează, pentru a elimina permisiunile care nu mai sunt necesare.
Actively exploited vulnerability: O vulnerabilitate a produsului dumneavoastră în privința căreia există dovezi fiabile că a fost exploatată de un actor rău-intenționat într-un sistem fără permisiunea proprietarului sistemului (Articolul 3(42) CRA). Declanșatorul obligației de notificare din Articolul 14(1) CRA, care începe cu o alertă timpurie în termen de 24 de ore (Articolul 14(2)(a)). Se deosebește de o vulnerabilitate divulgată public, dar încă neexploatată.; Obligația este declanșată de o vulnerabilitate exploatată activ, o vulnerabilitate pe care un actor malițios o utilizează în prezent împotriva unor sisteme reale fără permisiune.Fundamente CRA SBOM, Lecția 3.2: Menținerea SBOM la zi și monitorizarea vulnerabilităților. Și în: Lecția 0.1
acts of war: O categorie de excludere declanșată atunci când un atac este atribuit unui stat sau unui actor sponsorizat de stat.; Cazul Mondelez demonstrează modelul: chiar și o poliță de o sută de milioane de dolari poate fi refuzată în baza unei singure clauze de excludere, atunci când asigurătorul decide că atacul se califică drept act de război.Instruire NIS2 pentru conducere, Lecția 4.1: Asigurarea nu înlocuiește măsurile de control
Administrative fine: Sancțiunea pe care autoritatea de reglementare o impune companiei în temeiul articolului 34 din Directiva NIS2.; Articolul 34 din Directiva NIS2 stabilește amenda administrativă maximă pentru entitățile esențiale la valoarea cea mai mare dintre zece milioane de euro sau două procente din cifra de afaceri anuală mondială totală.Instruire NIS2 pentru conducere, Lecția 1.3: Sancțiunile și interdicția de a exercita funcții de conducere
All-hazards approach: Principiul din articolul 21 alineatul (2) potrivit căruia obligația dumneavoastră acoperă orice amenințare la adresa sistemelor, nu numai atacurile cibernetice, inclusiv amenințările fizice, de mediu și umane.; Articolul 21(2) impune un management al riscurilor "bazat pe o abordare bazată pe toate pericolele care vizează protejarea rețelelor și a sistemelor informatice și a mediului fizic al acestor sisteme împotriva incidentelor."Instruire NIS2 pentru conducere, Lecția 1.10: Abordarea tuturor pericolelor și stadiul actual al tehnicii
Appropriate and proportionate: Standardul din articolul 21(1) NIS 2 pentru măsurile de securitate cibernetică. Ele trebuie să corespundă riscului și să fie dimensionate în funcție de entitate (§ 30(1) BSIG adaugă „eficace”). Un plan pe care nu l-ați testat niciodată este greu de apărat ca fiind adecvat, deoarece articolul 21(2)(f) impune proceduri pentru evaluarea eficacității măsurilor.; Folosește regula adecvate și proporționale din Articolul 21(1) NIS 2 și regula de testare din CIR 2024/2690 Anexa Secțiunea 4.1.Instruire pentru exercițiul tabletop NIS 2, Lecția 3.1: Cadență anuală, test final și atestat
Article 21(2)(g) NIS 2: Paragraful directivei care impune practici de bază de igienă cibernetică și formare în securitate cibernetică. Temeiul juridic al formării specifice rolului pe care o acoperă atestarea acestui curs.; PDF-ul pe care îl primiți la finalul acestui curs este dovada că ați finalizat instruirea de securitate cibernetică specifică rolului, conform Articolul 21(2)(g) NIS 2, pentru rolul de facilitator.Instruire pentru exercițiul tabletop NIS 2, Lecția 3.1: Cadență anuală, test final și atestat
Asset: Tot ceea ce de care depinde activitatea pentru a funcționa: oameni, procese, abonamente cloud, clădiri și echipamente IT.; Această lecție explică ce înseamnă "activ" în contextul NIS2 și de ce inventarul acelor active este fundația pe care se sprijină orice altă măsură de securitate.Instruire NIS2 pentru conducere, Lecția 2.2: Ce este un activ?
Asset inventory: Lista actualizată a tuturor activelor, menținută la zi pe măsură ce activitatea se schimbă; fundamentul pe care se sprijină orice alt control de securitate.; Lista completă a acestora se numește inventarul activelor, iar ea trebuie ținută la zi.Instruire NIS2 pentru conducere, Lecția 2.2: Ce este un activ?
Asset management: Procesul de identificare, inventariere și gestionare a tuturor activelor IT de care depinde activitatea.; Oameni și acces: (g) igiena cibernetică și instruirea personalului, (h) politicile de criptografie, (i) securitatea resurselor umane, controlul accesului și gestionarea activelor, și (j) autentificarea cu factori multipli și comunicațiile securizate.Instruire NIS2 pentru conducere, Lecția 1.9: Cele zece măsuri: prezentare generală
Attestation: Documentul PDF datat pe care acest curs vi-l eliberează la finalizare. Dovadă a formării în securitate cibernetică specifice rolului în temeiul articolului 21(2)(g) NIS 2 pentru rolul de facilitator. Nu este același lucru cu formarea organului de conducere în temeiul articolului 20(2).; La promovare, platforma generează un atestat PDF datat.Fundamente CRA SBOM, Lecția 4.1: Evaluare finală. Și în: Instruire pentru exercițiul tabletop NIS 2, Lecția 0.1; Lecția 0.1
Attribution: Actul de a identifica cine se află în spatele unui atac; determină dacă se aplică clauzele privind actele de război și dacă dreptul sancțiunilor este declanșat.; Pentru clauza privind actele de război în mod specific, pune trei întrebări: cum este definită "acțiunea ostilă sau de tip război" în această poliță, ce se întâmplă când atribuirea este neclară și care este poziția declarată a asigurătorului față de grupurile ransomware aliniate unui stat.Instruire NIS2 pentru conducere, Lecția 4.4: Excluderi de poliță frecvente la care să fiți atenți. Și în: Lecția 4.5; Lecția 4.6
audit rights: Clauze contractuale care vă conferă dreptul de a inspecta controalele de securitate ale unui furnizor.; Trei: clauze contractuale, notificarea incidentelor pentru ca ei să vă anunțe rapid când sunt compromiși, un nivel minim de securitate și drepturi de audit astfel încât voi sau o persoană desemnată să le poată verifica activitatea.Instruire NIS2 pentru conducere, Lecția 2.9: Măsura 4 - Securitatea lanțului de aprovizionare. Și în: Lecția 3.9
Audit trail: Înregistrarea cronologică a ceea ce se cunoștea, când și de către cine; motivul pentru care ascunderea a ceva rareori funcționează.; §30(1) sentence 3 BSIG, §61 BSIG; Ascunderea unei lacune sau repararea ei în liniște eșuează amândouă atunci când pista de audit spune povestea, iar pista de audit spune mereu povestea.Instruire NIS2 pentru conducere, Lecția 3.11: Scenariu - Descoperirea unei lacune înainte de audit
Availability: Proprietatea unui sistem de a fi accesibil și utilizabil atunci când este necesar.
awareness training: Instruire recurentă în materie de securitate pentru tot personalul, care acoperă bazele igienei cibernetice; CIR cere ca aceasta să fie repetată și oferită la intervale planificate (8.1.2, 8.1.3).

B

back door: Un punct de intrare ascuns în software care permite accesul neautorizat, adesea plasat de un atacator.
breach of trust: O infracțiune din dreptul penal german (§ 266 StGB): încălcarea obligației de a avea grijă de interesele patrimoniale ale companiei și, prin aceasta, cauzarea unei pierderi, de exemplu prin cheltuirea banilor ei împotriva interesului ei.; În Germania, abuzul de încredere în temeiul articolului 266 din codul penal se aplică atunci când banii companiei sunt cheltuiți împotriva intereselor companiei.Instruire NIS2 pentru conducere, Lecția 4.6: Decizii privind plata răscumpărării ransomware
BSI registration: Înregistrarea obligatorie a entităților din domeniul de aplicare la BSI prin portalul său online. Cerută de §33 BSIG, cu propria sa dispoziție privind sancțiunile. Furnizați datele firmei, clasificarea pe sector, o persoană de contact pentru securitate cibernetică și intervalele de adrese IP. Aceasta este o obligație juridică de sine stătătoare: îndeplinirea ei nu satisface celelalte cerințe NIS2, dar neîndeplinirea ei este o încălcare proprie.; §33 BSIG
BSI Standard 200-4: Standardul BSI german privind managementul continuității activității. Definește cinci tipuri de exerciții (revizuirea planului sau verificarea pe hârtie, exercițiu de personal, exercițiu extins de personal, exercițiu de alertă, test de funcționare) și impune un plan anual de exerciții.; Standardul BSI 200-4 și standardul internațional ISO 22301:2019 Secțiunea 8.6 numesc patru tipuri de exercițiu:Instruire pentru exercițiul tabletop NIS 2, Lecția 0.1: Ce este un exercițiu de simulare și de ce NIS 2 îl impune
BSI TR-02102: Ghidul tehnic al BSI care enumeră algoritmii criptografici recomandați în prezent; menționați-l în politică pentru ca aceasta să rămână actuală în mod automat.; În loc să memorezi nume de algoritmi, referința corectă pentru companiile europene este BSI TR-02102, pe care BSI o actualizează pe măsură ce cercetarea evoluează.Instruire NIS2 pentru conducere, Lecția 2.13: Măsura 8 - Criptografie
BSIG: Legea germană BSI (Legea privind Oficiul Federal pentru Securitatea Informației și privind securitatea tehnologiei informației a entităților), legea națională care transpune NIS2 în Germania.; BSIG (Art. 1 of the Act of 2 December 2025, BGBl. 2025 I Nr. 301); În Germania, acea lege este BSIG (Legea federală privind securitatea IT, modificată prin Legea de punere în aplicare a NIS2).Instruire NIS2 pentru conducere, Lecția 1.1: Ce este NIS2 și de ce există
Business continuity: Planurile și procesele care asigură continuarea operațiunilor critice în timpul și după o perturbare.; Incident și continuitate: (b) gestionarea incidentelor și (c) continuitatea activității, adică copii de rezervă, recuperare și gestionarea crizelor.Instruire NIS2 pentru conducere, Lecția 1.9: Cele zece măsuri: prezentare generală
Business continuity (BCM): Disciplina globală de menținere a activității în funcțiune pe parcursul incidentelor; acoperă copiile de rezervă, recuperarea în caz de dezastru și gestionarea crizelor.; "Care este RTO-ul pentru sistemul de business de bază și ce arată ultimul test de recuperare în caz de dezastru despre timpul real de recuperare?"Instruire NIS2 pentru conducere, Lecția 2.8: Măsura 3 - Continuitatea activității
Business impact analysis (BIA): Analiza gravității cu care perturbările ar afecta operațiunile companiei; stabilește cerințe de continuitate, precum timpii de recuperare și pierderea acceptabilă de date (CIR 4.1.3), și face matricea de risc operațională.; Documentul care traduce aceste categorii în cifre de business se numește analiză a impactului asupra afacerii, BIA.Instruire NIS2 pentru conducere, Lecția 2.5: Triada CIA și impactul asupra afacerii
business interruption: Pierderea financiară din oprirea sau degradarea operațiunilor în timpul și după un incident.; Ea plătește costurile gestionării unui incident cibernetic: investigație criminalistică, răspunsul la incident, notificarea clienților și pierderile din întreruperea activității.Instruire NIS2 pentru conducere, Lecția 4.3: Asigurarea cibernetică vs D&O - produse diferite, acoperiri diferite
Business Judgment Rule: Principiul din dreptul societăților comerciale care protejează administratorii de răspunderea personală pentru deciziile de afaceri luate cu bună-credință și pe baza unor informații rezonabile.; Regula judecății de afaceri protejează administratorii de răspunderea personală pentru deciziile de afaceri luate cu bună-credință, pe baza unor informații rezonabile, în interesul companiei.Instruire NIS2 pentru conducere, Lecția 1.8: Business judgment rule nu vă protejează

