Ali se razvoj programske opreme uvršča pod NIS2?
Razvoj programske opreme kot dejavnost ni posebej navedena v prilogah direktive NIS2. Ne obstaja sektor, ki bi se imenoval »razvijalci programske opreme«. Kar pa je navedeno, so sorodni standardi: računalništvo v oblaku in storitve v oblaku spadajo pod digitalno infrastrukturo, upravljane storitve IKT in upravljane varnostne storitve pa spadajo pod storitve IKT. Če razvijate programsko opremo po meri za stranke, ne da bi sami nudili oblačne ali upravljane storitve, je verjetno, da neposredno ne spadate pod to direktivo.
To ne pomeni, da se razvoj programske opreme povsem izključi. Tri stvari skupaj določajo vaš položaj: natančna vrsta tega, kar nudite (sektor), obseg vaše organizacije in vprašanje, ali so vaši stranke sami zavezani. V praksi to zadnje vpliva na veliko več razvojnih podjetij kot prvo.
Sektor: kaj priloge navedejo in kaj ne
Direktiva razlikuje med bistvenim sektorjem (priloga I) in pomembnim sektorjem (priloga II). Digitalna infrastruktura in storitve IKT so navedene v prilogi I, slednja pa se posebej nanaša na stranke, ki upravljajo ali spremljajo okolje IKT drugih — mislite na ponudnike upravljanih storitev. Če nudite proizvod SaaS, pri katerem upravljate infrastrukturo za stranke, ali če poleg programske opreme nudite tudi upravljanje, spremljanje ali gostovanje, se premikate proti tej kategoriji. Če nudite samo aplikacijo, ki jo stranka sama upravlja in gosti, je drugače.
Razvrščanje je manj vprašanje tega, kako se sami imenujete, in več vprašanje tega, kaj dejansko počnete za stranko. Dve podjetji, ki se oba »razvijalca programske opreme« imenujeta, lahko imata torej različne rezultate, čim ena od njiju prevzame tudi upravljanje. Strukturiran pregled po sektorju, obsegu in položaju v toeleveringski verigi vam hitreje poda jasnost kot ohlapna pogovor o kontrolnih seznamih. v nekaj vprašanjih vidite, kje stoji vaše podjetje
Obseg: prag velja tudi, če sektor ustreza
Tudi če vaša dejavnost spada v navedeno kategorijo, veljajo pragovi velikosti: direktiva razlikuje med srednje velikimi in velikimi podjetji, s kakršnim drugim izidom za manjše organizacije. Majhna razvojna skupina, ki po naključju nudja tudi gostovanje, ne spada avtomatično v isto kategorijo kot velik dobavitelj oblačnih storitev. Natančne meje in izjeme, ki zanje veljajo, so navedene v direktivi in v nacionalni implementaciji; to ni nekaj, o čemer bi se morali odločiti na podlagi približnega pravila.
Položaj v toeleveringski verigi: prizadeti brez lastne zaveze
Tu je za večino razvojnih podjetij praktični vidik zgodbe. Zaveza za skrb (člen 21) bistvene in pomembne subjekte zavezuje, da ocenijo tudi varnost svojih dobaviteljev. Če razvijate programsko opremo za bolnišnico, energetsko podjetje ali občino, je verjetno, da vam ta stranka pošlje vprašalnik o varnosti glede vašega procesa razvoja — ne glede na to, ali sami spadate pod to direktivo.
Ti vprašalniki se le redko nanašajo na abstraktna načela politike. Konkretno sprašujejo, kako odkrivate in odpravljate ranljivosti, kako se popravki dostavljajo stranki in kdo ima znotraj vašega podjetja dostop do izvorne kode in produkcijskega okolja. Kdor takšna vprašanja prvi put prejme, to pogosto doživlja kot presenečenje, ki pogodbo postavlja pod pritisk; s stalno niz odgovorov je drugi put to bistveno hitrejše. teme, ki so izbrane za vsako situacijo
Dve plasti varnosti: proizvod in razvojna linija
Pri razvoju programske opreme se prepletata dve vprašanji, in koristno je, da jih ločite. Prvo se nanaša na to, kaj gradite: ali obstaja postopek za odkrivanje in odpravljanje ranljivosti v kodi, ali se odvisnosti in knjižnice spremljajo, in kako hitro doseže varnostna posodobitev stranko? Drugo se nanaša na to, kako gradite: kdo ima dostop do skladišča izvorne kode, kako je zaščitena CI/CD-pipa, in kdo sme dejansko nameščati v produkcijo?
Vprašalnik o varnosti naročnika običajno zajema oba nivoja hkrati, tudi če naročnik sam ta dva nivoja posebej ne ločuje. Nadzorni organi in naročniki pri tovrstnih vprašanjih preverjajo, ali obstaja razpoznaven postopek in ali je ta postopek dokumentiran, ne samo namen za tem.
Kaj lahko naredite zdaj
To, ali razvoj programske opreme v vašem primeru spada pod NIS2, je odvisen od natančne storitve, ki jo izvajate, velikosti vaše organizacije in sektorja, v katerem delujejo vaši stranki. Enoznačnega »da« ali »ne« za celotno industrijo ni, in končna ocena vaše situacije je v domeni pravnika ali nadzornega organa, ne v članku na spletnem dnevniku.
Kar je res smiselno: ugotoviti, v kateri od treh položajev ste — sami obvezani, prizadeti preko stranke ali zaenkrat še ne prizadeti — in od tam določiti, kakšna vprašanja lahko pričakujete. Več o tem, kako nastane ta razdelitev in od kod prihajajo uporabljeni viri, si preberite na strani o delovnem procesu. Če želite to prvo razdelitev narediti za svoje podjetje, je to mogoče storiti v nekaj minutah, brez potrebe po računu. pogosto postavljana vprašanja o razdelitvi dajejo dodatno sliko, kako se druga razvojna podjetja spoprijemajo z istim vprašanjem.