Η ανάπτυξη λογισμικού υπόκειται στη NIS2;

Η ανάπτυξη λογισμικού υπόκειται στη NIS2;

Η ανάπτυξη λογισμικού ως δραστηριότητα δεν αναφέρεται ρητά στα παραρτήματα της οδηγίας NIS2. Δεν υπάρχει τομέας που ονομάζεται "κατασκευαστές λογισμικού". Αυτό που υπάρχει είναι συναφείς κατηγορίες: το cloud computing και οι υπηρεσίες cloud εμπίπτουν στη ψηφιακή υποδομή, και οι διαχειριζόμενες υπηρεσίες ICT και οι διαχειριζόμενες υπηρεσίες ασφάλειας εμπίπτουν στις υπηρεσίες ICT. Εάν κατασκευάζετε προσαρμοσμένο λογισμικό για πελάτες χωρίς να παρέχετε μόνοι σας υπηρεσία cloud ή διαχειριζόμενη υπηρεσία, τότε είναι πιθανό ότι δεν εμπίπτετε άμεσα στην οδηγία.

Αυτό δεν σημαίνει ότι η ανάπτυξη λογισμικού μένει εκτός του προσανατολισμού. Τρεις παράγοντες καθορίζουν από κοινού τη θέση σας: η ακριβής φύση αυτού που παρέχετε (τομέας), το μέγεθος της οργάνωσής σας και το ερώτημα εάν οι ίδιοι οι πελάτες σας υπόκεινται σε υποχρεώσεις. Το τελευταίο σημείο εμπλέκει στην πράξη πολλά περισσότερα αναπτυξιακά γραφεία από το πρώτο.

Τομέας: τι αναφέρουν και τι δεν αναφέρουν τα παραρτήματα

Η οδηγία διακρίνει ουσιώδεις τομείς (Παράρτημα I) και σημαντικούς τομείς (Παράρτημα II). Η ψηφιακή υποδομή και οι υπηρεσίες ICT περιλαμβάνονται στο Παράρτημα I, και η τελευταία κατηγορία αναφέρεται ειδικά σε φορείς που διαχειρίζονται ή επιτηρούν το περιβάλλον ICT άλλων — σκεφθείτε παρόχους διαχειριζόμενων υπηρεσιών. Εάν παρέχετε ένα προϊόν SaaS όπου διαχειρίζεστε την υποδομή για τους πελάτες, ή προσφέρετε δίπλα στο λογισμικό σας επίσης διαχείριση, παρακολούθηση ή φιλοξενία, τότε μετακινείστε προς εκείνη την κατηγορία. Εάν παρέχετε μόνο μια εφαρμογή που ο πελάτης διαχειρίζεται και φιλοξενεί ο ίδιος, τότε είναι διαφορετικά.

Η ταξινόμηση είναι λιγότερο ζήτημα του τι ονομάζετε τον εαυτό σας και περισσότερο ζήτημα αυτού που κάνετε πραγματικά για τον πελάτη. Δύο επιχειρήσεις που ονομάζουν τον εαυτό τους και οι δύο "ανάπτυξη λογισμικού", μπορούν επομένως να καταλήξουν διαφορετικά μόλις ένα από τα δύο αναλάβει επίσης τη διαχείριση. Μια δομημένη αξιολόγηση κατά τομέα, μέγεθος και θέση στην αλυσίδα παρέχει ταχύτερη διευκρίνιση σε αυτό από μια ελεύθερη συζήτηση σχετικά με λίστες ελέγχου. σε μερικές ερωτήσεις δούμε πού βρίσκεται η επιχείρησή σας

Μέγεθος: το όριο ισχύει ακόμα και αν ο τομέας ταιριάζει

Ακόμη και αν η δραστηριότητά σας εμπίπτει σε μια αναφερόμενη κατηγορία, ισχύουν όρια μεγέθους: η οδηγία κάνει διάκριση μεταξύ μεσαίων και μεγάλων επιχειρήσεων, με διαφορετικό αποτέλεσμα για μικρότερες οργανώσεις. Μια μικρή ομάδα ανάπτυξης που τυχαία προσφέρει επίσης φιλοξενία, δεν εμπίπτει αυτόματα στην ίδια κατηγορία με έναν μεγάλο πάροχο υπηρεσιών cloud. Τα ακριβή όρια και οι εξαιρέσεις που ισχύουν για αυτά περιλαμβάνονται στην οδηγία και την εθνική μεταφορά· δεν είναι κάτι για το οποίο θα πρέπει να αποφασίσετε βάσει ενός κανόνα του αντίχειρα.

