Naručitelj koji sam spada pod Direktivu NIS2 ne smije ograničiti svoju obvezu brige samo na vlastitu organizaciju. Ta se obaveza protežu duž lanca opskrbe: naručitelj mora procijeniti koja rizika donose dobavljači, a to se prevodi u ugovorne zahtjeve. Za metalnu industriju i proizvodni sektor često nije samo u pitanju uredska automatizacija, već i strojevi, sustavi upravljanja i proizvodne linije koje su na bilo koji način povezane s mrežom naručitelja ili s internetom.
Najčešće zahtjeve tiču se pristupa, odvajanja mreža, politike ažuriranja i izvještavanja o incidentima naručitelju — odvojeno od zakonske obveze izvještavanja koja vrijedi samo za subjekte u obavezi. Dolje su opisane koje odredbe se pojavljuju i što one u praksi znače za proizvodnu okolinu.
Koje odredbe se pojavljuju u ugovoru
Ugovori koji se revidiraju nakon NIS2 obično sadrže kombinaciju obveza: pravo periodičkog slanja upitnika, rok izvještavanja o incidentima koji utječu na pružanje usluge naručitelju, obavezu da se mjere sigurnosti mogu dokazati, te ponekad pravo na reviziju. Formulacija se znatno razlikuje ovisno o naručitelju i sektoru; ne postoji standardni tekst koji vrijedi za sve ugovore. Za jasniju sliku što je razumno tražiti, a što nije, pomaže. pregledati najčešće postavljana pitanja o tome što smije tražiti kupac .
Važno je razlikovati: naručitelj ovo traži iz vlastite obveze brige, a ne zato što dobavljač sam spada pod Direktivu. Proizvodnja strojeva ili dobavljač u metalnoj industriji i proizvodnom sektoru tako može primiti ugovorne zahtjeve a da sam nije essencijalni ili važan subjekt. Postoji li to u specifičnoj relaciji, ovisi o sektoru i veličini naručitelja te o ulozi koju dobavljač ima u tom lancu.
Što to znači za proizvodne sustave spojene na mrežu
U metalnoj industriji i proizvodnom sektoru kombinacija IT-a (uredske automatizacije) i OT-a (operacijske tehnologije poput CNC-strojeva, PLC-eva i proizvodnih linija) je ponovljeno pitanje na koje naručitelji nailaze. Strojevi koji su dostupni na daljinu za održavanje ili koji šalju proizvodne podatke u oblaknu okolinu podliježu istoj pažnji kao prijenosno računalo u uredu.
Odvajanje između ureda i proizvodne mreže
Česta je pitanja jesu li proizvodna mreža i uredska mreža odvojene, i može li se greška ili zaraza na jednoj mreži proširiti na drugu. To nije pitanje koje se odgovara sa da ili ne samo u upitniku; regulatori i naručitelji gledaju stvarni raspored, a ne izjavu o namjeri.
Udaljeni pristup za održavanje
Mnogi strojevi u metalnoj industriji i proizvodnom sektoru održavaju se na daljinu od samog dobavljača stroja, ponekad putem stalnog spoja koji je neprekidno otvoren. Ugovorne zahtjeve često se fokusirajuizvan ovog točke: tko ima pristup, kako se taj pristup bilježi, i može li se povući u bilo kojem trenutku. To utječe kako na dobavljača koji gradi stroj tako i na poduzeće koje koristi stroj.
Što naručitelji traže kao dokaz
Osim samog upitnika, naručitelj često zahtijeva neki oblik pojašnjenja: dokument pravilnika, pregled tko ima pristup kojim sustavima ili izjavu o načinu rukovanja ažuriranjima. Certifikat ili izvještaj revizije mogu se zatražiti, ali sami po sebi nisu zakonska obveza prema NIS2 — to je izbor pojedinačnog naručitelja. Za one koji žele provjeriti kako se te ugovorne zahtjeve odnose prema vlastitoj poziciji u dobavljačkom lancu, korisno je prvo u nekoliko pitanja provjeriti gdje se vaša organizacija nalazi.
Što s time možete učiniti sami
Većina zahtjeva koji se pojavljuju u ugovorima za metalnu i proizvodnu industriju izvedenica je od deset mjera upravljanja rizicima iz Direktive: kontrola pristupa, segmentacija mreže, registracija incidenata i planovi oporavka svi se pojavljuju, ali prilagođeni na pitanje koje postavlja naručitelj. Pregled po situaciji, uključujući teme specifične za proizvodna okruženja, nalazi se u pregledu tema po sektoru i situaciji.
Za preciznu formulaciju ugovora i za pitanje je li određeni zahtjev razumljiv u odnosu na odnos, pravni savjet ostaje preporučeni put; ovaj članak opisuje obrasce koji se pojavljuju, ne odgovor na pojedini ugovor. Više o izvoru informacija na ovoj web stranici i kako se održavaju nalazi se na stranici o tome kako pratimo izvore.
Želite li brzo vidjeti je li vaša organizacija pogođena kroz dobavljački lanac i koji je sljedeći korak? Besplatna NIS2-provjera daje vam u nekoliko pitanja prvi smjer za to, bez da vam trebna računa.