Naročnik, ki spada pod NIS2-obveznost skrbnosti, mora lahko dokaže, da pozna tveganja v svoji lastni verigi dobave. Programska oprema, ki jo gradite za tega naročnika, je del te verige. V praksi se to prevede v pogodbe, ki se osredotočajo na dve stvari hkrati: izdelek, ki ga dostavite, in način, kako ga naredite. Oboje se pojavi v besedilu pogodbe, pogosto kot priloga k pogodbi o nabavi.
Jedro je preprosto zapomniti: naročnik ne sprašuje le, ali programska oprema deluje, ampak tudi, ali lahko pokažete, kako ostane varna, kdo ima dostop in kaj se zgodi, če kaj pošalji. To je premik glede na prej, ko sta bila funkcionalnost in rok dobave pogosto edina stvar, o kateri so se pogovarjali.
Zahteve za izdelek, ki ga dostavite
Najpogostejša pogodbenega zahteva je o sestavi samega programa. Naročniki vse pogosteje zahtevajo pregled uporabljenih knjižnic in komponent odprtokodnega programa, tako imenovani seznam komponent programske opreme. Razlog je v tem, da je ranljivost v podlagi komponenti prav tako tveganje kot napaka v vašem lastnem kodu, in naročnik želi ta tveganja videti brez branja samega izvorne kode.
Poleg tega so navedene zahteve o tem, kako se ranljivosti v programski opremi odkrivajo in odpravljajo ter v kakšnem časovnem roku. To je lahko avtomatizirano skeniranje znanih šibkih točk, fiksna procedura za popravke ali vprašanje, kdo lahko prijavi ranljivost in kam gre. Za obstoječo programsko opremo se včasih sprašujejo tudi o roki za podporo: kako dolgo ima različica varnostne posodobitve.
Zahteve za vaš lastni razvojni proces
Druga skupina zahtev se ne osredotoča na izdelek, ampak na proces, s katerim je narejen: razvojni proces. Razmislite o tem, kdo ima dostop do izvorne kode in do okolja, v katerem se gradi in testira, kako se spremembe preverjajo, preden gredo v proizvodnjo, in ali je ločitev med testnim, sprejemnim in proizvodnim okoljem. Uporaba večkratne overitve za razvijalce, ki imajo dostop do izvorne kode ali sistemov za gradnjo, se pojavi tudi v pogodbah, kot tudi vprašanje, kdo upravlja ključe in poverilka, ki gredo skupaj z vzpostavitvijo programske opreme.
Nekateri naročniki tudi sprašujejo o izvoru programske opreme, ki jo sami uporabljate za gradnjo: prevajalnika, orodij za gradnjo, paketov, ki se pridobijejo med gradnjo. To se nanaša na širše zavedanje, da napad ne more potekati le preko končnega izdelka, temveč tudi preko tovarne, v kateri je narejen.
Zakaj so te zahteve oblikovane na ta način
Obveznost skrbnosti, ki je v osnovi vsega tega, zavezuje organizacijo, ki je obvezna, da oceni in obvladuje tveganja v svoji lastni verigi dobave. Kako se to natančno izvaja, se razlikuje glede na državo v nacionalnem zakonu, ki je osnovan na evropski direktivi, in glede na sektor, v katerem je naročnik delujoč. Kar je v eni pogodbi tvrda zahteva, je v drugi pogodbi še vedno neobvezujočo vprašanje. Če želite vedeti, kako je ta obveznost v jedru zgrajena, preberite razlago za vsako obveznost v naši zbirki znanja.
Pomembno je zapomniti: to so zahteve, ki jih postavlja naročnik, ker sam stoji pod nadzorom, ne ker podjetja za programsko opremo kot taka spadajo pod direktivo. Ali in kako strogo se to izvaja v vašem primeru, je odvisno od sektorja in obsega tega specifičnega naročnika. Za vašo lastno situacijo je besedilo nacionalnega zakona ali nasvet pravnika primerno izhodišče, ne splošna ocena.
Kaj to pomeni za vašo pripravo
Večina teh zahtev je mogoče z malo predpriprave dobro odgovoriti, in odgovor, ki ga enkrat pripravite, lahko potem večkrat ponovno uporabite pri naslednjem naročniku. Seznam uporabljenih komponent, kratek opis vašega nadzora dostopa in stalna procedura za popravke niso dokumenti, ki bi jih morali za vsak pogodbi znova iskati.
Želite li najprej videti, ali in kako to vpliva na vaše podjetje, potem pokaže preverjanje, ki z nekaj vprašanji določi vaš položaj v dobavni verigi prvi smer, brez da bi za to potrebovali račun. Za vprašanja, ki jih naročniki konkretno postavljajo, in način, kako pri tem pomagamo, preberite več na strani s pogosto zastavljanimi vprašanji ali oglejte si kako podpiramo informacije na platformi.
Brezplačna banka znanja in preverjanje vam dasta prvi pregled brez obveznosti. Če nato pogodbe zahtev dejansko pretvorite v delujoče gradivo z dokazi in pripravljenimi odgovori na vprašalnike, je to pravi trenutek, da si ogledate, kaj dodaja naročnina.