EU Cyber Resilience Act et NIS2
Attestkeep rattache ce que l'admission control et le scan d'images de votre cluster ont enregistré sur une période à 34 exigences (source : règlement (UE) 2024/2847 et directive (UE) 2022/2555). 26 sont évaluées sur ces enregistrements ; 8 sont marquées hors périmètre, chacune avec la raison.
26 exigences à portée de cluster.
Références et titres tels que le rapport les imprime, c'est-à-dire en anglais. Ouvrez une exigence pour lire ce qu'elle demande, reformulé au plus près du texte de l'instrument.
Cyber Resilience Act
règlement (UE) 2024/2847
Annexe I, partie I (exigences essentielles de cybersécurité) et partie II (exigences de gestion des vulnérabilités)
NIS2 Directive
directive (UE) 2022/2555
Article 21(2), mesures de gestion des risques de cybersécurité
| Référence | Exigence | Sections du rapport |
|---|---|---|
| Annex I, Part I (1) | Appropriate level of cybersecurity based on the risksLes produits sont conçus, développés et fabriqués de manière à garantir un niveau de cybersécurité approprié au regard des risques. | Control statementAdmission decisions |
| Annex I, Part I (2) | Made available without known exploitable vulnerabilitiesLes produits comportant des éléments numériques sont mis à disposition sur le marché sans vulnérabilité exploitable connue. | CoverageAdmission decisionsOutcomes |
| Annex I, Part I (3)(a) | Secure by default configurationLes produits sont mis à disposition avec une configuration sécurisée par défaut, y compris la possibilité de les remettre dans leur état d'origine. | Control statementAdmission decisions |
| Annex I, Part I (3)(b) | Vulnerabilities can be addressed through security updatesLes produits garantissent que les vulnérabilités peuvent être corrigées par des mises à jour de sécurité, y compris, le cas échéant, des mises à jour automatiques. | Control statementCoverage |
| Annex I, Part I (3)(c) | Protection from unauthorised accessLes produits assurent une protection contre l'accès non autorisé par des mécanismes de contrôle appropriés, notamment l'authentification et les systèmes de gestion des identités ou des accès. | Control statementEvidence chain |
| Annex I, Part I (3)(d) | Confidentiality of stored, transmitted or processed dataLes produits protègent la confidentialité des données stockées, transmises ou traitées, personnelles ou autres, par exemple en chiffrant les données pertinentes au repos ou en transit au moyen de mécanismes de pointe. | Control statement |
| Annex I, Part I (3)(e) | Integrity of data, commands, programs and configurationLes produits protègent l'intégrité des données, commandes, programmes et de la configuration stockés, transmis ou traités contre toute manipulation ou modification non autorisée par l'utilisateur, et signalent les altérations. | Supply chain |
| Annex I, Part I (3)(g) | Availability of essential and basic functionsLes produits protègent la disponibilité des fonctions essentielles et de base, y compris après un incident, notamment par la résilience et des mesures d'atténuation des attaques par déni de service. | Availability |
| Annex I, Part I (3)(h) | Minimise negative impact on other devices or networksLes produits réduisent au minimum leur propre impact négatif sur la disponibilité des services fournis par d'autres appareils ou réseaux. | Control statement |
| Annex I, Part I (3)(i) | Limit attack surfacesLes produits sont conçus, développés et fabriqués de manière à limiter les surfaces d'attaque, y compris les interfaces externes. | Control statement |
| Annex I, Part I (3)(j) | Reduce the impact of an incidentLes produits sont conçus, développés et fabriqués de manière à réduire l'impact d'un incident grâce à des mécanismes et techniques appropriés d'atténuation de l'exploitation. | Control statement |
| Annex I, Part I (3)(k) | Security-related information by recording and monitoringLes produits fournissent des informations relatives à la sécurité en enregistrant et en surveillant l'activité interne pertinente, y compris l'accès aux données, services ou fonctions et leur modification. | Evidence chainAdmission decisions |
| Annex I, Part II (1) | Identify and document vulnerabilities and components (SBOM)Les fabricants identifient et documentent les vulnérabilités et les composants du produit, notamment en établissant une nomenclature des logiciels dans un format couramment utilisé et lisible par machine, couvrant au moins les dépendances de premier niveau du produit. | CoverageSupply chain |
| Annex I, Part II (2) | Address and remediate vulnerabilities without delayLes fabricants traitent et corrigent les vulnérabilités sans délai, notamment en fournissant des mises à jour de sécurité ; lorsque c'est techniquement possible, les nouvelles mises à jour de sécurité sont fournies séparément des mises à jour fonctionnelles. | Control statementTriage decisions |
| Annex I, Part II (3) | Effective and regular tests and reviewsLes fabricants appliquent des tests et des examens efficaces et réguliers de la sécurité du produit comportant des éléments numériques. | Coverage |
