Dezvoltarea de software cade sub NIS2?
Dezvoltarea de software ca activitate nu apare textual în anexele Directivei (UE) 2022/2555. Nu există un sector numit "constructori de software". Ce apare, însă, sunt categorii conexe: calculul în cloud și serviciile cloud sunt incluse în infrastructura digitală, iar serviciile ICT gestionate și serviciile de securitate gestionate sunt incluse în serviciile ICT. Dacă dezvoltați software personalizat pentru clienți, fără a furniza personal nici un serviciu cloud, nici un serviciu gestionat, este probabil să nu fiți direct supuși directivei.
Aceasta nu înseamnă că dezvoltarea de software rămâne în afara perimetrului. Trei factori determină împreună situația dvs.: natura exactă a ceea ce livrați (sectorul), dimensiunea organizației dvs. și dacă clienții dvs. sunt, ei înșiși, supuși dispoziției. Din punct de vedere practic, ultimul factor afectează mult mai mulți dezvoltatori decât primul.
Sector: ce menționează și ce nu menționează anexele
Directiva deosebește sectoare esențiale (anexa I) și sectoare importante (anexa II). Infrastructura digitală și serviciile ICT sunt incluse în anexa I, iar categoria din urmă se referă în special la entități care gestionează sau monitorizează mediul ICT al altor entități — gândiți-vă la furnizori de servicii gestionate. Dacă livrați un produs SaaS prin care gestionați infrastructura pentru clienți, sau dacă oferiți alături de software gestionare, monitorizare sau găzduire, vă apropiaţi de acea categorie. Dacă livrați doar o aplicație pe care clientul o gestionează și o găzduiește singur, situația este diferită.
Clasificarea nu este atât o chestiune de cum vă denumiți dvs., cât de ceea ce faceți efectiv pentru client. Două societăți care se numesc amândouă "dezvoltator de software" pot avea rezultate diferite dacă una dintre ele preia și gestionarea. Un test structurat care să urmărească sector, dimensiune și poziție în lanț de aprovizionare oferă mai repede claritate decât o discuție informală despre liste de control. în câteva întrebări vedeți unde se situează compania dvs.
Dimensiune: pragul se aplică și atunci când sectorul corespunde
Chiar dacă activitatea dvs. se încadrează într-o categorie menționată, există praguri de mărime: directiva face deosebire între întreprinderi de dimensiune medie și mari, cu rezultate diferite pentru organizații mai mici. Un mic grup de dezvoltare care, întâmplător, ofertează și găzduire nu cade automat în aceeași categorie ca un mare furnizor de servicii cloud. Limitele precise și excepțiile care se aplică sunt stabilite în directivă și în transpunerea națională; nu este o materie pe care ar trebui să decideți pe baza unei reguli generale.
Poziție în lanț: expus fără a fi dvs. supus
Aici se află aspectul practic al poveștii pentru majoritatea societăților de software. Obligația de diligență (articolul 21) obligă entitățile esențiale și importante să evalueze, de asemenea, securitatea furnizorilor lor. Dacă dezvoltați software pentru un spital, o companie de energie sau o comună, este probabil ca acel client să vă trimită o listă de întrebări privind securitatea cu privire la procesul de dezvoltare — indiferent dacă voi înșiși sunteți supuși directivei.
Acele liste de întrebări rar se referă la principii abstracte de politică. Întreabă concret cum identificați și remediați vulnerabilități, cum ajung corecțiile la clientul dvs., și cine din cadrul organizației dvs. are acces la codul sursă și la mediul de producție. Cine primește pentru prima dată asemenea întrebări, adesea percepe asta ca o surpriză care creează presiune asupra contractului; cu un set pregătit de răspunsuri, a doua oară merge considerabil mai repede. temele care au fost selectate pentru fiecare situație
Două niveluri de securitate: produsul și lanțul de dezvoltare
La dezvoltarea de software, două întrebări se amestecă frecvent, iar este util să le separați. Prima se referă la ceea ce construiți: există un proces pentru identificarea și remedierea vulnerabilităților în cod, sunt dependențele și bibliotecile monitorizate, și cât de rapid ajunge o actualizare de securitate la client? A doua se referă la modul în care construiți: cine are acces la depozitul codului sursă, cum este securizat pipelineul CI/CD, și cine este autorizat efectiv să desfășoare în producție?
Un chestionar de securitate de la un comanditar afectează de obicei ambele niveluri în același timp, chiar dacă clientul însuși nu le separă explicit. Autoritățile de reglementare și comanditarii examinează la acest tip de întrebări dacă există un proces recunoscibil și dacă acesta este documentat, nu doar dacă există intența din spatele lui.
Ce puteți face acum
Dacă dezvoltarea de software se încadrează în cazul dumneavoastră sub NIS2 depinde deci de serviciul precis pe care îl prestați, de dimensiunea organizației dumneavoastră și de sectorul în care activează clienții dumneavoastră. Nu există un răspuns unic și clar "da" sau "nu" pentru întreaga industrie, iar evaluarea finală a situației dumneavoastră aparține unui jurist sau autorității de reglementare, nu unui articol pe blog.
Ceea ce se poate face este: verificarea în care din cele trei poziții vă situați — plichit dumneavoastră, afectat printr-un client, sau deocamdată neafectat — și de acolo determinați ce întrebări puteți anticipa. Mai multe informații despre cum se stabilește această clasificare și de unde provin sursele utilizate le găsiți la pagina despre modul de funcționare. Dacă doriți să faceți această clasificare inițială pentru propria dvs. întreprindere, se poate realiza în câteva minute, fără a fi necesar un cont. întrebările frecvente despre clasificare oferă o perspectivă suplimentară asupra modului în care alte întreprinderi de dezvoltare software se confruntă cu aceeași problemă.