EU Cyber Resilience Act und NIS2
Was Admission Control und Image-Scan Ihres Clusters in einem Zeitraum erfasst haben, ordnet Attestkeep 34 Anforderungen zu (Quelle: Verordnung (EU) 2024/2847 und Richtlinie (EU) 2022/2555). 26 davon werden aus diesen Einträgen bewertet; 8 sind als außerhalb des Umfangs markiert, jede mit Begründung.
26 Anforderungen aus Clustersicht.
Fundstellen und Titel so, wie der Bericht sie druckt, also auf Englisch. Öffnen Sie eine Anforderung, um zu lesen, was sie verlangt – nah am Wortlaut des Regelwerks wiedergegeben.
Cyber Resilience Act
Verordnung (EU) 2024/2847
Anhang I Teil I (grundlegende Cybersicherheitsanforderungen) und Teil II (Anforderungen an die Behandlung von Schwachstellen)
NIS2 Directive
Richtlinie (EU) 2022/2555
Artikel 21 Absatz 2, Risikomanagementmaßnahmen der Cybersicherheit
| Fundstelle | Anforderung | Berichtsabschnitte |
|---|---|---|
| Annex I, Part I (1) | Appropriate level of cybersecurity based on the risksProdukte werden so konzipiert, entwickelt und hergestellt, dass sie ein den Risiken angemessenes Cybersicherheitsniveau gewährleisten. | Control statementAdmission decisions |
| Annex I, Part I (2) | Made available without known exploitable vulnerabilitiesProdukte mit digitalen Elementen werden ohne bekannte ausnutzbare Schwachstellen auf dem Markt bereitgestellt. | CoverageAdmission decisionsOutcomes |
| Annex I, Part I (3)(a) | Secure by default configurationProdukte werden mit einer standardmäßig sicheren Konfiguration bereitgestellt, einschließlich der Möglichkeit, das Produkt in seinen ursprünglichen Zustand zurückzusetzen. | Control statementAdmission decisions |
| Annex I, Part I (3)(b) | Vulnerabilities can be addressed through security updatesProdukte stellen sicher, dass Schwachstellen durch Sicherheitsupdates behoben werden können, gegebenenfalls auch durch automatische Updates. | Control statementCoverage |
| Annex I, Part I (3)(c) | Protection from unauthorised accessProdukte gewährleisten durch geeignete Kontrollmechanismen Schutz vor unbefugtem Zugriff, unter anderem durch Authentifizierung sowie Identitäts- oder Zugangsverwaltungssysteme. | Control statementEvidence chain |
| Annex I, Part I (3)(d) | Confidentiality of stored, transmitted or processed dataProdukte schützen die Vertraulichkeit gespeicherter, übermittelter oder anderweitig verarbeiteter Daten, personenbezogen oder nicht, etwa indem relevante Daten im Ruhezustand oder bei der Übertragung nach dem Stand der Technik verschlüsselt werden. | Control statement |
| Annex I, Part I (3)(e) | Integrity of data, commands, programs and configurationProdukte schützen die Integrität gespeicherter, übermittelter oder anderweitig verarbeiteter Daten, Befehle, Programme und der Konfiguration vor jeder vom Nutzer nicht autorisierten Manipulation oder Änderung und melden Beschädigungen. | Supply chain |
| Annex I, Part I (3)(g) | Availability of essential and basic functionsProdukte schützen die Verfügbarkeit wesentlicher und grundlegender Funktionen, auch nach einem Vorfall, unter anderem durch Resilienz und Maßnahmen gegen Denial-of-Service-Angriffe. | Availability |
| Annex I, Part I (3)(h) | Minimise negative impact on other devices or networksProdukte minimieren ihre eigenen negativen Auswirkungen auf die Verfügbarkeit von Diensten, die andere Geräte oder Netze erbringen. | Control statement |
| Annex I, Part I (3)(i) | Limit attack surfacesProdukte werden so konzipiert, entwickelt und hergestellt, dass Angriffsflächen, einschließlich externer Schnittstellen, begrenzt werden. | Control statement |
| Annex I, Part I (3)(j) | Reduce the impact of an incidentProdukte werden so konzipiert, entwickelt und hergestellt, dass die Auswirkungen eines Vorfalls durch geeignete Mechanismen und Techniken zur Eindämmung von Ausnutzung verringert werden. | Control statement |
| Annex I, Part I (3)(k) | Security-related information by recording and monitoringProdukte liefern sicherheitsbezogene Informationen, indem sie relevante interne Vorgänge aufzeichnen und überwachen, einschließlich des Zugriffs auf oder der Änderung von Daten, Diensten oder Funktionen. | Evidence chainAdmission decisions |
| Annex I, Part II (1) | Identify and document vulnerabilities and components (SBOM)Hersteller ermitteln und dokumentieren Schwachstellen und Komponenten des Produkts, unter anderem durch eine Software Bill of Materials in einem gängigen, maschinenlesbaren Format, die mindestens die obersten Abhängigkeiten des Produkts erfasst. | CoverageSupply chain |