C

chain of evidence: Înregistrarea neîntreruptă a modului în care probele digitale au fost colectate, stocate și manipulate; distrusă prin restabilirea sistemelor înainte de analiza criminalistică.; Restaurarea înainte ca analiza criminalistică să examineze sistemele compromise distruge lanțul probelor și lasă deschis vectorul de intrare.Instruire NIS2 pentru conducere, Lecția 3.8: Scenariu - Atac ransomware într-o vineri după-amiază
CIA triad: Confidențialitate, integritate, disponibilitate: cele trei tipuri de prejudiciu pe care le poate provoca un incident; limbajul pe care îl folosește orice discuție despre securitate.; Sub această formulare stă un vocabular de trei litere folosit în orice discuție despre securitate: triada CIA.Instruire NIS2 pentru conducere, Lecția 2.5: Triada CIA și impactul asupra afacerii
CIR: Regulamentul de punere în aplicare (UE) 2024/2690 al Comisiei, setul detaliat de reguli tehnice pentru anumiți furnizori digitali (precum furnizorii de servicii DNS, de cloud, de centre de date și de servicii gestionate, furnizorii de piețe online) și pentru prestatorii de servicii de încredere; se aplică direct în toate statele membre.; Commission Implementing Regulation (EU) 2024/2690; Deasupra directivei se află o a doua componentă a legislației UE: Regulamentul de punere în aplicare (UE) 2024/2690 al Comisiei, adică CIR.Instruire NIS2 pentru conducere, Lecția 1.1: Ce este NIS2 și de ce există
CIR 2024/2690: Regulamentul de punere în aplicare (UE) 2024/2690 al Comisiei. Precizează cerințele tehnice și metodologice pentru măsurile de securitate cibernetică pentru anumite entități de infrastructură digitală.; CIR 2024/2690 Articolul 3 definește ce se consideră semnificativ.Instruire pentru exercițiul tabletop NIS 2, Lecția 1.1: Cascada de notificare prevăzută la articolul 23 pe care exercițiul dumneavoastră trebuie să o repete. Și în: Lecția 2.2; Lecția 2.3
CISO: Chief Information Security Officer; persoana responsabilă de programul de securitate cibernetică al companiei.; Dacă autoritatea ta de reglementare ar intra mâine în birou și te-ar întreba despre securitatea ta cibernetică, la câte întrebări ai putea răspunde fără să te întorci către CISO?Instruire NIS2 pentru conducere, Lecția 3.1: Întrebările la care trebuie să răspundă fiecare CEO
Civil liability: Expunerea juridică ce permite propriei companii să vă acționeze personal în justiție pentru daune în temeiul dreptului național al societăților comerciale.
Competent authority: Autoritatea națională care supraveghează și asigură aplicarea NIS2 (BSI în Germania). Un stat membru poate desemna mai multe autorități.; Fiecare țară desemnează o autoritate competentă, adică autoritatea de reglementare care supraveghează, auditează și amendează companiile vizate.Instruire NIS2 pentru conducere, Lecția 1.1: Ce este NIS2 și de ce există. Și în: Lecția 1.4
Compliance gap: Un element lipsă sau incomplet al programului de conformitate impus.; Fără ea, nu te pot contacta, iar acel gol de comunicare este în sine un gol de conformitate.Instruire NIS2 pentru conducere, Lecția 1.4: Obligația de înregistrare
compliance officer: Persoana responsabilă de asigurarea faptului că compania își îndeplinește obligațiile legale și de reglementare.; La fața locului, intervievează CISO, responsabilul cu conformitatea și pe tine.Instruire NIS2 pentru conducere, Lecția 3.7: Ce se întâmplă în timpul unui audit al autorității de reglementare
Compliance scope: Gama de entități și activități pe care le acoperă o lege și, prin urmare, obligațiile care li se aplică.; Diferența ține de intensitatea aplicării, nu de domeniul conformității.Instruire NIS2 pentru conducere, Lecția 1.2: Cine intră în domeniul de aplicare: entități esențiale și importante
confidentiality: Datele sunt accesibile doar persoanelor care ar trebui să le vadă; o pierdere este o scurgere.
Conformity assessment: Procesul prin care un producător demonstrează că produsul său îndeplinește cerințele CRA. Produsele din clasa implicită pot fi autoevaluate. Produsele importante din clasa I pot fi autoevaluate utilizând standarde armonizate. Produsele importante din clasa II necesită un organism de evaluare a conformității terț (CAB). SBOM-ul face parte din documentația tehnică revizuită în timpul evaluării conformității.
containment: Acțiunile imediate luate pentru a opri răspândirea în continuare a unui incident.; Dacă aștepți până luni, irosești șaizeci și patru de ore de izolare.Instruire NIS2 pentru conducere, Lecția 3.8: Scenariu - Atac ransomware într-o vineri după-amiază. Și în: Lecția 3.10
Coordinated vulnerability disclosure: Un proces prin care un cercetător în securitate raportează în privat o vulnerabilitate producătorului înainte de a publica detaliile. Anexa I, Partea II, punctul (5) CRA impune producătorilor să instituie și să pună în aplicare o politică privind divulgarea coordonată a vulnerabilităților (a se vedea și Articolul 13(8)). De regulă se implementează printr-un fișier security.txt și un punct de contact dedicat pentru securitate.; Documentația de proiectare și dezvoltare care include arhitectura, deciziile de proiectare, modelul de amenințări și politica de divulgare coordonată a vulnerabilitățilorFundamente CRA SBOM, Lecția 1.3: Regula de păstrare timp de 10 ani și cine obține acces
Coverage gap: Spațiul specific dintre ceea ce acoperă polițele dumneavoastră și ceea ce autoritatea de reglementare vă poate pretinde efectiv; locul în care se află răspunderea personală neasigurată.; Diferența dintre ce ai presupus că acoperă polița și ce acoperă de fapt este spațiul în care trăiește surpriza costisitoare.Instruire NIS2 pentru conducere, Lecția 4.2: Asigurarea D&O - ce acoperă și excluderile cibernetice
Crisis declaration: Actul formal care comută compania în modul de răspuns la incidente și pe care numai organul de conducere îl poate autoriza.
crisis management: O echipă de criză desemnată nominal, cu autoritate de decizie atribuită în prealabil, și un plan documentat; NIS2 enumeră gestionarea crizelor alături de continuitatea activității la articolul 21 alineatul (2) litera (c).
critical asset: Un activ a cărui pierdere ar cauza un prejudiciu semnificativ companiei; prioritizat în BIA.
Critical sectors: Sectoare pe care UE le consideră esențiale pentru societate și economie, enumerate în anexele I și II la NIS2.; Un singur set de reguli valabil la nivelul întregii UE despre modul în care companiile din sectoarele critice se protejează împotriva atacurilor cibernetice și ce trebuie să facă atunci când ceva nu merge bine.Instruire NIS2 pentru conducere, Lecția 1.1: Ce este NIS2 și de ce există
critical vulnerability: O slăbiciune dintr-un sistem evaluată la cel mai înalt nivel de gravitate; CIR se așteaptă ca vulnerabilitățile critice pentru operațiuni să fie abordate fără întârzieri nejustificate (6.10.2(c)).
Cross-border impact: Efectul unui incident asupra serviciilor sau entităților din alte state membre ale UE.; Cauza primară, măsurile de atenuare aplicate și orice impact transfrontalier.Instruire NIS2 pentru conducere, Lecția 1.11: Cascada de raportare și incidentele semnificative
Cryptography: Utilizarea criptării și a tehnicilor conexe pentru a proteja confidențialitatea și integritatea datelor.; Oameni și acces: (g) igiena cibernetică și instruirea personalului, (h) politicile de criptografie, (i) securitatea resurselor umane, controlul accesului și gestionarea activelor, și (j) autentificarea cu factori multipli și comunicațiile securizate.Instruire NIS2 pentru conducere, Lecția 1.9: Cele zece măsuri: prezentare generală
CSIRT: Computer Security Incident Response Team, un organism național (un stat membru poate avea mai multe) care gestionează incidentele; rapoartele se transmit acestuia sau, după caz, autorității competente (articolul 23 alineatul (1)).; NIS2 Directive Art. 10, §32 BSIG; Articolul 23 din Directiva NIS2 cere companiilor vizate să raporteze incidentele semnificative către CSIRT-ul național sau autoritatea competentă.Instruire NIS2 pentru conducere, Lecția 1.11: Cascada de raportare și incidentele semnificative. Și în: Lecția 4.5; Instruire pentru exercițiul tabletop NIS 2, Lecția 1.1
Customer notification: Obligația dumneavoastră, în temeiul articolului 23 alineatul (1), de a informa, dacă este cazul, clienții afectați despre un incident semnificativ, distinctă de obligația de raportare către autoritatea de reglementare.; Dacă nu pot răspunde, presupune cel mai rău scenariu și pregătește notificarea clienților.Instruire NIS2 pentru conducere, Lecția 3.9: Scenariu - Breșă la un furnizor care afectează datele clienților dumneavoastră
customer notification duty: Obligația legală de a informa clienții afectați, dacă este cazul, cu privire la un incident semnificativ care ar putea afecta în mod negativ serviciul pe care îl primesc.; Obligația de notificare a clienților prevăzută la articolul 23 alineatul (1): aceasta cade pe umerii voștri, indiferent de situație.Instruire NIS2 pentru conducere, Lecția 4.1: Asigurarea nu înlocuiește măsurile de control
CVE: Common Vulnerabilities and Exposures. Identificatorul standardizat pentru vulnerabilitățile de securitate cibernetică cunoscute public. Format: CVE-YEAR-NUMBER (de exemplu CVE-2021-44228 pentru Log4Shell). Un SBOM legat de o bază de date CVE vă indică ce vulnerabilități cunoscute afectează produsul dvs.; Fiecare intrare de vulnerabilitate face referire la un CVE și la componenta afectată.Fundamente CRA SBOM, Lecția 2.1: CycloneDX: formatul SBOM orientat spre securitate. Și în: Lecția 1.1; Lecția 3.2
Cyber hygiene: Practici de securitate de bază (aplicarea de corecții, gestionarea parolelor, conștientizare) care reduc riscul cotidian.; Oameni și acces: (g) igiena cibernetică și instruirea personalului, (h) politicile de criptografie, (i) securitatea resurselor umane, controlul accesului și gestionarea activelor, și (j) autentificarea cu factori multipli și comunicațiile securizate.Instruire NIS2 pentru conducere, Lecția 1.9: Cele zece măsuri: prezentare generală. Și în: Lecția 2.12
Cyber insurance: O poliță care plătește după un incident, acoperind unele pierderi financiare, sub rezerva excluderilor.; Mondelez avea o poliță cyber la Zurich Insurance pentru exact această sumă.Instruire NIS2 pentru conducere, Lecția 4.1: Asigurarea nu înlocuiește măsurile de control. Și în: Lecția 4.3; Lecția 4.4
CycloneDX: Un standard SBOM al OWASP în format JSON sau XML. Orientat spre securitate: construit în jurul urmăririi vulnerabilităților, al declarațiilor VEX și al integrării CVE. Versiunea 1.7 este cea actuală. CRA nu indică un format preferat (Anexa I, Partea II, punctul (1) cere un format folosit în mod curent și care poate fi citit automat), dar CycloneDX se potrivește direct cu fluxurile de lucru de gestionare a vulnerabilităților.; Formatele CycloneDX și SPDX completează acest aspect.Fundamente CRA SBOM, Lecția 1.1: Ce conține un SBOM: componente, versiuni și identificatori. Și în: Lecția 0.1; Lecția 2.1; Lecția 2.2; Lecția 4.1

