Egy olyan megrendelő, aki maga a NIS2-irányelv hatálya alá esik, nem korlátozhatja gondossági kötelezettségét a saját szervezetre. Ez a kötelezettség kiterjed az ellátási láncra: a megrendelőnek fel kell mérnie, hogy az utánszállítók milyen kockázatokat jelentenek, és ezt szerződéses követelményekké kell lefordítania. A fém- és gépgyártási ipar esetében ez gyakran nem csak az irodatechnikáról szól, hanem olyan gépekről, vezérlőrendszerekről és termelési sorokról is, amelyek valamilyen módon a megrendelő hálózatához vagy az internethez csatlakoznak.
A leggyakoribb követelmények a hozzáférésre, a hálózatok szétválasztására, a frissítési szabályzatra és az incidensek megrendelőnek történő bejelentésére vonatkoznak — a törvényi bejelentési kötelezettség mellett, amely csak a kötelezettség alá eső entitások számára érvényes. Az alábbiakban leírjuk, mely szabályzatok fordulnak elő, és mit jelentenek ezek a gyakorlatban egy termelési környezetben.
Mely szabályzatok fordulnak elő a szerződésben
A NIS2 után felülvizsgált szerződések általában kötelezettségek kombinációját tartalmazzák: a jogot időszakos kérdőívek küldésére, az incidensekre vonatkozó bejelentési határidőt, amely a megrendelőnek nyújtott szolgáltatást érinti, kötelezettséget a biztonsági intézkedések igazolható bemutatására, és néha vizsgálati jogot. A megfogalmazás a megrendelő és a szektor függvében jelentősen eltérhet; nincs olyan általános szöveg, amely az összes szerződésre vonatkozna. A világosabb kép érdekében arról, hogy mi az, amit indokolt kérni és mi nem, segít az első megrendelővel szembeni leggyakoribb kérdésekről szóló anyag megtekintése.
Fontos megkülönböztetni: a megrendelő saját gondossági kötelezettségéből fakadóan kéri ezt, nem azért, mert az utánszállító maga az irányelv hatálya alá esne. Egy gépgyártó vagy utánszállító a fém- és gépgyártási iparban szerződéses követelményeket kaphat anélkül, hogy maga lényeges vagy fontos lenne. Az, hogy ez egy konkrét kapcsolat esetében igaz-e, a megrendelő szektorától és méretétől, valamint az utánszállító szerepétől függ az adott láncon belül.
Mit jelent ez a hálózathoz csatlakozó termelési rendszerekre
A fém- és gépgyártási iparban az IT (irodatechnika) és az OT (operacionális technológia, például CNC-gépek, PLC-k és termelési sorok) kombinációja a megrendelők által feltett kérdésekben visszatérő figyelmi pont. Az olyan gépek, amelyek távolról karbantarthatók, vagy amelyek termelési adatokat továbbítanak egy felhőalapú környezetbe, ugyanolyan figyelmet igényelnek, mint egy laptopok az irodában.
Az iroda- és termelési hálózat szétválasztása
Egy visszatérő kérdés az, hogy a termelési hálózat elkülönül-e az irodai hálózattól, és hogy az egyik hálózaton bekövetkezett zavar vagy fertőzés terjedhet-e a másikra. Ez nem olyan kérdés, amelyre csupán kérdőívben igen vagy nem válasz adható; az ellenőrzési szervek és a megrendelők a tényleges felépítésre néznek, nem pedig egy szándéknyilatkozatra.
Távolról történő hozzáférés karbantartásra
A fém- és gépgyártási ipar számos gépe távolról kerül karbantartásra a gépgyártó által, néha egy folyamatos kapcsolaton keresztül, amely folyamatosan nyitva van. Az szerződéses követelmények gyakran kifejezetten erre a pontra irányulnak: kinek van hozzáférése, hogyan kerül naplózásra ez a hozzáférés, és lehet-e azt bármikor visszavonni. Ez mind az a utánszállítót érinti, aki az adott gépet gyártja, mind azt a vállalkozást, amely a gépet használja.
Mit kérnek az opcionális megrendelők bizonyítékul
A kérdőív mellett az ügyfél gyakran valamilyen igazolást is kér: egy szabályzatot, egy áttekintést arról, hogy ki fér hozzá mely rendszerekhez, vagy egy nyilatkozatot az frissítések kezeléséről. Egy tanúsítvány vagy auditjelentés kérhető, de önmagában nem jelent jogi kötelezettséget az NIS2 alapján — ez az egyes ügyfelek választása. Ahhoz, hogy annak megállapítható legyen, miként viszonyulnak ezek a szerződéses feltételek a szervezet ellátási láncon belüli helyzetéhez, célszerű először néhány kérdésben feltárni, hogy szervezete hol áll.
Amit ebből maga tehet
Az olyan szerződésekben, amelyek a fém- és gépiparban fordulnak elő, leggyakrabban azok a követelmények jelennek meg, amelyek a richtliniában szereplő tíz kockázatkezelési intézkedés alkalmazásából származnak: a hozzáférés-ellenőrzés, a hálózat szegmentálása, az incidens-nyilvántartás és a helyreállítási tervek mind visszatérnek, de az ügyfél által feltett kérdésre összpontosítottan. A helyzetenkénti áttekintés, a termelési környezetre jellemző témákat is beleértve, található a a szektoronkénti és helyzetenként tárgyalt témák áttekintésében.
A szerződés pontos szövegezéséhez, valamint ahhoz, hogy egy konkrét követelmény ésszerű-e az üzleti viszony szempontjából, jogi tanácsadás a legmegfelelőbb; ez a cikk a visszatérő mintákat írja le, nem pedig az egyedi szerződésre adott választ. Az ezen a webhelyen található információk forrásáról és azok naprakészen tartásáról bővebben a a források nyomon követéséről szóló oldalon.
Szeretné gyorsan megtudni, hogy szervezete az ellátási láncon keresztül érinti-e az NIS2, és milyen lépés következik ezután? Az ingyenes NIS2-ellenőrzés néhány kérdésben első iránymutatást ad ehhez, anélkül hogy fiókra lenne szüksége.