Pasūtītājs, kuram pašam jāpiemēro NIS2 direktīva, nedrīkst savu pienākumu aprūpēt ierobežot tikai uz savu organizāciju. Šis pienākums stiepjas pāri piegādes ķēdei: pasūtītājam jānovērtē, kādus riskus nenes piegādātāji, un tas pārvēršas līguma prasībās. Metāla un ražošanas rūpniecībā bieži vien runa nav tikai par birojs informācikas sistēmām, bet arī par mašīnām, vadības sistēmām un ražošanas līnijām, kas kaut kādā veidā ir savienotas ar pasūtītāja tīklu vai internetu.
Visizplatītākās prasības attiecas uz piekļuvi, tīklu atdalīšanu, atjauninājumu politiku un negadījuma paziņošanu pasūtītājam — neatkarīgi no likumā noteiktā paziņošanas pienākuma, kas attiecas tikai uz pienākumā esošajām subjektiem. Tālāk aprakstīts, kuri noteikumi parādās un ko tie praksē nozīmē ražošanas videi.
Kuri noteikumi parādās līgumā
Līgumi, kas pārskatīti pēc NIS2, parasti satur pienākumu kombināciju: tiesības periodiski sūtīt jautājumu sarakstus, negadījuma paziņošanas termiņu, ja tas ietekmē pakalpojumu sniegšanu pasūtītājam, pienākumu pierādāmi uzrādīt drošības pasākumus, un dažreiz revīzijas tiesības. Formulējums ievērojami atšķiras atkarībā no pasūtītāja un sektora; nav standarta teksta, kas derētu visiem līgumiem. Lai iegūtu skaidrāku priekšstatu par to, kas šajā kontekstā ir pamatots un kas nav, palīdz apskatīt biežāk uzdotos jautājumus par to, ko pircējs drīkst jautāt lūgt.
Svarīgi nošķirt: pasūtītājs to prasa, ņemoties vadīties no sava pienākuma aprūpēt, nevis tāpēc, ka piegādātājs pats ietilpst direktīvā. Mašīnbūves uzņēmums vai piegādātājs metāla un ražošanas rūpniecībā var saņemt līguma prasības, neietilpstot pats direktīvā ne kā būtisks ne kā svarīgs subjekts. Tas, vai konkrētai attiecībai tas attiecas, ir atkarīgs no pasūtītāja sektora un izmēra un no piegādātāja lomas šajā ķēdē.
Ko tas nozīmē ražošanas sistēmām, kas pievienotas tīklam
Metāla un ražošanas rūpniecībā IT (birojs informātikas sistēmas) un OT (operacionā tehnologija, piemēram, CNC mašīnas, PLC un ražošanas līnijas) kombinācija ir regulāri pamanāms jautājums, ko pasūtītāji uzdod. Mašīnas, kas attālā apkopes nolūkā ir sasniedzamas vai kas sūta ražošanas datus mākoņa videi, pakļaujas tādai pašai uzmanībai kā klēpjdators birojā.
Atdalīšana starp birojs tīklu un ražošanas tīklu
Bieži uzdots jautājums ir tas, vai ražošanas tīkls ir atdalīts no birojs tīkla un vai traucējumi vai inficēšana vienā tīklā var izplatīties uz otru. Tas nav jautājums, kas jautājumu sarakstā tiek atbildēts ar jā vai nē vien; uzraugi un pasūtītāji šajā gadījumā raugās uz faktisko iekārtojumu, nevis uz apņemšanās deklarāciju.
Attālā piekļuve apkopei
Daudzas metāla un ražošanas rūpniecības mašīnas attāli apkalpo pašas mašīnas piegādātājs, dažreiz caur pastāvīgu savienojumu, kas nepārtraukti ir atvērts. Līguma prasības bieži vien konkrēti attiecas uz šo punktu: kam ir piekļuve, kā tā piekļuve tiek reģistrēta un vai tā var tikt atsaukta jebkurā laikā. Tas skar gan piegādātāju, kas mašīnu izgatavo, gan uzņēmumu, kas mašīnu izmanto.
Ko pasūtītāji prasa par pierādījumiem
Papildus pašai jautājumu sarakstam pasūtītājs bieži vēlas kādu pamatojuma formu: politikas dokumentu, pārskatu par to, kuriem ir piekļuve kuriem sistēmām, vai paziņojumu par to, kā tiek risināti atjauninājumi. Sertifikātu vai audita pārskatu var pieprasīt, bet tas pats par sevi nav juridiska prasība saskaņā ar NIS2 — tā ir individuālā pasūtītāja izvēle. Tiem, kuri vēlas noskaidrot, kā šīs līgumsaistības prasības attiecas uz viņu vietu piegādes ķēdē, ir lietderīgi vispirms pāris jautājumos noskaidrot, kur jūsu organizācija atrodas.
Ko jūs pats ar to varat darīt
Lielākā daļa prasību, kas parādās metāla un ražošanas nozares līgumos, ir atvasinātas no desmit kibernētiskās drošības nodrošināšanas pasākumiem direktīvā: piekļuves kontrole, tīkla segmentācija, incidentu reģistrēšana un atveseļošanas plāni visi parādās atpakaļ, bet pēc tam pielāgots jautājumam, ko uzdod pasūtītājs. Pārskats par katru situāciju, ieskaitant tēmas, kas īpaši attiecas uz ražošanas vidēm, ir pieejams nozares un situācijas tēmu pārskatā.
Precīzai līguma formulējumam un jautājumam, vai konkrēta prasība ir pamatota attiecībā uz attiecībām, juridisks padoms joprojām ir pareizais ceļš; šajā rakstā aprakstīti modeļi, kas parādās, nevis atbilde uz atsevišķu līgumu. Vairāk informācijas par to, no kurienes šīs vietnes informācija nāk un kā tā tiek uzraudzīta, ir pieejama lapā par to, kā mēs uzraugām avotus.
Vai vēlaties ātri redzēt, vai jūsu organizācija tiek skarta caur piegādes ķēdi un kāds ir nākamais solis? Bezmaksas NIS2 pārbaude sniedz galveno virzienu pāris jautājumos, bez konta.