NIS2 comparativ cu CRA: entitate sau produs?

NIS2 și Actul privind reziliența cibernetică (CRA) vizează niveluri diferite ale securității cibernetice. NIS2 se aplică entităților — gândiți-vă la spitale, companii energetice și administrații publice — și impune procese de gestionare a riscurilor, precum și raportarea incidentelor. În schimb, CRA se concentrează asupra produselor cu elemente digitale, precum termostatele inteligente, dispozitivele medicale conectate sau produsele software. Dacă un subiect de test descrie politicile de securitate ale unei organizații sau notificarea unei breșe, acesta intră în domeniul NIS2; dacă descrie caracteristicile de securitate sau vulnerabilitățile unui dispozitiv, intră în domeniul CRA.

Pentru a evita confuzia, folosiți un truc simplu de eliminare: întrebați-vă dacă scenariul se concentrează asupra unei entități sau asupra unui produs. De exemplu, o întrebare despre planul de securitate cibernetică al unui spital indică NIS2, în timp ce una despre securitatea integrată a unui contor inteligent indică CRA. Un alt indiciu: NIS2 vizează procesele și termenele de raportare, în timp ce CRA vizează proiectarea, securitatea pe parcursul ciclului de viață și supravegherea pieței. Dacă subiectul menționează „notificarea incidentelor” sau „evaluarea riscurilor”, orientați-vă către NIS2; dacă menționează „securizat în mod implicit” sau „divulgarea vulnerabilităților”, orientați-vă către CRA.

O formulă mnemonică scurtă: „NIS2 = entitate, CRA = obiect”. Pentru un test rapid, imaginați-vă un scenariu cu un stimulator cardiac conectat: spitalul care îl utilizează intră sub incidența NIS2, dar stimulatorul cardiac în sine intră sub incidența CRA. Dacă subiectul le combină pe amândouă, verificați aspectul pe care îl evidențiază întrebarea — organizația sau dispozitivul — și alegeți în consecință.