Falder softwareudvikling ind under NIS2?
Softwareudvikling som aktivitet er ikke nævnt ordret i bilagene til NIS2-direktivet. Der findes ingen sektor, der hedder "softwarebyghere". Det, der findes, er beslægtede kategorier: cloud computing og cloud-tjenester falder under digital infrastruktur, og administrerede IKT-tjenester og administrerede sikkerhedstjenester falder under IKT-tjenesteudbydelse. Hvis du udvikler specialudviklet software til kunder uden selv at levere en cloud-tjeneste eller administreret tjeneste, er der stor sandsynlighed for, at du ikke direkte falder under direktivet.
Det betyder ikke, at softwareudvikling bliver ignoreret. Tre ting bestemmer sammen, hvor du står: den præcise art af det, du leverer (sektor), størrelsen på din organisation, og spørgsmålet om, hvorvidt dine kunder selv er omfattet. Det sidste påvirker i praksis mange flere udviklingsfirmaer end det første.
Sektor: hvad bilagene nævner og ikke nævner
Direktivet skelner mellem væsentlige sektorer (bilag I) og vigtige sektorer (bilag II). Digital infrastruktur og IKT-tjenesteudbydelse er opført i bilag I, og sidstnævnte kategori vedrører specifikt parter, der administrerer eller overvåger andres IKT-miljø — tænk på administrerede serviceudbydere. Hvis du leverer et SaaS-produkt, hvor du administrerer infrastrukturen for kunder, eller hvis du ud over din software også tilbyder administration, overvågning eller hosting, bevæger du dig i retning af denne kategori. Hvis du kun leverer en applikation, som kunden selv administrerer og hoster, er det anderledes.
Klassificeringen drejer sig mindre om, hvad du kalder dig selv, og mere om, hvad du faktisk gør for kunden. To firmaer, der begge kalder sig "softwareudviklere", kan derfor få forskellige resultater, når først den ene af dem også påtager sig administrationen. En struktureret vurdering ud fra sektor, størrelse og ketneposition giver hurtigere klarhed over dette end en løs samtale om tjeklister. få klarhed over, hvor dit firma står på få spørgsmål
Størrelse: grænsen gælder også, hvis sektoren passer
Selv hvis din aktivitet falder inden for en nævnt kategori, gælder der størrelsesgrænser: direktivet skelner mellem mellemstore og store virksomheder med et forskelligt resultat for mindre organisationer. Et lille udviklingsteam, der tilfældigvis også tilbyder hosting, falder derfor ikke automatisk i samme kategori som en stor cloud-serviceudbyder. De præcise grænser og undtagelser fra disse er indeholdt i direktivet og den nationale gennemførelse; dette er ikke noget, du bør træffe beslutning om baseret på en tommelfingerregel.
Kædeposition: påvirket uden selv at være omfattet
Her ligger den praktiske side af historien for de fleste softwarefirmaer. Pligten til at udøve omhu (artikel 21) forpligter væsentlige og vigtige enheder til også at vurdere sikkerheden hos deres leverandører. Hvis du udvikler software til et hospital, et energiselskab eller en kommune, er der stor sandsynlighed for, at denne kunde sender dig et sikkerhedsspørgeskema om din udviklerproces — uanset om du selv er omfattet af direktivet.
Disse spørgeskemaer handler sjældent om abstrakte politiske principper. De spørger konkret om, hvordan du finder og afhjælper sårbarheder, hvordan rettelser når frem til kunden, og hvem inden for dit firma har adgang til kildekoden og produktionsmiljøet. Når nogen får sådanne spørgsmål for første gang, opleves det ofte som en overraskelse, der sætter kontrakten under pres; med et fast svar-sæt går det anden gang betydeligt hurtigere. de emner, der er valgt ud for hver situation
To lag sikkerhed: produktet og udviklingspipelinen
Ved softwareudvikling løber to spørgsmål sammen, og det er nyttigt at holde dem adskilt. Det første handler om, hvad I bygger: findes der en proces til at opdage og løse sårbarheder i koden, vedligeholdes afhængigheder og biblioteker, og hvor hurtigt når en sikkerhedsopdatering kunden? Det andet handler om, hvordan I bygger: hvem har adgang til kodeopbevaringspladsen, hvordan er CI/CD-pipelinen sikret, og hvem må faktisk implementere til produktion?
En sikkerhedsspørgeskema fra en ordregiver berører sædvanligvis begge lag samtidigt, selv hvis kunden ikke selv adskiller disse to. Tilsynsmyndigheder og ordregivere ser på sådanne spørgsmål, om der findes en genkendelig proces, og om den proces er dokumenteret, ikke kun på hensigten bag den.
Hvad I kan gøre nu
Om softwareudvikling i jeres tilfælde falder under NIS2, afhænger af den præcise tjeneste, I leverer, størrelsen på jeres organisation og den sektor, hvor jeres kunder er aktive. Der findes ingen entydig "ja" eller "nej" for hele branchen, og den endelige vurdering af jeres situation hører hjemme hos en jurist eller hos tilsynsmyndigheden, ikke i en blogpost.
Hvad der derimod kan gøres: at kontrollere, hvilken af de tre positioner I befinder jer i — selv omfattet af forpligtelser, påvirket via en kunde, eller foreløbigt ikke påvirket — og ud fra det bestemme, hvilke spørgsmål I kan forvente. Mere om, hvordan denne inddeling kommer i stand, og hvor de anvendte kilder kommer fra, kan I læse på siden om arbejdsmetoden. Hvis I vil foretage denne første inddeling for jeres eget firma, kan det gøres på få minutter uden behov for en konto. de hyppigst stillede spørgsmål om inddelingen giver et supplerende billede af, hvordan andre softwareudviklingsfirmaer møder det samme spørgsmål.