EU Cyber Resilience Act y NIS2
Attestkeep vincula lo que el admission control y el escaneo de images de su cluster registraron en un periodo con 34 requisitos (fuente: Reglamento (UE) 2024/2847 y Directiva (UE) 2022/2555). De ellos, 26 se evalúan con esos registros; 8 se marcan fuera de alcance, cada uno con el motivo.
26 requisitos a los que responde un cluster.
Referencias y títulos tal como los imprime el informe, es decir, en inglés. Abra un requisito para leer lo que pide, expresado de forma próxima al texto del propio instrumento.
Cyber Resilience Act
Reglamento (UE) 2024/2847
Anexo I, parte I (requisitos esenciales de ciberseguridad) y parte II (requisitos de gestión de vulnerabilidades)
NIS2 Directive
Directiva (UE) 2022/2555
Artículo 21(2), medidas de gestión de riesgos de ciberseguridad
| Referencia | Requisito | Secciones del informe |
|---|---|---|
| Annex I, Part I (1) | Appropriate level of cybersecurity based on the risksLos productos se diseñarán, desarrollarán y fabricarán de modo que garanticen un nivel de ciberseguridad adecuado en función de los riesgos. | Control statementAdmission decisions |
| Annex I, Part I (2) | Made available without known exploitable vulnerabilitiesLos productos con elementos digitales se comercializarán sin vulnerabilidades aprovechables conocidas. | CoverageAdmission decisionsOutcomes |
| Annex I, Part I (3)(a) | Secure by default configurationLos productos se comercializarán con una configuración segura por defecto, incluida la posibilidad de restablecerlos a su estado original. | Control statementAdmission decisions |
| Annex I, Part I (3)(b) | Vulnerabilities can be addressed through security updatesLos productos garantizarán que las vulnerabilidades puedan corregirse mediante actualizaciones de seguridad, incluidas, cuando proceda, actualizaciones automáticas. | Control statementCoverage |
| Annex I, Part I (3)(c) | Protection from unauthorised accessLos productos garantizarán la protección frente al acceso no autorizado mediante mecanismos de control adecuados, como, entre otros, la autenticación y los sistemas de gestión de identidades o accesos. | Control statementEvidence chain |
| Annex I, Part I (3)(d) | Confidentiality of stored, transmitted or processed dataLos productos protegerán la confidencialidad de los datos almacenados, transmitidos o tratados de otro modo, personales o de otro tipo, por ejemplo cifrando los datos pertinentes en reposo o en tránsito con mecanismos de última generación. | Control statement |
| Annex I, Part I (3)(e) | Integrity of data, commands, programs and configurationLos productos protegerán la integridad de los datos, órdenes, programas y configuración almacenados, transmitidos o tratados de otro modo frente a cualquier manipulación o modificación no autorizada por el usuario, e informarán de las alteraciones. | Supply chain |
| Annex I, Part I (3)(g) | Availability of essential and basic functionsLos productos protegerán la disponibilidad de las funciones esenciales y básicas, también después de un incidente, entre otras cosas mediante medidas de resiliencia y de mitigación de ataques de denegación de servicio. | Availability |
| Annex I, Part I (3)(h) | Minimise negative impact on other devices or networksLos productos reducirán al mínimo su propio impacto negativo en la disponibilidad de los servicios que prestan otros dispositivos o redes. | Control statement |
| Annex I, Part I (3)(i) | Limit attack surfacesLos productos se diseñarán, desarrollarán y fabricarán para limitar las superficies de ataque, incluidas las interfaces externas. | Control statement |
| Annex I, Part I (3)(j) | Reduce the impact of an incidentLos productos se diseñarán, desarrollarán y fabricarán para reducir el impacto de un incidente con mecanismos y técnicas adecuados de mitigación de la explotación. | Control statement |
| Annex I, Part I (3)(k) | Security-related information by recording and monitoringLos productos proporcionarán información relacionada con la seguridad registrando y supervisando la actividad interna pertinente, incluidos el acceso a datos, servicios o funciones y su modificación. | Evidence chainAdmission decisions |
| Annex I, Part II (1) | Identify and document vulnerabilities and components (SBOM)Los fabricantes identificarán y documentarán las vulnerabilidades y los componentes del producto, entre otras cosas elaborando una lista de materiales de software en un formato de uso común y legible por máquina que cubra, como mínimo, las dependencias de primer nivel del producto. | CoverageSupply chain |
