Ένας ανάδοχος που ανήκει στο πεδίο εφαρμογής της Οδηγίας NIS2 δεν μπορεί να περιορίσει τη δική του υποχρέωση διαχείρισης κινδύνων στον δικό του οργανισμό. Αυτή η υποχρέωση εκτείνεται στην αλυσίδα εφοδιασμού: ο ανάδοχος πρέπει να αξιολογήσει ποιοι κίνδυνοι συνεπάγονται οι προμηθευτές του, και αυτό μεταφράζεται σε συμβατικές απαιτήσεις. Στη μεταλλουργική και κατασκευαστική βιομηχανία, αυτό δεν αφορά συχνά μόνο την αυτοματοποίηση γραφείου, αλλά και τα μηχανήματα, τα συστήματα ελέγχου και τις γραμμές παραγωγής που συνδέονται κατά κάποιο τρόπο με το δίκτυο του αναδόχου ή το διαδίκτυο.
Οι πιο συνηθισμένες απαιτήσεις αφορούν την πρόσβαση, τον διαχωρισμό των δικτύων, την πολιτική ενημερώσεων και την ενημέρωση του αναδόχου για περιστατικά — ξεχωριστά από τη νόμιμη υποχρέωση ενημέρωσης που ισχύει μόνο για τις υπόχρεες οντότητες. Παρακάτω περιγράφονται ποιες διατάξεις εμφανίζονται συνήθως και τι σημαίνουν αυτές στην πράξη για ένα περιβάλλον παραγωγής.
Ποιες διατάξεις εμφανίζονται στο συμβόλαιο
Τα συμβόλαια που αναθεωρούνται μετά την NIS2 περιέχουν συνήθως μια συνδυασμένη σειρά υποχρεώσεων: το δικαίωμα να αποστέλλονται περιοδικά ερωτηματολόγια, μια προθεσμία ενημέρωσης για περιστατικά που επηρεάζουν τη διάθεση υπηρεσιών στον ανάδοχο, μια υποχρέωση να αποδεικνύονται οι διατάξεις διαχείρισης κινδύνων, και μερικές φορές ένα δικαίωμα ελέγχου. Η διατύπωση διαφέρει σε μεγάλο βαθμό ανάλογα με τον ανάδοχο και τον κλάδο· δεν υπάρχει ενιαίο κείμενο που ισχύει για όλα τα συμβόλαια. Για μια πιο ακριβή εικόνα του τι είναι λογικό να ζητάται σε αυτές τις περιπτώσεις, βοηθά η ανασκόπηση των συχνότερων ερωτήσεων σχετικά με το τι μπορεί να ζητήσει ένας αγοραστής να συμβουλευθείτε.
Σημαντικό να διευκρινίσετε: ο ανάδοχος το ζητάει αυτό από τη δική του υποχρέωση διαχείρισης κινδύνων, όχι επειδή ο προμηθευτής ανήκει στο πεδίο εφαρμογής της ίδιας οδηγίας. Ένας κατασκευαστής μηχανών ή προμηθευτής στη μεταλλουργική και κατασκευαστική βιομηχανία μπορεί έτσι να δεχθεί συμβατικές απαιτήσεις χωρίς να ανήκει στο πεδίο εφαρμογής ως ουσιώδης ή σημαντική οντότητα. Το κατά πόσον συμβαίνει αυτό για μια συγκεκριμένη σχέση εξαρτάται από τον κλάδο και το μέγεθος του αναδόχου και από τον ρόλο που διαδραματίζει ο προμηθευτής σε αυτή την αλυσίδα.
Τι σημαίνει αυτό για τα συστήματα παραγωγής που συνδέονται με το δίκτυο
Στη μεταλλουργική και κατασκευαστική βιομηχανία, ο συνδυασμός της πληροφορικής (αυτοματοποίηση γραφείου) και της λειτουργικής τεχνολογίας (όπως μηχανές CNC, PLC και γραμμές παραγωγής) είναι ένα επαναλαμβανόμενο σημείο προσοχής στις ερωτήσεις που θέτουν οι ανάδοχοι. Τα μηχανήματα που είναι προσβάσιμα από απόσταση για συντήρηση ή που μεταδίδουν δεδομένα παραγωγής σε ένα περιβάλλον νέφους υπόκεινται στην ίδια προσοχή όπως ένας φορητός υπολογιστής στο γραφείο.
