Pada li razvoj softvera pod NIS2?
Razvoj softvera kao aktivnost nije izričito naveden u prilozima NIS2-direktive. Ne postoji sektor koji se zove "graditelji softvera". Postoje srodne kategorije: cloud computing i cloud usluge spadaju pod digitalnu infrastrukturu, a upravljane ICT usluge i upravljane sigurnosne usluge spadaju pod ICT-usluge. Ako gradite prilagođeni softver za klijente bez da sami pružate cloud uslugu ili upravljanu uslugu, vjerojatno niste direktno obuhvaćeni direktivom.
To ne znači da razvoj softvera ostaje izvan dosega. Tri stvari zajedno određuju vašu poziciju: točna priroda onoga što pružate (sektor), veličina vaše organizacije i pitanje jesu li vasi klijenti sami obavezni. Ovo potonje u praksi dotaknuće mnogo više razvojnih tvrtki nego prvo.
Sektor: što prilozi navodе i što ne navodе
Direktiva razlikuje bitne sektore (prilog I) i važne sektore (prilog II). Digitalna infrastruktura i ICT-usluge navedeni su u prilogu I, a ova potonja kategorija posebno se odnosi na stranke koje upravljaju ili nadziru ICT-okruženje drugih — mislite na pružatelje upravljanih usluga. Ako pružate SaaS proizvod gdje upravljate infrastrukturom za klijente ili nudi li vašu softver zajedno s upravom, nadzorom ili hostingom, tada se pomičete prema toj kategoriji. Ako pružate samo aplikaciju koju klijent sam upravlja i hostira, situacija je drugačija.
Klasifikacija je manje stvar kako se vi sami nazivate i više što zapravo radite za klijenta. Dva poduzeća koja se oba nazivaju "razvojni inženjer softvera" mogu imati različitih rezultata čim jedan od njih preuzme upravljanje. Strukturirani test duž sektora, veličine i položaja u lancu brže će vam dati jasnoću nego slobodan razgovor o checklisti. u nekoliko pitanja vidjeti gdje vaša tvrtka stoji
Veličina: prag primjenjuje se i ako sektor odgovara
Čak i ako vaša aktivnost spada u navedenu kategoriju, postoje pragovi veličine: direktiva razlikuje srednje velike i velike tvrtke, s različitim ishodom za manje organizacije. Mali razvojni tim koji slučajno nudi i hosting, prema tome ne pada automatski u istu kategoriju kao veliki pružatelj cloud usluga. Točne granice i iznimke koje na njih vrijede navedene su u direktivi i nacionalnoj provedbi; to nije nešto o čemu biste trebali odlučivati na temelju gruboga pravila.
Položaj u lancu: dotaknut bez samoga biti obavezan
Ovdje većini softverskih tvrtki leži praktična strana priče. Dužnost skrbi (članak 21) obvezuje bitne i važne subjekte da procijene i sigurnost svojih dobavljača. Ako razvijate softver za bolnicu, energetsku tvrtku ili opću grupu, vjerojatno će taj klijent poslati vam popis sigurnosnih pitanja o vašem razvojnom procesu — bez obzira je li vas same obaveza pod direktivom.
Ti popisi rijetko se tiču apstraktnih načela politike. Konkretno vas pitaju kako otkrivate i ispravlyate ranjivosti, kako krpe stižu do klijenta te tko u vašoj tvrtki ima pristup izvornom kodu i proizvodnom okruženju. Tko prvi put primi takva pitanja, to često doživlja kao iznenađenje koje ugovoru stavlja pod pritisak; sa fiksnom skupom odgovora, drugi put ide znatno brže. teme koje su odabrane za svaku situaciju
Dva sloja sigurnosti: proizvod i razvojna linija
Pri razvoju softvera dva pitanja se međusobno prepliću, pa je korisno održavati ih odvojena. Prvo pitanje tiče se onoga što razvijate: postoji li proces za pronalaženje i otklanjanje ranjivosti u kodu, se li ovisnosti i biblioteke praćene, i kako brzo sigurnosna ažuriranja stignu klijentu? Drugo pitanje tiče se kako razvijate: tko ima pristup repozitoriju izvornog koda, kako je CI/CD kanal zaštićen, i tko smije zapravo implementirati u produkciju?
Sigurnosna lista pitanja od naručitelja obično dotakne oba sloja istovremeno, čak i ako klijent sam ta dva sloja ne odvaja. Nadzorni organi i naručitelji gledaju na takva pitanja kako bi provjerili postoji li prepoznatljiv proces i je li taj proces dokumentiran, a ne samo намјeru koja stoji iza njega.
Što sada možete učiniti
Je li razvoj softvera u vašem slučaju obuhvaćen Direktivom (EU) 2022/2555 ovisi dakle o preciznoj usluzi koju pružate, veličini vaše organizacije i sektoru u kojem su vaši klijenti aktivni. Jedinstveni "da" ili "ne" za cijelu granu ne postoji, a konačna procjena vaše situacije pripada pravniku ili nadzornom organu, a ne članku na blogu.
Što je moguće učiniti: provjeriti u kojem od tri položaja se nalazite — sami podložni obvezama, zahvaćeni preko klijenta ili zasad nisu zahvaćeni — te od toga odrediti koja pitanja možete očekivati. Više o tome kako se ta podjela uspostavlja i odakle dolaze korišteni izvori čita se na stranici o načinu rada. Želite li tu prvu podjelu napraviti za svoje vlastito poduzeće, to se može učiniti u nekoliko minuta, bez potrebe za računom. često postavljana pitanja o podjeli daju dodatni pregled kako se druga razvojna poduzeća suočavaju s istim pitanjem.