Vai programmatūras izstrāde ietilpst NIS2?
Programmatūras izstrāde kā darbība nav ar tik daudz vārdiem norādīta NIS2 direktīvas pielikumos. Nav nozares, ko sauc par "programmatūras veidotājiem". Bet ir saistītās kategorijas: mākoņskaitļošana un mākoņpakalpojumi ietilpst digitālajā infrastruktūrā, bet pārvaldīti IKT pakalpojumi un pārvaldīti drošības pakalpojumi ietilpst IKT pakalpojumu sniegšanā. Ja jūs veidojat pielāgotu programmatūru klientiem bez tam, ka paši sniedzat mākoņpakalpojumus vai pārvaldītus pakalpojumus, ir liela varbūtība, ka jūs netieši neietilpstat Direktīvā.
Tas nenozīmē, ka programmatūras izstrāde paliek ārpus redzesloka. Trīs lietas kopā nosaka, kur jūs stāvat: tā, ko jūs sniedzat, precīzā rakstura izpausmē (sektors), jūsu organizācijas lielums un jautājums par to, vai jūsu paši klienti ir saistīti pienākumiem. Pēdējais praktiskā ziņā skar daudz vairāk izstrādes uzņēmumu nekā pirmais.
Sektors: ko pielikumi norāda un ko ne
Direktīva izšķir kritiskās nozares (I pielikums) un svarīgas nozares (II pielikums). Digitālā infrastruktūra un IKT pakalpojumu sniegšana ir I pielikumā, un šī pēdējā kategorija ir vērsta uz pusēm, kuras pārvalda vai pārraudzīta citu IKT vidi — piemēram, vadītos pakalpojumu sniedzējus. Ja jūs sniedzat SaaS produktu, kurā jūs pārvaldāt infrastruktūru klientiem, vai piedāvājat kopā ar jūsu programmatūru arī pārvaldīšanu, uzraudzību vai mitināšanu, jūs pārvietojaties šīs kategorijas virzienā. Ja sniedzat tikai lietojumprogrammu, kuru klients pats pārvalda un mitina, tad tas ir atšķirīgi.
Dalījums ir mazāk jautājums par to, kā jūs sevi sauciet, un vairāk par to, ko jūs faktiski darāt klientam. Divi uzņēmumi, kuri paši sevi abi sauc par "programmatūras izstrādes uzņēmumiem", var tāpēc dažādi beidzas, tiklīdz viens no tiem arī pārņem pārvaldīšanu. Strukturēts tests pa sektoru, lielumu un ķēdes pozīciju sniedz skaidrību ātrāk nekā brīvs saruna par kontrolsarakstiem. Dažos jautājumos redzēt, kur jūsu uzņēmums stāv
Lielums: slieksnis gültīgs arī tad, ja sektors atbilst
Pat ja jūsu darbība ietilpst minētajā kategorijā, ir spēkā lieluma slieksņi: Direktīva izšķir vidēja un lielāka lieluma uzņēmumus ar atšķirīgiem iznākumiem mazākām organizācijām. Mazs izstrādes komanda, kura tieši mitina, nepilnīgi ietilpst tajā pašā kategorijā kā liels mākoņpakalpojumu sniedzējs. Tieši robežas un izņēmumi, kas pastāv, ir Direktīvā un nacionālajā pieņemšanā; tas nav tas, uz ko jūs varētu lemt balstoties uz tumšo likumu.
Ķēdes pozīcija: skarta, nepārvaldot pienākumus
Lielākajai daļai programmatūras uzņēmumu šeit atrodas praktikas stāsts. Aprūpes pienākums (23. pants) obligā kritiskās un svarīgas entitātes, kā arī novērtēt savu piegādātāju drošību. Ja jūs veidojat programmatūru slimniecai, enerģijas uzņēmumam vai pašvaldībai, ir liela varbūtība, ka tas klients jums sūtīs drošības jautājumu sarakstu par jūsu izstrādes procesu — neatkarīgi no jautājuma, vai jūs paši ietilpstat Direktīvā.
Šie jautājumu saraksti reti ir par abstraktiem politikas principiem. Viņi jautā konkrēti, kā jūs meklējat un novērsējat ievainojamības, kā plāksteri nonāk pie klienta, un kurš jūsu uzņēmumā ir piekļuve pirmkoda un produkcijas videi. Kas šādus jautājumus pirmo reizi saņem, to bieži piedzīvo kā pārsteigumu, kas kontraktu spiež apdraudē; ar fiksētu atbilžu kopu to otrā reize nozīmīgi ātrāk. Tēmas, kas izanalizētas par katru situāciju
Divas drošības kārtas: produkts un izstrādes iela
Programmatūras izstrādē cirkulē divi jautājumi, un ir noderīgi tos turēt atsevišķi. Pirmais attiecas uz to, ko jūs veidojat: vai pastāv process ievainojamības atmošanai un novēršanai kodā, vai tiek uzturētas atkarības un bibliotēkas, un cik ātri drošības atjauninājums sasniedz klientu? Otrais attiecas uz to, kā jūs veidojat: kam ir piekļuve avota koda repozitorijam, kā ir aizsargāts CI/CD caurules, un kurš patiešām drīkst izvietot ražošanā?
Drošības jautājumu anketa no pasūtītāja parasti vienlaikus skar abas slāņus, pat ja klients pats šos divus neatdala. Uzraugi un pasūtītāji šāda veida jautājumos vērtē, vai pastāv atpazīstams process un vai tas process ir dokumentēts, nevis tikai nolūks aiz tā.
Ko jūs varat darīt tagad
Programmatūras izstrādes regulēšana jūsu gadījumā pēc NIS2 ir atkarīga no tieši tās pakalpojuma, ko jūs nodrošināt, no jūsu organizācijas lieluma un no nozares, kurā jūsu klienti darbojas. Vienoti "jā" vai "nē" visai nozarei nepastāv, un jūsu situācijas galīgais novērtējums pieder juristam vai uzraugam, nevis bloga rakstam.
Kas tomēr ir jāizdara: noskaidrot, kurā no trim pozīcijām jūs atrodaties — pats saistīts ar pienākumiem, skarts caur klientu, vai pagaidām neskarts — un no turienes noteikt, kādus jautājumus jūs varat sagaidīt. Vairāk par to, kā šī klasifikācija tiek veikta un kur nāk izmantotie avoti, lasiet vietnē par darbības veiduVai vēlaties šo pirmo klasifikāciju veikt savam uzņēmumam, to var izdarīt dažu minūšu laikā bez konta nepieciešamības. bieži uzdotie jautājumi par klasifikāciju sniedz papildinājumu priekšstatu par to, kā citas izstrādes uzņēmumi saskaras ar tādu pašu jautājumu.