Възложител, който сам попада под Директива NIS2, не може да ограничи своята задължена грижа само на собствената организация. Това задължение се разпростира по цялата верига на доставки: възложителят трябва да оцени какви рискове носят с себе си доставчиците, и това се превежда в договорни изисквания. За металната и производствената промишленост често е въпрос не само за офис автоматизация, но и за машини, управляващи системи и производствени линии, които по един или друг начин са свързани с мрежата на възложителя или с интернет.
Най-често срещаните изисквания се отнасят до достъп, разделение на мрежите, политика на актуализиране и докладване на инциденти към самия възложител — независимо от законовото задължение за докладване, което важи само за задължени субекти. По-долу е описано кои разпоредби се срещат и какво практически означават за производствена среда.
Кои разпоредби се срещат в договора
Договорите, които се преглеждат след NIS2, обикновено содържат комбинация от задължения: правото да се изпращат периодично анкети, краен срок за докладване на инциденти, които засягат услугата към възложителя, задължение да се доказват приетите мерки за киберсигурност и понякога право на одит. Формулировката варира значително в зависимост от възложителя и сектора; не съществува стандартен текст, който да важи за всички договори. За по-ясна представа какво е разумно да се иска и какво не, помага да се консултира най-често задаваните въпроси относно това, което един закупуващ може да иска да се прочета.
Важно е да се прави разлика: възложителят поставя това изискване от собствена задължена грижа, не защото доставчикът сам попада под директивата. Производител на машини или доставчик в металната и производствената промишленост може да получи договорни изисквания, без да бъде сам съществен или важен субект. Дали това важи за конкретна връзка, зависи от сектора и размера на възложителя и от ролята, която доставчикът има в тази верига.
Какво това означава за производствени системи в мрежата
В металната и производствената промишленост комбинацията на ИТ (офис автоматизация) и ОТ (оперативна технология като CNC машини, PLC и производствени линии) е常回внимание в въпросите, които възложители задават. Машини, които са отдалечено достъпни за техническо обслужване, или които изпращат производствени данни към облачна среда, попадат под същото внимание като лаптоп в офиса.
Разделение между офис и производствена мрежа
Често повтарящ се въпрос е дали производствената мрежа е отделена от офис мрежата, и дали сривяване или заразяване на една мрежа може да се разпространи на другата. Това не е въпрос, който се отговаря с да или не само в една анкета; надзорни органи и възложители разглеждат при това фактическото устройство, а не декларация за намерения.
Отдалечен достъп за техническо обслужване
Много машини в металната и производствената промишленост се обслужват отдалечено от самия доставчик на машината, понякога чрез постоянна връзка, която е непрекъснато отворена. Договорни изисквания често се фокусират специално върху този аспект: кой има достъп, как се регистрира този достъп и може ли да бъде оттеглен всеки момент. Това засяга както доставчика, който построява машината, така и компанията, която я използва.
Какво възложители искат като доказателство
Наред с самия въпросник, възложителят често изисква някаква форма на обоснованост: политически документ, преглед на това кой има достъп до какви системи, или декларация за начина, по който се справят с актуализациите. Сертификат или одитен доклад могат да бъдат поискани, но сами по себе си не представляват законово задължение от NIS2 — това е избор на отделния възложител. За тези, които желаят да преценят как тези договорни изисквания се отнасят към собственото си положение в веригата на доставки, е полезно първо да преценят в няколко въпроса къде стои организацията им.
Какво могат да направят с това сами
Повечето изисквания, които се появяват в договорите за металургическата и производствената промишленост, са производни на десетте мерки за управление на риска от директивата: контрол на достъпа, сегментация на мрежата, регистрация на инцидентите и планове за възстановяване — всички те се появяват, но насочени към конкретния въпрос, който възложителят поставя. Преглед на ситуация и ситуация, включително теми, които са специфични за производствени среди, намирате в прегледа на темите по сектор и ситуация.
За точната формулировка на договор и за въпроса дали конкретно изискване е разумно в съотношение с отношенията, правната консултация остава препоръчаният път; в тази статия се описват модели, които се повтарят, а не отговорът на отделен договор. Повече информация за това откъде идва информацията на този сайт и как се поддържа намирате на страницата относно начина, по който следим източниците.
Желаете ли да видите бързо дали организацията ви е засегната чрез веригата на доставки и какъв следващ етап идва с това? Безплатната проверка на NIS2 дава първоначална посока в няколко въпроса, без да имате нужда от профилна сметка.