| Annex I, Part II (2) | Address and remediate vulnerabilities without delayHersteller gehen Schwachstellen unverzüglich an und beheben sie, unter anderem durch Sicherheitsupdates; wo technisch machbar, werden neue Sicherheitsupdates getrennt von Funktionsupdates bereitgestellt. | Control statementTriage decisions |
| Annex I, Part II (3) | Effective and regular tests and reviewsHersteller prüfen und überprüfen die Sicherheit des Produkts mit digitalen Elementen wirksam und regelmäßig. | Coverage |
| Annex I, Part II (5) | Coordinated vulnerability disclosure policyHersteller führen eine Strategie zur koordinierten Offenlegung von Schwachstellen ein und setzen sie durch. | Organisation |
| Annex I, Part II (6) | Facilitate sharing of information about potential vulnerabilitiesHersteller ergreifen Maßnahmen, die den Austausch von Informationen über mögliche Schwachstellen in ihrem Produkt und in enthaltenen Drittkomponenten erleichtern, unter anderem durch Angabe einer Kontaktadresse. | Organisation |
| Annex I, Part II (7) | Secure distribution of updatesHersteller sehen Mechanismen vor, um Updates sicher zu verteilen, damit Schwachstellen rechtzeitig behoben oder gemindert werden. | Control statement |
| Article 21(2)(a) | Policies on risk analysis and information system securityDie Maßnahmen umfassen Konzepte für die Risikoanalyse und die Sicherheit von Informationssystemen. | Control statement |
| Article 21(2)(b) | Incident handlingDie Maßnahmen umfassen die Bewältigung von Vorfällen. | Admission decisionsBreak-glass events |
| Article 21(2)(d) | Supply chain securityDie Maßnahmen umfassen die Sicherheit der Lieferkette, einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen jeder Einrichtung und ihren unmittelbaren Anbietern oder Diensteanbietern. | Supply chainControl statement |
| Article 21(2)(e) | Security in acquisition, development and maintenance, including vulnerability handlingDie Maßnahmen umfassen Sicherheit bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen, einschließlich Management und Offenlegung von Schwachstellen. | CoverageAdmission decisionsTriage decisions |
| Article 21(2)(f) | Assessing the effectiveness of the measuresDie Maßnahmen umfassen Konzepte und Verfahren, um die Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Cybersicherheit zu bewerten. | Admission decisionsAvailability |
| Article 21(2)(h) | Policies on the use of cryptography and encryptionDie Maßnahmen umfassen Konzepte und Verfahren für den Einsatz von Kryptografie und, wo angemessen, Verschlüsselung. | Supply chainControl statement |
| Article 21(2)(i) | Human resources security, access control policies and asset managementDie Maßnahmen umfassen Sicherheit des Personals, Konzepte für die Zugriffskontrolle und die Verwaltung von Anlagen. | OutcomesEvidence chain |
| Article 21(2)(j) | Multi-factor authentication and secured communicationsDie Maßnahmen umfassen Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung. | Evidence chain |
8 Anforderungen außerhalb des Umfangs, und warum
| Fundstelle | Anforderung und Grund |
|---|---|
| Annex I, Part I (3)(f) | Data minimisation Welche Daten ein Workload verarbeitet, ist eine Eigenschaft seines Codes, und den liest Admission Control nicht. Zur eigenen Verarbeitung dieses Operators: Abfrageanweisungen werden für das Tracing festgehalten, ihre Argumente nie, und Inhalte von Image-Layern werden nicht gespeichert. |
| Annex I, Part I (3)(l) | Secure and permanent removal of data and settings Aufbewahrung und Löschung von Daten in einem Workload sind Eigenschaften dieses Workloads und seines Speichers, die Admission Control nicht erreicht. |
| Annex I, Part II (4) | Publicly disclose information about fixed vulnerabilities Die Veröffentlichung ist ein Schritt im Release-Prozess des Herstellers. Die hier festgehaltene Befundhistorie je Image ist das Material, aus dem ein Hinweis geschrieben würde, nicht der Hinweis selbst. |
| Annex I, Part II (8) | Disseminate security patches without delay Die Verbreitung ist ein Schritt im Release-Prozess des Herstellers. Dieser Cluster hält fest, wann ein korrigiertes Image ankam, nicht wann es veröffentlicht wurde. |
