Għall-żvilupp ta' softwer, jeħtieġ li jkun suġġett għan-NIS2?
L-iżvilupp ta' softwer bħala attività mhuwiex elenkat b'dak il-mod eżatt fl-anness tad-Direttiva NIS2. M'hemm l-ebda settur li jismu "manifatturi ta' softwer". Dak li hemm, huma kategoriji relatati: il-cloud computing u l-servizzi tal-cloud jaqłu taħt l-infrastruttura diġitali, u l-servizzi tal-ICT immaniġġati u l-servizzi tal-ħarsien ikkompatibbilizzati jaqłu taħt it-tqassim tas-servizzi tal-ICT. Jekk tiddisinja softwer personalizzat għal klijenti mingħajr li inti nnifsu tipprovdi servizz tal-cloud jew servizz immaniġġat, hemm ċans kbir li int ma taqa' direttament taħt id-direttiva.
Dan ma jfissirx li l-iżvilupp ta' softwer jibqa' barra mid-dħul. Tliet affarijiet jiddeterminaw flimkien fejn taqع: in-natura eżatta ta' dak li tipprovdi (settur), id-daqs tal-organizzazzjoni tiegħek, u l-mistoqsija jekk il-klijenti tiegħek nnifishom huma soġġetti għall-obbligazzjonijiet. Dan tal-aħħar jintlaqa' fil-prattika ma' ħafna aktar kumpaniji ta' iżvilupp milli l-ewwel.
Settur: x'għandhom l-anness u x'ma għandhomx
Id-direttiva tiddistinggwixxi l-infoq tal-kummerċ essenzjali (Anness I) u l-infoq tal-kummerċ importanti (Anness II). L-infrastruttura diġitali u t-tqassim tas-servizzi tal-ICT huma fl-Anness I, u din l-aħħar kategorija tirreferi speċifikament għal partijiet li jimmaniġġaw jew jissorvegljaż l-ambjent tal-ICT ta' oħrajn — ħadd bħal fornituri ta' servizzi immaniġġati. Jekk tipprovdi prodott SaaS fejn inti timmaniġġa l-infrastruttura għal klijenti, jew toffri li ġamb is-softwer tiegħek ukoll ir-reġistrazzjoni, is-sorveljanza jew l-ostaġġ, allura inti tmexxi fid-direzzjoni ta' dik il-kategorija. Jekk tipprovdi biss applikazzjoni li l-klijent nnifsu jmaniġġa u jostaġġa, allura huwa differenti.
Il-klassifika hija aktar kwistjoni ta' dak li inti tafal fatt għal-klijent u inqas ta' kif inti nnifisk jismu. Żewġ kumpaniji li t-tnejn jismu nnifishom "disinna ta' softwer", jista' jkun għandha riżultati differenti ladarba waħda mill-itrija tuħu l-immaniġġamenti fuqha. Tħaqqiq strutturati tul is-settur, id-daqs u l-pożizzjoni fil-katina jagħti ċarezza agħmel malajr milli diskussjoni libera dwar ċeklist tal-immarkar. f'ftit mistoqsija ara fejn taqع l-iżvolupp tiegħek
Id-daqs: il-limitu japplikaw ukoll meta s-settur jikkoinċidi
Anke jekk l-attività tiegħek tonqos f'kategorija mmenzjonata, hemm limiti ta' daqs: id-direttiva tagħmel distinzjoni bejn midjan u kumpaniji kbar, b'riżultat differenti għal organizzazzjonijiet iżgħar. Tim iżgħar ta' iżvolupp li b'każ joffri wkoll ostaġġ, mhuwiex li taqa' direttament fl-istess kategorija bħal fornitur tal-cloud kbir. Il-limiti eżatti u l-eċċezzjonijiet li jeżistu dwar dawn, huma fl-istess direttiva u l-implimentazzjoni nazzjonali; dawk mhumiex xi ħaġa li int għandek tiddecidi fuqha fuq il-bażi ta' regola ġenerali.