| Annex I, Part II (2) | Address and remediate vulnerabilities without delayLos fabricantes abordarán y corregirán las vulnerabilidades sin demora, entre otras cosas con actualizaciones de seguridad; cuando sea técnicamente posible, las nuevas actualizaciones de seguridad se ofrecerán por separado de las actualizaciones de funcionalidad. | Control statementTriage decisions |
| Annex I, Part II (3) | Effective and regular tests and reviewsLos fabricantes aplicarán pruebas y revisiones eficaces y periódicas de la seguridad del producto con elementos digitales. | Coverage |
| Annex I, Part II (5) | Coordinated vulnerability disclosure policyLos fabricantes establecerán y aplicarán una política de divulgación coordinada de vulnerabilidades. | Organisation |
| Annex I, Part II (6) | Facilitate sharing of information about potential vulnerabilitiesLos fabricantes adoptarán medidas para facilitar el intercambio de información sobre posibles vulnerabilidades de su producto y de los componentes de terceros que contiene, entre otras cosas facilitando una dirección de contacto. | Organisation |
| Annex I, Part II (7) | Secure distribution of updatesLos fabricantes preverán mecanismos para distribuir las actualizaciones de forma segura, de modo que las vulnerabilidades se corrijan o mitiguen a tiempo. | Control statement |
| Article 21(2)(a) | Policies on risk analysis and information system securityLas medidas incluirán políticas de análisis de riesgos y de seguridad de los sistemas de información. | Control statement |
| Article 21(2)(b) | Incident handlingLas medidas incluirán la gestión de incidentes. | Admission decisionsBreak-glass events |
| Article 21(2)(d) | Supply chain securityLas medidas incluirán la seguridad de la cadena de suministro, incluidos los aspectos de seguridad de las relaciones entre cada entidad y sus proveedores directos o prestadores de servicios. | Supply chainControl statement |
| Article 21(2)(e) | Security in acquisition, development and maintenance, including vulnerability handlingLas medidas incluirán la seguridad en la adquisición, el desarrollo y el mantenimiento de redes y sistemas de información, incluidas la gestión y la divulgación de vulnerabilidades. | CoverageAdmission decisionsTriage decisions |
| Article 21(2)(f) | Assessing the effectiveness of the measuresLas medidas incluirán políticas y procedimientos para evaluar la eficacia de las medidas de gestión de riesgos de ciberseguridad. | Admission decisionsAvailability |
| Article 21(2)(h) | Policies on the use of cryptography and encryptionLas medidas incluirán políticas y procedimientos sobre el uso de la criptografía y, cuando proceda, del cifrado. | Supply chainControl statement |
| Article 21(2)(i) | Human resources security, access control policies and asset managementLas medidas incluirán la seguridad de los recursos humanos, políticas de control de acceso y la gestión de activos. | OutcomesEvidence chain |
| Article 21(2)(j) | Multi-factor authentication and secured communicationsLas medidas incluirán el uso de soluciones de autenticación multifactor o continua, comunicaciones de voz, vídeo y texto seguras y sistemas seguros de comunicación de emergencia dentro de la entidad. | Evidence chain |
8 requisitos fuera de alcance, y por qué
| Referencia | Requisito y motivo |
|---|---|
| Annex I, Part I (3)(f) | Data minimisation Qué datos trata un workload depende de su código, que el admission control no lee. En cuanto al tratamiento propio de este operator: las consultas se registran para la trazabilidad, nunca sus argumentos, y no se guarda contenido de las layers de las images. |
| Annex I, Part I (3)(l) | Secure and permanent removal of data and settings La conservación y el borrado de datos de un workload dependen de ese workload y de su almacenamiento, adonde el admission control no llega. |
| Annex I, Part II (4) | Publicly disclose information about fixed vulnerabilities Publicar es un acto del proceso de release del fabricante. El historial de hallazgos por image que se registra aquí es el material del que se escribiría una nota de divulgación, no la divulgación. |
| Annex I, Part II (8) | Disseminate security patches without delay Difundir es un acto del proceso de release del fabricante. Este cluster registra cuándo llegó una image corregida, no cuándo se publicó. |
