Zadavatel podléhající povinnosti péče podle NIS2 musí být schopen prokázat, že zná rizika ve své vlastní dodavatelské síti. Software, který pro tohoto zadavatele budujete, je součástí této sítě. V praxi se to promítá do smluvních požadavků, které se zaměřují na dvě věci zároveň: produkt, který dodáváte, a způsob, jakým jej vyrábíte. Oboje se objevují v textu dohody, často jako příloha obchodní smlouvy.
Podstata je jednoduchá na zapamatování: zadavatel se nejednoduše ptá, zda software funguje, ale také zda můžete prokázat, jak zůstane bezpečný, kdo k němu má přístup a co se stane, když se něco pokazí. To je posun oproti dřívějšku, kdy byly funkčnost a doba dodání často jediným tématem rozhovoru.
Požadavky na produkt, který dodáváte
Nejčastějším smluvním požadavkem je složení samotného software. Zadavatelé stále více požadují přehled používaných knihoven a komponent s otevřeným zdrojovým kódem, tzv. software bill of materials. Důvodem je, že zranitelnost v základní komponentě je stejně velkým rizikem jako chyba ve vašem vlastním kódu, a zadavatel chce tato rizika vidět bez nutnosti čtení zdrojového kódu.
Mimo to se objevují požadavky na to, jak jsou zranitelnosti v software odhaleny a odstraněny a v jaké lhůtě. To může zahrnovat automatizované skenování známých slabin, pevný postup pro opravy nebo otázku, kdo může hlásit zranitelnost a kam by měla jít. U stávajícího software se někdy ptají také na dobu podpory: jak dlouho zůstává verze zásobena bezpečnostními aktualizacemi.
Požadavky na vaši vlastní vývojářskou linku
Druhá skupina požadavků se nezaměřuje na produkt, ale na proces, kterým se vytváří: vývojářská linka. Myslite na to, kdo má přístup ke zdrojovému kódu a prostředí, ve kterém se builduje a testuje, jak se změny kontrolují předtím, než se spustí v provozu, a zda existuje rozdělení mezi testovacím, akceptačním a produkčním prostředím. Použití vícefaktorového ověřování pro vývojáře, kteří mají přístup ke zdrojovému kódu nebo systémům build, se také objevuje v smlouvách, stejně jako otázka, kdo spravuje klíče a přihlašovací údaje, které patří k nasazení software.
Někteří zadavatelé se ptají také na původ software, který sami používáte pro vývoj: kompilátor, build-nástroje, balíčky, které se načítají během buildu. To navazuje na širší vědomí toho, že útok nemusí probíhat pouze prostřednictvím konečného produktu, ale také prostřednictvím továrny, ve které se vytváří.
Proč jsou tyto požadavky právě takto formulovány
Povinnost péče, která je základem všeho, zavazuje podléhající organizaci posoudit a kontrolovat rizika ve své vlastní dodavatelské síti. Jak se to přesně provádí, se liší v každé zemi v národním zákoně, který je založen na evropní směrnici, a v každém sektoru, ve kterém zadavatel působí. To, co je v jedné smlouvě pevným požadavkem, se v jiné smlouvě stále objevuje jako nepovinná otázka. Chcete-li vědět, jak je tato povinnost v jádru vytvořena, přečtěte si ji v vysvětlení každé povinnosti v naší znalostní bázi.
Důležité si pamatovat: tyto požadavky určuje zadavatel, protože sám podléhá dohledu, nikoli proto, že software společnosti jako takové podléhají směrnici. To, zda a jak přísně se to ve vašem případě provádí, závisí na sektoru a rozsahu tohoto konkrétního zadavatele. Pro vaši vlastní situaci je text národního zákona nebo porada právníka vhodným výchozím bodem, nikoli obecný odhad.
Co to znamená pro vaši přípravu
Většina těchto požadavků lze se základní přípravou dobře zodpovědět a odpověď, kterou si jednou připravíte, můžete opakovaně použít u dalšího objednavatele. Seznam použitých komponent, stručný popis vaší správy přístupu a pevný postup pro aktualizace nejsou dokumenty, které byste museli pro každou smlouvu znovu vymýšlet.
Chcete-li nejprve vidět, zda a jak to vaši společnost ovlivňuje, pak vám to ukáží kontrola, která v několika otázkách určuje vaši pozici v dodavatelském řetězci první směr, aniž byste k tomu potřebovali účet. Jak objednávajícím konkrétně formulují požadavky a jakým způsobem vám při tom pomáháme, se dozvíte více na stránce s často kladenými otázkami nebo si prohlédněte, jak podkládáme informace na platformě.
Bezplatná znalostní báze a kontrola vám poskytnou první přehled bez závazků. Pokud chcete následně smluvní požadavky skutečně převést do průběžného dossiera s důkazními materiály a hotovými odpověďmi na dotazníky, pak je to ten správný moment, abyste si prohlédli, co vám předplatné přidává.