Užsakovas, turintis atitikti NIS2 direktyvą, negali apriboti savo rūpinimosi pareigos tik savo organizacijom. Ši pareiga apima tiekimo grandinę: užsakovas privalo įvertinti, kokius rizikus dėl savęs nešasi tiekėjai, ir tai iš esmės verčiasi sutarties reikalavimais. Metalo ir gamybos pramonėje tai dažnai reiškia ne tik biuro automatizavimą, bet ir mašinas, valdymo sistemas bei gamybos linijas, kurios kitu ar kitu būdu prijungtos prie užsakovo tinklo arba prie interneto.
Dažniausiai pasitaikantys reikalavimai yra susiję su prieiga, tinklų atskirimu, atnaujinimo politika ir incidentų pranešimu pačiam užsakovui — nepriklausomai nuo teisinės pranešimo pareigos, kuri galioja tik patiems atitinkančioms subjektams. Toliau aprašomi atitinkami nuostatai ir jų praktinė reikšmė gamybos aplinkai.
Kokie nuostatai pasitaiko sutartyje
Sutartys, peržiūrėtos po NIS2, paprastai apima įvairias prievoles: teisę periodiškai siųsti klausimynus, incidento pranešimo terminą, jei jis paveikia paslaugų teikimą užsakovui, pareigą pagrindimais parodyti saugumo priemones ir kartais audito teisę. Formuluotės labai skiriasi atsižvelgiant į užsakovą ir sektorių; nėra standartinio teksto, taikymo visoms sutartims. Norint geriau suprasti, kas yra pagrįsta ir kas ne, pravartu peržiūrėti dažniausiai užduodamus klausimus apie tai, ką gali klausti pirkėjas .
Svarbu atskirti: užsakovas tai klausia iš savo rūpinimosi pareigos, o ne todėl, kad tiekėjas pats turėtų atitikti direktyvą. Mašinų gamintoja arba tiekėja iš metalo ir gamybos pramonės gali gauti sutarties reikalavimus net jei jie patys nėra esminiai ar svarbūs subjektai. Tai, ar tokie atvejai yra konkrečios santy kio atveju, priklauso nuo užsakovo sektoriaus ir dydžio bei nuo tiekėjo vaidmens toje grandinėje.
Ką tai reiškia gamybos sistemoms, susietos su tinklu
Metalo ir gamybos pramonėje IT (biuro automatizavimo) ir OT (operacinės technologijos, pavyzdžiui, CNC mašinos, PLC ir gamybos linijos) derinys yra nuolatinis dėmesys užsakovų užduodamuose klausimuose. Mašinos, kurios yra prieinamos nuotoliniam priežiūrai arba kurios siunčia gamybos duomenis į debesų aplinką, iš esmės sulygina su nešiojamųjų kompiuterių biure atveju.
Atskyrimas tarp biuro ir gamybos tinklo
Dažnas klausimas yra, ar gamybos tinklas yra atskirtas nuo biuro tinklo ir ar trikdis arba užkrėtimas vienoje tinklo dalyje gali sklisti į kitą. Tai nėra klausimas, į kurį būtų atsakyta tik taip arba ne klausimyne; reguliavimo subjektai ir užsakovai žiūri į realią struktūrą, o ne į deklaruotą ketinimą.
Nuolatinė prieiga priežiūrai
Daug mašinų metalo ir gamybos pramonėje priežiūrimas nuotoliniu būdu pačių mašinos tiekėjo, kartais per nuolatinį ryšį, kuris nuolat lieka atviras. Sutarties reikalavimai dažnai nukreipti konkrečiai į šį punktą: kas turi prieigą, kaip ta prieiga registruojama ir ar gali būti atšaukta bet kuriuo metu. Tai paveikia tiek tiekėją, kuris mašiną stato, tiek įmonę, kuri mašiną naudoja.
Ką užsakovai prašo kaip įrodymo
Be klausimų sąrašo, užsakovas dažnai prašo įrodymų: politikos dokumentą, prieigos prie sistemų žemėlapį, arba paaiškinkimą, kaip atliekamos atnaujinimo procedūros. Sertifikata arba audito ataskaita gali būti prašyta, tačiau pagal NIS2 tai nėra teisinė pareiga — tai atskiro užsakovo pasirinkimas. Norint suprasti, kaip kontraktiniai reikalavimai susiję su jūsų vieta grandinėje, naudinga pirmiausia atsakyti į kelis klausimus apie jūsų organizacijos padėtį.
Ką su tuo galite padaryti
Dauguma reikalavimų, kurie pasirodo metalų ir mašinų gamybos pramonės kontraktuose, kilo iš dešimties pagrindinių saugumo priemonių iš direktyvos: prieigos kontrolė, tinklo segmentacija, incidentų registravimas ir atsigavimo planai — visi jie grįžta, bet pritaikyti konkrečiam užsakovo klausimai. Pagal situaciją sudarytą sąvadą, įskaitant temas, kurios svarbi gamybos aplinkai, rasite sąvardu su temomis pagal sektorius ir situacijas.
Norint sukurti tikslią sutarties formuluotę ir išsiaiškinti, ar tam tikras reikalavimas yra pagrįstas atsižvelgiant į santykį, visada reikalinga teisinė konsultacija; šis straipsnis aprašo išryškintus šablonus, o ne atsakymą į atskiras sutartis. Daugiau informacijos apie šios svetainės šaltinių kilmę ir jų palaikymo būdą rasite puslapyje apie tai, kaip mes stebime šaltinius.
Norite greitai sužinoti, ar jūsų organizacija patenka į grandinę ir koks turėtų būti tolesnias žingsnis? Nemokama NIS2-check suteikia atsakymą per kelis klausimus be paskyros.