A szoftverfejlesztés a NIS2 hatálya alá tartozik?
A szoftverfejlesztés tevékenységként nem szerepel szó szerint a NIS2-irányelv mellékletében. Nincs olyan szektor, amely a "szoftverépítőket" nevezi. Azonban vannak rokon kategóriák: a felhőszámítástechnika és felhőszolgáltatások a digitális infrastruktúra alá tartoznak, míg a felügyelt IKT-szolgáltatások és felügyelt biztonsági szolgáltatások az IKT-szolgáltatások közé esnek. Ha egyedi szoftvert fejleszt ügyfeleknek anélkül, hogy maga felhőszolgáltatást vagy felügyelt szolgáltatást nyújtana, akkor valószínűleg nem esik közvetlenül az irányelv hatálya alá.
Ez nem azt jelenti, hogy a szoftverfejlesztés kívül marad. Három dolog együttesen határozza meg pozícióját: annak pontos természete, amit nyújtott (szektor), szervezete nagysága, és az a kérdés, hogy ügyfelei maguk plichtra esnek-e. Az utóbbi a gyakorlatban sokkal több fejlesztőcéget érint, mint az előbbi.
Szektor: mit említenek és mit nem a mellékletek
Az irányelv megkülönböztet lényeges szektorokat (I. melléklet) és fontos szektorokat (II. melléklet). A digitális infrastruktúra és az IKT-szolgáltatások az I. mellékletben szerepelnek, és az utóbbi kategória kifejezetten azokra vonatkozik, akik mások IKT-környezetét kezelik vagy figyelemmel kísérik — például a felügyelt szolgáltatások nyújtóira gondolunk. Ha SaaS-terméket szállít, amelynél Ön kezeli az ügyfelek infrastruktúráját, vagy szoftvere mellett kezelést, megfigyelést vagy üzemeltetést is kínál, akkor közelebb kerül az adott kategóriához. Ha csak egy alkalmazást szállít, amelyet az ügyfél maga kezel és üzemeltet, akkor más a helyzet.
A besorolás kevésbé arról szól, hogy magát hogyan nevezik, hanem arról, hogy mit tesznek az ügyfélért. Két cég, amely szintén "szoftverfejlesztőnek" nevezi magát, tehát különböző eredményre juthat, amint az egyik a kezelést magára veszi. A szektor, méret és lánc szerinti pozíció szerinti strukturált vizsgálat gyorsabban tisztázza ezt, mint egy szabad beszélgetés a jelölőlistákról. néhány kérdésben megtudja, hová tartozik a cége
Méret: a küszöb akkor is érvényes, ha a szektor egyezik
Még ha tevékenysége az említett kategóriák közé esik, méretküszöbök alkalmazandók: az irányelv különbséget tesz közepes és nagy vállalkozások között, és eltérő eredményt hoznak a kisebb szervezetek számára. Egy kis fejlesztőcsapat, amely véletlenül üzemeltetést is kínál, nem esik automatikusan ugyanabba a kategóriába, mint egy nagy felhőszolgáltató. A pontos határok és az azokra vonatkozó kivételek az irányelvben és az országos átültetésben találhatók; ezekről nem főszabály alapján kellene döntenie.
Lánc szerinti pozíció: érintett anélkül, hogy maga plichtra esne
Itt játszik közre a legtöbb szoftverbedrijfnél a sztorik gyakorlati oldala. Az ágazat irányítási feladata (21. cikk) kötelezi a lényeges és fontos szervezeteket beszállítóik biztonsági értékelésére. Ha szoftvert fejleszt egy kórháznak, energiacégnek vagy önkormányzatnak, akkor valószínűleg az ügyfél biztonsági kérdőívet küld Önnek fejlesztési folyamatáról — függetlenül attól, hogy Ön maga esik-e az irányelv hatálya alá.
Ezek a kérdőívek ritkán absztrakt politikai elvekről szólnak. Konkrétan arra kérdeznek, hogy Ön hogyan fedez fel és javít ki sebezhetőségeket, hogyan érik el a javítások az ügyfélnél, és kinek van hozzáférése a forráskódhoz és az üzemi környezethez cégén belül. Aki először kap ilyen kérdéseket, azt gyakran kellemetlenül meglepő tapasztalatnak érzi, amely a szerződést nyomás alá helyezi; egy állandó válaszkészlet segítségével a második alkalommal sokkal gyorsabb. az adott helyzethez kiválogatott témakörök
Két rétegű biztonság: a termék és a fejlesztési lánc
A szoftverfejlesztésben két kérdés keveredik össze, és hasznos őket szétválasztani. Az első arra vonatkozik, hogy mit épít meg: van-e folyamat a kódban lévő sebezhetőségek feltárására és kijavítására, nyomon követik-e a függőségeket és könyvtárakat, és milyen gyorsan jut el egy biztonsági frissítés az ügyfélhez? A második arra vonatkozik, hogy hogyan épít meg: kinek van hozzáférése a forráskód-adattárhoz, hogyan védett a CI/CD-folyamat, és ki telepíthet ténylegesen az éles környezetbe?
Az ügyfél biztonsági kérdőíve általában egyszerre érinti mindkét réteget, még akkor is, ha az ügyfél maga ezt a kettőt nem különíti el. A felügyeletű szervek és megrendelők az ilyen kérdéseket úgy vizsgálják, hogy van-e felismerhető folyamat, és ezt a folyamatot dokumentálták-e, nem csak az mögötti szándékra néznek.
Mit tehet most
Hogy a szoftverfejlesztés az Ön esetében a Direktívára (EU) 2022/2555 vonatkozik-e, attól függ, hogy pontosan milyen szolgáltatást nyújt, szervezete mekkora, és hogy mely szektorban működnek az Ön ügyfelei. Az egész iparágra vonatkozóan egyértelmű „igen
Amit érdemes tenni: megállapítani, hogy az alábbi három pozíció közül melyikben van — maga a felelős fél, az ellátási láncon keresztül érintett, vagy egyelőre nem érintett — és ebből kiindulva meghatározni, milyen kérdésekre számíthat. Az erre vonatkozó besorolás módját és a felhasznált források eredetét a a munkafolyamatról szóló oldalHa ezt az első besorolást saját cégeként szeretné elkészíteni, az néhány perc alatt megtehető, anélkül hogy ehhez fiókra lenne szüksége. a besorolásról gyakran feltett kérdések további képet adnak arról, hogy más szoftverfejlesztő cégek ugyanezzel a kérdéssel hogyan szembesülnek.