CIR 2024/2690 Implementation Guide

Beleid inzake de beveiliging van netwerk- en informatiesystemen

Vereist een gedocumenteerd beveiligingsbeleid voor netwerk- en informatiesystemen dat door de leiding is goedgekeurd en dat de aanpak van de entiteit voor het beheer van beveiliging vastlegt. Het beleid wordt op geplande tijdstippen geëvalueerd en na significante incidenten of wijzigingen bijgewerkt. Het vormt het kader voor alle daaropvolgende maatregelen.

Risicobeheerbeleid

Vereist een risicobeheerkader met een vastgestelde methodologie, identificatie van risico's voor netwerk- en informatiesystemen, analyse en evaluatie aan de hand van risicoacceptatiecriteria, een behandelingsplan en goedkeuring van het restrisico door de leiding, op geplande tijdstippen geëvalueerd.

Incidentenbehandeling

Vereist beleid en procedures voor het detecteren, analyseren, inperken, beantwoorden en herstellen van incidenten, met vastgestelde rollen, logregistratie, escalatie en communicatie, alsmede een gestructureerde evaluatie na afloop van een incident die de geleerde lessen terugkoppelt naar de maatregelen.

Bedrijfscontinuïteit en crisisbeheer

Vereist een plan voor bedrijfscontinuïteit en uitwijk op basis van een bedrijfsimpactanalyse, beheer van back-ups en redundantie met geteste herstelprocedures, en een crisisbeheerplan met vastgestelde rollen, op geplande tijdstippen geëvalueerd en getest.

Beveiliging van de toeleveringsketen

Vereist een beleid voor de beveiliging van de toeleveringsketen dat de relaties met directe leveranciers en dienstverleners beheerst, met inbegrip van beveiligingscriteria voor selectie, contractuele eisen en een register van leveranciers dat gedurende de levenscyclus van de relatie wordt bijgehouden en gemonitord.

Beveiliging bij verwerving, ontwikkeling en onderhoud van netwerk- en informatiesystemen

Vereist dat beveiliging wordt ingebouwd in de verwerving, ontwikkeling en het onderhoud van systemen, met aandacht voor veilige ontwikkelpraktijken, configuratiebeheer, wijzigingsbeheer, beveiligingstests, patchbeheer en de afhandeling van kwetsbaarheden gedurende de gehele levenscyclus.

Beleid en procedures om de doeltreffendheid van de maatregelen voor het beheer van cyberbeveiligingsrisico's te beoordelen

Vereist dat de entiteit beleid en procedures vaststelt om te beoordelen of haar risicobeheermaatregelen doeltreffend zijn, met inbegrip van monitoring, evaluatie en onafhankelijke beoordeling, zodat tekortkomingen worden geïdentificeerd en de maatregelen in de loop van de tijd worden verbeterd.

Basismaatregelen voor cyberhygiëne en beveiligingstraining

Vereist basismaatregelen voor cyberhygiëne en een bewustwordingsprogramma voor alle personeelsleden, met rolspecifieke training voor medewerkers met beveiligingstaken en voor de leiding, waarbij beleid, dreigingen en meldplichten aan bod komen.

Cryptografie

Vereist een beleid en procedures voor het gebruik van cryptografie, met inbegrip van de selectie van algoritmen en sleutelsterktes die passen bij de gegevens, en sleutelbeheer dat generatie, opslag, rotatie en vernietiging omvat, geëvalueerd aan de hand van de actuele beste praktijken.

Beveiliging van personele middelen

Vereist beveiligingsmaatregelen voor personele middelen gedurende de gehele dienstverbandcyclus, met inbegrip van verificatie voorafgaand aan indiensttreding waar passend, vastgestelde beveiligingsverantwoordelijkheden, arbeidsvoorwaarden en procedures voor functiewijziging en beëindiging, zodat de toegang eindigt wanneer het dienstverband eindigt.

Toegangsbeheersing

Vereist een beleid voor toegangsbeheersing met beheer van toegangsrechten (11.2) en bevoorrechte accounts (11.3), beheersystemen (11.4), unieke identificatie (11.5), authenticatie (11.6) en multifactor- of continue authenticatie (11.7) voor toegang tot kritieke systemen en externe toegang, op geplande tijdstippen geëvalueerd.

Beheer van bedrijfsmiddelen

Vereist een beleid voor het beheer van bedrijfsmiddelen met classificatie van bedrijfsmiddelen, een inventaris van netwerk- en informatiesystemen en ondersteunende bedrijfsmiddelen, hanteringsregels op basis van de classificatie, en beleid voor verwijderbare media en de veilige teruggave of verwijdering van bedrijfsmiddelen.

Milieu- en fysieke beveiliging

Vereist bescherming van faciliteiten tegen fysieke en milieugerelateerde dreigingen, met inbegrip van ondersteunende nutsvoorzieningen, gecontroleerde fysieke toegang tot systemen, en bescherming tegen storingen zoals stroomuitval, brand en water, in verhouding tot het risico voor de systemen.