D

D&O insurance: Asigurare de răspundere a administratorilor și directorilor; un produs distinct de asigurarea cibernetică, care acoperă acțiunile de răspundere personală împotriva organului de conducere.; Iar răspunderea personală prevăzută la articolul 20 alineatul (1) este acoperită de asigurarea D&O, nu de asigurarea cyber: sunt produse diferite.Instruire NIS2 pentru conducere, Lecția 4.1: Asigurarea nu înlocuiește măsurile de control. Și în: Lecția 4.3
deductible: Suma pe care asiguratul trebuie să o plătească din buzunar înainte de începerea acoperirii.
Digital infrastructure entities: Tipurile de entități cărora li se aplică direct CIR 2024/2690 („entitățile relevante” din articolul 1 al acestuia): furnizorii de servicii DNS, registrele TLD, furnizorii de cloud, centrele de date, CDN-urile, MSP-urile, MSSP-urile, piețele online, motoarele de căutare, rețelele sociale, prestatorii de servicii de încredere. Nu este identic cu sectorul NIS 2 „infrastructură digitală”, care acoperă și punctele de schimb de trafic internet și furnizorii de telecomunicații.; CIR 2024/2690 (Regulamentul de punere în aplicare al Comisiei care oferă detaliile tehnice pentru entitățile de infrastructură digitală) este mai direct.Instruire pentru exercițiul tabletop NIS 2, Lecția 0.1: Ce este un exercițiu de simulare și de ce NIS 2 îl impune
Direct reporting line: Structura organizațională care oferă cel puțin unei persoane o linie directă către organul de conducere în materie de securitate cibernetică, impusă tipurilor de furnizori acoperiți de Regulamentul de punere în aplicare (UE) 2024/2690 (anexa 1.2.3) și verificată de auditori.; Dacă apoi compania are un incident, absența unei linii de raportare directe este o dovadă că organul de conducere nu supraveghea în mod corespunzător programul de securitate cibernetică.Instruire NIS2 pentru conducere, Lecția 3.6: CISO și liniile de raportare către consiliul de supraveghere
Directive: O lege a UE care indică fiecărei țări rezultatul care trebuie atins; fiecare țară își redactează propria lege națională pentru a o pune în aplicare.; Denumirea oficială este Directiva (UE) 2022/2555, Directiva NIS2.Instruire NIS2 pentru conducere, Lecția 1.1: Ce este NIS2 și de ce există. Și în: Lecția 0.1
Directors and officers liability insurance: Produsul vândut pentru a proteja membrii consiliului de administrație împotriva pretențiilor de administrare defectuoasă; acoperă de obicei pretențiile de daune pentru încălcări ale obligațiilor, dar nu amenzile aplicate companiei și nici încălcările săvârșite cu bună știință.; Secretarul consiliului îți transmite oferta de reînnoire pentru asigurarea de răspundere a administratorilor și directorilor companiei.Instruire NIS2 pentru conducere, Lecția 4.2: Asigurarea D&O - ce acoperă și excluderile cibernetice
disaster recovery: Procedurile și infrastructura care readuc activitatea în funcțiune după un eveniment major.
DPO: Data Protection Officer, responsabilul cu protecția datelor. Funcția reglementată la articolele 37 până la 39 GDPR (desemnare, poziție, sarcini). Se recomandă cu tărie la orice exercițiu tabletop în care sunt implicate date cu caracter personal.; DPO sau persoana de contact pentru protecția datelor atunci când sunt implicate date cu caracter personal.Instruire pentru exercițiul tabletop NIS 2, Lecția 1.2: Atribuirea rolurilor: cine trebuie să fie prezent
Due care: Gradul de atenție și diligență pe care se așteaptă ca un administrator rezonabil să îl exercite.; A pune întrebarea și a documenta că ați pus-o face deja parte din standardul de diligență.Instruire NIS2 pentru conducere, Lecția 1.3: Sancțiunile și interdicția de a exercita funcții de conducere. Și în: Lecția 1.7; Lecția 1.8; Lecția 3.2
Due diligence: Pregătirea pe care trebuie să o faceți înainte de a semna ceva cu greutate juridică; standardul care determină dacă aprobarea dumneavoastră poate fi apărată.
Duty of legality: Obligația specifică a unui administrator de a respecta legea aplicabilă, care prevalează asupra regulii judecății de afaceri: nu este permisă nicio apreciere cu privire la respectarea unei obligații legale.; Principiul se numește obligația de legalitate: un administrator trebuie să respecte legislația aplicabilă și nu se admite nicio judecată de afaceri cu privire la respectarea unei obligații legale.Instruire NIS2 pentru conducere, Lecția 1.8: Business judgment rule nu vă protejează

E

Early warning: Prima etapă de raportare, scadentă în termen de douăzeci și patru de ore de la luarea la cunoștință despre un incident semnificativ.; Mai întâi: avertizarea timpurie.Instruire NIS2 pentru conducere, Lecția 1.11: Cascada de raportare și incidentele semnificative. Și în: Lecția 3.8; Instruire pentru exercițiul tabletop NIS 2, Lecția 1.1; Instruire pentru exercițiul tabletop NIS 2, Lecția 2.1
Encryption at rest: Criptarea datelor stocate (pe disc, într-o bază de date sau într-o copie de rezervă) astfel încât furtul fizic să nu le expună.; Criptarea în repaus înseamnă că datele aflate pe disc, într-o bază de date sau într-un backup sunt amestecate astfel încât cineva care fură mediul de stocare să nu le poată citi.Instruire NIS2 pentru conducere, Lecția 2.13: Măsura 8 - Criptografie
Encryption in transit: Criptarea datelor în tranzit între sisteme astfel încât interceptarea să nu le expună.; Criptarea în tranzit înseamnă că datele care se deplasează între sisteme sunt amestecate astfel încât cineva care interceptează traficul să nu le poată citi.Instruire NIS2 pentru conducere, Lecția 2.13: Măsura 8 - Criptografie
ENISA: Agenția Uniunii Europene pentru Securitate Cibernetică. Primește notificările de vulnerabilități și rapoartele de incidente în temeiul Articolului 14 CRA, împreună cu CSIRT desemnată drept coordonator, prin platforma unică de raportare (operațională din 11 septembrie 2026). Potrivit Articolului 23 NIS 2, entitățile raportează către CSIRT sau către autoritatea lor competentă, nu către ENISA; ENISA primește informații despre incidentele transfrontaliere și rapoarte de sinteză trimestriale de la organismele naționale.
ENISA registry: Registrul pe care ENISA îl ține în temeiul articolului 27 din NIS2 pentru furnizorii de servicii DNS, registrele de nume TLD, entitățile care prestează servicii de înregistrare a numelor de domenii, furnizorii de servicii de cloud computing, de servicii de centre de date și de rețele de furnizare de conținut, furnizorii de servicii gestionate și de servicii de securitate gestionate, precum și furnizorii de piețe online, de motoare de căutare online și de platforme de servicii de socializare în rețea, alimentat cu informațiile de la punctele unice de contact.
Essential entity: O companie mare dintr-un sector din anexa I sau anumiți furnizori, precum furnizorii de servicii DNS, indiferent de dimensiune. Fac obiectul supravegherii proactive.; §28(1), §61(5), §65(5) BSIG, NIS2 Directive Art. 3(1); Dacă sunteți clasificat drept entitate esențială, autoritatea de reglementare vă poate audita oricând decide, fără motiv, fără incident, fără reclamație.Instruire NIS2 pentru conducere, Lecția 1.2: Cine intră în domeniul de aplicare: entități esențiale și importante
Exclusion: O categorie denumită de pierdere pe care polița nu o acoperă (acte de război, vulnerabilități preexistente, sancțiuni).; Asigurarea distribuie pierderea financiară după producerea faptelor, și doar pierderea financiară, supusă excluderilor pe care le-au scris avocații asigurătorului.Instruire NIS2 pentru conducere, Lecția 4.1: Asigurarea nu înlocuiește măsurile de control. Și în: Lecția 4.2
exclusion clause: Formularea contractuală specifică care elimină o categorie de pierdere din acoperire.; Cazul Mondelez demonstrează modelul: chiar și o poliță de o sută de milioane de dolari poate fi refuzată în baza unei singure clauze de excludere, atunci când asigurătorul decide că atacul se califică drept act de război.Instruire NIS2 pentru conducere, Lecția 4.1: Asigurarea nu înlocuiește măsurile de control. Și în: Lecția 4.4
exfiltration: Actul de a fura date din sistemele dumneavoastră; punctul în care izolarea poate deveni o obligație de notificare.; A treia întrebare: au fost date exfiltrate?Instruire NIS2 pentru conducere, Lecția 3.10: Scenariu - Phishing reușit: semnificativ sau nu?

F

Fiduciary duty: Obligația legală a unui administrator de a acționa în interesul superior al companiei.
Final report: A treia etapă de raportare, scadentă cel târziu la o lună după notificarea incidentului, care acoperă cauza principală, măsurile de atenuare și impactul transfrontalier.; În al treilea rând: raportul final.Instruire NIS2 pentru conducere, Lecția 1.11: Cascada de raportare și incidentele semnificative. Și în: Instruire pentru exercițiul tabletop NIS 2, Lecția 1.1; Instruire pentru exercițiul tabletop NIS 2, Lecția 2.1
forensics: Investigarea tehnică a unui incident cibernetic pentru a determina cauza, sfera și impactul.; Nouă: angajarea de experți criminalistici externi sau de consilieri juridici în incidentele majore.Instruire NIS2 pentru conducere, Lecția 3.5: Ce nu puteți delega - lista de verificare. Și în: Lecția 3.8; Lecția 3.10; Lecția 4.3

G

Good-faith disclosure: Actul de a comunica autorității de reglementare o lacună înainte ca aceasta să o descopere, lucru pe care autoritățile de reglementare îl iau în considerare ca factor atenuant în deciziile de executare.; Divulgarea de bună-credință duce de obicei la un ordin de remediere sau la un avertisment, nu la o amendă.Instruire NIS2 pentru conducere, Lecția 3.11: Scenariu - Descoperirea unei lacune înainte de audit
Grype: Un scaner de vulnerabilități open-source de la Anchore. Primește un SBOM ca intrare și compară componentele cu NVD, GitHub Advisory Database și alte fluxuri de vulnerabilități. Instrumentul care transformă un SBOM în monitorizare continuă a vulnerabilităților, ceea ce sprijină obligațiile de gestionare a vulnerabilităților din Anexa I, Partea II și vă ajută să observați vulnerabilitățile care pot declanșa o notificare conform Articolului 14.; Grype de la Anchore este instrumentul standard pentru bucla de monitorizare.Fundamente CRA SBOM, Lecția 3.2: Menținerea SBOM la zi și monitorizarea vulnerabilităților. Și în: Lecția 2.1; Lecția 4.1

H

hardware token: Un dispozitiv fizic (de exemplu, YubiKey) care generează sau stochează un al doilea factor de autentificare.
Hash: O amprentă de lungime fixă a unui fișier calculată de un algoritm precum SHA-256. Includerea unui hash pentru fiecare componentă SBOM permite verificarea faptului că componenta nu a fost modificată de la generarea SBOM-ului. Atât CycloneDX cât și SPDX acceptă hash-uri per componentă.; Un hash este o amprentă de lungime fixă a fișierului componentei.Fundamente CRA SBOM, Lecția 1.1: Ce conține un SBOM: componente, versiuni și identificatori
Holding statement: O recunoaștere scurtă și factuală, emisă devreme, înainte ca toate faptele să fie cunoscute, care câștigă timp pentru a le stabili corect, fără a da impresia de tăcere.; A doua: emiteți o declarație de tranziție în termen de două ore.Instruire NIS2 pentru conducere, Lecția 4.5: Primele 48 de ore de comunicare de criză
Hot wash: Ședința de analiză imediat după exercițiu. Aceeași sală, aceeași zi, aproximativ douăzeci de minute. Patru runde: ce a mers bine, ce a mers prost, ce ne-a surprins, ce trebuie să se schimbe.; Îndrumarea își are locul în debriefingul de după exercițiu.Instruire pentru exercițiul tabletop NIS 2, Lecția 1.3: Separarea dintre facilitator și participant. Și în: Lecția 2.2; Lecția 2.3

