Naročnik, ki sam spada pod Direktivo NIS2, ne sme svoje obveznosti skrbnosti omejiti samo na lastno organizacijo. Ta obveznost se razteza po verigi: naročnik mora oceniti, kakšna tveganja prinašajo dobavitelji, in to se prevede v pogodbene zahteve. Za panogo kovin in proizvodnje pri tem pogosto ne gre samo za avtomatizacijo pisarniških procesov, ampak tudi za stroje, operacijske sisteme in proizvodne linije, ki so na tak ali drugačen način povezani z omrežjem naročnika ali z internetom.
Najpogostejše zahteve se nanašajo na dostop, ločitev omrežij, politiko posodobitev in obveščanje naročnika o incidentih — ločeno od zakonske obveznosti obveščanja, ki velja samo za subjekte pod direktivo. Spodaj je opisano, katere določbe se pojavljajo in kaj pomenijo v praksi za proizvodno okolje.
Katere določbe se pojavljajo v pogodbi
Pogodbe, ki se pregledajo po NIS2, običajno vsebujejo kombinacijo obveznosti: pravico do periodičnega pošiljanja vprašalnikov, rok za obveščanje o incidentih, ki vplivajo na storitve naročniku, obveznost, da dokaže varnostne ukrepe, in včasih pravico do revizije. Besedilo se zelo razlikuje glede na naročnika in panogo; ne obstaja standardno besedilo, ki bi veljalo za vse pogodbe. Za jasnejo sliko, kaj je v tem primeru smiselno in kaj ne, pomaga pregledi najpogostejših vprašanj o tem, kaj sme zahtevati kupec .
Pomembno je razlikovati: naročnik to zahteva iz svoje obveznosti skrbnosti, ne zato, ker dobavitelj sam spada pod direktivo. Proizvajalec strojev ali dobavitelj v panogi kovin in proizvodnje lahko torej prejme pogodbene zahteve brez da bi bil sam bistven ali pomemben. Ali je to za določeno razmerje tako, je odvisno od panoge in velikosti naročnika ter od vloge, ki jo dobavitelj igra v tej verigi.
Kaj to pomeni za proizvodnе sisteme v omrežju
V panogi kovin in proizvodnje je kombinacija ITA (avtomatizacije pisarniških procesov) in OTA (operacijske tehnologije, kot so CNC-stroji, PLC-ji in proizvodne linije) ponavljajočase zanimiva v vprašanjih, ki jih postavljajo naročniki. Stroji, ki so dostopni na daljavo za vzdrževanje, ali ki pošiljajo podatke o proizvodnji v oblačno okolje, so predmet enake pozornosti kot prenosni računalnik v pisarni.
Ločitev med pisarniškim in proizvodnim omrežjem
Pogosta vprašanja je, ali je proizvodno omrežje ločeno od pisarniškega omrežja in ali se motnja ali okužba na enem omrežju lahko razširi na drugo. To ni vprašanje, na katero se odgovori z da ali ne samo v vprašalniku; nadzorni organi in naročniki pri tem gledajo na dejansko ureditev, ne na izjavo o nameri.
Dostop na daljavo za vzdrževanje
Številne stroje v panogi kovin in proizvodnje vzdržuje na daljavo sam proizvajalec stroja, včasih prek stalne povezave, ki je nenehno odprta. Pogodbene zahteve so pogosto usmerjene specifično na to točko: kdo ima dostop, kako se ta dostop beleži in ali ga je mogoče kadar koli preklicati. To se nanaša tako na dobavitelja, ki gradi stroj, kot na podjetje, ki stroj uporablja.
Kaj naročniki zahtevajo kot dokaz
Poleg samega vprašalnika naročilec pogosto zahteva tudi neke oblike utemeljitve: dokument o politiki, pregled tega, kdo ima dostop do katerih sistemov, ali izjavo o tem, kako se ravna s posodobitvami. Zahtevani so lahko tudi certifikat ali poročilo o reviziji, vendar to samo po sebi ni zakonska obveznost iz Direktive (EU) 2022/2555 — to je izbira posameznega naročilca. Za tiste, ki želijo preveriti, kako se te pogodljive zahteve nanašajo na njihov položaj v dobavni verigi, je smiselno najprej v nekaj vprašanjih preveriti, kje stoji vaša organizacija.
Kaj lahko s tem storite sami
Večina zahtev, ki se pojavljajo v pogodbah za kovinski in proizvodnjski sektor, je izvedena iz desetih dolžnosti za varnost iz direktive: nadzor dostopa, segmentacija omrežja, beleženje incidentov in načrti za okrevanje se vsi pojavljajo, vendar usmerjena na vprašanje, ki ga postavlja naročilec. Pregled po situacijah, vključno s temami, ki so značilne za proizvodna okolja, je na voljo na pregledu tem po sektorjih in situacijah.
Za natančno oblikovanje pogodbe in za vprašanje, ali je specifična zahteva razumna glede na razmerje, ostane pravno svetovanje pravi pristop; ta članek opisuje vzorce, ki se ponavljajo, ne pa odgovora na posamezno pogodbo. Več o tem, od kod izhajajo podatki na tem spletnem mestu in kako se vzdržujejo, je na strani o tem, kako sledimo virom.
Želite hitro videti, ali je vaša organizacija zajeta prek dobavne verige, in kateri korak sledi? Brezplačna NIS2-preverka v nekaj vprašanjih daje prvo smer, brez da bi potrebovali račun.