Θέση στην αλυσίδα: προσβαλλόμενος χωρίς την ίδια να υπόκειται σε υποχρεώσεις

Εδώ βρίσκεται για τα περισσότερα αναπτυξιακά γραφεία η πρακτική πλευρά του γεγονότος. Η υποχρέωση φροντίδας (άρθρο 21) υποχρεώνει ουσιώδεις και σημαντικές φορείς να αξιολογούν επίσης την ασφάλεια των προμηθευτών τους. Εάν κατασκευάζετε λογισμικό για ένα νοσοκομείο, μια εταιρεία ενέργειας ή έναν δήμο, τότε είναι πιθανό ότι εκείνος ο πελάτης θα σας στείλει μια λίστα ερωτήσεων ασφάλειας σχετικά με την ανάπτυξη διαδικασίας σας — ανεξάρτητα από το εάν και οι ίδιοι υπόκεισθε στην οδηγία.

Αυτές οι λίστες ερωτήσεων σπάνια αφορούν αφηρημένες αρχές πολιτικής. Ρωτούν συγκεκριμένα πώς εντοπίζετε και διορθώνετε τρωτά σημεία, πώς φθάνουν τα patches στον πελάτη, και ποιος στο εσωτερικό της επιχείρησής σας έχει πρόσβαση στον πηγαίο κώδικα και το περιβάλλον παραγωγής. Ο κάποιος που λαμβάνει τέτοιες ερωτήσεις για πρώτη φορά, συχνά το βιώνει ως έκπληξη που θέτει το συμβόλαιο υπό πίεση· με ένα σταθερό σύνολο απαντήσεων, αυτό προχωρεί σημαντικά ταχύτερα τη δεύτερη φορά. τα θέματα που έχουν επιλεγεί για κάθε κατάσταση

Δύο επίπεδα ασφάλειας: το προϊόν και η γραμμή ανάπτυξης

Κατά την ανάπτυξη λογισμικού, δύο ερωτήματα συχνά συναντώνται και είναι χρήσιμο να τα διατηρούμε χωριστά. Το πρώτο αφορά αυτό που κατασκευάζετε: υπάρχει διαδικασία για την ανίχνευση και την επίλυση ευπαθειών στον κώδικα, διατηρούνται οι εξαρτήσεις και οι βιβλιοθήκες και πόσο γρήγορα φτάνει μια ενημέρωση ασφαλείας στον πελάτη; Το δεύτερο αφορά τον τρόπο κατασκευής: ποιος έχει πρόσβαση στο αποθετήριο πηγαίου κώδικα, πώς είναι ασφαλής ο αγωγός CI/CD και ποιος επιτρέπεται να αναπτύξει πράγματι στην παραγωγή;

Ένας κατάλογος ασφαλείας ενός εργοδότη συνήθως αγγίζει και τα δύο επίπεδα ταυτόχρονα, ακόμη και αν ο πελάτης αυτός δεν τα ονομάζει χωριστά. Οι ρυθμιστικές αρχές και οι εργοδότες εξετάζουν σε τέτοια ερωτήματα εάν υπάρχει ένα αναγνωρίσιμο διαδικασία και εάν αυτή η διαδικασία έχει τεκμηριωθεί, όχι μόνο εάν υπάρχει πρόθεση πίσω από αυτό.

Τι μπορείτε να κάνετε τώρα

Εάν η ανάπτυξη λογισμικού στην περίπτωσή σας εμπίπτει στην NIS2, εξαρτάται από την ακριβή υπηρεσία που παρέχετε, το μέγεθος του οργανισμού σας και τον τομέα στον οποίο δραστηριοποιούνται οι πελάτες σας. Δεν υπάρχει μια σαφή «ναι» ή «όχι» για ολόκληρο τον κλάδο, και η τελική αξιολόγηση της κατάστασής σας ανήκει σε έναν δικηγόρο ή στη ρυθμιστική αρχή, όχι σε ένα άρθρο ιστολογίου.

Αυτό που είναι εφικτό είναι να διαπιστώσετε σε ποια από τις τρεις θέσεις βρίσκεστε — ο ίδιος υπόχρεος, επηρεασμένος μέσω ενός πελάτη, ή προς το παρόν ανεπηρέαστος — και από εκεί να καθορίσετε ποια ερωτήματα μπορείτε να περιμένετε. Περισσότερες πληροφορίες σχετικά με τον τρόπο σχηματισμού αυτής της κατηγοριοποίησης και την προέλευση των χρησιμοποιούμενων πηγών διαβάζετε στο τη σελίδα σχετικά με τη μεθοδολογία. Εάν θέλετε να κάνετε αυτή την πρώτη κατηγοριοποίηση για τη δική σας επιχείρηση, αυτό γίνεται σε λίγα λεπτά, χωρίς να χρειάζεστε λογαριασμό. οι συχνότερα τεθείσες ερωτήσεις σχετικά με την κατηγοριοποίηση δίνουν ένα συμπληρωματικό ευρύτερο εικόνα του τρόπου με τον οποίο άλλες εταιρείες ανάπτυξης αντιμετωπίζουν το ίδιο ερώτημα.