Zamawiający, który sam podlega dyrektywie NIS2, nie może ograniczać swojego obowiązku staranności tylko do własnej organizacji. Obowiązek ten rozciąga się na łańcuch dostaw: zamawiający musi ocenić, jakie ryzyka niosą ze sobą dostawcy, co przełada się na wymagania umowne. W branży metalowej i produkcyjnej chodzi często nie tylko o automatyzację biurową, ale także o maszyny, systemy sterowania i linie produkcyjne w jakiś sposób połączone z siecią zamawiającego lub internetem.
Najczęstsze wymagania dotyczą dostępu, separacji sieci, polityki aktualizacji i zgłaszania incydentów zamawiającemu — niezależnie od obowiązku zgłaszania ustawowego, który dotyczy wyłącznie jednostek podlegających obowiązkowi. Poniżej opisane są przepisy, które się powtarzają, i co oznaczają one w praktyce dla środowiska produkcyjnego.
Jakie przepisy powtarzają się w umowie
Umowy przeglądane po NIS2 zwykle zawierają kombinację obowiązków: prawo do okresowego wysyłania ankiet, termin zgłaszania incydentów dotyczących świadczenia usług zamawiającemu, obowiązek wykazania miar bezpieczeństwa i czasami prawo do audytu. Sformułowanie różni się znacznie w zależności od zamawiającego i sektora; nie istnieje standardowy tekst obowiązujący dla wszystkich umów. Aby uzyskać jaśniejszy obraz tego, co jest rozsądne do żądania, a co nie, warto zapoznać się z najczęściej zadawanymi pytaniami dotyczącymi tego, co może żądać zamawiający .
Ważne do rozróżnienia: zamawiający pyta o to z powodu własnego obowiązku staranności, a nie dlatego, że dostawca sam podlega dyrektywie. Producent maszyn lub dostawca w branży metalowej i produkcyjnej może zatem otrzymać wymagania umowne bez bycia sam jednostką krytyczną lub ważną. Czy to ma miejsce w konkretnej relacji, zależy od sektora i wielkości zamawiającego oraz od roli, jaką dostawca pełni w tym łańcuchu.
Co to oznacza dla systemów produkcyjnych w sieci
W branży metalowej i produkcyjnej połączenie IT (automatyzacja biurowa) i OT (technologia operacyjna, taka jak maszyny CNC, PLC i linie produkcyjne) jest stałym punktem zainteresowania w pytaniach, które zadają zamawiający. Maszyny dostępne zdalnie do celów konserwacji lub przesyłające dane produkcyjne do środowiska chmury podlegają takiej samej uwadze jak laptop w biurze.
Separacja między siecią biurową a siecią produkcyjną
Powtarzającym się pytaniem jest, czy sieć produkcyjna jest oddzielona od sieci biurowej i czy awaria lub infekcja w jednej sieci może rozprzestrzeniać się na drugą. To nie jest pytanie, na które odpowiada się tak lub nie tylko w ankiecie; organy nadzoru i zamawiający patrzą tutaj na faktyczne rozmieszczenie, a nie na deklarację intencji.
Dostęp zdalny do konserwacji
Wiele maszyn w branży metalowej i produkcyjnej jest zdalnie utrzymywane przez samego dostawcę maszyny, czasami za pośrednictwem stałego połączenia, które jest stale otwarte. Wymagania umowne często skupiają się specjalnie na tym punkcie: kto ma dostęp, jak dostęp jest rejestrowany i czy można go wycofać w każdej chwili. Dotyczy to zarówno dostawcy, który buduje maszynę, jak i firmy, która maszynę wykorzystuje.
Co zamawiający żądają jako dowód
Poza samą listą kontrolną zamawiający często prosi o formę uzasadnienia: dokument dotyczący polityki, przegląd kto ma dostęp do jakich systemów albo deklarację dotyczącą sposobu postępowania z aktualizacjami. Może zostać požądany certyfikat lub raport z audytu, ale sam w sobie nie jest wymogiem ustawowym wynikającym z dyrektywy NIS2 — jest to wybór zamawiającego. Dla tych, którzy chcą sprawdzić, jak te wymogi umowne odnoszą się do ich pozycji w łańcuchu dostaw, warto najpierw w kilku pytaniach sprawdzić, gdzie stoi Pana/Pani organizacja.
Co z tym może Pan/Pani zrobić
Większość wymogów pojawiających się w umowach dla przemysłu metalowo-wytwórczego jest pochodną dziesięciu środków zarządzania ryzykiem z dyrektywy: kontrola dostępu, segmentacja sieci, rejestracja incydentów i plany odbudowy pojawiają się wszędzie, ale dostosowane do pytania, które stawia zamawiający. Przegląd dla poszczególnych sytuacji, w tym zagadnień specyficznych dla środowisk produkcyjnych, znajduje się w przeglądzie zagadnień dla poszczególnych sektorów i sytuacji.
W kwestii dokładnego sformułowania umowy i pytania, czy dany wymóg jest uzasadniony w stosunku do relacji, wskazane jest zwrócenie się o poradę prawną; artykuł ten opisuje wzorce, które się pojawiają, a nie odpowiedź na indywidualną umowę. Więcej informacji o tym, skąd pochodzą informacje zamieszczone na tej stronie i jak są aktualizowane, znajduje się na stronie dotyczącej sposobu, w jaki śledziliśmy źródła.
Chce Pan/Pani szybko sprawdzić, czy Pana/Pani organizacja jest objęta łańcuchem dostaw, i jaki jest następny krok? Bezpłatna weryfikacja NIS2 w kilku pytaniach daje wstępne wskazówki, bez konieczności posiadania konta.