Развитието на софтуер подпада ли под NIS2?
Разработката на софтуер като дейност не е изрично посочена в приложенията на Директива NIS2. Няма сектор, който да се нарича "софтуерни разработчици". Съществуват обаче свързани категории: облачните изчисления и облачните услуги попадат под цифровата инфраструктура, а управляваните ИКТ-услуги и управляваните услуги за защита попадат под ИКТ-услуги. Ако разработвате персонализиран софтуер за клиенти, без да предоставяте сами облачна услуга или управлявана услуга, е вероятно да не попадате пряко под действието на Директивата.
Това не означава, че разработката на софтуер остава извън обхвата. Три фактора определят заедно вашата позиция: точния характер на това, което предоставяте (сектор), размерът на вашата организация и въпросът дали вашите клиенти сами подлежат на регулиране. В практиката последният фактор засяга много повече разработвателски фирми, отколкото първият.
Сектор: какво посочват и не посочват приложенията
Директивата прави разлика между основни сектори (приложение I) и важни сектори (приложение II). Цифровата инфраструктура и ИКТ-услугите са изброени в приложение I, и последната категория се отнася конкретно до страни, които управляват или надзирават ИКТ-средата на други — например управлявани услужители. Ако предоставяте SaaS продукт, при който управлявате инфраструктурата за клиентите, или предлагате наред със софтуера си и управление, мониторинг или хостинг, то попадате все повече в тази категория. Ако предоставяте само приложение, което клиентът сам управлява и хоства, то е различно.
Категоризирането е по-малко въпрос на това как се называте сами и по-скоро на това, което действително правите за клиента. Две фирми, които се наричат "софтуерни разработчици", могат да имат различни резултати веднага щом едната от тях поема и управлението. Структурирана проверка по критерии сектор, размер и позиция в веригата предоставя по-бързо яснота по това от безсвързан разговор върху чекови списъци. в няколко въпроса вижте къде стои вашата фирма
Размер: прагът важи и ако секторът се съвпада
Дори ако вашата дейност попада в посочена категория, съществуват праговете по размер: Директивата прави разлика между средни и големи предприятия, с различни резултати за по-малки организации. Малък екип от разработчици, който случайно предлага и хостинг, не попада автоматично в същата категория като голям облачен услужител. Точните граници и изключенията, които съществуват, са посочени в Директивата и национално преобразуване; това не е нещо, по което трябва да вземете решение на базата на неточно правило.
Позиция в веригата на доставка: засегнати без да подлежите сам на регулиране
Тук лежи за повечето софтуерни фирми практическата страна на историята. Задълженията в областта на управлението на риска (член 21) задължават основни и важни мрежи или системи да оценят и безопасността на техните доставчици. Ако разработвате софтуер за болница, енергийна компания или община, е вероятно че този клиент ви изпрати въпросник за сигурност относно вашия процес на разработка — независимо от въпроса дали сами подлежите на Директивата.
Тези въпросници редко говорят за абстрактни принципи на политика. Те конкретно питат как откривате и отстранявате уязвимости, как кръпки достигат клиента, и кой в вашата организация има достъп до源кода и производствената среда. Ако получите такива въпросници за първи път, често това се преживява като неочаквано, което поставя договора под натиск; с постоянен набор от отговори, втория път е значително по-бърз. темите, които са подбрани по ситуация
Две нива на защита: продукта и разработчишкия конвейер
При разработката на софтуер две въпроса се преплитат и е полезно да ги отделим. Първият се отнася до това, което разработвате: съществува ли процес за откриване и отстраняване на уязвимости в кода, се ведат ли дневници на зависимостите и библиотеките, и колко бързо пристигат обновленията за сигурност до клиента? Вторият се отнася до начина, по който разработвате: кой има достъп до хранилището с изходния код, как е защитен CI/CD конвейърът, и кой всъщност може да развърта в производствената среда?
Списък с въпроси относно сигурността от възложител обикновено засяга двата слоя едновременно, дори ако самият клиент не ги разделя поотделно. Органите на надзора и възложителите преглеждат при този вид въпроси дали съществува признаваем процес и дали този процес е документиран, не само намеренията зад него.
Какво можете да направите сега
Дали разработката на софтуер в ваш случай попада под NIS2, зависи от точната услуга, която предоставяте, размера на вашата организация и сектора, в който действат вашите клиенти. Не съществува еднозначен "да" или "не" за целия сектор, а окончателната оценка на вашата ситуация принадлежи на адвокат или орган на надзора, не на статия в блог.
Какво е възможно да се направи: да се определи в коя от трите позиции се намирате — сами обект на задължение, засегнати чрез клиент, или засега не засегнати — и от там да се определи кои въпроси можете да очаквате. Повече информация относно начина, по който се прави тази класификация и откъде идват използваните източници, можете да прочетете на страницата относно нашия метод. Ако желаете да направите тази първа класификация за собствения си бизнес, това може да се направи за няколко минути, без да е необходима регистрация. често задавани въпроси относно класификацията дават допълнителна представа как други разработчици на софтуер се справят със същия въпрос.