Objednávateľ, ktorý sám podlieha smernici NIS2, nesmie obmedziť svoju povinnosť starostlivosti len na vlastnú organizáciu. Táto povinnosť sa rozširuje na celý dodávateľský reťazec: objednávateľ musí posúdiť, aké riziká so sebou prinášajú dodávatelia, a to sa premietne do zmluvných požiadaviek. V sektore kováčstva a výroby ide často nielen o kancelársku automatizáciu, ale aj o stroje, riadiace systémy a výrobné linky, ktoré sú nejakým spôsobom pripojené k sieti objednávateľa alebo na internet.
Najčastejšie požiadavky sa týkajú prístupu, oddelenia sietí, politiky aktualizácií a hlásenia incidentov objednávateľovi samotnému — nezávisle od zákonnej povinnosti hlásenia, ktorá platí len pre subjekty podliehajúce povinnosťam. Nižšie je popísané, ktoré ustanovenia sa vyskytujú a čo znamenajú v praxi pre výrobnú línku.
Ktoré ustanovenia sa vyskytujú v zmluve
Zmluvy, ktoré sa prehodnocujú po NIS2, zvyčajne obsahujú kombináciu povinností: právo periodicky posielať dotazníky, lehotu na hlásenie incidentov, ktoré ovplyvňujú poskytovanie služieb objednávateľovi, povinnosť preukázať bezpečnostné opatrenia a niekedy právo na audit. Formulácia sa výrazne líši od objednávateľa k objednávateľovi a od sektora k sektoru; neexistuje žiadny štandardný text platný pre všetky zmluvy. Aby ste získali jasnejší obraz o tom, čo je v tomto prípade rozumné požadovať a čo nie, pomôže vám preskúmať najčastejšie položené otázky o tom, čo má právo požiadavať kupujúci .
Dôležité je rozlíšenie: objednávateľ to požaduje z vlastnej povinnosti starostlivosti, nie preto, že dodávateľ sám podlieha smernici. Výrobca strojov alebo dodávateľ v sektore kováčstva a výroby tak môže dostať zmluvné požiadavky bez toho, aby sám bol podľa definície kritickou alebo dôležitou jednotkou. To, či je tomu tak v konkrétnom vzťahu, závisí od sektora a veľkosti objednávateľa a od úlohy, ktorú dodávateľ v tomto reťazci zohrá.
Čo to znamená pre výrobné systémy pripojené k sieti
V sektore kováčstva a výroby je kombinácia IT (kancelárskej automatizácie) a OT (operačnej technológie, ako sú CNC-stroje, PLC a výrobné linky) opakujúcim sa bodom pozornosti v otázkach, ktoré si objednávatelia kladú. Stroje, ktoré sú na diaľku prístupné na údržbu alebo ktoré odosielajú výrobné údaje do cloudového prostredia, podliehajú rovnakej pozornosti ako laptop v kancelárií.
Oddelenie medzi kancelárskou a výrobnou sieťou
Opakujúcou sa otázkou je, či je výrobná sieť oddelená od kancelárskej siete, a či sa porucha alebo infekcia v jednej sieti môže rozšíriť do druhej. To nie je otázka, na ktorú sa odpovídá áno alebo nie len v dotazníku; dozorné orgány a objednávatelia sa v tomto prípade pozerajú na skutočné usporiadanie, nie na vyhlásenie zámeru.
Vzdialený prístup na údržbu
Mnoho strojov v sektore kováčstva a výroby sa vzdialene udržiava samotným výrobcom stroja, niekedy prostredníctvom trvalého pripojenia, ktoré je nepretržite otvorené. Zmluvné požiadavky sa často konkrétne zameriavajú na tento bod: kto má prístup, ako sa tento prístup zaznamenáva a či je možné ho kedykoľvek odvolať. To sa týka tak dodávateľa, ktorý stroj vyrába, ako aj spoločnosti, ktorá stroj používa.
Čo objednávatelia požadujú ako dôkaz
Okrem samotného dotazníka si zamestnávateľ často vyžaduje formu zdôvodnenia: politický dokument, prehľad toho, kto má prístup k ktorým systémom, alebo vyhlásenie o spracovaní aktualizácií. Certifikát alebo audit report sa môže požadovať, ale sám osebe nie je právnym záväzkom vyplývajúcim z NIS2 — je to voľba jednotlivého zamestnávateľa. Ak chcete preskúmať, ako sa tieto zmluvné požiadavky vzťahujú na vašu pozíciu v dodávateľskom reťazci, je vhodné najskôr v niekoľkých otázkach zistiť, kde sa vaša organizácia nachádza.
Čo s tým môžete urobiť
Väčšina požiadaviek, ktoré sa objavujú v zmluvách pre metalurgický a výrobný priemysel, je odvodená z desiatich opatrení na starostlivosť vyplývajúcich z smernice: kontrola prístupu, segmentácia siete, registrácia incidentov a plány obnovy — všetko sa vracia, ale s fokusом na otázku, ktorú si zamestnávateľ kladie. Prehľad podľa situácie, vrátane tém špecifických pre výrobné prostredia, je dostupný v prehľade tém podľa sektora a situácie.
Ak ide o presnú formuláciu zmluvy a o otázku, či je špecifická požiadavka rozumná vo vzťahu k vzťahu, právne poradenstvo zostáva odporúčanou cestou; tento článok opisuje vzory, ktoré sa objavujú, nie odpoveď na individuálnu zmluvu. Viac informácií o tom, odkiaľ pochádzajú informácie na tejto stránke a ako sa spravujú, je na stránke o tom, ako sledujeme zdroje.
Chcete si rýchlo overiť, či sa vaša organizácia dostane do reťazca, a ktorý ďalší krok s tým súvisí? Bezplatná NIS2-kontrola vám v niekoľkých otázkach dá prvý smer bez potreby účtu.