Onko ohjelmistokehitys NIS2:n soveltamisala?
Ohjelmistokehitys toimintona ei ole nimetty sellaisenaan NIS2-direktiivin liitteissä. Mitään "ohjelmistokehittäjät"-nimistä sektoria ei ole. Sen sijaan siellä mainitaan samankaltaiset kategoriat: pilvipalvelut kuuluvat digitaaliseen infrastruktuuriin, ja hallinnoidut ICT-palvelut sekä hallinnoidut tietoturvapalvelut kuuluvat ICT-palveluiden tarjoamiseen. Jos kehitätte räätälöityä ohjelmistoa asiakkaille ilman, että tarjoatte itse pilvipalvelua tai hallinnollista palvelua, on todennäköistä, että ette ole suoraan direktiivin piirissä.
Se ei kuitenkaan tarkoita, että ohjelmistokehitys jäisi huomiotta. Kolme asiaa määrittävät yhdessä, missä seisotte: sen tarkan sisällön luonne, jota toimitte (sektori), organisaationne koko ja se, ovatko asiakkaanne itse velvollisuuksien piirissä. Viimeksi mainittu koskettaa käytännössä paljon useampia kehitysyrityksiä kuin ensimmäinen.
Sektori: mitä liitteet mainitsevat ja mitä eivät
Direktiivi erottaa toisistaan olennaiset sektorit (liite I) ja tärkeät sektorit (liite II). Digitaalinen infrastruktuuri ja ICT-palveluiden tarjoaminen ovat liitteessä I, ja jälkimmäinen kategoria koskee erityisesti osapuolia, jotka hallinnoivat tai valvovat muiden ICT-ympäristöä — ajatelkaa hallinnollisten palvelun tuottajia. Jos tarjoatte SaaS-tuotetta, jossa hallinnotte infrastruktuuria asiakkaiden puolesta, tai jos tarjoatte ohjelmiston ohella myös hallinnointia, seurantaa tai hosting-palveluja, liikutte kyseisen kategorian suuntaan. Jos tarjoatte vain sovellusta, jota asiakas hallinnoi ja isännöi itse, tilanne on eri.
Luokittelu ei ole enemmän kysymys siitä, miten kutsumme itseämme, vaan enemmän siitä, mitä teette asiakkaiden puolesta. Kaksi yritystä, joista molemmat kutsuvat itseään "ohjelmistokehittäjäksi", voivat saada eri tulokset heti, kun yksi niistä ottaa hallinnoinnin vastuulleen. Strukturoitu tarkastus sektorin, koon ja ketjun aseman mukaan antaa siihen selvyyden nopeammin kuin irrotettu keskustelu tarkistuslistoista. muutamalla kysymyksellä näet, missä yrityksenne sijaitsee
Koko: kynnys pätee myös silloin, kun sektori vastaa
Vaikka toimintanne kuuluisi mainittuun kategoriaan, kokoa koskevia kynnysarvoja sovelletaan: direktiivi tekee eron keskisuurten ja suurten yritysten välillä, joilla on erilainen tulos pienemmille organisaatioille. Pieni kehitystiimi, joka sattuu tarjoamaan myös hosting-palveluja, ei automaattisesti kuulu samaan kategoriaan kuin suuri pilvipalveluntarjoaja. Tarkat rajat ja niihin liittyvät poikkeukset ovat direktiivissä ja kansallisessa täytäntöönpanossa; nämä eivät ole asioita, joista pitäisi päättää peukalosäännön perusteella.
Ketjun asema: saavutettu ilman omaa velvollisuutta
Täällä useimmille ohjelmistoyritykset löytävät käytännön puolen asiasta. Huolenpitovelvoite (artikla 21) velvoittaa olennaisesti ja tärkeiksi katsottuja entiteettejä arvioimaan myös toimittajaidensa turvallisuutta. Jos kehitätte ohjelmistoa sairaalalle, energiayhtiölle tai kunnalle, on todennäköistä, että kyseinen asiakas lähettää teille tietoturvakyselylomakkeen kehitysprosesseistanne — riippumatta siitä, oletteko itse direktiivin piirissä.
Näissä kyselyissä harvoin kysytään abstrakteista turvallisuusperiaatteista. Niissä kysytään konkreettisesti siitä, kuinka löydätte ja korjaatte haavoittuvuuksia, kuinka korjaukset pääsevät asiakkaalle, ja kenellä yrityksessänne on pääsy lähdekoodiin ja tuotantoympäristöön. Joka ensimmäistä kertaa tällaisia kysymyksiä saa, kokee sen usein yllätyksenä, joka painostaa sopimusta; valmiin vastauskokonaisuuden avulla seuraava kerta sujuu huomattavasti nopeammin. aiheet, jotka on valittu kunkin tilanteen mukaan
Kaksi turvallisuuskerrosta: tuote ja kehitysputki
Ohjelmistokehityksessä kaksi kysymystä kulkevat päällekkäin, ja on hyödyllistä pitää ne erillään. Ensimmäinen koskee sitä, mitä rakentaa: onko olemassa prosessi haavoittuvuuksien havaitsemiseksi ja korjaamiseksi koodissa, pidetäänkö riippuvuuksia ja kirjastoja ajan tasalla, ja kuinka nopeasti turvapäivitys päätyy asiakkaalle? Toinen koskee sitä, miten rakentaa: kellä on pääsy lähdekoodi-arkistoon, kuinka CI/CD-putkisto on suojattu, ja kuka saa tosiasiallisesti ottaa tuotannon käyttöön?
Tilaajan antama turvallisuuskyselylomake koskee yleensä molempia tasoja samanaikaisesti, vaikka asiakas itse ei erottaisi näitä kahta toisistaan. Valvontaviranomaiset ja tilaajaorganisaatiot etsivät tämäntyyppisiä kysymyksiä tarkasteltaessa sitä, onko olemassa tunnistettavissa oleva prosessi ja onko kyseinen prosessi dokumentoitu, ei pelkästään sen taustalla olevaa aikomusta.
Mitä voit nyt tehdä
Se, kuuluuko ohjelmistokehitys NIS2:n alaisuuteen sinun tapauksessasi, riippuu tarjoamastasi palvelusta, organisaatiosi koosta ja sektorista, jolla asiakkaasi toimivat. Koko alalle soveltuvaa yksiselitteistä "kyllä" tai "ei" ei ole, ja tilanteesi lopullinen arviointi kuuluu lakimies- tai valvontaviranomaisen vastuulle, ei blogiartikkelille.
Mitä voi tehdä: selvittää, missä kolmesta asemasta olet — itse sääntelyyn kuuluva, asiakkaan kautta vaikuttuva tai toistaiseksi vaikuttamaton — ja määrittää siitä lähtien, mitä kysymyksiä voit odottaa. Lisätietoja siitä, miten tämä luokittelu syntyy ja mistä käytetyt lähteet tulevat, luet menettelytapaa käsittelevällä sivullaHaluatko tehdä tämän ensimmäisen luokittelun omaa yritystäsi varten, se onnistuu muutamassa minuutissa ilman, että tarvitset tiliä. usein kysytyt kysymykset luokittelusta antavat täydentävän kuvan siitä, miten muut ohjelmistokehitysyritykset kohtaavat saman kysymyksen.