Διαχωρισμός μεταξύ δικτύου γραφείου και δικτύου παραγωγής
Μια επαναλαμβανόμενη ερώτηση είναι αν το δίκτυο παραγωγής είναι διαχωρισμένο από το δίκτυο γραφείου, και αν μια διαταραχή ή μόλυνση στο ένα δίκτυο μπορεί να εξαπλωθεί στο άλλο. Δεν είναι ερώτηση που απαντάται απλώς με ναι ή όχι σε ένα ερωτηματολόγιο· οι ρυθμιστικές αρχές και οι ανάδοχοι εξετάζουν τουτέστι τη πραγματική διάρθρωση, όχι μια δήλωση προθέσεων.
Απομακrusμένη πρόσβαση για συντήρηση
Πολλά μηχανήματα στη μεταλλουργική και κατασκευαστική βιομηχανία συντηρούνται από απόσταση από τον κατασκευαστή του μηχανήματος, μερικές φορές μέσω μιας σταθερής σύνδεσης που παραμένει συνεχώς ανοιχτή. Οι συμβατικές απαιτήσεις εστιάζουν συχνά ειδικά σε αυτό το σημείο: ποιος έχει πρόσβαση, πώς καταγράφεται αυτή η πρόσβαση, και μπορεί να ανακληθεί ανά πάσα στιγμή. Αυτό επηρεάζει τόσο τον προμηθευτή που κατασκευάζει το μηχάνημα όσο και την εταιρεία που χρησιμοποιεί το μηχάνημα.
Τι ζητάνε οι ανάδοχοι ως απόδειξη
Εκτός από το ίδιο το ερωτηματολόγιο, ένας ανάδοχος συχνά ζητά ένα είδος τεκμηρίωσης: ένα έγγραφο πολιτικής, μια επισκόπηση των ατόμων που έχουν πρόσβαση σε ποια συστήματα, ή μια δήλωση για τον τρόπο αντιμετώπισης των ενημερώσεων. Ένα πιστοποιητικό ή έκθεση ελέγχου μπορεί να ζητηθεί, αλλά δεν αποτελεί από μόνο του νομική υποχρέωση δυνάμει της NIS2 — αυτή είναι επιλογή του μεμονωμένου αναδόχου. Για όποιον θέλει να ελέγξει πώς αυτές οι συμβατικές απαιτήσεις σχετίζονται με τη δική του θέση στην αλυσίδα εφοδιασμού, είναι χρήσιμο να ξεκινήσει πρώτα σε μερικές ερωτήσεις να διερευνήσετε πού βρίσκεται η οργάνωσή σας.
Τι μπορείτε να κάνετε εσείς με αυτά
Οι περισσότερες απαιτήσεις που εμφανίζονται σε συμβάσεις για την βιομηχανία μετάλλων και κατασκευής είναι παράγωγο των δέκα μέτρων διαχείρισης κινδύνου από την Οδηγία: ο έλεγχος πρόσβασης, η κατάτμηση δικτύου, η καταγραφή συμβάντων και τα σχέδια ανάκαμψης όλα εμφανίζονται ξανά, αλλά προσαρμοσμένα στην ερώτηση που θέτει ο ανάδοχος. Μια επισκόπηση ανά περίσταση, συμπεριλαμβανομένων των θεμάτων που ισχύουν ειδικά για περιβάλλοντα παραγωγής, βρίσκεται στο την επισκόπηση των θεμάτων ανά τομέα και περίσταση.
Για τη σαφή διατύπωση ενός συμβολαίου, και για το ερώτημα εάν μια συγκεκριμένη απαίτηση είναι λογική σε σχέση με τη σχέση, η νομική συμβουλή παραμένει η κατάλληλη διαδρομή· αυτό το άρθρο περιγράφει τα πρότυπα που επαναλαμβάνονται, όχι την απάντηση σε ένα ατομικό συμβόλαιο. Περισσότερες πληροφορίες για το από πού προέρχονται οι πληροφορίες σε αυτόν τον ιστότοπο και πώς διατηρούνται, βρίσκονται στο τη σελίδα σχετικά με τον τρόπο διατήρησης των πηγών.
Θέλετε να δείτε γρήγορα εάν η οργάνωσή σας επηρεάζεται μέσω της αλυσίδας εφοδιασμού, και ποιο είναι το αντίστοιχο επόμενο βήμα; Ο δωρεάν έλεγχος NIS2 δίνει σε μερικές ερωτήσεις μια πρώτη κατεύθυνση γι' αυτό, χωρίς να χρειάζεστε λογαριασμό.