Spadá vývoj softvéru pod NIS2?
Vývoj softvéru ako činnosť nie je osobitne mentioned v prílohe smernice NIS2. Neexistuje sektor nazvaný "tvorcovia softvéru". Čo tam je uvedené, sú súvisejúce kategórie: cloud computing a cloudové služby spadajú pod digitálnu infraštruktúru a spravované ICT služby a spravované bezpečnostné služby spadajú pod poskytovanie ICT služieb. Ak vyvíjate softvér na mieru pre klientov bez toho, že by ste sami poskytovali cloudovú službu alebo spravovanú službu, je dosť pravdepodobné, že na vás smernicu priamo neaplikujú.
To neznamená, že vývoj softvéru ostáva mimo záber. Tri veci spolu určujú vašu polohu: presná povaha toho, čo poskytujete (sektor), veľkosť vašej organizácie a otázka, či sú vašich klientov povinní subjekty. Posledné spomienka v praxi dotýka oveľa viac vývojových spoločností ako prvý bod.
Sektor: čo prílohy uvádza a čo nie
Smernicu rozlišuje medzi základnými sektormi (príloha I) a dôležitými sektormi (príloha II). Digitálna infraštruktúra a poskytovanie ICT služieb sú uvedené v prílohe I a posledná kategória sa konkrétne týka strán, ktoré spravujú alebo monitorujú ICT prostredie ostatných — myslite na poskytovateľov spravovaných služieb. Ak poskytujete SaaS produkt, kde spravujete infraštruktúru pre klientov, alebo ak ponúkate spolu so svojím softvérom aj správu, monitoring alebo hosting, posuváte sa smerom k tejto kategórii. Ak poskytujete iba aplikáciu, ktorú si klient sám spravuje a hostuje, je to iné.
Klasifikácia je menej otázkou toho, ako sami seba volajete, a viac otázkou toho, čo naozaj robíte pre klienta. Dve spoločnosti, ktoré sa obe volajú "vývojár softvéru", môžu teda skončiť inak, akonáhle jeden z nich prevezme aj správu. Štruktúrovaný test podľa sektora, veľkosti a pozície v reťazci vám rýchlejšie objasní, čo sa deje, ako voľný rozhovor o kontrolných zoznamoch. v niekoľkých otázkach zistiť, kde sa váš podnik nachádza
Veľkosť: prah platí aj vtedy, ak sektor zodpovedá
Aj keď vaša činnosť spadá do uvedenej kategórie, existujú hranice veľkosti: smernicu rozlišuje medzi stredne veľkými a veľkými podnikmi s rôznymi výsledkami pre menšie organizácie. Malý vývojový tím, ktorý náhodou ponúka aj hosting, z tohto dôvodu automaticky nespadá do rovnakej kategórie ako veľký poskytovateľ cloudových služieb. Presné hranice a výnimky na nich sa nachádzajú v smernici a v jej národnom prevedení; nie je to niečo, o čom by ste sa mali rozhodovať na základe orientačného pravidla.
Pozícia v reťazci: dotknutí bez toho, aby ste boli sami povinní
Tu sa nachádza praktická stránka príbehu pre väčšinu softvérových spoločností. Záväzok péče (článok 21) zavezuje základné a dôležité subjekty aj na posúdenie bezpečnosti ich dodávateľov. Ak vyvíjate softvér pre nemocnicu, energetickú spoločnosť alebo obec, je vysoká pravdepodobnosť, že vás tento klient pošle bezpečnostný dotazník o vašom vývojovom procese — bez ohľadu na to, či na vás smernicu priamo aplikujú.
Tieto dotazníky sa zriedkavo týkajú abstraktnych princípov politiky. Konkrétne sa pýtajú na to, ako odhaľujete a odstraňujete zraniteľnosti, ako sa patche dostávajú k klientovi a kto má v rámci vášej spoločnosti prístup k zdrojovému kódu a produkčnému prostrediu. Kto dostane takéto otázky prvýkrát, často to zažíva ako prekvapenie, ktoré vzorec staví pod tlak; so stabilným súborom odpovedí je to druhýkrát podstatne rýchlejšie. témy, ktoré sú vybrané pre každú situáciu
Dve vrstvy bezpečnosti: produkt a vývojová ulica
Pri vývoji softvéru sa prelínajú dve otázky a je užitočné ich držať oddelene. Prvá sa týka toho, čo staviateľ: existuje proces na odhaľovanie a riešenie zraniteľností v kóde, sú závislosti a knižnice udržiavané, a ako rýchlo sa bezpečnostná aktualizácia dostane k zákazníkovi? Druhá sa týka toho, ako staviate: kto má prístup k úložisku zdrojového kódu, ako je zabezpečený zväzok CI/CD a kto môže skutočne nasadiť do produkcie?
Bezpečnostný dotazník od objednávateľa sa zvyčajne týka oboch vrstiev súčasne, dokonca aj keď si zákazník tieto dve vrstvy sám neodlíšuje. Regulačné orgány a objednávatelia sa pri takýchto otázkach pozerajú na to, či existuje rozpoznateľný proces a či je tento proces zdokumentovaný, nie len na zámer za ním.
Čo môžete urobiť teraz
To, či vývoj softvéru vo vašom prípade podlieha NIS2, závisí od presnej služby, ktorú poskytujete, veľkosti vašej organizácie a sektora, v ktorom vaši zákazníci pôsobia. Jednoznačné "áno" alebo "nie" pre celý priemysel neexistuje a konečné posúdenie vašej situácie patrí právnikovi alebo regulačnému orgánu, nie blogom.
Čo je možné urobiť: zistiť, v ktorej z troch pozícií sa nachádzate — sami povinní, dotknutí prostredníctvom zákazníka alebo zatiaľ nie ste dotknutí — a z toho určiť, aké otázky môžete očakávať. Viac informácií o tom, ako sa toto rozdelenie vytvára a odkiaľ pochádzajú použité zdroje, si môžete prečítať na stránke o našom postupe. Ak chcete robiť toto prvé rozdelenie pre svoju vlastnú spoločnosť, trvá to pár minút a nie je na to potrebný účet. najčastejšie otázky o rozdelení poskytujú doplňujúci pohľad na to, ako čelia ostatné vývojové spoločnosti rovnakej otázke.