| Article 14 | Reporting actively exploited vulnerabilities and severe incidents Notificar a un CSIRT y a ENISA es un acto organizativo con un plazo legal. Lo que aporta este documento es el momento en que empieza a contar el plazo: cada hallazgo lleva, en la sección Evidence chain, el instante en que este cluster tuvo conocimiento de él por primera vez. |
| Article 21(2)(c) | Business continuity, backup management and crisis management Las copias de seguridad, la recuperación y la gestión de crisis son programas de la plataforma y de la organización. La sección Availability de este documento solo registra la disponibilidad de este propio control, que es una aportación y no la medida. |
| Article 21(2)(g) | Basic cyber hygiene practices and cybersecurity training La formación y la concienciación son programas de la organización; ningún control del cluster los observa. |
| Article 23 | Incident reporting to the CSIRT or competent authority Informar a un CSIRT nacional es un acto organizativo con un plazo legal. Lo que aporta este documento es el momento de conocimiento desde el que se mide cada plazo: cada rechazo, cada hallazgo y cada activación de break-glass lleva su propia marca de tiempo en la sección Evidence chain. |
Evidencia a partir de registros que el cluster ya guarda.
Nada se rellena a mano. La respuesta de cada requisito lleva un estado (cumplido, parcial, carencia o fuera de alcance), una nota con las cifras del propio periodo y las secciones del informe de donde salen esas cifras.
Para EU CRA y NIS2, cada requisito se evalúa con una regla propia, escrita para ese requisito, a partir de las secciones del informe que aparecen abajo.
Qué contiene el informe.
Todos los paquetes llevan las mismas secciones, sea cual sea el framework. Las marcadas son las que citan las respuestas para EU CRA y NIS2, con el número de requisitos que cita cada una.
- Organisation2
- Framework mapping
- Cluster
- Control statement13
- Coverage5
- Vulnerability findings
- Outcomes2
- Admission decisions7
- Supply chain4
- Triage decisions2
- Break-glass events1
- Availability2
- Evidence chain4
- Deployment context
- Issues
- Ledger
- Population
- Runtime events
- Producer statements (VEX)
El párrafo de alcance, tal como lo formula el informe.
This document reports what one Kubernetes cluster's admission control and image scanning recorded during the period, mapped onto two instruments that bind different subjects. NIS2 Article 21(2) binds the entity, and these records are evidence for the subset of its measures that concern container workloads. The Cyber Resilience Act binds the manufacturer of a product with digital elements; the mapping below is usable where the container images covered here are that product or part of it, and is not usable as a statement about products this cluster merely runs. Neither mapping is a conformity assessment. No clause is marked met because a feature exists — only because the period's own records show the control operating. Clauses marked outside_scope are duties no cluster control can discharge; they are listed rather than omitted so the reader can see exactly where this document stops.
Sobre EU CRA y NIS2
¿Es esto una certificación según EU CRA y NIS2?
No. El paquete es evidencia generada a partir de los propios registros de su cluster. No es una certificación, y ningún auditor está obligado a aceptarlo. El párrafo de alcance de esta página es el mismo que lleva el informe.
¿Por qué 8 de los requisitos están fuera de alcance?
Preguntan por cosas que los registros de admission y escaneo de un cluster no pueden mostrar. Se incluyen con el motivo en lugar de omitirse, para que quien lea el informe vea que la exclusión es deliberada.
¿Qué plan incluye EU CRA y NIS2?
Todos los planes pueden generar informes para este framework. Community y Team incluyen 1 framework a elegir; Business, 3; Enterprise, todos. Los precios están en la página de precios.
¿Cómo comprueba un auditor el paquete?
En un navegador, en attestkeep.com/verify.html, donde no se sube nada, o con el breve script del sitio de documentación. Ninguno de los dos nos necesita. La página Para auditores tiene los detalles.
Instálelo usted mismo.
Cree una cuenta, confirme su correo con el código que le enviamos, obtenga la clave Community gratuita en la página Licences e instale con Helm.
Crear una cuenta