En uppdragsgivare som själv omfattas av NIS2-direktivet får inte begränsa sin skyddsskyldighet till den egna organisationen. Denna skyldighet sträcker sig över leverantörskedjan: uppdragsgivaren måste bedöma vilka risker leverantörer medför, och det översätts till kontraktskrav. För metall- och tillverkningsindustrin handlar det ofta inte bara om kontorautomation, utan också om maskiner, styrsystem och produktionslinjer som på något sätt är anslutna till uppdragsgivarens nätverk eller till internet.
De vanligaste kraven gäller åtkomst, nätverksseparation, uppdateringspolicy och rapportering av incidenter till uppdragsgivaren själv — åtskilt från den lagstadgade rapporteringsskyldighet som endast gäller för omfattade enheter. Nedan beskrivs vilka bestämmelser som återkommer och vad de i praktiken betyder för en produktionsmiljö.
Vilka bestämmelser som återkommer i kontraktet
Kontrakt som granskas efter NIS2 innehåller vanligtvis en kombination av förpliktelser: rätten att periodiskt skicka frågelistor, en rapporteringstid för incidenter som påverkar tjänstleveransen till uppdragsgivaren, en skyldighet att påvisa säkerhetssatser, och ibland en revisionsrätt. Formuleringen skiljer sig mycket mellan uppdragsgivare och sektor; det finns ingen standardtext som gäller för alla kontrakt. För en klarare bild av vad som är rimligt att fråga om, hjälper det att läsa de mest ställda frågorna om vad en köpare får fråga att konsultera.
Viktigt att skilja: uppdragsgivaren ställer detta krav utifrån sin egen skyddsskyldighet, inte för att leverantören själv omfattas av direktivet. En maskintillverkare eller leverantör inom metall- och tillverkningsindustrin kan alltså få kontraktskrav utan att själv vara en omfattad eller viktig enhet. Huruvida så är fallet för en specifik relation beror på uppdragsgivarens sektor och storlek och på leverantörens roll i den kedjan.
Vad detta betyder för produktionssystem på nätverket
I metall- och tillverkningsindustrin är kombinationen av IT (kontorautomation) och OT (operativ teknik som CNC-maskiner, PLC:er och produktionslinjer) en återkommande fokuspunkt i de frågor som uppdragsgivare ställer. Maskiner som är tillgängliga för fjärrvård, eller som överför produktionsdata till en molnmiljö, faller under samma uppmärksamhet som en laptop på kontoret.
Separation mellan kontor- och produktionsnätverk
En återkommande fråga är om produktionsnätverket är åtskilt från kontornätverket, och om ett fel eller kontaminering på det ena nätverket kan sprida sig till det andra. Det är inte en fråga som besvaras med ja eller nej endast i en frågelista; tillsynsmyndigheter och uppdragsgivare ser på den faktiska inrättningen, inte på en avsiktsförklaring.
Fjärråtkomst för underhåll
Många maskiner i metall- och tillverkningsindustrin underhålls på distans av maskinleverantören själv, ibland via en fast anslutning som är kontinuerligt öppen. Kontraktskrav fokuserar ofta särskilt på denna punkt: vem som har åtkomst, hur åtkomsten loggas, och om den kan återkallas när som helst. Detta påverkar både leverantören som tillverkar maskinen och företaget som använder maskinen.
Vad uppdragsgivare frågar som bevis
Förutom själva enkäten brukar en beställare ofta begära någon form av underbyggnad: ett policydokument, en översikt över vem som har tillgång till vilka system, eller en förklaring om hur uppdateringar hanteras. Ett certifikat eller granskningsrapport kan efterfrågas, men är i sig själv ingen laglig förpliktelse enligt NIS2 — det är ett val som den enskilda beställaren gör. För den som vill undersöka hur dessa kontraktsvillkor förhåller sig till sin egen position i leveranskedjan är det lämpligt att först i ett par frågor undersöka var er organisation står.
Vad ni själva kan göra med det
De flesta krav som återkommer i kontrakt för metall- och tillverkningsindustrin är en följd av de tio skyldigheter för riskkontroll från direktivet: åtkomstkontroll, nätverkssegmentering, incidentregistrering och återställningsplaner återkommer alla, men då inriktat på den fråga som beställaren ställer. En översikt per situation, inklusive de ämnen som är specifika för produktionsmiljöer, finns i översikten över ämnen per sektor och situation.
För den exakta utformningen av ett kontrakt, och för frågan om ett specifikt krav är rimligt i förhållande till relationen, återstår juridisk rådgivning som rätt väg; denna artikel beskriver de mönster som återkommer, inte svaret på ett individuellt kontrakt. Mer om var informationen på denna webbplats kommer från och hur den underhålls finns på sidan om hur vi håller reda på källorna.
Vill ni snabbt se om er organisation nås via leveranskedjan, och vilken nästa steg som hör till det? Den kostnadsfria NIS2-kontrollen ger vägledning i ett par frågor, utan att ni behöver ett konto.