Zamawiający podlegający obowiązkowi opieki wynikającemu z NIS2 musi być w stanie wykazać, że zna zagrożenia w swojym łańcuchu dostaw. Oprogramowanie, które tworzy Pan/Pani dla tego zamawiającego, jest częścią tego łańcucha. W praktyce przekłada się to na wymagania umowne dotyczące dwóch rzeczy jednocześnie: produktu, który Pan/Pani dostarcza, i sposobu, w jaki go Pan/Pani tworzy. Oba elementy pojawiają się w tekście umowy, często jako załącznik do umowy zakupu.
Sedno jest proste do zapamiętania: zamawiający pyta nie tylko czy oprogramowanie działa, ale także czy Pan/Pani może wykazać, jak pozostaje ono bezpieczne, kto ma do niego dostęp i co się stanie, gdy coś pójdzie nie tak. Jest to zmiana w stosunku do przeszłości, gdy funkcjonalność i termin dostawy były często jedynymi punktami dyskusji.
Wymagania dotyczące produktu, który Pan/Pani dostarcza
Najczęstsze wymaganie umowne dotyczy składu samego oprogramowania. Zamawiający coraz częściej proszą o przegląd użytych bibliotek i komponentów open source, tak zwany rachunek materiałów oprogramowania. Powód jest taki, że luka w komponencie bazowym stanowi takie samo zagrożenie jak błąd w Pan/Pani kodzie, a zamawiający chce móc przejrzeć te zagrożenia bez samodzielnego czytania kodu źródłowego.
Ponadto pojawiają się wymagania dotyczące sposobu wykrywania i usuwania luk w oprogramowaniu oraz terminu, w jakim to ma się odbyć. Może to dotyczyć automatycznych skanów znanych słabych punktów, stałej procedury łat lub pytania, kto może zgłosić lukę i gdzie ona trafia. W przypadku istniejącego oprogramowania czasami pytamy również o okres wsparcia: jak długo wersja jest wyposażana w aktualizacje bezpieczeństwa.
Wymagania dotyczące Pan/Pani własnego procesu tworzenia oprogramowania
Drugi zbiór wymagań kieruje się nie na produkt, ale na proces jego tworzenia: proces tworzenia oprogramowania. Pomyśl o tym, kto ma dostęp do kodu źródłowego i środowiska, w którym odbywa się budowanie i testowanie, jak zmiany są kontrolowane przed wdrożeniem, i czy istnieje separacja między środowiskiem testowym, akceptacyjnym i produkcyjnym. Użycie weryfikacji wieloskładnikowej przez deweloperów mających dostęp do kodu źródłowego lub systemów budowania również pojawia się w umowach, podobnie jak pytanie o to, kto zarządza kluczami i poświadczeniami dostępu związanymi z wdrażaniem oprogramowania.
Niektórzy zamawiający pytają również o pochodzenie oprogramowania, którego Pan/Pani sam/sama używa do budowania: kompilator, narzędzia budowania, pakiety pobierane podczas budowania. Jest to zbieżne z szerszym rozumieniem, że atak może przychodzić nie tylko przez produkt końcowy, ale także przez fabrykę, w której jest on wytwarzany.
Dlaczego te wymagania są sformułowane dokładnie w ten sposób
Obowiązek opieki, który stanowi podstawę tego wszystkiego, wymaga od organizacji podlegającej regulacji oceny i zarządzania zagrożeniami w jej własnym łańcuchu dostaw. Dokładny sposób, w jaki jest to wdrażane, różni się w zależności od kraju w krajowym prawie opartym na europejskiej dyrektywie oraz w zależności od sektora, w którym działa zamawiający. To, co w jednej umowie jest twardym wymaganiem, w innej umowie pojawia się jeszcze jako pytanie niewiążące. Jeśli chcesz wiedzieć, jak ten obowiązek jest zbudowany w swej istocie, przeczytaj to w wyjaśnieniu poszczególnych obowiązków w naszej bazie wiedzy.
Ważne do zapamiętania: zamawiający stawia te wymagania, ponieważ sam podlega nadzorowi, a nie dlatego, że przedsiębiorstwa zajmujące się oprogramowaniem w ogóle podlegają dyrektywie. To, czy i jak rygorystycznie to będzie egzekwowane w Pan/Pani przypadku, zależy od sektora i rozmiaru tego konkretnego zamawiającego. Dla Pan/Pani własnej sytuacji tekst krajowego prawa lub rada prawnika jest właściwym punktem wyjścia, a nie ogólna ocena.
Co to oznacza dla Pan/Pani przygotowania
Większość tych wymagań można dobrze spełnić przy odrobinie przygotowania wstępnego, a odpowiedź opracowaną raz można wykorzystywać wielokrotnie u kolejnych kontrahentów. Lista używanych komponentów, krótki opis kontroli dostępu i stały procedura aktualizacji to nie dokumenty, które trzeba wynajdywać na nowo dla każdej umowy.
Chcesz najpierw sprawdzić, czy i jak to dotyczy Twojego przedsiębiorstwa? sprawdzenie, które w kilku pytaniach określa Twoją pozycję w łańcuchu dostaw wskaże ci pierwsze kierunki, bez konieczności posiadania konta. Aby dowiedzieć się, jakie konkretne pytania stawiają kontrahenci i w jaki sposób Ci pomagamy, przeczytaj więcej na stronie z najczęściej zadawanymi pytaniami lub zobacz w jaki sposób wspieramy informacje na platformie.
Bezpłatna baza wiedzy i sprawdzenie dają Ci początkowy pogląd bez zobowiązań. Jeśli następnie chcesz rzeczywiście przekształcić wymagania umowne w bieżące dossier z dokumentami potwierdzającymi i gotowymi odpowiedziami na kwestionariusze, to jest moment, aby sprawdzić, co dodaje abonament.