Saudi-Arabien

NCA Essential Cybersecurity Controls

Die Essential Cybersecurity Controls sind die Mindestbasis der saudischen National Cybersecurity Authority für Behörden und für Organisationen, die kritische nationale Infrastrukturen besitzen oder betreiben. Erstmals 2018 herausgegeben und 2024 überarbeitet, gliedern die ECC über hundert Kontrollen in fünf Domänen: Governance, Verteidigung, Resilienz, Dritte und Cloud-Computing sowie industrielle Steuerungssysteme. Organisationen bewerten ihre Konformität und melden sie an die NCA.

Die ECC fragen, ob jede Kontrolle umgesetzt und wirksam ist. DECIMA antwortet aus dem System, nicht aus der Richtlinie.

Auf einen Blick

Erlassen von

National Cybersecurity Authority (NCA), Saudi-Arabien

Gilt für

Behörden und Organisationen, die kritische nationale Infrastrukturen besitzen, betreiben oder hosten, einschließlich privatwirtschaftlicher Betreiber

In Kraft

ECC-1 seit 2018; die überarbeiteten ECC-2 2024 herausgegeben

Beaufsichtigt von

Die NCA, durch Konformitätsbewertungen und Berichterstattung

Was die Vorgabe verlangt

Die Pflichten, wie die Regulierung sie formuliert, in der Reihenfolge, in der ein Programm sie erfüllt.

1. 01

   Cybersicherheits-Governance

   Strategie, Management, Richtlinien, Rollen, Risikomanagement, Sicherheit in Projekten und Änderungen, Compliance, Audit, personelle Sicherheit und Sensibilisierung.

2. 02

   Cybersicherheits-Verteidigung

   Asset-Management, Identität und Zugriff, Schutz von Informationssystemen und Verarbeitungseinrichtungen, E-Mail- und Netzwerksicherheit, mobile Geräte, Datenschutz, Kryptografie, Backup, Schwachstellen- und Penetrationstests, Ereignisprotokollierung und -überwachung, Vorfall- und Bedrohungsmanagement sowie physische Sicherheit.

3. 03

   Cybersicherheits-Resilienz

   Cybersicherheit, eingebettet in das Business-Continuity-Management, mit getesteten Wiederherstellungsfähigkeiten.

4. 04

   Dritte und Cloud-Computing

   Cybersicherheitsanforderungen an Drittdienstleister und an Cloud-Dienste, einschließlich Bedingungen zu Datenstandort und Hosting.

5. 05

   Industrielle Steuerungssysteme

   Kontrollen für Betriebstechnologie und industrielle Steuerungsumgebungen, sofern die Organisation solche betreibt.

Wie DECIMA es belegt

Jede Anforderung wird aus laufenden Systemen mit einer datierten, erneut verifizierbaren Aufzeichnung beantwortet – nicht aus einem für die Prüfung ausgefüllten Fragebogen.

• Verteidigungskontrollen kontinuierlich ausgelesen

  Identitäts-, Netzwerk-, Endpunkt-, Protokollierungs-, Backup- und Schwachstellenkontrollen werden nach Zeitplan aus den Systemen ausgelesen, die sie betreiben; jede Auslesung wird mit Zeitstempel und angewandter ECC-Version gespeichert.

• Bewertung aus der Aufzeichnung erzeugt

  Die an die NCA gemeldete Konformitätsbewertung wird Kontrolle für Kontrolle aus datierten Nachweisen erzeugt, nicht aus einem für die Prüfung ausgefüllten Fragebogen.

• Bedingungen für Dritte und Cloud belegt

  Dienstleisterbewertungen, Hosting-Standorte und vertragliche Bedingungen werden als strukturierte Datensätze vorgehalten und mit den Kontrollen verknüpft, die sie erfüllen.

• Kontinuitätstests aufgezeichnet

  Wiederherstellungstests werden mit Umfang, Ergebnissen und Behebung aufgezeichnet und mit den Resilienzkontrollen verknüpft, die sie geprüft haben.

04

Fragen, die Käufer stellen

Kurze Antworten, die Sie zitieren können.