Hvilke spørgsmål modtager en softwarevirksomhed på en NIS2-spørgeskema?
Hvis du bygger software for en ordregiver, der selv falder under Direktiv (EU) 2022/2555 — eller under Cyberbeveiligingswet i Holland — får du næsten helt sikkert et sikkerhedsspørgeskema. Spørgsmålene heri handler altid om to ting ved softwareudvikling: sikkerheden for det, du leverer, og sikkerheden for det miljø, hvori du gør det. Det andet punkt adskiller disse spørgeskemaer fra dem for for eksempel en installationsfirma eller en facilitetsudbiyder.
Kernen er altid den samme: kan nogen gennem din kildekode, dit byggemilje eller din konto hos en pakkehåndterer få adgang til din ordregivers system, og hvad gør du for at forhindre det eller opdage det hurtigt. Hvem der kan besvare disse to spørgsmål, er for det meste af listen allerede klar.
Hvorfor software er en særlig kategori
For de fleste leverandører ser en ordregiver på, hvad der sker í virksomheden: hvem har adgang til hvilke systemer, hvordan tester du en sikkerhedskopi. For en softwareleverandør kommer der et lag til, nemlig hvad du sender frá din virksomhed til den ordre givers. Det kan være en opdatering, en API-forbindelse eller kode, der kører direkte i deres miljø. Derfor stiller en ordregiver dybere spørgsmål her end ved en leverandør, der kun bruger kontorautomatisering.
Spørgsmål om produktet: hvad du leverer
En stor del af spørgeskemaet handler om selve softwaren. Bruger du eksterne biblioteker og komponenter, og holder du styr på hvilke det er — ofte kaldet en oversigt over softwarekomponenter. Hvordan håndterer du en sårbarhed, der opdages i sådan en komponent, og inden for hvilken frist udsender du derefter en opdatering. Bliver kode vurderet af en anden person, før den går live. Tester du for kendt svage punkter, før du leverer, og hvem gør det.
Nedenunder er der ofte endnu et spørgsmål om indberetninger: hvis nogen uden for din virksomhed opdager en sårbarhed i din software, er der så en måde at rapportere det til dig på, og hvad sker der med sådan en indberetning. Det er ingen juridisk forpligtelse, der følger af Direktiv (EU) 2022/2555 selv for dig som leverandør, men ordregiver spørger praktisk talt efter det, fordi de skal kunne underbygge det over for deres egen tilsynsmyndighed.
Spørgsmål om udviklingskæden: hvordan du bygger
Det andet blok handler om det miljø, hvori softwaren opbygges. Hvem har adgang til kildekoden, og er den adgang personlig eller delt. Er der godkendelse i flere trin på det miljø, hvori der bygges og leveres. Bliver en ændring automatisk testet, før den går til produktion, og kan nogen omgå det trin. Hvem administrerer de nøgler og certifikater, som softwaren signeres med, og hvor ligger de opbevaret.
Også ret fast tilbagevendende: hvordan håndterer du bærbare computere og konti for udvikler, der arbejder med dette miljø, især hvis de arbejder eksternt. Og: gemmer du logge over hvem der har ændret hvad i koden eller pipeline'en, og hvor længe. Sidstnævnte er forbundet med, hvad der i bredere forstand kaldes incidentregistrering, men så tilpasset udviklingskæden selv.
Hvad en ordregiver må og ikke må spørge om
Listen må gå ind på sikkerheden for dit produkt og din udviklingsproces i det omfang, det påvirker ordegiverens risiko. Spørgsmål om din fuldstændige interne organisation, din personaleledelsespolitik uden for denne sammenhæng eller dele af din virksomhed, der ikke har noget med den leverede software at gøre, falder uden for. Hvor denne grænse præcis ligger, varierer efter kontrakt og sektor, og det er noget at blive enig om i samtalen med ordregiver, ikke noget at lade stå i stilhed.
Hvordan du opbygger dette rigtigt én gang
De fleste af disse spørgsmål er ikke øjebliksbilleder, men et fast sæt, der dukker op hos næsten enhver opdrachtgiver, blot med en lidt anden formulering. Hvis du dokumenterer svarene én gang pr. foranstaltning — med en bevisfil og en ansvarlig — behøver du kun at kopiere og tilpasse dem ved næste spørgeskema. et par spørgsmål, der viser, om og hvordan du bliver berørt kan du først se, hvor du står, og i oversigten pr. emne finder du udarbejdelsen af enkelte foranstaltninger som adgangskontrol og hændelsesregistrering. Hvis du er i tvivl om et specifikt spørgsmål på en liste, du modtog, giver listen med hyppigt stillede spørgsmål ofte allerede en første retning, og en forklaring på, hvor vores oplysninger kommer fra viser, hvordan vi holder styr på kilder.
Hvis du først gerne selv vil kontrollere, om og hvordan dit selskab er berørt, skal du foretage den gratis hurtigscan eller gennemse videnbasen. Begge kan konsulteres uden konto og giver en indledende, faktisk indikation — ingen vurdering af din specifikke situation, for hvilket du ved tvivl altid kan kontakte en juridisk rådgiver eller den tilsynsmyndighed, der er kompetent for din sektor.