En beställare som omfattas av NIS2-försiktighetskravet måste kunna påvisa att han känner till riskerna i sin egen försörjningskedja. Mjukvara som du utvecklar för denna beställare är en del av denna kedja. I praktiken omvandlas detta till avtalsvillkor som fokuserar på två saker samtidigt: den produkt du levererar och hur du tillverkar denna produkt. Båda återkommer i avtalstexten, ofta som bilaga till inköpskontraktet.
Kärnan är enkel att komma ihåg: beställaren frågar inte bara om mjukvaran fungerar, utan också om du kan visa hur den förblir säker, vem som kan få åtkomst och vad som händer om något går fel. Detta är en förändring jämfört med tidigare, när funktionalitet och leveranstid ofta var de enda diskussionspunkterna.
Krav på den produkt du levererar
Det vanligaste avtalsvillkoret gäller sammansättningen av själva mjukvaran. Beställare frågar allt oftare om en förteckning över de bibliotek och öppen källkod-komponenter som används, en så kallad komponentlista för mjukvara. Anledningen är att en sårbarhet i en underliggande komponent är en lika stor risk som ett fel i din egen kod, och att en beställare vill kunna granska dessa risker utan att själv läsa källkoden.
Därutöver förekommer krav på hur sårbarheter i mjukvaran upptäcks och åtgärdas, och inom vilken tidsram. Detta kan gälla automatiserad skanning för kända svaga punkter, en fastställd uppdateringsprocedur eller frågan om vem som får rapportera en sårbarhet och vart den då ska skickas. För befintlig mjukvara frågar man ibland också om supportperioden: hur länge en version förses med säkerhetsuppdateringar.
Krav på din egen utvecklingsmiljö
En andra grupp krav fokuserar inte på produkten utan på processen för hur den skapas: utvecklingsmiljön. Tänk på vem som har åtkomst till källkoden och den miljö där mjukvaran byggs och testas, hur ändringar kontrolleras innan de går live, och om det finns separation mellan en test-, acceptans- och produktionsmiljö. Användningen av flerfaktorsautentisering för utvecklare som har åtkomst till källkod eller byggystem förekommer också i kontrakt, liksom frågan om vem som hanterar nycklar och autentiseringsuppgifter som är kopplade till mjukvaredistribution.
Vissa beställare frågar också om ursprunget för den mjukvara du själv använder för att bygga: kompilatorn, byggverktygen, de paket som hämtas under bygget. Detta är i linje med en bredare förståelse för att en attack inte bara kan ske via slutprodukten utan även via fabriken där den tillverkas.
Varför dessa krav är formulerade på exakt detta sätt
Det försiktighetskrav som ligger till grund för allt detta förplingar en skyldighetsbelagd organisation att bedöma och kontrollera risker i sin egen försörjningskedja. Hur det genomförs i detalj varierar från land till land, beroende på den nationella lag som bygger på det europeiska direktivet, och beroende på den sektor där beställaren är verksam. Det som är ett hårt krav i ett kontrakt kan fortfarande vara en frivillig fråga i ett annat kontrakt. Om du vill veta hur denna skyldighet är uppbyggd i sin kärna läser du det i förklaringen per skyldighet i vår kunskapsbas.
Det är viktigt att komma ihåg: det är beställaren som ställer dessa krav eftersom han själv står under tillsyn, inte för att mjukvaruföretag som sådana omfattas av direktivet. Huruvida och hur strikt detta tillämpas i ditt fall beror på sektorn och omfattningen av denna särskilda beställare. För din egen situation är texten i den nationella lagen eller rådgivning från en jurist utgångspunkten, inte en allmän bedömning.
Vad detta innebär för din beredning
De flesta av dessa krav går att besvara väl med lite förberedelser, och det svar som du sammanställer en gång kan du återanvända hos nästa uppdragsgivare. En komponentlista, en kort beskrivning av din åtkomstkontroll och en fastställd uppdateringsprocess är dokument som du inte behöver ta fram på nytt för varje kontrakt.
Vill du först se om och hur detta påverkar ditt företag, då ger kontrollen som på några frågor bestämmer din position i leveranskedjan en första vägledning, utan att du behöver något konto. För de konkreta frågor som uppdragsgivare ställer och hur vi hjälper dig med dem läser du mer på sidan med vanliga frågor eller tittar du på hur vi underbygger informationen på plattformen.
Den gratis kunskapsbanken och kontrollen ger dig en första bild utan åtaganden. Vill du därefter faktiskt omvandla kontraktskraven till ett löpande dossier med bevishandlingar och färdiga svar på frågeformulär, då är det tillfället att se vad ett abonnemang tillför.