Naručitelj koji pada pod obvezu mjera za upravljanje rizikom prema NIS2 mora moći dokazati da poznaje rizike u vlastitom lancu opskrbe. Softver koji gradite za tog naručitelja dio je tog lanca. U praksi se to pretvara u ugovorne zahtjeve koji djeluju na dva aspekta istovremeno: proizvod koji isporučite i način na koji taj proizvod napravite. Oboje se pojavljuje u tekstu ugovora, često kao prilog ugovoru o nabavi.
Jezgra je jednostavna za pamćenje: naručitelj ne pita samo radi li softver, već i možete li pokazati kako ostaje siguran, tko mu može pristupiti i što se događa ako nešto pođe po zlu. To je promjena u odnosu na prije, kada su funkcionalnost i vrijeme isporuke često bili jedine točke rasprave.
Zahtjevi za proizvod koji isporučujete
Najčešće se pojavljujući ugovorni zahtjev bavi sastavom samoga softvera. Naručitelji sve češće traže pregled korištenih knjižnica i komponenti otvorenog koda, tzv. popis sastavnih dijelova softvera. Razlog je što je ranjivost u temeljnoj komponenti jednako rizik kao greška u vašem kodu, a naručitelj želi vidjeti te rizike bez čitanja vlastitoga koda.
Osim toga, pojavljuju se zahtjevi o tome kako se otkrivaju ranjivosti u softveru i kako se ispravljaju te u kojem vremenskom razdoblju. To može uključivati automatizirane preglede poznatih slabih mjesta, utvrđeni postupak za zakrpe ili pitanje tko smije prijaviti ranjivost i gdje ta prijava ide. Za postojeći softver ponekad se pita i o razdoblju potpore: koliko dugo verzija ostaje opremljena sigurnosnim ažuriranjima.
Zahtjevi za vašu vlastitu liniju razvoja
Drugi skup zahtjeva ne odnosi se na proizvod već na proces kojim se pravi: liniju razvoja. Razmislite o tome tko ima pristup izvornom kodu i okruženju u kojem se gradi i testira, kako se promjene kontroliraju prije nego što budu pokrenute, te postoji li razdvajanje između okruženja za testiranje, prihvaćanje i proizvodnju. U ugovorima se pojavljuje i korištenje višefaktorske provjere za razvijatelje koji imaju pristup izvornom kodu ili sustavima za izgradnju, kao i pitanje tko upravlja ključevima i pristupnim podacima koji se veže uz pokretanje softvera.
Neki naručitelji također pitaju o podrijetlu softvera koji sami koristite za gradnju: kompajler, alati za izgradnju, paketi koji se preuzimaju tijekom gradnje. To se nadovezuje na šire razumijevanje da napad ne može doći samo preko krajnjeg proizvoda već i preko tvornice u kojoj se proizvodi.
Zašto su ti zahtjevi upravo tako oblikovani
Obaveza mjera za upravljanje rizikom koja je osnova svega toga obvezuje pozemnu organizaciju da procijeni i kontrolira rizike u vlastitom lancu opskrbe. Kako se to točno provodi razlikuje se po zemlji u nacionalnom zakonu koji se temelji na europskoj direktivi te po sektoru u kojem naručitelj posluje. Ono što je u jednom ugovoru stroži zahtjev, u drugom ugovoru još stoji kao neobavezujuće pitanje. Želite li znati kako je ta obaveza u svojoj osnovi oblikovana, pročitajte je u objašnjenju po obavezi u našoj bazi znanja.
Važno je zapamtiti: naručitelj postavlja te zahtjeve jer sam pada pod nadzor, ne zato što softverske tvrtke kao takve padaju pod direktivu. Ima li mjesta i kako se strogo provede u vašem slučaju ovisi o sektoru i veličini tog specifičnog naručitelja. Za vašu vlastitu situaciju tekst nacionalnog zakona ili savjet pravnika je pogodan početak, ne opća procjena.
Što to znači za vašu pripremu
Većina ovih zahtjeva može se vrlo dobro odgovoriti uz malo predpremnog rada, a odgovor koji jednom pripremite možete ponovno koristiti kod sljedećeg naručitelja. Popis korištenih komponenti, kratak opis vašeg upravljanja pristupom i fiksni postupak za zakrpe nisu dokumenti koje trebate ponovno razvijati za svaki ugovor.
Želite li prvo vidjeti jesu li i kako ovo vaše poduzeće pogođene, tada provjera koja u nekoliko pitanja određuje vašu poziciju u lancu opskrbe pruža prvi smjer, bez potrebe za računom. Za pitanja koja naručitelji konkretno postavljaju i način na koji vam pri tom pomagamo, više pročitajte na stranici sa često postavljanim pitanjima ili pogledajte kako činjeničnu osnovu informacija na platformi.
Besplatna baza znanja i provjera vam daju prvi pregled bez obveza. Želite li potom konkretno primjenjivati ugovorni zahtjeve u tek dossieju s dokazima i gotovim odgovorima na liste pitanja, tada je to trenutak da razmotrите što pretplata vama dodaje.