Spadá vývoj softwaru pod NIS2?
Vývoj softwaru jako činnost není konkrétně uveden v přílohách směrnice NIS2. Neexistuje sektor nazvaný "výrobci softwaru". Co zde však je, jsou související kategorie: cloud computing a cloudové služby spadají pod digitální infrastrukturu a spravované ICT služby a spravované bezpečnostní služby spadají pod ICT služby. Pokud vyvíjíte software na míru pro klienty bez toho, abyste sami poskytovali cloudové služby nebo spravované služby, je velmi pravděpodobné, že na vás directiva přímo neplatí.
To však neznamená, že vývoj softwaru zůstane skryt. Tři faktory dohromady určují vaši pozici: přesná povaha toho, co poskytujete (sektor), velikost vaší organizace a otázka, zda jsou vaši klienti sami povinni. V praxi se to dotýká mnohem více vývojových společností než první faktor.
Sektor: co přílohy obsahují a neobsahují
Směrnice rozlišuje mezi základními sektory (příloha I) a důležitými sektory (příloha II). Digitální infrastruktura a ICT služby jsou v příloze I a ta druhá kategorie se konkrétně týká stran, které spravují nebo monitorují ICT prostředí ostatních — myslíme tím poskytovatele spravovaných služeb. Pokud poskytujete SaaS produkt, kdy spravujete infrastrukturu pro klienty, nebo pokud nabízíte svůj software spolu se správou, monitoringem nebo hostingem, přibližujete se k této kategorii. Pokud poskytujete pouze aplikaci, kterou klient spravuje a hostuje sám, je to jinak.
Klasifikace se více týká toho, co ve skutečnosti pro klienta děláte, a méně toho, jak sami sebe nazýváte. Dvě společnosti, které se obě nazývají "vývojář softwaru", mohou mít různé výsledky, jakmile si jedna z nich vezme správu na sebe. Strukturovaný test přes sektor, velikost a pozici v dodavatelském řetězci poskytuje rychlejší jasnost než volný rozhovor o seznamech kontrol. v několika otázkách zjistit, kde vaše společnost stojí
Velikost: práh se uplatňuje i když sektor odpovídá
Pokud vaše činnost spadá do uvedené kategorie, uplatňují se práhy velikosti: směrnice rozlišuje mezi středními a velkými podniky s různými výsledky pro menší organizace. Malý vývojový tým, který náhodou také nabízí hosting, tím pádem automaticky nespadá do stejné kategorie jako velký poskytovatel cloudových služeb. Přesné limity a výjimky na ně se nacházejí v direktivě a národní implementaci; nejde o věc, kterou byste měli rozhodovat na základě obecného pravidla.
Pozice v dodavatelském řetězci: postižení bez vlastní povinnosti
U většiny softwarových společností zde leží praktická stránka příběhu. Povinnost péče (článek 21) zavazuje základní a důležité subjekty také posuzovat bezpečnost svých dodavatelů. Pokud vyvíjíte software pro nemocnici, energetickou společnost nebo obec, je velmi pravděpodobné, že vám tento klient pošle seznam otázek k bezpečnosti týkajících se vašeho vývojového procesu — bez ohledu na otázku, zda na vás directiva přímo platí.
Tyto seznamy se zřídka ptají na abstraktní principy politiky. Konkrétně se ptají, jak se snažíte najít a opravit zranitelnosti, jak se záplaty dostávají k vašemu klientovi a kdo má přístup ke zdrojovému kódu a produkčnímu prostředí ve vaší společnosti. Kdo takové otázky dostane poprvé, často to cítí jako překvapení, které ohrožuje smlouvu; s pevnou sadou odpovědí to jde druhý krát značně rychleji. témata vybraná pro každou situaci
Dvě vrstvy bezpečnosti: produkt a vývojová linka
Při vývoji softwaru se prolínají dvě otázky, a je užitečné je od sebe oddělit. První se týká toho, co budujete: existuje proces pro zjišťování a řešení zranitelností v kódu, jsou vedeny přehledy závislostí a knihoven a jak rychle se bezpečnostní aktualizace dostanou k zákazníkovi? Druhá se týká toho, jak budujete: kdo má přístup do úložiště zdrojového kódu, jak je zabezpečen CI/CD kanál a kdo má oprávnění skutečně nasazovat do produkce?
Bezpečnostní dotazník od zadavatele se obvykle dotýká obou vrstev současně, i když si zadavatel sám tuto rozdílnost nemusí plně uvědomovat. Regulátoři a zadavatelé si při takových otázkách ověřují, zda existuje rozpoznatelný proces a zda je tento proces zdokumentován, ne jen úmysl za ním stojící.
Co lze udělat nyní
To, zda se vývoj softwaru ve vašem případě vztahuje na NIS2, závisí na přesné povaze služby, kterou poskytujete, velikosti vaší organizace a sektoru, ve kterém vaši zákazníci působí. Jednoznačné "ano" nebo "ne" pro celý obor neexistuje a konečné posouzení vaší situace přísluší právnímu poradci nebo regulátorovi, ne článku na blogu.
Co lze udělat, je ověřit si, v jaké ze tří pozic se nacházíte — sami podléhající povinnosti, dotčeni prostřednictvím klienta, nebo zatím nedotčeni — a odtud určit, jaké otázky můžete očekávat. Více o tom, jak tato kategorizace vzniká a odkud pocházejí použité zdroje, naleznete na stránce o našem postupu. Chcete-li si udělat tuto první kategorizaci pro vaši vlastní společnost, lze to zvládnout v několika minutách, bez potřeby účtu. nejčastěji kladené otázky k kategorizaci poskytují doplňující pohled na to, jak se ostatní vývojářské společnosti potýkají se stejnou otázkou.