I

Impact: Cât de grav ar fi dacă evenimentul s-ar produce, măsurat în bani, timp de nefuncționare, clienți sau prejudiciu.; Acea expunere se măsoară cu două numere: probabilitatea, adică cât de des s-ar putea produce un eveniment nedorit, și impactul, adică cât te-ar costa dacă s-ar întâmpla, măsurat în bani, timp de nefuncționare, clienți sau prejudicii.Instruire NIS2 pentru conducere, Lecția 2.1: Risc = Probabilitate x Impact
Important entity: O companie dintr-un sector din anexa I sau II care este vizată, dar nu este esențială: de dimensiune medie în anexa I, de dimensiune medie sau mare în anexa II. Face obiectul supravegherii reactive.; §28(2), §62, §65(5) BSIG, NIS2 Directive Art. 3(2); Dacă sunteți clasificat drept entitate importantă, autoritatea de reglementare vă auditează doar atunci când ceva o declanșează: un incident, o reclamație, un raport.Instruire NIS2 pentru conducere, Lecția 1.2: Cine intră în domeniul de aplicare: entități esențiale și importante
Improvement item: Un punct de acțiune care rezultă din analiză. Are o descriere, un responsabil, un termen, o legătură către măsura din articolul 21(2) în care acoperă o lacună și un criteriu clar de finalizare.; Fiecare devine un element de îmbunătățire cu un responsabil, un termen-limită și o legătură către măsura relevantă din Articolul 21(2).Instruire pentru exercițiul tabletop NIS 2, Lecția 2.2: Analiza la cald (hot wash)
In scope: Supus cerințelor legii; compania se încadrează în criteriile de aplicabilitate.
Incident contact: Persoana desemnată de companie pentru comunicarea cu autoritatea de reglementare în cazul incidentelor de securitate. Având în vedere termenul de 24 de ore pentru avertizarea timpurie, este o bună practică să planificați și disponibilitatea acesteia în afara programului de lucru.
Incident handling: Procedurile de detectare, de răspuns și de recuperare în urma incidentelor de securitate.; Incident și continuitate: (b) gestionarea incidentelor și (c) continuitatea activității, adică copii de rezervă, recuperare și gestionarea crizelor.Instruire NIS2 pentru conducere, Lecția 1.9: Cele zece măsuri: prezentare generală
Incident notification: A doua etapă de raportare, scadentă în termen de șaptezeci și două de ore, cu gravitatea, impactul și indicatorii de compromitere.; În al doilea rând: notificarea incidentului.Instruire NIS2 pentru conducere, Lecția 1.11: Cascada de raportare și incidentele semnificative. Și în: Instruire pentru exercițiul tabletop NIS 2, Lecția 1.1; Instruire pentru exercițiul tabletop NIS 2, Lecția 2.1
incident response plan: Procedura documentată pentru detectarea, limitarea și recuperarea în urma unui incident de securitate.; Dacă nu cunoști răspunsul la toate trei înainte ca apelul să aibă loc, planul tău de răspuns la incidente a eșuat deja.Instruire NIS2 pentru conducere, Lecția 2.7: Măsura 2 - Gestionarea incidentelor. Și în: Lecția 3.8; Lecția 4.6
Indemnification: O clauză contractuală care impune ca partea în culpă să vă compenseze pentru costurile cauzate de defecțiunea sa.; Mai exact: termenele de notificare a incidentelor, drepturile de audit, despăgubirea.Instruire NIS2 pentru conducere, Lecția 3.9: Scenariu - Breșă la un furnizor care afectează datele clienților dumneavoastră
Indicators of compromise: Artefacte tehnice (adrese IP, hash-uri, domenii) care atestă o breșă de securitate.; O evaluare actualizată care include gravitatea, impactul și, dacă sunt disponibili, indicatorii de compromitere.Instruire NIS2 pentru conducere, Lecția 1.11: Cascada de raportare și incidentele semnificative
Information security policy: Documentul de securitate de cel mai înalt nivel, care prevalează asupra oricărei alte reguli de securitate din companie; primul document pe care îl citește auditorul.; Documentul de nivel superior se numește politica de securitate a informației.Instruire NIS2 pentru conducere, Lecția 2.6: Măsura 1 - Analiza riscurilor și politicile de securitate a informațiilor. Și în: Lecția 3.2
Initial compromise: Cel mai timpuriu moment în care un atacator a pătruns în mediul dumneavoastră. Operatorii de ransomware rămân adesea în sistem zile întregi, uneori săptămâni, înainte de a cripta ceva. Punctul corect de restaurare este anterior acestui moment, nu doar criptării.; Răspuns corect: Cel mai recent backup care precedă compromiterea inițială, confirmat curat de echipa de criminalistică.Instruire pentru exercițiul tabletop NIS 2, Lecția 2.1: Un scenariu complet: ransomware pe ERP
Insider threat: Un risc care provine din interiorul organizației, de la angajați, contractanți sau parteneri.; Atacurile cibernetice, intruziunile fizice, incendiile, inundațiile, întreruperile de curent, defecțiunile furnizorilor, amenințările din interior și erorile umane intră toate în sfera de aplicare.Instruire NIS2 pentru conducere, Lecția 1.10: Abordarea tuturor pericolelor și stadiul actual al tehnicii
integrity: Datele sunt exacte și nealterate; o pierdere este o corupere.
Intermediate report: O actualizare de stare în temeiul articolului 23(4)(c) NIS 2 trimisă la cererea CSIRT. Fără termen fix. Răspundeți atunci când vi se cere.; Articolul 23(4)(c) prevede că CSIRT-ul poate cere un raport intermediar atunci când dorește.Instruire pentru exercițiul tabletop NIS 2, Lecția 1.1: Cascada de notificare prevăzută la articolul 23 pe care exercițiul dumneavoastră trebuie să o repete
Internal controls: Procesele și garanțiile pe care o companie le menține pentru a asigura conformitatea și a gestiona riscul.; Acuzația a fost că lipseau controalele interne și divulgările cerute de lege.Instruire NIS2 pentru conducere, Lecția 1.8: Business judgment rule nu vă protejează
ISMS: Information Security Management System: ansamblul complet de politici, procese și persoane care gestionează securitatea.; Întregul set de documente, oameni și cicluri de revizuire din jurul lor este ceea ce CISO-ul dumneavoastră numește ISMS, un sistem de management al securității informației.Instruire NIS2 pentru conducere, Lecția 2.6: Măsura 1 - Analiza riscurilor și politicile de securitate a informațiilor
IT-Grundschutz: Metodologia proprie a BSI de securitate cibernetică: un cadru cuprinzător de module de securitate (Bausteine) cu îndrumări de implementare pas cu pas. Pentru companii nu este obligatorie: BSI afirmă că o certificare IT-Grundschutz poate ușura dovedirea conformității cu NIS2, dar trebuie verificată în raport cu măsurile cerute de § 30 BSIG și completată acolo unde este necesar. § 44(2) BSIG tratează cerințele minime bazate pe Grundschutz ca satisfăcând § 30, dar numai pentru entitățile administrației federale.; BSI-Standards 200-1 through 200-4; §44(2) BSIG applies to federal administration entities only

J

Joiner-mover-leaver: Procesul de acordare a accesului la angajare, de ajustare la schimbarea rolului și de revocare la plecare.; Procesul care leagă resursele umane și IT-ul de-a lungul întregului ciclu de viață al angajatului (intrare, schimbare de rol și ieșire) se numește procesul intrare, schimbare de rol și ieșire.Instruire NIS2 pentru conducere, Lecția 2.14: Măsura 9 - Securitatea personalului, controlul accesului și gestionarea activelor

K

Key management: Generarea, stocarea, rotirea și distrugerea cheilor criptografice care fac criptarea să funcționeze; punctul în care criptografia eșuează cel mai frecvent.; Gestionarea cheilor decide dacă criptarea este solidă sau goală.Instruire NIS2 pentru conducere, Lecția 2.13: Măsura 8 - Criptografie
Key performance indicator: Indicatorii care arată dacă controalele de securitate funcționează conform proiectării.; Ședințele de raportare trebuie să fie regulate, documentate și să conțină un conținut specific: KPI, KRI, rezumatul incidentelor, starea bugetului, peisajul amenințărilor și deciziile care necesită escaladare.Instruire NIS2 pentru conducere, Lecția 3.6: CISO și liniile de raportare către consiliul de supraveghere
Key risk indicator: Indicatorii care arată unde se situează expunerea cibernetică a companiei la un moment dat și cum evoluează aceasta.; Ședințele de raportare trebuie să fie regulate, documentate și să conțină un conținut specific: KPI, KRI, rezumatul incidentelor, starea bugetului, peisajul amenințărilor și deciziile care necesită escaladare.Instruire NIS2 pentru conducere, Lecția 3.6: CISO și liniile de raportare către consiliul de supraveghere
key rotation: Înlocuirea cheilor criptografice conform unui calendar pentru a limita prejudiciul în cazul în care o cheie este compromisă.
KPI: Key Performance Indicator: măsoară cât de bine funcționează un proces de securitate (de exemplu, procentul de corecții aplicate la timp).; KPI-urile, Key Performance Indicators (indicatori-cheie de performanță), măsoară cât de bine funcționează un proces (de exemplu, ce procent de patch-uri au fost aplicate la timp).Instruire NIS2 pentru conducere, Lecția 2.11: Măsura 6 - Evaluarea eficacității
KRI: Key Risk Indicator: măsoară cât de mult risc suportă în prezent compania (de exemplu, numărul de vulnerabilități critice deschise).; KRI-urile, Key Risk Indicators (indicatori-cheie de risc), măsoară cât de mult risc purtați în prezent (de exemplu, câte vulnerabilități critice sunt deschise chiar acum).Instruire NIS2 pentru conducere, Lecția 2.11: Măsura 6 - Evaluarea eficacității
KRITIS: Operatorii de instalații critice care depășesc pragurile definite în reglementarea BSI-KritisV (de regulă 500.000 de persoane deservite). Operatorii KRITIS sunt clasificați automat drept entități esențiale (în BSIG: besonders wichtige Einrichtungen) și au obligații suplimentare față de NIS2 standard: dovada măsurilor lor la fiecare trei ani, sisteme obligatorii de detectare a atacurilor și conținut suplimentar în rapoartele de incident (tipul instalației și serviciul critic). Termenele de raportare sunt aceleași ca pentru celelalte entități.; §2 No. 22, §28(1), §31(2), §32(3), §39 BSIG; §2 No. 3 KRITISDachG; BSI-KritisV

L

Layered insurance: Abordarea de a combina polițele D&O, cibernetice și de apărare juridică pentru a închide lacuna dintre acestea.
Least privilege: Principiul conform căruia fiecare utilizator are doar accesul de care are nevoie pentru munca sa: nici mai mult, nici mai puțin.
Leitfragen: Termenul german pentru întrebările structurate din capitolul 3 al suportului de instruire fără caracter obligatoriu al BSI pentru organele de conducere (§ 38 Abs. 3 BSIG).; Fiecare întrebare din a treia coloană este o gap pe care formarea ta trebuie să o închidă. auditorul sau consultantul tău va numi această listă BSI Leitfragen.Instruire NIS2 pentru conducere, Lecția 3.1: Întrebările la care trebuie să răspundă fiecare CEO
Lessons learned: Documentul scris de după incident care consemnează cauza principală și actualizează planul; DER.2.1.A17 prevede că conducerea ar trebui (SOLLTE) să fie informată în fiecare an despre incidente.; Are cinci părți, iar auditorul verifică dacă toate cinci există și au fost testate: detectarea (cum observi că ceva nu este în regulă), clasificarea (cât de grav este și dacă trece pragul de raportare din Lecția 1.11), răspunsul (cine ce face și în ce ordine), refacerea (cum restabilești serviciul, ceea ce se leagă de Măsura 3, continuitatea activității) și lecțiile învățate (ce s-a întâmplat, de ce și ce se schimbă ca urmare).Instruire NIS2 pentru conducere, Lecția 2.7: Măsura 2 - Gestionarea incidentelor
Likelihood: Cât de des poate avea loc un eveniment nefavorabil într-o anumită perioadă.; Acea expunere se măsoară cu două numere: probabilitatea, adică cât de des s-ar putea produce un eveniment nedorit, și impactul, adică cât te-ar costa dacă s-ar întâmpla, măsurat în bani, timp de nefuncționare, clienți sau prejudicii.Instruire NIS2 pentru conducere, Lecția 2.1: Risc = Probabilitate x Impact