| Article 14 | Reporting actively exploited vulnerabilities and severe incidents Die Meldung an ein CSIRT und an ENISA ist ein organisatorischer Akt mit gesetzlicher Frist. Dieses Dokument liefert den Moment, an dem die Frist zu laufen beginnt: Jeder Befund trägt im Abschnitt Evidence chain den Zeitpunkt, zu dem dieser Cluster erstmals davon Kenntnis hatte. |
| Article 21(2)(c) | Business continuity, backup management and crisis management Backup, Wiederherstellung und Krisenmanagement sind Programme der Plattform und der Organisation. Der Abschnitt Availability dieses Dokuments hält nur die Verfügbarkeit dieser Kontrolle selbst fest: ein Beitrag, nicht die Maßnahme. |
| Article 21(2)(g) | Basic cyber hygiene practices and cybersecurity training Schulung und Sensibilisierung sind Programme der Organisation; keine Kontrolle im Cluster beobachtet sie. |
| Article 23 | Incident reporting to the CSIRT or competent authority Die Meldung an ein nationales CSIRT ist ein organisatorischer Akt mit gesetzlicher Frist. Dieses Dokument liefert den Zeitpunkt der Kenntnisnahme, ab dem jede Frist läuft: Jede Ablehnung, jeder Befund und jede Break-Glass-Aktivierung trägt im Abschnitt Evidence chain ihren eigenen Zeitstempel. |
Nachweise aus Einträgen, die der Cluster ohnehin führt.
Nichts wird von Hand ausgefüllt. Jede Antwort zu einer Anforderung trägt einen Status (erfüllt, teilweise, Lücke oder außerhalb des Umfangs), eine Notiz mit den Zahlen des Zeitraums und die Berichtsabschnitte, aus denen diese Zahlen stammen.
Jede Anforderung von EU CRA und NIS2 wird nach einer eigens für sie geschriebenen Regel anhand der Berichtsabschnitte unten bewertet.
Was der Bericht enthält.
Jedes Paket enthält dieselben Abschnitte, unabhängig vom Framework. Markiert sind die, auf die sich die Antworten zu EU CRA und NIS2 stützen, jeweils mit der Zahl der Anforderungen, die auf sie verweisen.
- Organisation2
- Framework mapping
- Cluster
- Control statement13
- Coverage5
- Vulnerability findings
- Outcomes2
- Admission decisions7
- Supply chain4
- Triage decisions2
- Break-glass events1
- Availability2
- Evidence chain4
- Deployment context
- Issues
- Ledger
- Population
- Runtime events
- Producer statements (VEX)
Geltungsbereich, wörtlich aus dem Bericht (Englisch).
This document reports what one Kubernetes cluster's admission control and image scanning recorded during the period, mapped onto two instruments that bind different subjects. NIS2 Article 21(2) binds the entity, and these records are evidence for the subset of its measures that concern container workloads. The Cyber Resilience Act binds the manufacturer of a product with digital elements; the mapping below is usable where the container images covered here are that product or part of it, and is not usable as a statement about products this cluster merely runs. Neither mapping is a conformity assessment. No clause is marked met because a feature exists — only because the period's own records show the control operating. Clauses marked outside_scope are duties no cluster control can discharge; they are listed rather than omitted so the reader can see exactly where this document stops.
Fragen zu EU CRA und NIS2
Ist das eine Zertifizierung nach EU CRA und NIS2?
Nein. Das Paket ist ein Nachweis aus den clustereigenen Einträgen. Es ist keine Zertifizierung, und kein Auditor muss es anerkennen. Der Absatz zum Geltungsbereich auf dieser Seite ist derselbe, den auch der Bericht enthält.
Warum liegen 8 Anforderungen außerhalb des Umfangs?
Sie fragen nach Dingen, die die Admission- und Scan-Einträge eines einzelnen Clusters nicht zeigen können. Sie werden mit Begründung aufgeführt statt weggelassen, damit jeder Leser des Berichts sieht, dass der Ausschluss bewusst ist.
Welcher Plan enthält EU CRA und NIS2?
Jeder Plan kann danach berichten. Community und Team enthalten 1 Framework Ihrer Wahl, Business 3, Enterprise alle. Die Preise stehen auf der Preisseite.
Wie prüft ein Auditor das Paket?
Im Browser unter attestkeep.com/verify.html, wo nichts hochgeladen wird, oder mit dem kurzen Skript auf der Dokumentationsseite. Beides kommt ohne uns aus. Einzelheiten stehen unter Für Auditoren.
Selbst installieren.
Konto anlegen, die E-Mail mit dem zugesandten Code bestätigen, den kostenlosen Community-Schlüssel auf der Seite Licences holen und mit Helm installieren.
Konto anlegen