Hankeostja, kes kuulub NIS2-hoolsusdokumendi alla, peab suutma näidata, et ta teab oma tarneahela riske. Tarkvara, mida teie selle hankeostja jaoks ehitate, on selle ahela osa. Praktikas tõlgib see end lepinguliste nõudete kujul, mis puudutavad kahte asja korraga: toodet, mille teie tarnite, ja viisi, kuidas te seda toodet teete. Mõlemad on ära toodud lepingu tekstis, sageli ostetava lepingu lisandina.
Tuum on lihtne meeles pidada: hankeostja ei küsi mitte ainult, kas tarkvara töötab, vaid ka seda, kas teie suudate näidata, kuidas see turvaliseks jääb, kes sellele pääseda saab ja mis juhtub, kui miski läheb valesti. See on nihe võrreldes varasemat, kui funktsionaalsus ja tarneaeg olid sageli ainsateks arutelutemaatikat.
Nõuded teie tarnitavale tootele
Kõige levinum lepinguliste nõue käsitleb tarkvara enda koostist. Hankeostjad küsivad üha sagedamini kasutatud teekide ja avatud lähtekoodiga komponentide ülevaadet, nn tarkvara osade nimekirja. Põhjus on selles, et nõrkus aluskomponendis on ohtlik nagu ka teis enda koodis, ja hankeostja soovib neid riske näha ilma enda lähtekoodit lugemata.
Lisaks on nõuded tarkvaras olevate nõrkuste leidmise ja parandamise kohta, ja millises ajafaasis. See võib käsitleda automatiseeritud skanne teadaolevate nõrkadele kohtadele, fikseeritud paranduste protseduure või küsimust, kes võib nõrkuse teatada ja kuhu see siis jõuab. Olemasoleva tarkvara puhul küsitakse mõnikord ka toe tingimuste kohta: kui kaua jääb versioon turvavärskendusi saama.
Nõuded teie omale arendusliinile
Teine nõuete klaster ei peegeldu tootele, vaid protsessile, millega seda tehakse: arendusliinile. Mõelge sellele, kellel on juurdepääs lähtekoodile ja keskkonnale, kus ehitatakse ja katsetatakse, kuidas muutusi kontrollitakse enne nende minekut, ja kas test-, vastuvõtu- ja tootmiskeskkonna vahel on eraldatus. Mitmekordsete kontrollide kasutamine arendajatele, kellel on juurdepääs lähtekoodile või koostesüsteemidele, ilmub ka lepingutes, samuti küsimus, kes haldab võtmeid ja ligipääsuandmeid, mis tarkvara käivitamisega seotud on.
Mõned hankeostjad küsivad ka tarkvara päritolu kohta, mida teie ise ehitamiseks kasutate: kompilaatori, koostepakkide, pakettide kohta, mida ehitamise ajal tõmmatakse. See käib käsikäes laiema arusaamisega, et rünnak võib tulla mitte ainult lõptootelt, vaid ka tehases, kus seda tehakse.
Miks neid nõudeid täpselt nii sõnastatakse
Hoolsusdokument, mis kõik selle aluseks on, kohustab reguleeritud asutust hindama ja juhtima oma tarneahela riske. Kuidas seda täpselt rakendatakse, erineb riigiti riiklikus seaduses, mis Euroopa direktiivile põhineb, ja sektori kaupa, kus hankeostja tegutseb. Mis ühes lepingus karm nõue on, seisab teises lepingus veel vabatahtlikuna. Kui soovite teada, kuidas see kohustus põhimõtteliselt ülesehitatud on, loete seda meie teadmusbaasis iga kohustuse selgituses.
Oluline meeles pidada: hankeostja esitab neid nõudeid, kuna ta ise on järelevalve all, mitte seetõttu, et tarkvarafirmad richtliini alla kuuluksid. Kas ja kui rangelt seda teie juhul läbi viiakse, sõltub selle konkreetse hankeostja sektorist ja suurusest. Oma olukorra puhul on riikliku seaduse tekst või jurist advise õige lähtekohaks, mitte üldine hinnang.
Mida see teie ettevalmistuse jaoks tähendab
Enamik neist on sobiva ettevalmistusega hästi vastata, ja vastuse, mille kord välja töötate, saate hiljem kasutada uuesti iga järgneva tellijaga. Kasutatavate komponentide loend, teie juurdepääsukontrolli lühikirjeldus ja kindel plaastrite rakendamise protseduur ei ole dokumendid, mida peate iga lepingu jaoks uuesti välja mõtlema.
Kui soovite esmalt näha, kas ja kuidas see teie ettevõtet puudutab, siis annab märkus, mis paariga küsimusega teie positsiooni ahelas määrab esimese suuna, ilma et teil selleks kontot oleks vaja. Küsimuste kohta, mida tellijad konkreetselt esitavad, ja viisist, kuidas me selles abistame, lugege lähemalt sagedamini esitatud küsimuste leht või vaadake kuidas me platvormi teavet toetame.
Tasuta teadusbaas ja märkus annavad teile esmase ülevaate ilma kohustusteta. Kui soovite seejärel lepingueise tegelikult muuta jooksvaks dosseeks tõendite ja valmis vastustega küsimustikele, siis on see aeg vaadata, mida tellimus sellele juurde lisab.