M

malware: Software malițios conceput pentru a deteriora, perturba sau obține acces neautorizat la sisteme.; În 2017, compania din industria alimentară Mondelez a fost lovită de programul malițios NotPetya malware și a suferit pagube de aproximativ o sută de milioane de dolari.Instruire NIS2 pentru conducere, Lecția 4.1: Asigurarea nu înlocuiește măsurile de control
Management approval: Actul formal prin care organul de conducere aprobă măsurile de gestionare a riscurilor în materie de securitate cibernetică, astfel cum impune articolul 20 alineatul (1), creând o înregistrare datată a consimțământului informat.
Management body: Echipa de conducere a companiei: directorul executiv (CEO), directorii generali, membrii consiliului de administrație executiv și orice persoană chemată prin lege sau prin actul constitutiv să conducă activitatea și să reprezinte compania.; § 2 No. 13 BSIG; Directiva creează răspundere personală pentru organul de conducere.Instruire NIS2 pentru conducere, Lecția 1.1: Ce este NIS2 și de ce există. Și în: Lecția 0.1; Lecția 1.5; Instruire pentru exercițiul tabletop NIS 2, Lecția 0.1; Instruire pentru exercițiul tabletop NIS 2, Lecția 1.2
Management body training: Obligația de instruire creată de articolul 20 alineatul (2), distinctă de instruirea de conștientizare pe care o primesc angajații dumneavoastră; o obligație personală a fiecărui membru al organului de conducere.
Management liability: Răspunderea personală a conducerii companiei (Geschäftsführung) față de propria companie pentru conformitatea cu NIS2 în temeiul § 38 BSIG. Conducerea trebuie să pună în aplicare măsurile de gestionare a riscurilor prevăzute la § 30, să supravegheze punerea lor în aplicare și să urmeze periodic instruiri în domeniul securității cibernetice (§ 38(1) și (3)). Încălcarea obligațiilor de punere în aplicare și de supraveghere angajează răspunderea conducerii față de companie pentru prejudiciul cauzat din culpă, potrivit normelor de drept societar aplicabile formei sale juridice (§ 38(2)). Obligația de a aproba aceste măsuri este stabilită în Art. 20(1) NIS 2; § 38(1) menționează el însuși punerea în aplicare și supravegherea. Dacă societatea poate renunța la astfel de pretenții depinde de acel drept societar; § 38 nu spune nimic în această privință. Aceasta este dispoziția care mută securitatea cibernetică din departamentul IT în sala consiliului de administrație.; §38(1)-(3) BSIG
management review: O evaluare periodică în care organul de conducere analizează postura de securitate a organizației; BSI Standard 200-1 (secțiunea 4.3) o recomandă ca parte a unui sistem de management al securității informației.; Standardul BSI 200-1, Secțiunea 7.4 fixează acest lucru drept singura frecvență anuală obligatorie din cadru: revizuirea formală a managementului în care dumneavoastră, organul de conducere, vă așezați și evaluați dacă întregul program de securitate încă funcționează.Instruire NIS2 pentru conducere, Lecția 2.4: De ce gestionarea riscului este continuă. Și în: Lecția 2.11; Lecția 3.3; Lecția 5.1
Management review protocol: Documentul datat și semnat care consemnează ce a fost analizat, ce s-a decis și cine răspunde de fiecare acțiune de urmărire din revizuirea anuală a conducerii.; Revizuirea de către conducere este un document datat și semnat, protocolul revizuirii de către conducere, care consemnează ce a fost revizuit, ce s-a decis și cine răspunde de fiecare acțiune de urmărire.Instruire NIS2 pentru conducere, Lecția 2.11: Măsura 6 - Evaluarea eficacității
Manager ban: Competența prevăzută la articolul 32 alineatul (5) litera (b), doar pentru entitățile esențiale, de a obține interzicerea temporară pentru persoana de la nivelul de director executiv sau reprezentant legal de a exercita funcții de conducere în cadrul entității respective atunci când dispozițiile autorității de reglementare sunt ignorate după expirarea termenului stabilit.; Dacă o entitate esențială nu le respectă, autoritatea poate cere o interdicție pentru manageri temporară în temeiul Articolului 32(5)(b), care durează până la remedierea lacunelor.Instruire NIS2 pentru conducere, Lecția 1.3: Sancțiunile și interdicția de a exercita funcții de conducere
Mandatory incident reporting: Obligația dumneavoastră legală de a notifica autoritatea de reglementare cu privire la un incident semnificativ în cadrul cascadei de 24 de ore / 72 de ore / o lună definite la articolul 23.
Market surveillance authority: Autoritatea națională care verifică conformitatea cu CRA în fiecare stat membru al UE. La o cerere motivată, autoritățile de supraveghere a pieței pot solicita documentația necesară pentru verificarea conformității și SBOM-ul, dacă este necesar pentru această verificare. Nu sunteți obligat să îl puneți la dispoziția publicului.; O autoritate de supraveghere a pieței care investighează o vulnerabilitate veche de trei ani solicită SBOM-ul versiunii aflate pe piață la acel moment.Fundamente CRA SBOM, Lecția 1.3: Regula de păstrare timp de 10 ani și cine obține acces. Și în: Lecția 0.1
MUK: Contul de afaceri central al Germaniei pentru serviciile de administrație federală, autentificat prin certificate ELSTER. O condiție prealabilă pentru înregistrarea la BSI: firmele trebuie mai întâi să creeze un cont MUK, apoi să acceseze portalul de înregistrare BSI prin acesta. Dacă nu aveți încă un cont MUK, nu vă puteți înregistra la BSI: acesta este primul pas practic înainte de orice activitate de conformitate.; OZG, ELSTER
Multi-factor authentication: Un control de securitate care necesită doi sau mai mulți factori de verificare pentru a accesa un sistem.; Dacă ați aprobat autentificarea cu mai mulți factori pentru conectarea personalului, o folosiți și dumneavoastră.Instruire NIS2 pentru conducere, Lecția 1.5: Obligația dumneavoastră de a aproba și a supraveghea. Și în: Lecția 1.9
Multi-factor authentication (MFA): Conectare care necesită doi sau mai mulți factori de verificare, de exemplu o parolă plus un token hardware sau un telefon; NIS2 o cere după caz (articolul 21 alineatul (2) litera (j)), iar CIR menționează conturile privilegiate și clasificarea activului accesat (11.3.2, 11.7.1).; §30(2)(10) BSIG; Cel mai frecvent motiv pentru care preluările de cont reușesc este că autentificarea cu mai mulți factori (MFA) nu a fost activată.Instruire NIS2 pentru conducere, Lecția 2.15: Măsura 10 - Autentificarea multifactor și comunicațiile securizate

N

NACE code: Clasificarea statistică a activităților economice din Comunitatea Europeană (Nomenclature statistique des Activités économiques dans la Communauté Européenne). NIS2 și BSIG se referă la codurile NACE Rev. 2 numai pentru câteva tipuri de entități, precum activitățile farmaceutice, chimice și anumite activități de fabricație. Majoritatea sectoarelor sunt definite prin tipul de activitate. BSI nu vă spune dacă intrați în domeniul de aplicare; verificați dumneavoastră înșivă acest lucru.; Regulation (EC) No 1893/2006 (NACE Rev. 2); NIS2 Annex I point 5 and Annex II point 5; Anlage 1 and 2 BSIG
named insured: Persoana sau entitatea specifică menționată într-o poliță ca fiind cea protejată de acoperire.; Acea revendicare personală trebuie apărată de o poliță care te numește pe tine personal drept asigurat numit.Instruire NIS2 pentru conducere, Lecția 4.3: Asigurarea cibernetică vs D&O - produse diferite, acoperiri diferite
nation-state: O țară care acționează prin serviciile sale de informații sau militare pentru a desfășura operațiuni cibernetice.; Excluderea pentru acte de război sau atacuri de stat: Lloyd's a întărit acest text în 2023, în urma cazului Mondelez.Instruire NIS2 pentru conducere, Lecția 4.4: Excluderi de poliță frecvente la care să fiți atenți
NIS2 Annex I: High-criticality sectors: Lista sectoarelor ale căror entități sunt clasificate drept „esențiale” (entități esențiale) atunci când depășesc plafoanele pentru întreprinderile mijlocii, adică sunt companii mari; entitățile de dimensiune medie din aceste sectoare sunt entități importante. În BSIG, clasa esențială se numește „besonders wichtige Einrichtungen”. Include: energie (energie electrică, petrol, gaze, hidrogen, încălzire centralizată), transport (aerian, feroviar, pe apă, rutier), sectorul bancar, infrastructuri ale pieței financiare, sănătate, apă potabilă, ape uzate, infrastructură digitală, gestionarea serviciilor TIC, administrație publică și spațiu.; NIS2 Directive Annex I and Art. 3(1)(a), Anlage 1 and §28(1) BSIG
NIS2 Annex II: Other critical sectors: Lista sectoarelor ale căror entități sunt clasificate ca 'importante' (wichtige Einrichtungen) atunci când ating pragul de mărime. Include: servicii poștale și de curierat, gestionarea deșeurilor, fabricarea și distribuția de produse chimice, producția și distribuția de alimente, fabricație (dispozitive medicale, electronice, utilaje, vehicule), furnizori digitali (piețe online, motoare de căutare, rețele sociale) și organizații de cercetare.; Directiva NIS2 Anexa II, §28(2) BSIG
NIS2 Directive: Directiva (UE) 2022/2555, legea privind securitatea cibernetică la nivelul întregii UE, pentru entitățile esențiale și importante.; Directive (EU) 2022/2555; Denumirea oficială este Directiva (UE) 2022/2555, Directiva NIS2.Instruire NIS2 pentru conducere, Lecția 1.1: Ce este NIS2 și de ce există
NIS2UmsuCG: Transpunerea națională a Directivei NIS2 în Germania, oficial „Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung”, numită în proiecte „Legea de punere în aplicare a NIS-2 și de consolidare a securității cibernetice”. Adoptată de Bundestag la 13 noiembrie 2025, publicată la 5 decembrie 2025 și în vigoare din 6 decembrie 2025. Introduce un nou BSIG și aduce obligațiile NIS2 în dreptul german. Când dreptul german se referă la „conformitatea cu NIS2”, înseamnă conformitatea cu BSIG.; Act of 2 December 2025, BGBl. 2025 I Nr. 301
non-conformance: O neîndeplinire specifică a unei cerințe legale; denumirea formală a unei constatări.; O constatare este o neconformitate: ceva ce legea cere, dar tu nu ai sau nu faci.Instruire NIS2 pentru conducere, Lecția 3.7: Ce se întâmplă în timpul unui audit al autorității de reglementare
Non-delegable: Nu poate fi transferată către altcineva și nici îndeplinită de altcineva în numele dumneavoastră.; Obligația de formare este personală și nedelegabilă.Instruire NIS2 pentru conducere, Lecția 1.6: Obligația dumneavoastră de formare. Și în: Lecția 0.1; Lecția 4.6
Non-delegable duty: O obligație pe care legea o atribuie chiar organului de conducere: aprobarea și supravegherea măsurilor de gestionare a riscurilor (art. 20 alineatul (1)). CISO sau echipa de conformitate pot pregăti și efectua lucrările, dar răspunderea rămâne la conducere.; Când linia este neclară, tratează decizia ca nedelegabilă și semneaz-o tu însuți.Instruire NIS2 pentru conducere, Lecția 3.5: Ce nu puteți delega - lista de verificare
Notification clause: Clauza care vă impune să informați asigurătorul într-un termen strâns, altfel riscați să pierdeți acoperirea.; Clauza de notificare târzie: anulează acoperirea dacă depui cererea la asigurător după termenul strict al poliței.Instruire NIS2 pentru conducere, Lecția 4.4: Excluderi de poliță frecvente la care să fiți atenți
notification window: Termenul strict în care un eveniment trebuie raportat asigurătorului.

