En ordregiver, der selv falder under NIS2-direktivet, må ikke begrænse sin risikostyringspligt til egen organisation. Denne pligt strækker sig over værdikæden: ordregiveren skal vurdere, hvilke risici leverandører medfører, og dette omsættes til kontraktuelle krav. For metal- og produktionsindustrien handler det ofte ikke blot om kontorautomatisering, men også om maskiner, styresystemer og produktionslinjer, der på en eller anden måde er forbundet med ordregiverens netværk eller med internettet.
De hyppigst forekommende krav vedrører adgang, netværksadskillelse, opdateringspolitik og indberetning af hændelser til ordregiveren selv — adskilt fra den lovpligtige indberetningspligt, som kun gælder for omfattede enheder. Nedenfor er beskrevet, hvilke bestemmelser der dukker op, og hvad de betyder i praksis for et produktionsmiljø.
Hvilke bestemmelser der dukker op i kontrakten
Kontrakter, der gennemgås efter NIS2, indeholder typisk en kombination af forpligtelser: ret til periodisk at sende spørgeskemaer, en indberetningsfrist for hændelser, der påvirker ordregiverens tjenesteydelses, en pligt til at dokumentere sikkerhedsforanstaltninger, og undertiden en revisionsret. Formuleringen varierer betydeligt afhængigt af ordregiver og sektor; der findes ingen standardtekst, der gælder for alle kontrakter. For et mere præcist billede af, hvad der er rimeligt at spørge om, kan det hjælpe at høre de hyppigst stillede spørgsmål om, hvad en køber må spørge om at se.
Vigtig skelnen: ordregiveren stiller dette krav ud fra egen risikostyringspligt, ikke fordi leverandøren selv falder under direktivet. En maskinfabrikant eller leverandør i metal- og produktionsindustrien kan således få kontraktuelle krav uden selv at være omfattet eller vigtig. Hvorvidt det gælder for et specifikt forhold, afhænger af ordregiverens sektor og størrelse samt leverandørens rolle i værdikæden.
Hvad det betyder for produktionssystemer på netværket
I metal- og produktionsindustrien er kombinationen af IT (kontorautomatisering) og OT (operationel teknologi såsom CNC-maskiner, PLC'er og produktionslinjer) et gentagende fokuspunkt i de spørgsmål, som ordregivere stiller. Maskiner, der er tilgængelige på afstand til vedligeholdelse, eller som sender produktionsdata til en cloudmiljø, falder under samme fokus som en bærbar computer på kontoret.
Adskillelse mellem kontornetværk og produktionsnetværk
Et gentagende spørgsmål er, om produktionsnetværket er adskilt fra kontornetværket, og om en fejl eller infektion på det ene netværk kan sprede sig til det andet. Dette besvares ikke blot med ja eller nej i et spørgeskema; tilsynsmyndigheder og ordregivere kigger på den faktiske indretning, ikke på en hensigterklæring.
Fjernadgang til vedligeholdelse
Mange maskiner i metal- og produktionsindustrien vedligeholdes på afstand af maskineleverandøren selv, undertiden via en permanent forbindelse, der er åben hele tiden. Kontraktuelle krav retter sig ofte specifikt på dette punkt: hvem har adgang, hvordan logges adgangen, og kan den tilbagekaldes på ethvert tidspunkt. Dette vedrører både leverandøren, der bygger maskinen, og den virksomhed, der bruger maskinen.
Hvad ordregivere spørger efter som bevis
Ud for selve spørgeskemaet spørger en ordregiver ofte om en form for dokumentation: et politikdokument, en oversigt over, hvem der har adgang til hvilke systemer, eller en erklæring om, hvordan opdateringer håndteres. Et certifikat eller revisionsrapport kan blive spurgt efter, men er i sig selv ikke et lovkrav i henhold til NIS2 — det er et valg for den enkelte ordregiver. For dem, der ønsker at undersøge, hvordan disse kontraktuelle krav forholder sig til deres egen position i værdikæden, er det nyttigt først at undersøge i et par spørgsmål, hvor jeres organisation befinder sig.
Hvad I selv kan gøre ved det
De fleste krav, der går igen i kontrakter for metal- og fremstillingsindustrien, er en udledning af de ti risikostyringsforanstaltninger fra direktivet: adgangskontrol, netværkssegmentering, hændelsesregistrering og genoprettelsesplaner optræder alle igen, men så rettet mod det spørgsmål, ordregiveren stiller. En oversigt pr. situation, herunder de emner, der specifikt gælder for produktionsmiljøer, findes i oversigten over emner pr. sektor og situation.
For den præcise formulering af en kontrakt, og for spørgsmålet om, hvorvidt et specifikt krav er rimeligt i forhold til relationen, forbliver juridisk rådgivning det rigtige sted at søge; denne artikel beskriver de mønstre, der går igen, ikke svaret på en individuel kontrakt. Mere om, hvor informationen på dette websted kommer fra, og hvordan den opdateres, findes på siden om, hvordan vi vedligeholder kilder.
Vil I hurtigt se, om jeres organisation bliver påvirket via værdikæden, og hvilken næste trin der hører til? Den gratis NIS2-check giver en første retning for det i et par spørgsmål, uden at I skal have en konto.