Vilka frågor får ett programvaruföretag i en NIS2-frågelista?
Om du bygger mjukvara för en uppdragsgivare som själv omfattas av NIS2-direktivet — eller av cybersäkerhetslag i motsvarande medlemsstat — får du nästan säkert en säkerhetsfrågelista. Frågorna i den handlar alltid om två saker vid mjukvaruutveckling: säkerheten i vad du levererar, och säkerheten i miljön där du gör det. Den andra punkten skiljer dessa frågelistor från dem för exempelvis ett installationsföretag eller en fastighetstjänst.
Kärnan är alltid densamma: kan någon via din källkod, din byggmiljö eller ditt konto hos en pakethanterare få åtkomst till din uppdragsgivares system, och vad gör du för att förhindra det eller upptäcka det snabbt. Den som kan besvara dessa två frågor är redan klara med största delen av listan.
Varför mjukvara är en separat kategori
För de flesta leverantörer tittar en uppdragsgivare på vad som händer i ditt företag: vem som har åtkomst till vilka system, hur du testar en säkerhetskopia. För en mjukvaruleverantör kommer det ett lager till, nämligen vad du skickar från ditt företag till uppdragsgivarens. Det kan vara en uppdatering, en API-koppling eller kod som körs direkt i deras miljö. Därför ställer en uppdragsgivare djupare frågor här än hos en leverantör som bara använder kontorautomation.
Frågor om produkten: vad du levererar
En stor del av frågelistan handlar om själva mjukvaran. Använder du externa bibliotek och komponenter, och håller du reda på vilka det är — ofta benämnda som en förteckning över mjukvarukomponenter. Hur hanterar du en sårbarhet som upptäcks i en sådan komponent, och inom vilken tidsram släpper du då en uppdatering. Granskas kod av en andra person innan den går live. Testar du för kända brister innan du levererar, och vem gör det.
Under detta finns ofta ännu en fråga om rapportering: om någon utanför ditt företag upptäcker en sårbarhet i din mjukvara, finns det då ett sätt att rapportera det till dig, och vad händer med sådan rapportering. Det är ingen juridisk skyldighet som följer direkt från NIS2 för dig som leverantör, men uppdragsgivare frågar om det i praktiken eftersom de måste kunna styrka det för sin egen tillsynsmyndighet.
Frågor om utvecklingsmiljön: hur du bygger
Det andra blocket handlar om miljön där mjukvaran skapas. Vem som har åtkomst till källkoden, och om åtkomsten är personbunden eller delad. Finns flerfaktorsautentisering i miljön där du bygger och levererar. Testas en förändring automatiskt innan den går till produktion, och kan någon kringgå det steget. Vem hanterar nycklarna och certifikaten som mjukvaran signeras med, och var lagras de.
Också ganska ofta återkommande: hur hanterar du bärbara datorer och konton för utvecklare som arbetar i denna miljö, särskilt om de arbetar på distans. Och: lagrar du loggar över vem som ändrat vad i koden eller pipeline, och hur länge. Det senare motsvarar vad som i bredare bemärkelse kallas incidentloggning, men då fokuserat på själva utvecklingsmiljön.
Vad en uppdragsgivare får och inte får fråga om
Listan får handla om säkerheten i din produkt och ditt utvecklingsprocess för så långt det rör uppdragsgivarens risk. Frågor om din helt interna organisation, ditt personalpolicy lossnämt från detta sammanhang, eller delar av ditt företag som inget har med levererad mjukvara att göra, faller utanför. Var gränsen precis går varierar per kontrakt och sektor, och det är något att förtydliga i samtal med uppdragsgivaren, inte något att låta passera tyst.
Hur du bygger detta en gång ordentligt
De flesta av dessa frågor är inte en ögonblicksbild utan en fast uppsättning som återkommer hos nästan varje uppdragsgivare, bara med en något annan formulering. Den som en gång dokumenterar svaren per åtgärd — med ett bevis och en ansvarig — behöver bara kopiera och anpassa dem i nästa frågelista. med ett par frågor som visar om och hur du påverkas ser du först var du står, och i översikten per område hittar du utarbetningen av enskilda åtgärder såsom åtkomstkontroll och incidentregistrering. Är du osäker på en specifik fråga i en lista som du fick, då ger listan med vanliga frågor ofta redan en första riktning, och en förklaring av var vår information kommer ifrån visar hur vi håller reda på källor.
Vill du först själv kontrollera om och hur ditt företag står i denna fråga, gör då den kostnadsfria snabbgenomgången eller bläddra genom kunskapsdatabasen. Båda kan konsulteras utan konto och ger en första, faktisk indikation — ingen bedömning av din specifika situation, för vilken du vid osäkerhet alltid kan vända dig till en jurist eller till den tillsynsmyndighet som är behörig för din sektor.