Pożizzjoni fil-katina: ħamsa mingħajr ikun inti nnifek soġġett għall-obbligazzjonijiet
Hona fejn tilħaq għal ħafna aktar kumpaniji ta' softwer il-ġenb prattiku tal-istorja. L-obligazzjoni tal-kura (Artikolu 21) teħtieġ mill-entitajiet essenzjali u importanti li jevalwaw ukoll is-sigurtà tal-fornituri tagħhom. Jekk tiddisinja softwer għal spitale, kumpanija tal-enerġija jew muniċipjalità, hemm ċans kbir li dak il-klijent jibgħatlek lista tal-mistoqsija tas-sigurtà dwar il-proċess ta' disinn tiegħek — separata mid-desiderata jekk inti nnifusk taqa' taħt id-direttiva.
Dawn il-listi tal-mistoqsija malajr jitħaddmu l-prinċipji astratti ta' politika. Jitolbu konkretament kif inti sib u tirranġa d-debolezzi, kif il-porting tistgħu jwaħħlu mal-klijent, u min ġewwa l-kumpanija tiegħek għandu l-aċċess mal-kodiċi tal-ħadd u l-ambjent tal-produzzjoni. Min li jirċievi mistoqsija bħal din għall-ewwel darba, ħafna drabi jxaħex dan bħala sorpriża li titfax il-kuntratt taħt pressjoni; b'sett stabiilizat ta' risposti, jagħmel lil dar alajr ħafna aktar malajr it-tieni darba. is-suġġetti li għal kull sitwazzjoni huma intgħażlu
Żewġ saffi ta' protezzjoni: il-prodott u s-soq tal-iżvolupp
Fl-iżvilupp tas-softwer, żewġ mistoqsija jibqgħu jimxu flimkien, u huwa utli li żżommhom separati. L-ewwel waħda tikkoncerna dak li qed tibni: jeżistix proċess għat-tdetezzjoni u s-soluzzjoni ta' vulnerabilità fil-kodiċi, jiġu mintenzati d-dipendimenti u l-libreriji, u kemm malajr jilħaq aġġornament tas-sigurtà lill-kliyent? It-tieni tikkoncerna kif qed tibni: min għandu aċċess għall-repository tal-kodiċi sors, kif hija s-CI/CD-pipeline protetta, u min jista' verament jagħmel deploy għall-produzzjoni?
Lista ta' mistoqsiji dwar is-sigurtà minn commitent ġeneralment tintilef it-tnejn fil-istess ħin, anki jekk il-kliyent innifsu ma jisseparahom. L-awtoritajiet ta' sorveljanza u l-committenti jħarsu f'dawn it-tipi ta' mistoqsiji biex jivverifikaw jekk jeżistix proċess rikonoxxi u jekk dak il-proċess dokumentat, mhux biss l-intenzjoni wara tiegħu.
Dak li tista' tagħmel issa
Jekk l-iżvilupp ta' softwer jilħaqx it-taħt NIS2 fil-każ tiegħek, jiddipendi minn is-servizz preċiż li qed tipprovdi, l-għamla tal-organizzazzjoni tiegħek u s-settur fejn il-kliyenti tiegħek joperaw. Ma teżistix risposta unika "iva" jew "le" għal-industrija kollha, u l-valutazzjoni finali tas-sitwazzjoni tiegħek għandha tkun ir-responsabbiltà ta' avukat jew ta' l-awtorità ta' sorveljanza, mhux ta' artiklu blog.
Dak li tista' tagħmel hija: tivverifika f'liema minn it-tliet pożizzjonijiet int – int nifsu soġġett għall-obbligi, milħuq permezz ta' kliyent, jew għaddiem mingħajr ma tkun milħuqa – u minn hemm tiddetermina liema mistoqsiji tista' tistenna. Aktar informazzjoni dwar kif din il-klassifikazzjoni sseħħ u minn fejn ġejjin is-sorsi użati, aqra fuq il-paġna dwar il-metodoloġija tagħna. Jekk trid tagħmel dik l-ewwel klassifikazzjoni għall-negozju tiegħek, dan isir fi ftit minuti, mingħajr ma jkun meħtieġ kont. il-mistoqsiji l-aktar i-frekwenti dwar il-klassifikazzjoni jagħtu stampa addizzjonali ta' kif iż-żviluppturi ta' softwer oħrajn jiffaċċaw l-istess kwistjoni.