O

Observation: O zonă pe care auditorul o notează pentru îmbunătățire și care nu constituie o încălcare a legii; nu urmează nicio sancțiune în mod automat, dar autoritatea poate dispune punerea în aplicare a recomandărilor de audit (art. 32 alineatul (4) litera (f) și art. 33 alineatul (4) litera (f)), iar ignorarea ei deschide calea unei constatări data viitoare.; O observație este un domeniu care se situează sub bunele practici, dar nu încalcă legea.Instruire NIS2 pentru conducere, Lecția 3.7: Ce se întâmplă în timpul unui audit al autorității de reglementare
OFAC: Office of Foreign Assets Control; biroul Trezoreriei SUA care administrează listele de sancțiuni.; Analiza OFAC s-a desfășurat în paralel cu decizia de plată, nu înaintea ei.Instruire NIS2 pentru conducere, Lecția 4.6: Decizii privind plata răscumpărării ransomware
On-site inspection: Vizita fizică a echipei de audit a autorității de reglementare la sediul dumneavoastră, autorizată în temeiul articolului 32 alineatul (2) litera (a) pentru entitățile esențiale și al articolului 33 alineatul (2) litera (a) pentru entitățile importante.; BSI trimite o scrisoare prin care anunță o inspecție la fața locului.Instruire NIS2 pentru conducere, Lecția 3.7: Ce se întâmplă în timpul unui audit al autorității de reglementare
orphaned account: Un cont de utilizator activ care nu mai aparține unui angajat actual: o constatare frecventă de audit.
Out-of-band channel: O cale de comunicare de urgență separată de sistemele obișnuite, utilizată atunci când acele sisteme sunt compromise.; Un canal out-of-band (un instrument de mesagerie separat, o linie telefonică dedicată) există exact pentru acel moment.Instruire NIS2 pentru conducere, Lecția 2.15: Măsura 10 - Autentificarea multifactor și comunicațiile securizate
Oversight duty: Obligația continuă de a monitoriza dacă măsurile aprobate sunt efectiv puse în aplicare.

P

patch: O actualizare de software care remediază o vulnerabilitate cunoscută.
Patch SLA: Termenul scris pentru aplicarea corecțiilor, stabilit în funcție de nivelul de gravitate; CIR cere aplicarea corecțiilor într-un termen rezonabil, cu motive documentate pentru orice excepție (6.6.1, 6.6.2).; Echipa ta numește acele termene SLA-uri de patch.Instruire NIS2 pentru conducere, Lecția 2.10: Măsura 5 - Achiziție, dezvoltare și mentenanță
Personal civil liability: Expunerea juridică a unui administrator de a plăti daune din patrimoniul personal atunci când încălcarea unei obligații legale cauzează din culpă o pierdere companiei.
Personal data: Orice informație despre o persoană fizică identificată sau identificabilă. Definită la articolul 4(1) GDPR.; DPO sau persoana de contact pentru protecția datelor atunci când sunt implicate date cu caracter personal.Instruire pentru exercițiul tabletop NIS 2, Lecția 1.2: Atribuirea rolurilor: cine trebuie să fie prezent
personal liability: Răspunderea juridică ce revine administratorului individual, în plus față de companie.; Iar răspunderea personală prevăzută la articolul 20 alineatul (1) este acoperită de asigurarea D&O, nu de asigurarea cyber: sunt produse diferite.Instruire NIS2 pentru conducere, Lecția 4.1: Asigurarea nu înlocuiește măsurile de control
Phishing simulation: E-mailuri de phishing simulat trimise periodic personalului pentru a testa gradul de conștientizare; parte din programul de instruire, cu instruire suplimentară pentru oricine dă clic.; Câte simulări de phishing v-a trimis propria companie, dumneavoastră personal, în ultimele douăsprezece luni?Instruire NIS2 pentru conducere, Lecția 2.12: Măsura 7 - Igiena cibernetică și formarea
Privileged accounts: Conturi de administrator, root și administrator de domeniu cu acces privilegiat; necesită o politică dedicată și propriul ritm de revizuire în temeiul anexei 11.3 din CIR.; În plus, conturile privilegiate (administratori, acces root, administratori de domeniu) au nevoie de propriile reguli, cu controale mai stricte.Instruire NIS2 pentru conducere, Lecția 2.14: Măsura 9 - Securitatea personalului, controlul accesului și gestionarea activelor
Proactive supervision: Autoritatea de reglementare vă poate audita fără un motiv specific (se aplică entităților esențiale).; Directiva numește acest lucru supraveghere proactivă, conform articolului 32.Instruire NIS2 pentru conducere, Lecția 1.2: Cine intră în domeniul de aplicare: entități esențiale și importante
Product with digital elements: Un produs software sau hardware și soluțiile sale de prelucrare de date la distanță, inclusiv componentele introduse pe piață separat (Articolul 3(1) CRA). CRA se aplică produselor al căror scop preconizat sau a căror utilizare previzibilă în mod rezonabil include o conexiune de date directă sau indirectă la un dispozitiv sau la o rețea (Articolul 2(1)). Acoperă dispozitive fizice cu firmware, software autonom, aplicații și sisteme de operare.; CRA se aplică oricărui produs cu elemente digitale, hardware sau software care se poate conecta, direct sau indirect, la un alt dispozitiv sau rețea.Fundamente CRA SBOM, Lecția 0.1: Ce este un SBOM și de ce CRA l-a făcut obligatoriu
Progress report: Utilizat în temeiul articolului 23(4)(e) NIS 2 atunci când incidentul nu este încă rezolvat la termenul de o lună. Raportul final urmează după închiderea incidentului.; Trimiți în schimb un raport de progres.Instruire pentru exercițiul tabletop NIS 2, Lecția 1.1: Cascada de notificare prevăzută la articolul 23 pe care exercițiul dumneavoastră trebuie să o repete
Proportionality: Principiul din articolul 21 alineatul (1) care adaptează ceea ce trebuie să puneți în aplicare la dimensiunea dumneavoastră, la gradul de expunere la riscuri și la probabilitatea și gravitatea incidentelor.; Proporționalitatea din Articolul 21(1) adaptează profunzimea la dimensiunea, sectorul și expunerea la risc ale firmei.Instruire NIS2 pentru conducere, Lecția 1.9: Cele zece măsuri: prezentare generală
PURL: Package URL. Un identificator standard pentru componentele software: `pkg:type/namespace/name@version`. De exemplu, `pkg:npm/%40angular/core@17.0.0`. PURL-urile sunt identificatorul unic recomandat atât în CycloneDX cât și în SPDX și ancora practică pentru legarea unei componente SBOM la o intrare din baza de date CVE.; Un PURL (Package URL) este modul standard de a identifica unic o componentă în registre și baze de date.Fundamente CRA SBOM, Lecția 1.1: Ce conține un SBOM: componente, versiuni și identificatori. Și în: Lecția 2.1; Lecția 2.2; Lecția 4.1

