Un contractor care se supune direcției NIS2 nu poate limita obligația sa de diligență la propria organizație. Acea obligație se extinde pe lanțul de aprovizionare: contractorul trebuie să evalueze ce riscuri aduc furnizorii și aceasta se traduce în cerințe contractuale. Pentru industria metalurgică și de producție, adesea nu se referă doar la automatizarea biroului, ci și la mașini, sisteme de control și linii de producție care sunt conectate într-un fel sau altul la rețeaua contractorului sau la internet.
Cele mai frecvente cerințe vizează accesul, separarea rețelelor, politica de actualizare și raportarea incidentelor către contractorul însuși — în afara de obligația legală de raportare care se aplică doar entităților în curs de derulare. Mai jos este descris ce dispoziții se regăsesc și ce înseamnă aceasta în practică pentru un mediu de producție.
Ce dispoziții se regăsesc în contract
Contractele revizuite după NIS2 conțin de obicei o combinație de obligații: dreptul de a trimite periodic chestionare, o perioadă de raportare a incidentelor care afectează furnizarea de servicii către contractor, o obligație de a dovedi măsuri de securitate și uneori un drept de audit. Formularea variază foarte mult în funcție de contractor și sector; nu există niciun text standard care să se aplice tuturor contractelor. Pentru o înțelegere mai clară a ceea ce este rezonabil să ceri și să nu ceri, ajută să consulți. cele mai frecvente întrebări despre ceea ce un cumpărător are dreptul să ceară .
Important de distins: contractorul cere aceasta din propria obligație de diligență, nu pentru că furnizorul se supune direcției. Un constructor de mașini sau furnizor din industria metalurgică și de producție poate primi deci cerințe contractuale fără a fi el însuși esențial sau important. Dacă acest lucru se aplică unei relații specifice depinde de sectorul și dimensiunea contractorului și de rolul pe care furnizorul îl joacă în acel lanț.
Ce înseamnă aceasta pentru sistemele de producție conectate la rețea
În industria metalurgică și de producție, combinația dintre IT (automatizare de birou) și OT (tehnologie operațională, cum ar fi mașini CNC, PLC-uri și linii de producție) este o preocupare recurentă în întrebările pe care le pun contractorii. Mașinile care sunt accesibile de la distanță pentru întreținere sau care trimit date de producție către un mediu cloud sunt supuse aceleiași atenții ca și un laptop la birou.
Separarea între rețeaua de birou și cea de producție
O întrebare recurentă este dacă rețeaua de producție este separată de rețeaua de birou și dacă o defecțiune sau infecție pe o rețea se poate răspândi pe cealaltă. Aceasta nu este o întrebare căreia i se răspunde cu da sau nu doar într-un chestionar; autorităților de supraveghere și contractorilor le interesează aranjamentul real, nu o declarație de intenție.
Acces de la distanță pentru întreținere
Multe mașini din industria metalurgică și de producție sunt întreținute de la distanță de furnizorul mașinii însuși, uneori printr-o conexiune fixă care rămâne deschisă în permanență. Cerințele contractuale se concentrează adesea pe acest punct: cine are acces, cum este acces logat și poate fi revocat în orice moment. Aceasta afectează atât furnizorul care construiește mașina, cât și compania care utilizează mașina.
Ce cer contractorii ca dovadă
Pe lângă chestionarul în sine, o organizație comitenți cere adesea o formă de justificare: un document de politică, o imagine de ansamblu a cine are acces la ce sisteme, sau o declarație despre modul în care sunt gestionate actualizările. Un certificat sau raport de audit poate fi solicitat în acest context, dar nu este în sine o obligație legală conform NIS2 — aceasta este o alegere a fiecărui comitenți individual. Pentru cei care doresc să-și verifice modul în care aceste cerințe contractuale se raportează la propria lor poziție în lanțul de aprovizionare, este util să verifice mai întâi în câteva întrebări unde se situează organizația dumneavoastră.
Ce puteți face cu aceasta
Majoritatea cerințelor care revin în contractele pentru industria metalurgică și de producție sunt o derivare din cele zece măsuri de diligență din directivă: controlul accesului, segmentarea rețelei, înregistrarea incidentelor și planurile de recuperare apar toate, dar adaptate la întrebarea pe care o pune comitenții. O imagine de ansamblu pentru fiecare situație, inclusiv subiectele care sunt specifice mediilor de producție, se găsește în prezentarea subiectelor pe sector și situație.
Pentru formularea precisă a unui contract, și pentru întrebarea dacă o cerință specifică este rezonabilă în raport cu relația, sfatul juridic rămâne calea potrivită; acest articol descrie modelurile care apar, nu răspunsul la un contract individual. Mai multe informații despre sursa informațiilor de pe acest site și modul în care acestea sunt menținute se găsesc pe pagina despre modul în care monitorizăm sursele.
Doriți să vedeți rapid dacă organizația dumneavoastră este afectată prin lanțul de aprovizionare și care este pasul următor în acest context? Verificarea NIS2 gratuită vă oferă o primă orientare în câteva întrebări, fără a fi nevoie de un cont.