Objednávatel, který sám spadá pod směrnici NIS2, nesmí svou povinnost péče omezovat pouze na vlastní organizaci. Tato povinnost se rozprostírá po dodavatelském řetězci: objednávatel musí posoudit, jaká rizika přinášejí dodavatelé, a to se převádí do smluvních požadavků. V průmyslu kovů a výroby jde přitom často nejen o kancelářskou automatizaci, ale také o stroje, řídicí systémy a výrobní linky, které jsou nějakým způsobem připojeny k síti objednávajícího nebo k internetu.
Nejčastější požadavky se týkají přístupu, oddělení sítí, zásad aktualizací a hlášení incidentů objednávajícímu samotného — mimo zákonné oznamovací povinnosti, které platí pouze pro entit splňující povinnosti. Níže je popsáno, která ustanovení se v praxi vyskytují a co znamenají pro výrobní prostředí.
Která ustanovení se vyskytují v kontraktu
Smlouvy, které jsou po NIS2 revidovány, obvykle obsahují kombinaci povinností: právo odesílat periodicky dotazníky, lhůtu pro hlášení incidentů ovlivňujících služby poskytované objednávajícímu, povinnost prokázat bezpečnostní opatření a někdy právo provádět audit. Formulace se výrazně liší podle objednávajícího a odvětví; neexistuje standardní text platný pro všechny smlouvy. Pro jasnější obraz toho, co je rozumné požadovat a co ne, pomáhá nahlédnout do nejčastěji kladených otázek o tom, co si může objednávatel vyžádat .
Důležité je rozlišit: objednávatel to požaduje z vlastní povinnosti péče, ne protože dodavatel sám spadá pod směrnici. Výrobce strojů nebo dodavatel v průmyslu kovů a výroby se tedy může setkat se smluvními požadavky, aniž by sám byl zásadní nebo důležitý. Zda je to v konkrétním vztahu případem, závisí na odvětví a velikosti objednávajícího a na roli, kterou dodavatel v tomto řetězci hraje.
Co to znamená pro výrobní systémy připojené k síti
V průmyslu kovů a výroby je kombinace IT (kancelářské automatizace) a OT (operační technologie, jako jsou CNC stroje, PLC a výrobní linky) opakujícím se bodem pozornosti v dotazech, které objednávatelé kladou. Stroje, které jsou na dálku dostupné na údržbu, nebo které odesílají výrobní data do cloudového prostředí, spadají pod stejnou pozornost jako notebook v kanceláři.
Oddělení kancelářské a výrobní sítě
Opakující se otázka zní, zda je výrobní síť oddělena od kancelářské sítě a zda se porucha nebo infekce v jedné síti může rozšířit do druhé. To není otázka, která se v dotazníku odpovídá ano nebo ne; dozorující orgány a objednávatelé se přitom dívají na skutečné uspořádání, ne na prohlášení o záměru.
Vzdálený přístup pro údržbu
Mnoho strojů v průmyslu kovů a výroby je na dálku údržby samotným dodavatelem stroje, někdy přes stálé připojení, které je neustále otevřeno. Smluvní požadavky se často konkrétně týkají tohoto bodu: kdo má přístup, jak je přístup zaznamenán a lze jej kdykoliv odvolat. To se týká jak dodavatele, který stroj staví, tak podniku, který stroj používá.
Co si objednávatelé vyžadují jako důkaz
Kromě samotného dotazníku často zadavatelé požadují nějakou formu podložení: dokument o zásadách, přehled toho, kdo má přístup k jakým systémům, nebo prohlášení o tom, jak se postupuje s aktualizacemi. Certifikát nebo zpráva z auditu mohou být požadovány, ale samy o sobě nejsou právní povinností vyplývající z NIS2 — je to volba jednotlivého zadavatele. Těm, kteří chtějí ověřit, jak se smluvní požadavky vztahují k jejich vlastnímu postavení v dodavatelském řetězci, je vhodné nejdříve v několika otázkách zjistit, kde se vaše organizace nachází.
Co s tím můžete udělat sami
Většina požadavků, které se objevují v smlouvách pro metalurgický a strojírenský průmysl, je odvozena z deseti opatření pro péči o bezpečnost z směrnice: řízení přístupu, segmentace sítě, evidenci incidentů a plány obnovy se všechny vyskytují, ale jsou zaměřeny na otázku, kterou si zadavatel klade. Přehled podle situace, včetně témat specifických pro výrobní prostředí, je uveden v přehledu témat podle sektoru a situace.
Pro přesné formulování smlouvy a otázku, zda je konkrétní požadavek přiměřený ve vztahu ke vztahu, zůstává právní poradenství správnou cestou; tento článek popisuje vzory, které se opakují, nikoli odpověď na jednotlivou smlouvu. Více informací o tom, odkud informace na tomto webu pocházejí a jak se udržují, je na stránce o tom, jak sledujeme zdroje.
Chcete rychle vidět, zda se vaše organizace prostřednictvím dodavatelského řetězce dostane pod NIS2, a jaký je vhodný další krok? Bezplatná NIS2-kontrola vám v několika otázkách dá první orientaci, aniž byste potřebovali účet.