R

ransomware: Software malițios care criptează datele și solicită plata pentru cheia de decriptare.; Pe 19 martie 2019, ransomware a oprit peste noapte patruzeci de situri de producție Norsk Hydro.Instruire NIS2 pentru conducere, Lecția 3.8: Scenariu - Atac ransomware într-o vineri după-amiază. Și în: Lecția 4.4; Lecția 4.6
RBAC: Role-Based Access Control: permisiuni atribuite în funcție de rolul profesional, nu individual.
reactive supervision: Competența autorității de reglementare de a audita entitățile importante atunci când este declanșată de un incident, o plângere sau informații.
Recipients of services: Termenul juridic din directivă pentru clienții entității.; Articolul 23(1) din Directiva NIS2 prevede că, dacă este cazul, entitățile notifică destinatarilor serviciilor "fără întârzieri nejustificate" incidentele semnificative care ar putea afecta în mod negativ prestarea acelor servicii.Instruire NIS2 pentru conducere, Lecția 1.12: Obligația de notificare a clienților
Recurring incidents: Incidente care, individual, nu sunt semnificative, dar se produc cel puțin de două ori într-un interval de șase luni, au aceeași cauză principală aparentă și îndeplinesc împreună criteriul pierderii financiare; sunt considerate un singur incident semnificativ (articolul 4 CIR).
Recurring incidents rule: Regula din articolul 4 CIR (pentru tipurile de furnizori pe care le acoperă CIR) care tratează incidentele mici cu aceeași cauză principală aparentă, produse de cel puțin două ori într-un interval de șase luni, ca un singur incident semnificativ dacă depășesc împreună pragul financiar.; Articolul 4 adaugă regula incidentelor recurente: două sau mai multe incidente într un interval de șase luni, cu aceeași cauză de bază, care împreună depășesc pragul, sunt considerate un singur incident semnificativ.Instruire NIS2 pentru conducere, Lecția 3.10: Scenariu - Phishing reușit: semnificativ sau nu?
Registration: Depunerea administrativă la autoritatea de reglementare în temeiul articolului 3 alineatul (4) din NIS2 (în Germania § 33 BSIG, cu termen de trei luni după ce o companie devine vizată de NIS2).; Dacă ratezi această fereastră, primul lucru pe care îl vede autoritatea când îți deschide dosarul este o înregistrare lipsă, iar asta, în sine, este o amendă separată.Instruire NIS2 pentru conducere, Lecția 1.4: Obligația de înregistrare
Regulation: O lege a UE care se aplică direct în fiecare țară fără transpunere (de exemplu, GDPR, CIR).; NIS2 este o directivă, nu un regulament.Instruire NIS2 pentru conducere, Lecția 1.1: Ce este NIS2 și de ce există
remediation: Procesul de remediere a unei lacune sau neconformități identificate în timpul unui audit sau al unei revizuiri.; Al cincilea: o constatare de audit care impune o remediere.Instruire NIS2 pentru conducere, Lecția 3.3: Când se aprobă din nou. Și în: Lecția 3.7; Lecția 3.10
Remediation order: Instrucțiunea unei autorități de reglementare de a remedia o deficiență specifică într-un termen stabilit (art. 32 alineatul (4) literele (b) și (d)); poate fi însoțită sau nu de o amendă.; Divulgarea de bună-credință duce de obicei la un ordin de remediere sau la un avertisment, nu la o amendă.Instruire NIS2 pentru conducere, Lecția 3.11: Scenariu - Descoperirea unei lacune înainte de audit
Remediation plan: Răspunsul scris al companiei la constatări: acțiune corectivă, responsabil desemnat, termen și dovadă a finalizării pentru fiecare element.; Aceasta declanșează un ordin de remediere cu un termen.Instruire NIS2 pentru conducere, Lecția 3.7: Ce se întâmplă în timpul unui audit al autorității de reglementare
removable media: Unități USB, hard diskuri externe și suporturi de stocare portabile similare; necesită o politică dedicată în temeiul CIR.
Residual risk: Riscul care rămâne după ce ați implementat controalele; ceea ce aprobați când semnați registrul de riscuri.; Ceea ce rămâne după ce ai aplicat controalele se numește risc rezidual.Instruire NIS2 pentru conducere, Lecția 2.3: Opțiuni de tratare a riscului și apetitul pentru risc. Și în: Lecția 3.4; Lecția 3.5
Responsible disclosure: Procesul publicat prin care cercetătorii de securitate externi pot raporta defecte companiei dumneavoastră.; Există o a patra parte în aceeași clauză: divulgarea vulnerabilităților.Instruire NIS2 pentru conducere, Lecția 2.10: Măsura 5 - Achiziție, dezvoltare și mentenanță
restore test: Procesul de recuperare a datelor dintr-o copie de rezervă pentru a verifica dacă aceasta funcționează; o copie de rezervă netestată nu este o copie de rezervă.
Reverse burden of proof: Regula din dreptul german al societăților (de exemplu § 93(2) AktG) potrivit căreia administratorul trebuie să dovedească faptul că a acționat cu diligență, în loc ca reclamantul să dovedească neglijența.; În multe țări din UE, inclusiv Germania, sarcina inversată a probei se aplică răspunderii administratorilor.Instruire NIS2 pentru conducere, Lecția 1.7: Răspunderea personală în temeiul dreptului național al societăților
Risk acceptance: Decizia de a accepta un risc în loc să îl remediați; conform CIR 2.1.1, îl acceptă organul de conducere sau, după caz, un proprietar al riscului care răspunde pentru acesta, cu raportare adecvată către conducere.
Risk analysis: Procesul de identificare a amenințărilor, de evaluare a probabilității și a impactului și de stabilire a tratamentului.; Fundație: (a) analiza riscurilor și politicile de securitate a informației, și (f) testarea eficacității.Instruire NIS2 pentru conducere, Lecția 1.9: Cele zece măsuri: prezentare generală. Și în: Lecția 3.2
Risk analysis methodology: Procedura documentată pentru identificarea și evaluarea riscurilor; parte a politicilor pentru Măsura 1 prevăzute la articolul 21 alineatul (2) litera (a).; În primul rând, o metodă scrisă pe care compania dumneavoastră o urmează pentru a identifica și a evalua riscurile, adică metodologia de analiză a riscurilor (Lecția 2.1 a tratat ecuația din spatele ei).Instruire NIS2 pentru conducere, Lecția 2.6: Măsura 1 - Analiza riscurilor și politicile de securitate a informațiilor
Risk appetite: Nivelul de risc cu care compania este dispusă să convietuiască, stabilit de organul de conducere ca limită în interiorul căreia operează CISO.; Încă un lucru pe care îl deține CEO: apetitul pentru risc, nivelul de risc cu care compania este dispusă să convieșuiască în ansamblu.Instruire NIS2 pentru conducere, Lecția 2.3: Opțiuni de tratare a riscului și apetitul pentru risc
Risk assessment: Evaluarea amenințărilor și a impactului potențial al acestora asupra organizației.; Dacă evaluarea riscurilor enumeră doar atacuri cibernetice, ea nu îndeplinește standardul bazat pe toate pericolele.Instruire NIS2 pentru conducere, Lecția 1.10: Abordarea tuturor pericolelor și stadiul actual al tehnicii. Și în: Lecția 2.1
Risk management cycle: Bucla continuă de identificare, analiză, tratare și monitorizare: nu se oprește niciodată, deoarece datele de intrare se schimbă mai repede decât poate ține pasul o revizuire anuală.; Dacă nu există un proces de declanșare documentat, ciclul de management al riscului nu este în funcțiune.Instruire NIS2 pentru conducere, Lecția 2.4: De ce gestionarea riscului este continuă
Risk matrix: Grila care trasează probabilitatea în raport cu impactul; fiecare risc identificat este plasat pe ea, iar colțul din dreapta sus este locul în care începe sarcina organului de conducere.; După această lecție vei putea privi o matrice de risc, vei găsi colțul care contează și vei ști de unde pornește discuția despre buget.Instruire NIS2 pentru conducere, Lecția 2.1: Risc = Probabilitate x Impact
Risk register: Documentul formal care enumeră riscurile identificate, evaluările acestora și deciziile de tratare.; Aprobarea datată, evidența instruirii, procesul-verbal al ședinței, registrul de riscuri cu semnătura ta: acestea sunt dovezile pe care le folosești ca să demonstrezi diligența necesară.Instruire NIS2 pentru conducere, Lecția 1.7: Răspunderea personală în temeiul dreptului național al societăților. Și în: Lecția 2.1; Lecția 3.5
Risk treatment: Decizia cu privire la ce să se facă cu un risc identificat: a-l evita, a-l atenua, a-l transfera sau a-l accepta.; Fără ea, fiecare decizie de tratare a riscului devine o ceartă, nu un proces.Instruire NIS2 pentru conducere, Lecția 2.3: Opțiuni de tratare a riscului și apetitul pentru risc
Risk-management measures: Regulile, oamenii și instrumentele pe care compania dumneavoastră le folosește pentru a gestiona riscurile la adresa rețelelor și a sistemelor sale informatice și pentru a limita impactul incidentelor, prevăzute la articolul 21.; §30(2) BSIG; risk-management measures noastre îndeplinesc cerințele legii și sunt documentate?Instruire NIS2 pentru conducere, Lecția 3.1: Întrebările la care trebuie să răspundă fiecare CEO
Root cause: Motivul de bază pentru care a survenit un incident.; Două sau mai multe incidente cu aceeași cauză primară aparentă, survenite în interval de șase luni, care împreună depășesc pragul financiar, sunt tratate ca un singur incident semnificativ.Instruire NIS2 pentru conducere, Lecția 1.11: Cascada de raportare și incidentele semnificative
RPO: Recovery Point Objective: pierderea maximă acceptabilă de date, măsurată în timp.; RPO (Recovery Point Objective) reprezintă câte date vă puteți permite să pierdeți.Instruire NIS2 pentru conducere, Lecția 2.8: Măsura 3 - Continuitatea activității
RTO: Recovery Time Objective: timpul maxim acceptabil pentru restabilirea serviciului după o perturbare.; RTO (Recovery Time Objective) reprezintă cât de repede trebuie să reveniți în funcțiune.Instruire NIS2 pentru conducere, Lecția 2.8: Măsura 3 - Continuitatea activității

S

sanctions law: Regulile care interzic plata către anumite persoane și grupuri; conform normelor SUA indiferent de intenție, conform normelor UE răspunderea dispare doar dacă nu ați știut și nu ați avut motive rezonabile să bănuiți o încălcare (Regulamentul (UE) 2019/796 al Consiliului, articolul 10(2)). Prima verificare juridică înainte de orice plată a unei răscumpărări.; Răspuns corect: "nu acum, și doar după o analiză juridică a legislației privind sancțiunile."Instruire NIS2 pentru conducere, Lecția 3.8: Scenariu - Atac ransomware într-o vineri după-amiază. Și în: Lecția 4.6
sanctions list: Un registru publicat al persoanelor, grupurilor și organizațiilor cărora le este interzis să primească plăți.; Întrebarea privind sancțiunile a fost prezentă pe tot parcursul.Instruire NIS2 pentru conducere, Lecția 4.6: Decizii privind plata răscumpărării ransomware
SBOM: Software Bill of Materials. Un inventar lizibil automat al fiecărei componente software dintr-un produs: nume, versiuni, furnizori și identificatori. Obligatoriu pentru produsele cu elemente digitale conform Anexei I, Partea II, punctul (1) CRA.; Acest curs vă învață cum să creați, să mențineți și să păstrați un SBOM care îndeplinește cerințele Cyber Resilience Act.Fundamente CRA SBOM, Lecția 0.1: Ce este un SBOM și de ce CRA l-a făcut obligatoriu
Scoping assessment: Verificarea dacă NIS2 se aplică în cazul dumneavoastră și în ce categorie vă încadrați. O puteți efectua chiar dumneavoastră; un avocat vă poate sprijini.; „Am realizat o evaluare a domeniului de aplicare și în ce categorie ne aflăm?”Instruire NIS2 pentru conducere, Lecția 1.2: Cine intră în domeniul de aplicare: entități esențiale și importante
secure development: Un standard documentat pentru scrierea de software cu securitatea integrată de la început, nu adăugată ulterior.
Secured communications: Comunicații vocale, video și text securizate pentru utilizarea sensibilă în activitatea companiei; articolul 21 alineatul (2) litera (j) le enumeră ca o măsură de aplicat după caz.; A doua parte a clauzei acoperă comunicațiile securizate.Instruire NIS2 pentru conducere, Lecția 2.15: Măsura 10 - Autentificarea multifactor și comunicațiile securizate
security control: O măsură tehnică sau organizatorică aplicată pentru a gestiona un risc specific.
Sign-off: Aprobarea dumneavoastră formală, ca parte a organului de conducere, a măsurilor de securitate cibernetică ale companiei, impusă de articolul 20 alineatul (1) din Directiva NIS2. O înregistrare datată este modul în care o dovediți.; Dacă nu aveți nicio dovadă că ați încercat să vă înțelegeți obligațiile (niciun document de instruire, niciun aviz documentat, niciun proces-verbal de ședință care să arate că ați pus întrebările), acesta este factorul care înclină toate cele trei straturi în direcția greșită.Instruire NIS2 pentru conducere, Lecția 1.3: Sancțiunile și interdicția de a exercita funcții de conducere. Și în: Lecția 0.1; Lecția 1.5; Lecția 1.7; Lecția 3.3; Lecția 3.4
Significant incident: Un incident cu un impact semnificativ asupra serviciilor entității, care trebuie raportat în temeiul articolului 23. Articolul 23 alineatul (3) îl definește; CIR 2024/2690 stabilește praguri exacte numai pentru anumite tipuri de entități, precum furnizorii de cloud și de DNS.; Art. 23(3) NIS2, §2 No. 11 BSIG, §32 BSIG, CIR 2024/2690 Art. 3 (for the entity types in its Art. 1); Articolul 23 din Directiva NIS2 cere companiilor vizate să raporteze incidentele semnificative către CSIRT-ul național sau autoritatea competentă.Instruire NIS2 pentru conducere, Lecția 1.11: Cascada de raportare și incidentele semnificative. Și în: Lecția 3.1; Lecția 3.10; Instruire pentru exercițiul tabletop NIS 2, Lecția 1.1
Size threshold: Numărul de angajați, cifra de afaceri anuală și totalul bilanțului care stabilesc dacă o companie este vizată de NIS2.; Cele mai multe firme intră în domeniul de aplicare printr-un simplu prag de mărime: cincizeci sau mai mulți angajați ori atât o cifră de afaceri anuală, cât și un bilanț anual total de peste zece milioane de euro fiecare.Instruire NIS2 pentru conducere, Lecția 1.2: Cine intră în domeniul de aplicare: entități esențiale și importante
SPDX: Software Package Data Exchange. Standard SBOM ISO/IEC 5962:2021, apărut în cadrul Linux Foundation. Orientat spre licențe: construit în jurul conformității cu licențele open-source și al atribuirii. Disponibil în formatele JSON, YAML, RDF și tag-value. Atât CycloneDX, cât și SPDX sunt formate folosite în mod curent și care pot fi citite automat și sunt acceptate de BSI TR-03183-2. CRA însuși nu indică niciun format în Anexa I, Partea II, punctul (1); Comisia poate specifica unul (Articolul 13(24)).; Formatele CycloneDX și SPDX completează acest aspect.Fundamente CRA SBOM, Lecția 1.1: Ce conține un SBOM: componente, versiuni și identificatori. Și în: Lecția 0.1; Lecția 2.1; Lecția 2.2; Lecția 4.1
State of the art: Nivelul actual al celor mai bune practici dovedite, la care contribuie standardele recunoscute; articolul 21 alineatul (1) le menționează pe ambele. Etalonul auditorului se deplasează odată cu practica și cu standardele.; Articolul 21(1) impune măsuri care "țin seama de stadiul actual al tehnologiei."Instruire NIS2 pentru conducere, Lecția 1.10: Abordarea tuturor pericolelor și stadiul actual al tehnicii
Statutory duty: Ceva ce legea vă obligă să faceți personal, spre deosebire de o decizie de afaceri obișnuită. Articolul 20 din NIS2 creează obligații legale pentru organul de conducere.; Dreptul societar al fiecărei țări din UE oferă companiei un mecanism prin care să recupereze prejudiciile de la un administrator care a încălcat o obligație legală, adică ceva ce legea te obligă personal să faci, diferit de o decizie de afaceri obișnuită.Instruire NIS2 pentru conducere, Lecția 1.7: Răspunderea personală în temeiul dreptului național al societăților. Și în: Lecția 1.8; Lecția 4.2
Sufficient knowledge: Standardul din articolul 20 alineatul (2): cunoștințe și competențe suficiente pentru a identifica riscurile și a evalua măsurile și impactul acestora asupra serviciilor. Legea nu impune nici examen, nici certificare.
Supervisory board: Organul de supraveghere într-o structură societară dualistă care poate formula acțiuni împotriva administratorilor.; Consiliul tău de supraveghere se întrunește a doua zi dimineață.Instruire NIS2 pentru conducere, Lecția 1.7: Răspunderea personală în temeiul dreptului național al societăților. Și în: Lecția 3.6
Supplier inventory: Lista actualizată a tuturor furnizorilor, cu ceea ce accesează și clasificarea lor de risc.; Unu: un inventar al furnizorilor, cine sunt, ce fac, la ce au acces.Instruire NIS2 pentru conducere, Lecția 2.9: Măsura 4 - Securitatea lanțului de aprovizionare
Supply chain: Rețeaua de furnizori și prestatori de servicii de care depinde compania dumneavoastră.; Lanț de aprovizionare și sisteme: (d) securitatea lanțului de aprovizionare și (e) securitatea în modul în care achiziționați, construiți și întrețineți sistemele IT, inclusiv gestionarea vulnerabilităților.Instruire NIS2 pentru conducere, Lecția 1.9: Cele zece măsuri: prezentare generală. Și în: Lecția 2.9
Supply chain attack: Un atac care vizează un producător printr-o dependență sau un furnizor compromis, în loc să atace direct sistemele proprii ale producătorului. SolarWinds și XZ Utils sunt exemple. SBOM-ul este harta dvs. pentru identificarea componentelor din lanțul de aprovizionare prezente și, prin urmare, a atacurilor din lanțul de aprovizionare care pot atinge produsul dvs.; Furnizorul contează pentru imaginea de risc atac la lanțul de aprovizionare.Fundamente CRA SBOM, Lecția 1.1: Ce conține un SBOM: componente, versiuni și identificatori
Supply chain incident: Un eveniment de securitate la un furnizor care poate crea o obligație legală pentru compania dumneavoastră în temeiul articolelor 21 și 23.
Supply chain security: Cerința de a evalua și de a gestiona riscurile de securitate cibernetică din lanțul dumneavoastră de aprovizionare, în special furnizorii de servicii IT, furnizorii de cloud și orice furnizor cu acces la sistemele sau la datele dumneavoastră. Măsurile pot include cerințe de securitate în contractele cu furnizorii, evaluarea practicilor furnizorilor și monitorizarea lor în timp; clauzele contractuale sunt obligatorii numai pentru tipurile de entități acoperite de CIR 2024/2690.; §30(2)(4) BSIG
Support period: Perioada în care un producător furnizează actualizări de securitate pentru un produs. Articolul 13(8) CRA impune ca perioada de suport să fie de cel puțin cinci ani sau timpul de utilizare estimat dacă produsul este prevăzut a fi utilizat mai puțin de cinci ani. Perioada de păstrare a SBOM-ului rulează timp de 10 ani sau până la sfârșitul acestei perioade de suport, oricare este mai lungă.; Sau perioada de suport, oricare este mai lungăFundamente CRA SBOM, Lecția 1.3: Regula de păstrare timp de 10 ani și cine obține acces
Syft: Un generator SBOM open-source de la Anchore. Scanează imagini de containere, sisteme de fișiere și manifesturi de pachete specifice limbajelor. Generează ieșiri CycloneDX sau SPDX. Cea mai rapidă metodă de generare a unui SBOM inițial pentru un produs existent.; Syft de la Anchore produce implicit CycloneDX 1.6 JSON:Fundamente CRA SBOM, Lecția 2.1: CycloneDX: formatul SBOM orientat spre securitate. Și în: Lecția 3.1; Lecția 4.1

