Ar programinė įranga kuriama yra NIS2 taikymo sritis?
Programinės įrangos kūrimas kaip veikla nenurodomas tiesioginiais žodžiais NIS2 direktyvos prieduose. Nėra sektoriaus, vadinamo „programinės įrangos kūrėjais". Tačiau yra susijusios kategorijos: debesų kompiuterija ir debesų paslaugos priklauso skaitmeninei infrastruktūrai, o valdomi IRT paslaugų ir valdomi saugumo paslaugų teikybai. Jei kuriate pasirinktinę programinę įrangą klientams neteikdami pats debesų paslaugų ar valdytų paslaugų, yra tikėtina, kad tiesiogiai neesate šios direktyvos taikymo sritis.
Tai nereiškia, kad programinės įrangos kūrimas lieka nepastebėtas. Trys dalykai kartu nustato, kur jūs esate: tiksli to, ką jūs teikiate, prigimtis (sektoriaus kategorija), jūsų organizacijos dydis ir klausimas, ar jūsų patys klientai yra taikymo sritimi. Pastarasis aspektas praktikoje paveikia daug daugiau programinės įrangos kūrimo įmonių nei pirmas.
Sektoriaus kategorija: ką prieduose nurodoma ir nerodoma
Direktyva skiria esminės sritis (I priedas) ir svarbias sritis (II priedas). Skaitmeninė infrastruktūra ir IRT paslaugų teikybą yra I priede, o pastaroji kategorija konkrečiai skirta šalims, kurios tvarko arba stebi kitų IRT aplinką — pagalvokite apie valdytų paslaugų teikėjus. Jei teikiate SaaS produktą, kurį jūs tvarkyote kliento infrastruktūrą, arba jei pasiūlote programinę įrangą kartu su tvarkymu, stebėjimu ar hosting paslaugomis, jūs judėjate šios kategorijos kryptimi. Jei teikiate tik programą, kurią kliento pats tvarko ir hostina, tada situacija yra kitokia.
Skirstymas mažiau yra reikalas dėl to, kaip jūs save vadinsite, ir daugiau apie tai, ką jūs iš tikrųjų atliekate klientui. Du įmonės, kurios abi save vadina „programinės įrangos kūrėjomis", gali turėti skirtingus rezultatus iš karto, kai viena jų perima ir tvarkymą. Sutvarkyta patikra pagal sektoriaus kategoriją, dydį ir grandinės padėtį duoda greitesnę aiškumą nei laisva pokalbis apie patikrinimo sąrašus. keliais klausimais pamatyti, kur yra jūsų įmonė
Dydis: riba galioja ir jei sektoriaus kategorija atitinka
Net jei jūsų veikla patenka į nurodytą kategoriją, galioja dydžio ribos: direktyva skiria vidutines ir didelės įmones su skirtingais rezultatais mažesnėms organizacijoms. Mažas kūrimo būrys, kuris atsitiktinai taip pat pasiūlo hosting, dėl to automatiškai nepateko į tą pačią kategoriją kaip didelis debesų paslaugų teikėjas. Tikslios ribos ir jų išimtys nurodyta direktyvoje ir nacionaliniame transpozicijoje; tai nėra kažkas, apie ką turėtumėte nuspręsti remiantis grubiu nykščio taisykle.
Grandinės padėtis: paveikta nenaudojant tiesiogiai taikymo sritis
Čia yra daugumoje programinės įrangos kūrimo įmonių praktinis istorijos aspektas. Aprūpinimo pareiga (21 straipsnis) įpareigoja esminės ir svarbias subjektus įvertinti ir savo tiekėjų saugumą. Jei kuriate programinę įrangą ligoninei, energetikos bendrovei ar savivaldybei, tikėtina, kad šis klientas jums išsiųs saugumo klausimyną apie jūsų kūrimo procesą — nepriklausomai nuo to, ar patys esate direktyvos taikymo sritis.
Tie klausimynai retai kyla iš abstraktaus politikos principų. Jie konkretiškai klausia, kaip jūs rasite ir pataisysite žalias vietas, kaip pataisymai pasiekia klientą, ir kas jūsų įmonėje turi prieigą prie šaltinio kodo ir gamybos aplinkos. Kas tokius klausimus gauna pirmą kartą, tai dažnai patiria kaip netikėtumą, kuris sutarta slegė; su fiksuota atsakymo rinktimi, tai antrą kartą vyksta daug greičiau. pagal situaciją parinkti dalykai
Du saugumo sluoksniai: produktas ir kūrimo grandinė
Kuriant programinę įrangą, iškyla dvi klausimas, kurie naudinga atskirti. Pirma susijusi su tuo, ką kuriat: ar yra procesas, skirtas aptikti ir šalinti kodo pažeidžiamumą, ar valdomi priklausomybės ir bibliotekos, ir kaip greitai saugumo atnaujinimas pasiekia klientą? Antra susijusi su tuo, kaip kuriat: kas turi prieigą prie šaltinio kodo saugyklos, kaip apsaugota tūpavimo konvejerio sistema, ir kas gali iš tikrųjų visuotinai diegti?
Tarnybos teikėjo saugumo klausimynas dažniausia veikia abi sluoksnius vienu metu, net jei pats klientas tų dviejų atskirai neprisimena. Reguliavimo organai ir tarnybos teikėjai šiuo atveju žiūri, ar egzistuoja atpažįstamas procesas ir ar tas procesas yra nustatytas raštiniu pavidalu, o ne tik į ketinimą, kuris jį slypi.
Ką galite padaryti dabar
Tai, ar programinės įrangos kūrimas jūsų atveju patenka į NIS2 taikymo sritį, priklauso nuo tikslios tarnybos, kurią teikiat, jūsų organizacijos dydžio ir sektoriaus, kuriame veikia jūsų klientai. Vienas aiškus "taip" arba "ne" visai industrijoje neegzistuoja, ir galutinis jūsų situacijos įvertinimas priklauso teisinin arba reguliavimo organui, o ne dienraščio straipsniui.
Tai, ką galima padaryti: patikrinti, kurioje iš trijų pozicijų esate — patys atsakingi pagal reglamentą, nukenčiate per klientą, arba kol kas nepaveikti — ir iš to atskaitos taško nustatyti, kokius klausimus galite tikėtis. Daugiau apie tai, kaip sudaroma ta klasifikacija ir iš kur kyla naudoti šaltiniai, rasite puslapis apie mūsų veikimo metodą. Jei norite sukurti tą pirmą skirsnį savo įmonei, tai užtruks kelias minutes ir jums nereikės sukurti paskyros. dažniausiai užduodami klausimai apie skirsnį suteikia papildomą supratimą apie tai, kaip kitos programinės įrangos kūrimo įmonės sprendžia tą patį klausimą.