Lo sviluppo software è coperto dalla NIS2?
Lo sviluppo software come attività non figura esplicitamente nelle appendici della direttiva NIS2. Non esiste un settore che si chiama "costruttori di software". Quello che invece esiste sono categorie correlate: il cloud computing e i servizi cloud rientrano nell'infrastruttura digitale, mentre i servizi ICT gestiti e i servizi di sicurezza gestiti rientrano nella fornitura di servizi ICT. Se sviluppate software personalizzato per i clienti senza fornire voi stessi un servizio cloud o un servizio gestito, è probabile che non ricadiate direttamente sotto la direttiva.
Ciò non significa che lo sviluppo software rimanga fuori dal campo di applicazione. Tre fattori determinano insieme la vostra posizione: la natura precisa di ciò che fornite (settore), le dimensioni della vostra organizzazione e la questione se i vostri clienti siano essi stessi soggetti all'obbligo. Quest'ultimo aspetto, nella pratica, riguarda molto più aziende di sviluppo rispetto al primo.
Settore: ciò che le appendici prevedono e non prevedono
La direttiva distingue tra settori essenziali (appendice I) e settori importanti (appendice II). L'infrastruttura digitale e la fornitura di servizi ICT figurano nell'appendice I, e quest'ultima categoria si riferisce specificamente alle parti che gestiscono o monitorano l'ambiente ICT di altri — si pensi ai managed service provider. Se fornite un prodotto SaaS in cui gestite l'infrastruttura per i clienti, oppure offrite insieme al vostro software anche gestione, monitoraggio o hosting, vi spostate verso quella categoria. Se fornite solo un'applicazione che il cliente gestisce e ospita autonomamente, la situazione è diversa.
La classificazione non è tanto una questione di come vi definite, ma di ciò che realmente fate per il cliente. Due aziende che si definiscono entrambe "sviluppatore di software" possono avere risultati diversi non appena una delle due assume anche le responsabilità di gestione. Un test strutturato lungo il settore, le dimensioni e la posizione nella catena fornisce chiarezza più rapidamente di una conversazione generica su elenchi di verifica. in poche domande scopri dove si colloca la vostra azienda
Dimensioni: la soglia si applica anche se il settore è coerente
Anche se la vostra attività rientra in una categoria nominata, si applicano soglie di dimensione: la direttiva distingue tra imprese medie e grandi, con esiti diversi per le organizzazioni più piccole. Un piccolo team di sviluppo che occasionalmente offre anche hosting non ricade automaticamente nella stessa categoria di un grande fornitore di servizi cloud. I limiti precisi e le eccezioni ad essi relativi sono contenuti nella direttiva e nella trasposizione nazionale; non è una questione su cui dovremmo decidere sulla base di una regola approssimativa.
Posizione nella catena: coinvolti senza essere personalmente soggetti all'obbligo
Qui si trova il lato pratico della questione per la maggior parte delle aziende di software. L'obbligo di diligenza (articolo 21) obbliga le entità essenziali e importanti a valutare anche la sicurezza dei loro fornitori. Se sviluppate software per un ospedale, un'azienda energetica o un comune, è probabile che il cliente vi invii un questionario sulla sicurezza riguardante il vostro processo di sviluppo — indipendentemente dal fatto che ricadiate voi stessi sotto la direttiva.
Questi questionari raramente riguardano principi politici astratti. Chiedono concretamente come individuate e rimediate alle vulnerabilità, come le patch raggiungono il cliente, e chi all'interno della vostra azienda ha accesso al codice sorgente e all'ambiente di produzione. Chi riceve tali domande per la prima volta spesso lo vive come una sorpresa che mette il contratto sotto pressione; con un set di risposte consolidato, la prossima volta procede in modo considerevolmente più veloce. i temi selezionati per ogni situazione
Due livelli di sicurezza: il prodotto e la pipeline di sviluppo
Nello sviluppo software due questioni si intrecciano, ed è utile tenerle separate. La prima riguarda ciò che costruite: esiste un processo per individuare e risolvere le vulnerabilità nel codice, vengono mantenute le dipendenze e le librerie, e con quale velocità un aggiornamento di sicurezza raggiunge il cliente? La seconda riguarda come costruite: chi ha accesso al repository del codice sorgente, come è protetta la pipeline CI/CD, e chi è autorizzato a distribuire effettivamente in produzione?
Un questionario sulla sicurezza di un committente di solito tocca entrambi i livelli contemporaneamente, anche se il cliente stesso potrebbe non distinguerli separatamente. Le autorità di vigilanza e i committenti verificano se esiste un processo riconoscibile e se quel processo è documentato, non solo l'intenzione dietro di esso.
Ciò che potete fare ora
Se lo sviluppo software nel vostro caso rientra nella NIS2 dipende dal servizio preciso che fornite, dalle dimensioni della vostra organizzazione e dal settore in cui operano i vostri clienti. Non esiste un univoco "sì" o "no" per l'intero settore, e la valutazione finale della vostra situazione spetta a un legale o all'autorità di vigilanza, non a un articolo di blog.
Ciò che è possibile fare è: verificare in quale delle tre posizioni vi trovate — soggetti agli obblighi di persona, interessati tramite un cliente, o per il momento non interessati — e da lì determinare quali domande potete aspettarvi. Ulteriori informazioni su come viene effettuata questa classificazione e da dove provengono le fonti utilizzate si trovano su la pagina sulla metodologia. Se desiderate effettuare questa prima classificazione per la vostra azienda, è possibile farla in pochi minuti, senza necessità di un account. le domande più frequenti sulla classificazione forniscono una prospettiva aggiuntiva su come altre aziende di sviluppo affrontano la stessa questione.