T

tabletop exercise: O parcurgere structurată a unui scenariu de incident realist împreună cu persoanele care ar răspunde.; O simulare pe hârtie pe baza unui scenariu se numește exercițiu de tip tabletop.Instruire NIS2 pentru conducere, Lecția 2.7: Măsura 2 - Gestionarea incidentelor. Și în: Lecția 5.1; Instruire pentru exercițiul tabletop NIS 2, Lecția 0.1
Technical and organisational measures: Abrevierea universală de conformitate (TOMs) pentru combinația de instrumente, procese și reguli necesare pentru fiecare măsură.; Directorul de securitate al firmei le va numi măsuri tehnice și organizatorice, sau TOMs.Instruire NIS2 pentru conducere, Lecția 1.9: Cele zece măsuri: prezentare generală
Technical documentation: Setul de documente pe care un producător trebuie să le compileze și să le păstreze conform Articolului 31 CRA și Anexei VII. Include SBOM-ul, evaluarea riscurilor, deciziile de proiectare securizată, rezultatele testelor și declarația de conformitate UE. Trebuie păstrate timp de 10 ani după introducerea pe piață a produsului sau pe durata perioadei de suport, oricare este mai lungă.; Această lecție acoperă perioada de păstrare, locul SBOM-ului în pachetul mai larg de documentație tehnică și cine îl poate solicita și în ce condiții.Fundamente CRA SBOM, Lecția 1.3: Regula de păstrare timp de 10 ani și cine obține acces. Și în: Lecția 0.1; Lecția 4.1
The ten measures: Cele zece categorii enumerate la articolul 21 alineatul (2), care reprezintă domeniul minim la nivelul UE al măsurilor de gestionare a riscurilor pe care fiecare companie vizată trebuie să le aibă.
Third-party liability: Partea unei polițe care plătește persoanelor din afara companiei atunci când defecțiunea companiei le-a prejudiciat.
Top-level dependency: O componentă pe care produsul dvs. o importă sau o leagă direct. Cerința minimă CRA din Anexa I, Partea II, punctul (1) impune ca SBOM-ul să acopere cel puțin aceste componente. Dacă codul dvs. conține `import requests` sau `<dependency>spring-boot</dependency>`, acestea sunt dependențe de nivel superior.; Lecția explică diferența dintre dependența de nivel superior și dependența tranzitivă, motivul pentru care distincția apare în lege și motivul pentru care cele mai bune practici depășesc cerința legală minimă.Fundamente CRA SBOM, Lecția 1.2: Dependențe de prim nivel vs dependențe tranzitive. Și în: Lecția 4.1
Training duty: Obligația legală prevăzută la articolul 20 alineatul (2) din NIS2, conform căreia fiecare membru al organului de conducere trebuie să urmeze personal o instruire în domeniul securității cibernetice.; Obligația de formare este personală și nedelegabilă.Instruire NIS2 pentru conducere, Lecția 1.6: Obligația dumneavoastră de formare. Și în: Lecția 0.1
Transitive dependency: O componentă adusă de una dintre dependențele de nivel superior, nu direct de codul dvs. Log4Shell (CVE-2021-44228) a fost o dependență tranzitivă în mii de aplicații ale căror echipe nu știau de existența acesteia. Cerința minimă CRA nu impune listarea acestora, dar bunele practici o recomandă.; Lecția explică diferența dintre dependența de nivel superior și dependența tranzitivă, motivul pentru care distincția apare în lege și motivul pentru care cele mai bune practici depășesc cerința legală minimă.Fundamente CRA SBOM, Lecția 1.2: Dependențe de prim nivel vs dependențe tranzitive. Și în: Lecția 4.1
Transposition: Procesul prin care fiecare țară din UE transpune o directivă a UE în propria legislație națională.; Acesta ESTE un regulament, deci se aplică direct în toate cele 27 de state membre, fără transpunere, dar numai în cazul furnizorilor digitali enumerați la Articolul 1 din acesta: furnizorii de servicii DNS, registrele de nume TLD, furnizorii de servicii de cloud computing, de servicii de centre de date și de rețele de furnizare de conținut (CDN), furnizorii de servicii gestionate și de servicii de securitate gestionate, furnizorii de piețe online, de motoare de căutare online și de platforme de servicii de socializare în rețea, precum și prestatorii de servicii de încredere.Instruire NIS2 pentru conducere, Lecția 1.1: Ce este NIS2 și de ce există. Și în: Lecția 0.1
Transposition law: Legea națională pe care o țară o adoptă pentru a pune în aplicare o directivă a UE.

V

VEX: Vulnerability Exploitability eXchange. O declarație atașată unui SBOM care documentează dacă un CVE cunoscut afectează efectiv produsul dumneavoastră și din ce motiv. Acceptată nativ în CycloneDX. CRA nu menționează VEX, dar o declarație „neafectat” însoțită de o justificare consemnează motivul pentru care o vulnerabilitate cunoscută nu a necesitat nicio remediere (Anexa I, Partea II).; CycloneDX are suport nativ VEX.Fundamente CRA SBOM, Lecția 2.2: SPDX și alegerea formatului dvs.. Și în: Lecția 1.2; Lecția 2.1; Lecția 3.2; Lecția 4.1
Vulnerability: O slăbiciune dintr-un sistem care ar putea fi exploatată de o amenințare.; Lanț de aprovizionare și sisteme: (d) securitatea lanțului de aprovizionare și (e) securitatea în modul în care achiziționați, construiți și întrețineți sistemele IT, inclusiv gestionarea vulnerabilităților.Instruire NIS2 pentru conducere, Lecția 1.9: Cele zece măsuri: prezentare generală
Vulnerability handling: Procesul continuu de identificare, clasificare și remediere a vulnerabilităților cunoscute.; Articolul 21(2)(e) din Directiva NIS2 cere "securitatea în achiziția, dezvoltarea și mentenanța rețelelor și sistemelor informatice, inclusiv gestionarea vulnerabilităților și divulgarea".Instruire NIS2 pentru conducere, Lecția 2.10: Măsura 5 - Achiziție, dezvoltare și mentenanță

W

Without undue delay: De îndată ce este rezonabil posibil; standardul juridic pentru rapiditatea notificării clienților.; Articolul 23(1) din Directiva NIS2 prevede că, dacă este cazul, entitățile notifică destinatarilor serviciilor "fără întârzieri nejustificate" incidentele semnificative care ar putea afecta în mod negativ prestarea acelor servicii.Instruire NIS2 pentru conducere, Lecția 1.12: Obligația de notificare a clienților

Surse

BSIG, Legea privind Oficiul Federal pentru Securitatea Informației și privind securitatea tehnologiei informației a entităților (versiunea din 2 decembrie 2025): https://www.gesetze-im-internet.de/bsig_2025/
Directiva NIS2 (UE) 2022/2555, Jurnalul Oficial al Uniunii Europene: https://eur-lex.europa.eu/eli/dir/2022/2555/oj
Regulamentul de punere în aplicare (UE) 2024/2690 al Comisiei, Jurnalul Oficial al Uniunii Europene: https://eur-lex.europa.eu/eli/reg_impl/2024/2690/oj
Regulamentul (UE) 2024/2847 (Regulamentul privind reziliența cibernetică), Jurnalul Oficial al Uniunii Europene: https://eur-lex.europa.eu/eli/reg/2024/2847/oj
Regulamentul (UE) 2016/679 (GDPR), Jurnalul Oficial al Uniunii Europene: https://eur-lex.europa.eu/eli/reg/2016/679/oj
BSI, standardele IT-Grundschutz BSI-200-1 până la BSI-200-4
BSI, IT-Grundschutz Kompendium (ediția curentă)

Vi s-a cerut să vă ocupați de NIS2?

Vă ghidăm pas cu pas. Dumneavoastră completați, noi explicăm fiecare punct pe înțelesul tuturor, iar la final semnează conducerea.

Încercați 30 de zile, banii înapoi

Programați o discuție

Instruire gratuită pentru directorul general Prețuri și condiții

Parcursul NIS2: drumul dumneavoastră pas cu pas, primele puncte gata