O desenvolvimento de software está coberto pela NIS2?
O desenvolvimento de software como atividade não está mencionado expressamente nos anexos da Diretiva NIS2. Não existe um setor designado como "construtores de software". O que existe são categorias relacionadas: a computação em nuvem e os serviços em nuvem estão abrangidos pela infraestrutura digital, e os serviços de TIC geridos e os serviços de segurança geridos estão abrangidos pelo fornecimento de serviços de TIC. Se desenvolver software personalizado para clientes sem prestar você próprio um serviço em nuvem ou um serviço gerido, é provável que não esteja diretamente abrangido pela diretiva.
Isto não significa que o desenvolvimento de software fique fora de consideração. Três fatores determinam em conjunto a sua posição: a natureza exata do que fornece (setor), o tamanho da sua organização e a questão de saber se os seus clientes estão eles próprios sujeitos a obrigações. Na prática, este último aspeto afeta muito mais empresas de desenvolvimento do que o primeiro.
Setor: o que os anexos mencionam e o que não mencionam
A diretiva distingue entre setores essenciais (Anexo I) e setores importantes (Anexo II). A infraestrutura digital e o fornecimento de serviços de TIC constam do Anexo I, e esta última categoria aplica-se especificamente aos fornecedores que gerem ou monitorizam o ambiente de TIC de terceiros — pense em prestadores de serviços geridos. Se fornecer um produto SaaS em que gere a infraestrutura para clientes, ou se oferecer além do seu software também gestão, monitorização ou alojamento, está a aproximar-se dessa categoria. Se fornecer apenas uma aplicação que o cliente gere e aloje por sua conta, é diferente.
A classificação é menos uma questão de como se designa a si próprio e mais uma questão do que realmente faz pelo cliente. Duas empresas que se denominam "desenvolvedor de software" podem ter resultados diferentes assim que uma delas também assume a gestão. Um teste estruturado por setor, tamanho e posição na cadeia de fornecimento oferece uma clareza mais rápida do que uma conversa informal sobre listas de verificação. em algumas perguntas ver onde se situa a sua empresa
Tamanho: o limiar também se aplica se o setor corresponder
Mesmo que a sua atividade se enquadre numa categoria mencionada, existem limiares de dimensão: a diretiva distingue entre empresas médias e grandes, com um resultado diferente para organizações mais pequenas. Uma pequena equipa de desenvolvimento que casualmente também oferece alojamento não se enquadra automaticamente na mesma categoria que um grande fornecedor de serviços em nuvem. Os limites precisos e as exceções que se aplicam constam da diretiva e da transposição nacional; estes não são aspetos sobre os quais deveria decidir com base numa regra empírica.
Posição na cadeia de fornecimento: alcançado sem estar sujeito a obrigações
Para a maioria das empresas de software, aqui está o aspeto prático da história. A obrigação de diligência (artigo 21) obriga as entidades essenciais e importantes a avaliar também a segurança dos seus fornecedores. Se desenvolver software para um hospital, uma empresa de energia ou uma autarquia, é provável que esse cliente lhe envie um questionário de segurança sobre o seu processo de desenvolvimento — independentemente de estar ou não sujeito à diretiva.
Esses questionários raramente se referem a princípios de política abstrata. Perguntam concretamente como identifica e corrige vulnerabilidades, como os patches chegam ao cliente e quem na sua empresa tem acesso ao código-fonte e ao ambiente de produção. Quem recebe essas perguntas pela primeira vez muitas vezes sente-as como uma surpresa que coloca o contrato sob pressão; com um conjunto de respostas estabelecido, a segunda vez é consideravelmente mais rápida. os tópicos selecionados para cada situação
Duas camadas de segurança: o produto e a linha de desenvolvimento
No desenvolvimento de software, duas questões entrelaçam-se, e é útil mantê-las separadas. A primeira diz respeito ao que constrói: existe um processo para identificar e resolver vulnerabilidades no código, as dependências e bibliotecas são mantidas registadas, e com que rapidez uma atualização de segurança chega ao cliente? A segunda diz respeito a como constrói: quem tem acesso ao repositório de código-fonte, como é protegido o pipeline de CI/CD, e quem pode realmente implementar em produção?
Um questionário de segurança de um cliente geralmente afeta ambas as camadas ao mesmo tempo, mesmo que o cliente não as separe explicitamente. As autoridades competentes e os clientes observam este tipo de questões para avaliar se existe um processo reconhecível e se esse processo está documentado, não apenas a intenção subjacente.
O que pode fazer agora
Se o desenvolvimento de software se aplica no seu caso sob a NIS2 depende do serviço exato que presta, do tamanho da sua organização e do setor em que os seus clientes operam. Uma resposta única de "sim" ou "não" para toda a indústria não existe, e a avaliação final da sua situação cabe a um jurista ou à autoridade competente, não a um artigo de blogue.
O que se pode fazer é: determinar em qual das três posições se encontra — sujeito a obrigações diretamente, afetado através de um cliente, ou ainda não afetado — e a partir daí determinar quais as questões que pode esperar. Mais informações sobre como esta classificação é feita e de onde vêm as fontes utilizadas, encontra na página sobre a metodologia. Se deseja fazer essa primeira classificação para o seu próprio negócio, pode fazer em alguns minutos, sem necessidade de uma conta. as questões mais frequentes sobre a classificação fornecem uma perspetiva adicional de como outras empresas de desenvolvimento enfrentam a mesma questão.