Czy tworzenie oprogramowania podlega NIS2?
Tworzenie oprogramowania jako działalność nie jest wyrażnie wymienione w załącznikach dyrektywy NIS2. Nie istnieje sektor o nazwie "twórcy oprogramowania". Co jednak jest wymienione, to powiązane kategorie: obliczenia w chmurze i usługi w chmurze podlegają infrastrukturze cyfrowej, a zarządzane usługi ICT i zarządzane usługi bezpieczeństwa podlegają usługom ICT. Jeśli tworzysz oprogramowanie na zamówienie dla klientów bez dostarczania własnej usługi w chmurze lub zarządzanej usługi, to istnieje duża szansa, że nie podlegasz bezpośrednio tej dyrektywie.
Nie oznacza to jednak, że tworzenie oprogramowania pozostaje poza zakresem. Trzy elementy razem określają Twoją pozycję: dokładny charakter tego, co dostarczasz (sektor), wielkość Twojej organizacji oraz pytanie, czy Twoi klienci sami podlegają obowiązkom. W praktyce ostatnia kwestia dotyczy znacznie więcej firm deweloperskich niż pierwsza.
Sektor: co załączniki zawierają i co pomijają
Dyrektywa rozróżnia sektory istotne (załącznik I) i sektory ważne (załącznik II). Infrastruktura cyfrowa i usługi ICT znajdują się w załączniku I, przy czym ta ostatnia kategoria odnosi się konkretnie do podmiotów zarządzających lub monitorujących środowisko ICT innych — na przykład dostawcy usług zarządzanych. Jeśli dostarczasz produkt SaaS, w którym zarządzasz infrastrukturą dla klientów, lub oferujesz oprócz oprogramowania także zarządzanie, monitorowanie lub hosting, przesuwasz się w kierunku tej kategorii. Jeśli dostarczasz tylko aplikację, którą klient sam zarządza i hostuje, jest to inne.
Klasyfikacja zależy mniej od tego, jak się określasz, a bardziej od tego, co faktycznie robisz dla klienta. Dwie firmy, które obie określają się jako "twórca oprogramowania", mogą uzyskać różne wyniki, gdy jedna z nich również podejmie się zarządzania. Systematyczna ocena przez sektor, wielkość i pozycję w łańcuchu dostaw daje szybszą jasność niż luźna rozmowa na temat list kontrolnych. w kilku pytaniach sprawdzić, gdzie stoi Twoja firma
Wielkość: próg ma zastosowanie również, gdy sektor się zgadza
Nawet jeśli Twoja działalność mieści się w wymienionej kategorii, obowiązują progi wielkości: dyrektywa rozróżnia średnie i duże przedsiębiorstwa, z innymi wynikami dla mniejszych organizacji. Mały zespół deweloperów, który przypadkiem również oferuje hosting, nie podlega automatycznie tej samej kategorii co duży dostawca usług w chmurze. Dokładne granice i wyjątki od nich znajdują się w dyrektywie i jej transpozycji krajowej; to nie jest coś, na temat czego należałoby decydować na podstawie praktycznej reguły.
Pozycja w łańcuchu dostaw: dotknięty bez bycia samemu obowiązanym
Tutaj dla większości firm zajmujących się oprogramowaniem tkwi praktyczna strona sprawy. Obowiązek należytej staranności (artykuł 21) zobowiązuje podmioty istotne i ważne do oceny również bezpieczeństwa swoich dostawców. Jeśli tworzysz oprogramowanie dla szpitala, firmy energetycznej lub gminy, istnieje duża szansa, że ten klient wyśle Ci ankietę bezpieczeństwa dotyczącą Twojego procesu rozwojowego — niezależnie od pytania, czy sam podlegasz dyrektywie.
Te ankiety rzadko dotyczą abstrakcyjnych zasad polityki. Konkretnie pytają, jak wykrywasz i naprawiasz luki w zabezpieczeniach, jak poprawki trafiają do klienta oraz kto w Twojej firmie ma dostęp do kodu źródłowego i środowiska produkcyjnego. Ci, którzy po raz pierwszy otrzymają takie pytania, często doświadczają tego jako zaskoczenia, które stawia kontrakt pod presją; z ustaloną bazą odpowiedzi następnym razem jest to znacznie szybsze. tematy, które są wybierane dla każdej sytuacji
Dwie warstwy bezpieczeństwa: produkt i proces development
Przy tworzeniu oprogramowania dwie kwestie przeplątają się ze sobą, i warto je rozdzielić. Pierwsza dotyczy tego, co budujecie: czy istnieje proces identyfikacji i usuwania luk w kodzie, czy zależności i biblioteki są śledziane, i jak szybko aktualizacja bezpieczeństwa trafia do klienta? Druga dotyczy tego, jak budujecie: kto ma dostęp do repozytorium kodu źródłowego, jak zabezpieczona jest potok CI/CD, i kto jest uprawniony do faktycznego wdrażania do produkcji?
Kwestionariusz bezpieczeństwa od zleceniodawcy zwykle dotyczy obu warstw jednocześnie, nawet jeśli klient sam ich nie rozróżnia. Organy nadzoru i zleceniodawcy w tego rodzaju pytaniach sprawdzają, czy istnieje rozpoznawalny proces i czy proces ten jest udokumentowany, a nie tylko intencje, które się za nim kryją.
Co możecie zrobić teraz
To, czy tworzenie oprogramowania w waszym przypadku podlega dyrektywie NIS2, zależy od dokładnego charakteru świadczonych usług, wielkości waszej organizacji i sektora, w którym działają wasi klienci. Jednoznaczne "tak" lub "nie" dla całej branży nie istnieje, a ostateczna ocena waszej sytuacji należy do prawnika lub organu nadzoru, nie do artykułu na blogu.
Można natomiast: ustalić, w której z trzech pozycji się znajdujecie — sami podlegający obowiązkowi, dotknięci przez klienta, lub na razie niedotkniętych — i na tej podstawie określić, jakie pytania możecie oczekiwać. Więcej na temat tego, jak dochodzi do tego podziału i skąd pochodzą wykorzystane źródła, znajdziecie na strona dotycząca procedury postępowania. Jeśli chcesz opracować tę początkową klasyfikację dla swojej firmy, zajmie to kilka minut i nie będzie wymagać utworzenia konta. najczęściej zadawane pytania dotyczące klasyfikacji zapewniają dodatkowy obraz tego, jak inne przedsiębiorstwa zajmujące się oprogramowaniem podchodzą do tego samego pytania.