Faller mjukvaruutveckling under NIS2?
Mjukvara utveckling som verksamhet är inte omnämnd i order i NIS2-direktivets bilagor. Det finns ingen sektor som kallas "mjukvara tillverkare". Det som däremot finns är närliggande kategorier: molnberäkning och molntjänster faller under digital infrastruktur, och hanterade IKT-tjänster och hanterade säkerhetstjänster faller under IKT-tjänstleverans. Utvecklar du skräddarsydd mjukvara för kunder utan att du själv levererar en molntjänst eller hanterad tjänst, är chansen stor att du inte direkt omfattas av direktivet.
Det betyder inte att mjukvara utveckling förblir utanför bilden. Tre saker tillsammans bestämmer var du står: den exakta karaktären på vad du levererar (sektor), storleken på din organisation och frågan om dina kunder själva är omfattade. Det senare påverkar i praktiken många fler utvecklingsföretag än det första.
Sektor: vad bilagorna nämner och inte nämner
Direktivet skiljer mellan väsentliga sektorer (bilaga I) och viktiga sektorer (bilaga II). Digital infrastruktur och IKT-tjänstleverans är listade i bilaga I, och den senare kategorin avser specifikt parter som hanterar eller övervakar IKT-miljön för andra — tänk på managed service providers. Levererar du en SaaS-produkt där du hanterar infrastrukturen för kunder, eller erbjuder du tillsammans med din mjukvara även hantering, övervakning eller hosting, flyttas du i riktning mot den kategorin. Levererar du endast en applikation som kunden själv hanterar och är värd, ligger situationen annorlunda.
Klassificeringen handlar mindre om hur du kallar dig själv och mer om vad du faktiskt gör för kunden. Två företag som båda kallar sig "mjukvara utvecklare" kan alltså få olika resultat när ett av dem även tar på sig ansvaret för hantering. En strukturerad granskning enligt sektor, storlek och kedjeplats ger snabbare klarhet än ett löst samtal om checklistor. i några få frågor se var ditt företag står
Storlek: tröskeln gäller även om sektorn matchar
Även om din verksamhet faller inom en angiven kategori gäller det storlekströsklar: direktivet skiljer mellan medelstora och stora företag, med olika resultat för mindre organisationer. Ett litet utvecklingsteam som tillfälligt även erbjuder hosting omfattas inte automatiskt av samma kategori som en stor molntjänsteleverantör. De exakta gränserna och undantagen som gäller för dessa finns i direktivet och den nationella genomförandet; dessa är inte något du bör besluta om baserat på en tumregel.
Kedjeplats: berörd utan att själv vara omfattad
För de flesta mjukvara företag ligger här den praktiska sidan av historien. Riskhanteringsskyldigheten (artikel 21) förpliktar väsentliga och viktiga enheter att även bedöma säkerheten hos sina leverantörer. Utvecklar du mjukvara för ett sjukhus, ett energiföretag eller en kommun är det troligt att denna kund skickar dig en säkerhetsfrågelista om din utvecklingsprocess — oavsett om du själv omfattas av direktivet.
Dessa frågelistor handlar sällan om abstrakta principper. De frågar konkret om hur du identifierar och åtgärdar sårbarheter, hur uppdateringar når kunden och vem inom ditt företag som har tillgång till källkoden och produktionsmiljön. Den som får sådana frågor för första gången upplever det ofta som en överraskning som sätter kontraktet under press; med en fast uppsättning svar går det betydligt snabbare nästa gång. de ämnen som är urvalda för varje situation
Två säkerhetslager: produkten och utvecklingsflödet
Vid mjukvaruutveckling löper två frågor genom varandra, och det är användbart att hålla dem isär. Den första handlar om vad du bygger: finns det en process för att upptäcka och åtgärda säkerhetsproblem i koden, hanteras beroenden och bibliotek, och hur snabbt når en säkerhetuppdatering kunden? Den andra handlar om hur du bygger: vem har åtkomst till källkodsförrådet, hur är CI/CD-pipelinen säkrad, och vem får faktiskt distribuera till produktion?
En säkerhetsfrågelista från en uppdragsgivare berör vanligtvis båda lagren samtidigt, även om kunden själv inte skiljer dessa två åt. Tillsynsmyndigheter och uppdragsgivare tittar på denna typ av frågor för att se om det finns en identifierbar process och om den processen är dokumenterad, inte bara på avsikten bakom den.
Vad du kan göra nu
Huruvida mjukvaruutveckling i ditt fall faller under NIS2 beror på den exakta tjänsten du tillhandahåller, storleken på din organisation och den sektor där dina kunder är aktiva. Det finns ingen entydig "ja" eller "nej" för hela branschen, och den slutgiltiga bedömningen av din situation hör hemma hos en jurist eller hos tillsynsmyndigheten, inte i en blogartikel.
Det som går att göra är: kontrollera i vilken av de tre positionerna du befinner dig — själv skyldig, påverkad via en kund, eller ännu inte påverkad — och bestäm från där vilka frågor du kan förvänta dig. Mer om hur denna klassificering kommer till och var de använda källorna kommer ifrån läser du på sidan om arbetssättet. Om du vill göra denna första klassificering för ditt eget företag tar det några minuter, och det krävs ingen konto för det. de vanligaste frågorna om klassificeringen ger en kompletterande bild av hur andra utvecklingsföretag stöter på samma fråga.