Tilaaja, joka on itse NIS2-direktiivin soveltamisalalla, ei saa rajoittaa huolenpitovelvollisuuttaan omaan organisaatioonsa. Tämä velvollisuus ulottuu toimitusketjuun: tilaajan on arvioitava, mitä riskejä toimittajat tuovat mukanaan, ja tämä johtaa sopimusvaatimuksiin. Metalli- ja valmistusteollisuudessa kyse ei usein ole pelkästään toimistokoneiden koneistosta, vaan myös koneista, ohjausjärjestelmistä ja tuotantolinjoista, jotka ovat jotenkin yhteydessä tilaajan verkkoon tai internetiin.
Yleisimmät vaatimukset koskevat pääsyä, verkkojen erottamista, päivityspolitiikkaa ja poikkeamien ilmoittamista tilaajalle itselleen — erillään lainsäädännöllisestä ilmoitusvelvollisuudesta, joka koskee vain velvoitettuja toimijoita. Alla on kuvattu, mitkä määräykset ovat yleisiä ja mitä ne käytännössä tarkoittavat tuotantoympäristölle.
Mitkä määräykset ovat yleisiä sopimuksissa
Sopimukset, jotka tarkistetaan NIS2:n jälkeen, sisältävät tyypillisesti joukon velvoitteita: oikeus lähettää ajoittain kyselyitä, ilmoitusaika poikkeamista, jotka vaikuttavat palvelun tuottamiseen tilaajalle, velvoite osoittaa turvatoimet näkyvästi, ja joskus tarkastusoikeus. Muotoilu vaihtelee suuresti tilaajittain ja sektoreittain; yhtenäistä tekstiä, jota voisi soveltaa kaikissa sopimuksissa, ei ole. Selkeämpää käsitystä siitä, mitä on järkevää pyytää, auttaa yleisimpien kysymysten tutustuminen siitä, mitä tilaaja saa pyytää ottaa tutummin.
Tärkeää erottaa: tilaaja pyytää tätä omasta huolenpitovelvollisuudestaan, ei siksi, että toimittaja itse kuuluisi direktiivin soveltamisalaan. Koneenrakentaja tai toimittaja metalli- ja valmistusteollisuudessa voi siis saada sopimusvaatimuksia ilman, että olisi itse olennainen tai merkittävä toimija. Se, onko näin tietyssä suhteessa, riippuu tilaajan sektorista ja koosta sekä siitä, mikä rooli toimittajalla on tuossa ketjussa.
Mitä tämä tarkoittaa verkkoon kytketyille tuotantojärjestelmille
Metalli- ja valmistusteollisuudessa IT:n (toimistokoneiden koneistus) ja OT:n (operationaalinen teknologia, kuten CNC-koneet, PLC:t ja tuotantolinkat) yhdistelmä on toistuva huomio kysymyksissä, jotka tilaajat esittävät. Koneet, jotka ovat etäkäyttöä varten saavutettavissa tai jotka lähettävät tuotantotietoja pilviympäristöön, saavat saman huomion kuin toimiston kannettava tietokone.
Erottelu toimisto- ja tuotantoverkkojen välillä
Toistuva kysymys on, onko tuotantoverkko erillään toimistoverkosta ja voiko häiriö tai saastuminen yhdessä verkossa levitä toiseen. Tämä ei ole kysymys, johon vastataan vain kyllä tai ei kyselylomakkeella; valvontaviranomaiset ja tilaajat katsovat todellista rakentamista, eivät aikomusjulistusta.
Etäkäyttöoikeus huoltoa varten
Monia metalli- ja valmistusteollisuuden koneita huolletaan etänä koneen toimittajan itse toimesta, joskus pysyvän yhteyden kautta, joka on jatkuvasti auki. Sopimusvaatimukset kohdistuvat usein nimenomaan tähän: kuka pääsee käsiksi, miten pääsy kirjataan ja voidaanko se peruuttaa milloin tahansa. Tämä koskee sekä koneen rakentavaa toimittajaa että konetta käyttävää yritystä.
Mitä tilaajat pyytävät todisteeksi
NIS2-kyselylomakkeen lisäksi tilaaja usein pyytää jonkinlaisen perustelun: käytäntöasiakirjaa, yleiskatsausta siitä, kenellä on pääsy mihinkin järjestelmiin, tai selvitystä siitä, miten päivityksiä käsitellään. Sertifikaattia tai tilintarkastuskertomusta voidaan pyytää, mutta se ei ole sinänsä NIS2:n mukainen lainmukainen vaatimus — se on kunkin tilaajan valinta. Niille, jotka haluavat tarkastella, miten nämä sopimuksellista vaatimukset liittyvät omaan asemaansa toimitusketjussa, on järkevää ensin muutamalla kysymyksellä selvittää, missä organisaationne on.
Mitä voit tehdä siitä
Useimmat sopimuksissa esiintyvät vaatimukset metalliteollisuudelle ja valmistukselle ovat johdannaisia richtliinan kymmenestä riskienhallintavelvoitteesta: pääsynvalvonta, verkon segmentointi, poikkeamien kirjaaminen ja palautumissuunnitelmat esiintyvät kaikki, mutta ne on mukaautettu tilaajan kysymykseen. Yleiskatsaus tilannekohtaisesti sekä tuotantoympäristöille ominaiset aiheet ovat aihekohtaisessa yleiskatsauksessa sektoreittain ja tilanteittain.
Sopimuksen tarkkaa sanamuotoa varten ja kysymykseen siitä, onko tietty vaatimus kohtuullinen suhteessa liikesuhteeseen, oikeudellinen neuvonta on asianmukainen tapa; tämä artikkeli kuvaa palautuvat mallit, ei vastauksen yksittäiseen sopimukseen. Lisätietoja siitä, mistä tämän sivuston tiedot tulevat ja miten niitä ylläpidetään, on sivulla siitä, miten pidämme lähteitä ajan tasalla.
Haluatko nopeasti nähdä, onko organisaatiosi toimitusketjun kautta saavutettava ja mihin seuraavaan vaiheeseen se liittyy? Ilmainen NIS2-tarkistus antaa siihen muutamalla kysymyksellä alustavan suunnan ilman, että tarvitset tiliä.