| Annex I, Part II (5) | Coordinated vulnerability disclosure policyLes fabricants mettent en place et appliquent une politique de divulgation coordonnée des vulnérabilités. | Organisation |
| Annex I, Part II (6) | Facilitate sharing of information about potential vulnerabilitiesLes fabricants prennent des mesures pour faciliter le partage d'informations sur les vulnérabilités potentielles de leur produit et des composants tiers qu'il contient, notamment en fournissant une adresse de contact. | Organisation |
| Annex I, Part II (7) | Secure distribution of updatesLes fabricants prévoient des mécanismes de distribution sécurisée des mises à jour afin que les vulnérabilités soient corrigées ou atténuées en temps utile. | Control statement |
| Article 21(2)(a) | Policies on risk analysis and information system securityLes mesures comprennent des politiques relatives à l'analyse des risques et à la sécurité des systèmes d'information. | Control statement |
| Article 21(2)(b) | Incident handlingLes mesures comprennent la gestion des incidents. | Admission decisionsBreak-glass events |
| Article 21(2)(d) | Supply chain securityLes mesures comprennent la sécurité de la chaîne d'approvisionnement, y compris les aspects de sécurité des relations entre chaque entité et ses fournisseurs ou prestataires de services directs. | Supply chainControl statement |
| Article 21(2)(e) | Security in acquisition, development and maintenance, including vulnerability handlingLes mesures comprennent la sécurité de l'acquisition, du développement et de la maintenance des réseaux et des systèmes d'information, y compris le traitement et la divulgation des vulnérabilités. | CoverageAdmission decisionsTriage decisions |
| Article 21(2)(f) | Assessing the effectiveness of the measuresLes mesures comprennent des politiques et procédures pour évaluer l'efficacité des mesures de gestion des risques en matière de cybersécurité. | Admission decisionsAvailability |
| Article 21(2)(h) | Policies on the use of cryptography and encryptionLes mesures comprennent des politiques et procédures relatives à l'utilisation de la cryptographie et, le cas échéant, du chiffrement. | Supply chainControl statement |
| Article 21(2)(i) | Human resources security, access control policies and asset managementLes mesures comprennent la sécurité des ressources humaines, des politiques de contrôle d'accès et la gestion des actifs. | OutcomesEvidence chain |
| Article 21(2)(j) | Multi-factor authentication and secured communicationsLes mesures comprennent l'utilisation de solutions d'authentification à plusieurs facteurs ou d'authentification continue, de communications vocales, vidéo et textuelles sécurisées et de systèmes de communication d'urgence sécurisés au sein de l'entité. | Evidence chain |
8 exigences hors périmètre, et pourquoi
| Référence | Exigence et raison |
|---|---|
| Annex I, Part I (3)(f) | Data minimisation Les données qu'un workload traite dépendent de son code, que l'admission control ne lit pas. Pour le traitement propre à cet operator : les requêtes sont enregistrées pour le traçage, jamais leurs arguments, et aucun contenu de layer d'image n'est stocké. |
| Annex I, Part I (3)(l) | Secure and permanent removal of data and settings La conservation et la suppression des données d'un workload relèvent de ce workload et de son stockage, que l'admission control n'atteint pas. |
| Annex I, Part II (4) | Publicly disclose information about fixed vulnerabilities La publication est un acte du processus de release du fabricant. L'historique des vulnérabilités par image enregistré ici est la matière dont une note de divulgation serait tirée, pas la divulgation elle-même. |
| Annex I, Part II (8) | Disseminate security patches without delay La diffusion est un acte du processus de release du fabricant. Ce cluster enregistre le moment où une image corrigée est arrivée, pas celui où elle a été publiée. |
| Article 14 | Reporting actively exploited vulnerabilities and severe incidents Notifier un CSIRT et l'ENISA est un acte organisationnel soumis à un délai légal. Ce document fournit le moment où le délai commence : chaque vulnérabilité porte, dans la section Evidence chain, l'instant où ce cluster en a eu connaissance pour la première fois. |
| Article 21(2)(c) | Business continuity, backup management and crisis management La sauvegarde, la reprise et la gestion de crise sont des programmes de la plateforme et de l'organisation. La section Availability de ce document n'enregistre que la disponibilité de ce contrôle lui-même : un élément parmi d'autres, pas la mesure. |
| Article 21(2)(g) | Basic cyber hygiene practices and cybersecurity training La formation et la sensibilisation sont des programmes de l'organisation ; aucun contrôle du cluster ne les observe. |
| Article 23 | Incident reporting to the CSIRT or competent authority Le signalement à un CSIRT national est un acte organisationnel soumis à un délai légal. Ce document fournit le moment de la prise de connaissance à partir duquel chaque délai se mesure : chaque refus, chaque vulnérabilité et chaque activation de break-glass porte son propre horodatage dans la section Evidence chain. |
Preuves tirées des journaux que tient déjà le cluster.
