Automobilový priemysel

V automobilovom priemysle prichádza požiadavka na bezpečnosť od odberateľa, nie od úradu. Býva to termín stanovený bez znalosti toho, v akom stave dodávateľ je — a dôsledkom nesplnenia nie je sankcia, ale vyradenie z dodávateľského reťazca.

Ktoré režimy sa vás spravidla týkajú

• TISAX. Odberateľ žiada label a určuje aj úroveň, podľa toho, aké citlivé údaje vám zveruje. Samotné posúdenie smie vykonať výhradne poskytovateľ akreditovaný asociáciou ENX a nikto, kto vás naň pripravuje, ho zároveň vykonať nemôže — nezávislosť je zmyslom celého systému. Pripravujeme vás naň a pomáhame s výberom poskytovateľa.

• ISO/IEC 27001. Katalóg VDA ISA vychádza z jej štruktúry, takže funkčný systém riadenia informačnej bezpečnosti pokryje veľkú časť prípravy. Dopĺňajú sa najmä špecifiká odvetvia — ochrana prototypov a fyzická bezpečnosť na úrovni, akú norma sama nevyžaduje. Certifikát pritom vydáva akreditovaný certifikačný orgán, nie poradca.

• Zákon o kybernetickej bezpečnosti (NIS2). Dopadá na vybrané sektory, ak firma dosahuje veľkostné kritérium — spravidla 50 zamestnancov alebo ročný obrat či bilančná suma nad 10 mil. €. Časť subjektov však spadá pod zákon bez ohľadu na veľkosť a zaradenie závisí od príloh zákona a od konkrétnej poskytovanej služby. Či sa to týka vás, si preverte v kvalifikátore na stránke k zákonu — z odvetvia sa to odvodiť nedá.

• GDPR. Popri výrobných dátach spracúvate aj údaje zamestnancov a agentúrnych pracovníkov; pri prenosoch v rámci nadnárodnej skupiny je ťažiskom zmluvné ošetrenie a dokumentácia, ktorá zodpovedá skutočnosti.

Prevádzkové technológie sú otvorená otázka

Predmet auditu sa rozšíril z informačných systémov aj na prevádzkové technológie — montážne linky, roboty a riadiace systémy. Je to najväčšia zmena, ktorú táto novela prináša, pretože takéto systémy sa nedajú posudzovať rovnakými postupmi ako kancelárske IT: aktívne skenovanie môže zhodiť riadiaci prvok a odstávka kvôli auditu je drahšia než samotný audit.

Uvádzame to ako riziko na vašej strane, nie ako sľub na našej. Či a v akom rozsahu prevádzkové technológie posudzujeme my, dohodneme individuálne pri určovaní rozsahu — pri časti prostredí prizývame špecialistu na priemyselné riadiace systémy. Tvrdiť pri týchto systémoch viac, než vieme doložiť, by sa nevyplatilo ani nám, ani vám.

Čo pre automotive robíme

Pripravíme vás na assessment: určíme rozsah a ciele ochrany, urobíme gap analýzu proti katalógu VDA ISA, dobudujeme systém riadenia a dokumentáciu a pripravíme dôkazy. Ak je termín, ktorý ste od odberateľa dostali, nesplniteľný, povieme to hneď na začiatku — spolu s argumentmi, s ktorými sa dá o ňom rokovať. To býva cennejšie než samotná príprava.