Kas tarkvara arendus kuulub NIS2 alla?
Tarkvaratooltöö kui tegevus ei ole NIS2 direktiivi lisades otsesõnu mainitud. Pole olemas sektorit, mida nimetatakse "tarkvaratootjateks". Mis aga olemas on, on seotud kategooriad: pilvandamine ja pilveteenused kuuluvad digitaalse infrastruktuuri alla, ja hallatud IKT-teenused ning hallatud turvateenus kuuluvad IKT-teenuste osutamise alla. Kui te loote klientidele kohandatud tarkvaral ilma ise pilveteenust või hallatud teenust osutamata, on suur tõenäosus, et te ei kuulu direktiivi alla.
See ei tähenda, et tarkvaratooltöö jääb tähelepanuta. Kolm asja määravad koos, kuhu te kuulute: selle, mida te täpselt tarnite, olemus (sektor), teie organisatsiooni suurus ja küsimus, kas teie kliendid ise on kohustatud. Viimane asjaolu mõjutab praktikas palju rohkem tarkvaraarenduse ettevõtteid kui esimene.
Sektor: mida lisad mainivad ja mida mitte
Direktiiv eristab kriitilise tähtsusega sektoreid (lisa I) ja olulist tähtsusega sektoreid (lisa II). Digitaalne infrastruktuur ja IKT-teenuste osutamine on lisas I ja viimane kategooria käsitleb konkreetselt osapoolte, kes teiste IKT-keskkonda haldavad või valvavad — mõelge hallatud teenuse pakkujatele. Kui te pakute SaaS-toodet, mille kaudu te klientidele infrastruktuuri haldatakse, või pakute oma tarkvara kõrval ka haldamist, järelevalvet või majutamist, liigute selle kategooria suunas. Kui te tarnite ainult rakenduse, mida klient ise hallata ja majutada saab, on see teisiti.
Klassifikatsioon on vähem küsimus selle kohta, kuidas te end nimetate, ja rohkem selle kohta, mida te tegelikult kliendile teete. Kaks ettevõtet, mis kutsuvad end mõlemad "tarkvaraarenduseks", võivad samuti erinevalt välja tulla, kui üks neist võtab haldamise enda kanda. Struktureeritud test sektori, suuruse ja ketenpositsiooniga annab sellest kiiremini selguse kui lodeviku alusel peetav vestlus. paari küsimusega näha, kuhu teie ettevõte kuulub
Suurus: lävi kehtib ka siis, kui sektor sobigu
Isegi kui teie tegevus mainitud kategooriasse kuulub, on suurusepiirangud: direktiiv eristab keskmise ja suure suurusega ettevõtteid, väiksemate organisatsioonide puhul on tulemus erinev. Väike arendusmeeskond, kes juhtumisi pakub ka majutamist, ei kuulu automaatselt samasse kategooriasse kui suur pilveteenuse pakkuja. Täpsed piirid ja nende erandid on direktiivis ja riiklikul rakendamisel; need ei ole midagi, millest võiks otsustada olemasolevatest reeglitest lähtuvalt.
Ketenpositsioon: mõjutatud ilma ise kohustatud olemata
Siin asub enamiku tarkvaraarenduse ettevõtete praktilise jutu külg. Hoolduskohustus (artikkel 21) kohustab kriitilise tähtsusega ja olulist tähtsusega üksusi hindama ka oma tarnijate turvalisust. Kui te teete tarkvara haiglale, energiaettevõttele või omavalitsusele, siis on suur tõenäosus, et see klient saadab teile turbetarkvarade küsimustiku oma arendustegevuse kohta — olenemata sellest, kas te ise direktiivi alla kuulute.
Need küsimustikud käsitlevad harva abstraktseid poliitika põhimõtteid. Nad küsivad konkreetselt, kuidas te haavatavusi otsitakse ja parandatakse, kuidas parandused kliendi juurde jõuavad, ja kellel on teie ettevõttes juurdepääs lähtekoodile ja tootmiskeskkonnale. Kes selliseid küsimusi esimest korda saab, kogeb seda tihti üllatusena, mis paneb lepingu surve alla; kindla vastuste komplektiga läheb teine kord märgatavalt kiiremini. teemad, mis on igas olukorras valitud
Kaks turvataseme kihti: toode ja tootmisjoon
Tarkvara arendamisel käivad kaks küsimust üksteise sisse, ja on kasulik neid lahus hoida. Esimene käsitleb seda, mida te ehitate: kas on olemas protsess koodis olevate haavatavuste tuvastamiseks ja parandamiseks, kas sõltuvusi ja teeke jälitakse, ja kui kiiresti jõuab turvauuendus kliendini? Teine käsitleb seda, kuidas te ehitate: kellel on juurdepääs lähtekoodirepositooriumile, kuidas on CI/CD-müra turvarve kaitstud, ja kes tohib tegelikult tootmisse juurutada?
Tellijapoolne turvaküsitlus puudutab tavaliselt mõlemat kihti korraga, isegi kui tellija ise neid kahte eraldi ei nimetagi. Järelevalveasutused ja tellijad vaatavad sellistel küsimustel, kas on olemas äratuntav protsess ja kas see protsess on dokumenteeritud, mitte ainult selle taga peituvat nõuet.
Mida saate te nüüd teha
See, kas tarkvara arendamine teie puhul NIS2 alla kuulub, sõltub teile pakutava teenuse täpsest olemusest, teie organisatsiooni suurusest ja teie kliente tegevuse valdkonnast. Ühtset "jah" või "ei" kogu harule ei ole, ja teie olukorra lõplik hindamine kuulub juristile või järelevalveasutusele, mitte blogialule.
Mida saab teha: kontrollida, millises kolmest positsioonist te olete — ise kohustuslik, kliendi kaudu mõjutatud, või siiani mõjutamata — ja sealt tulenevalt määrata kindlaks, milliseid küsimusi võib oodata. Lisateavet selle kohta, kuidas see klassifikatsioon tekib ja kust kasutatud allikad pärinevad, leiate töömeetodite leheküljelt. Kui soovite oma ettevõtete jaoks seda esimest klassifikatsiooni teha, on see tehtud mõne minutiga, ilma et selleks kontot oleks vaja. korduma kippuvad küsimused klassifikatsiooni kohta annavad täiendavat pilti sellest, kuidas teised arendusettevõtted sama küsimusega kokku puutuvad.