Welche Fragen erhält ein Softwareunternehmen in einer NIS2-Frageliste?
Wenn Sie Software für einen Auftraggeber erstellen, der selbst unter die NIS2-Richtlinie fällt — oder unter das Cybersicherheitsgesetz in den Niederlanden — erhalten Sie mit großer Sicherheit eine Sicherheitsfrageliste. Die Fragen darin gehen bei der Softwareentwicklung immer um zwei Dinge: die Sicherheit von dem, was Sie abliefern, und die Sicherheit der Umgebung, in der Sie das tun. Dieser zweite Punkt unterscheidet diese Fragelisten von denen für beispielsweise ein Installationsunternehmen oder einen Facilitydienstleister.
Der Kern ist immer derselbe: Kann jemand über Ihren Quellcode, Ihre Umgebung oder Ihr Konto bei einem Paketmanager auf das System des Auftraggebers zugreifen, und was tun Sie, um das zu verhindern oder schnell zu erkennen. Wer diese zwei Fragen beantworten kann, ist für den größten Teil der Liste bereits fertig.
Warum Software eine eigene Kategorie ist
Bei den meisten Lieferanten schaut ein Auftraggeber darauf, was in Ihrem Unternehmen passiert: Wer hat Zugriff auf welche Systeme, wie testen Sie ein Backup. Bei einem Softwarelieferanten kommt eine Ebene hinzu, nämlich das, was Sie von Ihrem Unternehmen zu dem des Auftraggebers bringen. Das kann ein Update sein, eine API-Verbindung oder Code, der direkt in ihrer Umgebung läuft. Darum fragt ein Auftraggeber hier tiefer nach als bei einem Lieferanten, der nur Büroautomation nutzt.
Fragen zum Produkt: was Sie abliefern
Ein großer Teil der Frageliste befasst sich mit der Software selbst. Verwenden Sie externe Bibliotheken und Komponenten, und führen Sie darüber Buch, welche das sind — oft als eine Übersicht der Softwarekomponenten bezeichnet. Wie gehen Sie damit um, wenn in einem solchen Komponenten eine Schwachstelle entdeckt wird, und in welchem Zeitrahmen veröffentlichen Sie dann ein Update. Wird der Code von einer zweiten Person überprüft, bevor er live geht. Testen Sie auf bekannte Schwachstellen, bevor Sie abliefern, und wer macht das.
Darunter findet sich oft noch eine Frage zu Meldungen: Wenn jemand außerhalb Ihres Unternehmens eine Schwachstelle in Ihrer Software entdeckt, gibt es dann eine Möglichkeit, das bei Ihnen zu melden, und was geschieht mit einer solchen Meldung. Das ist keine rechtliche Verpflichtung, die sich aus der NIS2-Richtlinie selbst für Sie als Lieferant ergibt, aber Auftraggeber fragen in der Praxis danach, weil sie dies vor ihrem eigenen Regulator nachweisen müssen.
Fragen zur Entwicklungsumgebung: wie Sie bauen
Der zweite Block befasst sich mit der Umgebung, in der die Software entsteht. Wer hat Zugriff auf den Quellcode, und ist dieser Zugriff personengebunden oder gemeinsam genutzt. Ist eine mehrstufige Authentifizierung in der Umgebung aktiv, in der gebaut und ausgeliefert wird. Wird eine Änderung automatisch getestet, bevor sie in die Produktion geht, und kann jemand diesen Schritt umgehen. Wer verwaltet die Schlüssel und Zertifikate, mit denen Software signiert wird, und wo werden diese gespeichert.
Auch ziemlich standardmäßig wiederkehrend: Wie gehen Sie mit den Laptops und Konten von Entwicklern um, die mit dieser Umgebung arbeiten, besonders wenn diese remote arbeiten. Und: Speichern Sie Protokolle darüber, wer was im Code oder in der Pipeline geändert hat, und wie lange. Letzteres schließt an das an, was im weiteren Sinne Incident Logging heißt, aber dann bezogen auf die Entwicklungsumgebung selbst.
Was ein Auftraggeber hier fragen darf und nicht darf
Die Liste darf sich mit der Sicherheit Ihres Produkts und Ihres Entwicklungsprozesses befassen, soweit diese das Risiko des Auftraggebers betreffen. Fragen zu Ihrer gesamten internen Organisation, Ihrer Personalpolitik losgelöst von diesem Kontext oder zu Teilen Ihres Unternehmens, die nichts mit der abgelieferten Software zu tun haben, fallen nicht darunter. Wo diese Grenze genau verläuft, unterscheidet sich je nach Vertrag und Sektor, und das ist etwas, das man im Gespräch mit dem Auftraggeber klären sollte, nicht etwas, das man stillschweigend übergehen sollte.
Wie Sie dies einmalig richtig aufbauen
Die meisten dieser Fragen sind keine Momentaufnahme, sondern ein fester Bestand, der bei fast jedem Auftraggeber wiederkehrt — nur jeweils anders formuliert. Wer die Antworten einmal pro Maßnahme dokumentiert — mit einem Beweismittel und einem Verantwortlichen — kann sie bei der nächsten Frageliste einfach kopieren und anpassen. Mit einigen wenigen Fragen, die zeigen, ob und wie Sie betroffen sind sehen Sie zunächst, wo Sie stehen, und in der Übersicht pro Thema finden Sie die Ausarbeitung einzelner Maßnahmen wie Zugriffskontrolle und Vorfallregistrierung. Sind Sie sich bei einer bestimmten Frage in einer Liste, die Sie erhalten haben, unsicher, dann gibt die Liste häufig gestellter Fragen oft bereits eine erste Orientierung, und eine Erläuterung darüber, woher unsere Informationen stammen zeigt, wie wir Quellen nachverfolgen.
Möchten Sie zunächst selbst überprüfen, ob und wie Ihr Unternehmen hier involviert ist, führen Sie dann den kostenlosen Quick-Check durch oder blättern Sie durch die Wissensdatenbank. Beide können ohne Konto abgerufen werden und geben einen ersten, sachlichen Überblick — kein Urteil über Ihre spezifische Situation, bei Zweifeln können Sie sich jederzeit an einen Juristen oder an die für Ihren Sektor zuständige Aufsichtsbehörde wenden.