Rien n'est rempli à la main. La réponse à chaque exigence porte un statut (satisfaite, partielle, écart ou hors périmètre), une note avec les chiffres de la période et les sections du rapport d'où viennent ces chiffres.
Pour EU CRA et NIS2, chaque exigence est évaluée par une règle propre, écrite pour elle, au regard des sections du rapport ci-dessous.
Ce que contient le rapport.
Chaque paquet contient les mêmes sections, quel que soit le framework. Les sections signalées sont celles que citent les réponses pour EU CRA et NIS2, avec le nombre d'exigences qui renvoient à chacune.
- Organisation2
- Framework mapping
- Cluster
- Control statement13
- Coverage5
- Vulnerability findings
- Outcomes2
- Admission decisions7
- Supply chain4
- Triage decisions2
- Break-glass events1
- Availability2
- Evidence chain4
- Deployment context
- Issues
- Ledger
- Population
- Runtime events
- Producer statements (VEX)
Le paragraphe de périmètre, tel que le rapport l'imprime (en anglais).
This document reports what one Kubernetes cluster's admission control and image scanning recorded during the period, mapped onto two instruments that bind different subjects. NIS2 Article 21(2) binds the entity, and these records are evidence for the subset of its measures that concern container workloads. The Cyber Resilience Act binds the manufacturer of a product with digital elements; the mapping below is usable where the container images covered here are that product or part of it, and is not usable as a statement about products this cluster merely runs. Neither mapping is a conformity assessment. No clause is marked met because a feature exists — only because the period's own records show the control operating. Clauses marked outside_scope are duties no cluster control can discharge; they are listed rather than omitted so the reader can see exactly where this document stops.
Sur EU CRA et NIS2
Est-ce une certification selon EU CRA et NIS2 ?
Non. Le paquet est une preuve produite à partir des enregistrements de votre cluster. Ce n'est pas une certification, et aucun auditeur n'est tenu de l'accepter. Le paragraphe de périmètre de cette page est celui que porte le rapport lui-même.
Pourquoi 8 exigences sont-elles hors périmètre ?
Elles portent sur des choses que les enregistrements d'admission et de scan d'un cluster ne peuvent pas montrer. Elles figurent avec la raison au lieu d'être omises, pour que le lecteur du rapport voie que l'exclusion est voulue.
Quel plan inclut EU CRA et NIS2 ?
Tous les plans peuvent produire un rapport selon ce framework. Community et Team incluent un framework au choix, Business trois, Enterprise tous. Les prix sont sur la page des tarifs.
Comment un auditeur vérifie-t-il le paquet ?
Dans un navigateur, sur attestkeep.com/verify.html, où rien n'est envoyé, ou avec le court script du site de documentation. Aucun des deux n'a besoin de nous. La page Pour les auditeurs donne le détail.
Installez-le vous-même.
Créez un compte, confirmez votre e-mail avec le code envoyé, prenez la clé Community gratuite sur la page Licences et installez avec Helm.
Créer un compte