Fällt Softwareentwicklung unter NIS2?
Softwareentwicklung als Aktivität wird in den Anhängen der NIS2-Richtlinie nicht ausdrücklich genannt. Es gibt keinen Sektor, der "Softwarehersteller" heißt. Was es gibt, sind verwandte Kategorien: Cloud Computing und Cloud-Dienste fallen unter digitale Infrastruktur, und verwaltete IKT-Dienste sowie verwaltete Sicherheitsdienste fallen unter IKT-Dienstleistungen. Wenn Sie Individualsoftware für Kunden entwickeln, ohne selbst einen Cloud-Dienst oder verwalteten Dienst zu erbringen, ist die Wahrscheinlichkeit groß, dass Sie nicht unmittelbar unter die Richtlinie fallen.
Das bedeutet nicht, dass Softwareentwicklung aus dem Blick verschwindet. Drei Dinge bestimmen zusammen Ihre Position: die genaue Art der Leistungen, die Sie erbringen (Sektor), die Größe Ihrer Organisation und die Frage, ob Ihre Kunden selbst einer Verpflichtung unterliegen. Im praktischen Sinne trifft letzteres deutlich mehr Entwicklungsunternehmen als ersteres.
Sektor: was die Anhänge vorsehen und nicht vorsehen
Die Richtlinie unterscheidet zwischen kritischen Sektoren (Anhang I) und wichtigen Sektoren (Anhang II). Digitale Infrastruktur und IKT-Dienstleistungen sind in Anhang I aufgeführt, und letztere Kategorie bezieht sich speziell auf Anbieter, die die IKT-Umgebung anderer verwalten oder überwachen — denken Sie an Managed Service Provider. Wenn Sie ein SaaS-Produkt anbieten, bei dem Sie die Infrastruktur für Kunden verwalten, oder wenn Sie neben Ihrer Software auch Verwaltung, Überwachung oder Hosting anbieten, rücken Sie in diese Kategorie. Wenn Sie nur eine Anwendung bereitstellen, die der Kunde selbst verwaltet und hostet, ist das anders.
Die Kategorisierung hängt weniger davon ab, wie Sie sich selbst nennen, und mehr davon ab, was Sie für den Kunden tatsächlich tun. Zwei Unternehmen, die sich beide "Softwareentwickler" nennen, können unterschiedliche Ergebnisse haben, sobald eines von beiden auch die Verwaltung übernimmt. Ein strukturierter Test anhand von Sektor, Größe und Kettenposition gibt schneller Klarheit als ein lockeres Gespräch über Checklistenpunkte. in wenigen Fragen herausfinden, wo Ihr Unternehmen steht
Größe: die Schwelle gilt auch wenn der Sektor passt
Selbst wenn Ihre Aktivität in eine genannte Kategorie fällt, gelten Größenschwellen: die Richtlinie unterscheidet zwischen mittleren und großen Unternehmen, mit unterschiedlichen Ergebnissen für kleinere Organisationen. Ein kleines Entwicklungsteam, das zufällig auch Hosting anbietet, fällt dadurch nicht automatisch in die gleiche Kategorie wie ein großer Cloud-Dienstanbieter. Die genauen Grenzen und Ausnahmen stehen in der Richtlinie und ihrer nationalen Umsetzung; das ist nichts, worüber Sie sich auf der Grundlage einer Faustregel entscheiden sollten.
Kettenposition: betroffen ohne selbst verpflichtet zu sein
Hier sitzt für die meisten Softwareunternehmen die praktische Seite der Geschichte. Die Sorgfaltspflicht (Artikel 21) verpflichtet kritische und wichtige Einrichtungen auch die Sicherheit ihrer Lieferanten zu bewerten. Wenn Sie Software für ein Krankenhaus, ein Energieunternehmen oder eine Gemeinde entwickeln, ist die Wahrscheinlichkeit groß, dass dieser Kunde Ihnen einen Cybersicherheit-Fragebogen über Ihren Entwicklungsprozess sendet — unabhängig von der Frage, ob Sie selbst unter die Richtlinie fallen.
Diese Fragebögen befassen sich selten mit abstrakten Grundsätzen. Sie fragen konkret, wie Sie Sicherheitslücken aufdecken und beheben, wie Patches beim Kunden ankommen, und wer in Ihrem Unternehmen Zugang zum Quellcode und zur Produktionsumgebung hat. Wenn Sie solche Fragen zum ersten Mal bekommen, erleben Sie das oft als Überraschung, die den Vertrag unter Druck setzt; mit einem festen Antwortsatz geht das beim zweiten Mal deutlich schneller. die Themen, die für jede Situation ausgewählt sind
Zwei Sicherheitsebenen: das Produkt und die Entwicklungs-Pipeline
Bei der Softwareentwicklung laufen zwei Fragen durcheinander, und es ist hilfreich, sie getrennt zu betrachten. Die erste betrifft das, was Sie entwickeln: Gibt es ein Verfahren zur Erkennung und Behebung von Schwachstellen im Code, werden Abhängigkeiten und Bibliotheken gepflegt, und wie schnell erreicht ein Sicherheitsupdate den Kunden? Die zweite betrifft das Wie der Entwicklung: Wer hat Zugang zum Quellcode-Repository, wie ist die CI/CD-Pipeline geschützt, und wer darf tatsächlich in die Produktion deployen?
Ein Sicherheitsfragebogen eines Auftraggebers betrifft normalerweise beide Ebenen gleichzeitig, auch wenn der Auftraggeber diese zwei selbst nicht getrennt benennt. Aufsichtsbehörden und Auftraggeber prüfen bei solchen Fragen, ob ein erkennbares Verfahren vorhanden ist und ob dieses Verfahren dokumentiert ist, nicht nur die dahinter stehende Absicht.
Was Sie jetzt tun können
Ob Softwareentwicklung in Ihrem Fall unter die NIS2-Richtlinie fällt, hängt also von der genauen Dienstleistung ab, die Sie erbringen, von der Größe Ihrer Organisation und vom Sektor, in dem Ihre Kunden tätig sind. Eine eindeutige "Ja"- oder "Nein"-Antwort für die gesamte Branche gibt es nicht, und die abschließende Bewertung Ihrer Situation gehört zu einem Juristen oder zur Aufsichtsbehörde, nicht zu einem Blogartikel.
Was sehr wohl zu tun ist: prüfen, in welcher der drei Positionen Sie sich befinden — selbst verpflichtet, über einen Kunden betroffen, oder bislang nicht betroffen — und von dort aus bestimmen, welche Fragen Sie erwarten können. Mehr darüber, wie diese Einteilung zustande kommt und woher die verwendeten Quellen stammen, lesen Sie auf die Seite zur Vorgehensweise. Wenn Sie diese erste Einstufung für Ihr eigenes Unternehmen erstellen möchten, ist dies in wenigen Minuten erledigt, ohne dass dafür ein Konto erforderlich ist. die häufig gestellten Fragen zur Einstufung geben ein zusätzliches Bild davon, wie andere Softwareentwicklungsunternehmen auf dieselbe Frage stoßen.