Nemški naročnik ne kupuje več vaše kode. Kupuje odsotnost vašega tveganja.

Zakaj tehnična usposobljenost brez dokazljivega obvladovanja tveganj morda ne bo več zadoščala. Prvi del serije »Ko dobra koda ni več dovolj«.

Slovenska IT-podjetja so si mesto v nemških dobavnih verigah prislužila z znanjem, zanesljivostjo in pošteno ceno. Nič od tega ni izgubilo vrednosti. Spremenilo pa se je, kaj mora dobavitelj pokazati, preden sploh pride do pogovora o ceni.

Serija »Ko dobra koda ni več dovolj«

• 01 Nemški naročnik ne kupuje več vaše kode (4. 8. 2026)
• 02 O uredbi smo pisali. Smo komu povedali, kaj naj naredi v ponedeljek zjutraj? (11. 8. 2026)
• 03 Niste zavezanec po NIS2? Vaš naročnik ima morda drugačne načrte. (18. 8. 2026)
• 04 Clean code vas ne bo rešil. Tudi certifikat ne. (25. 8. 2026)
• 05 Nemški varnostni vprašalnik: trenutek, ko marketing sreča realnost (1. 9. 2026)
• 06 Slovenski IT ne potrebuje še enega seminarja o NIS2 (8. 9. 2026)

V tem članku: Scenarij · Kaj se je spremenilo · Informacija še ni znanje · Pet vprašanj · Kaj bi vprašal nemški naročnik? · Pripomoček: samoocena v 15 vprašanjih

Prizor, ki ga pozna vsak, ki dela za nemške naročnike:

Petnajst let razvijate programsko opremo za nemškega naročnika. Vaša ekipa pozna njegove sisteme bolje od marsikaterega njegovega zaposlenega. Odzivni ste, zanesljivi in cenovno konkurenčni.

Nato prispe varnostni vprašalnik.

Naročnik želi vedeti, katere odprtokodne komponente uporabljate, kako obravnavate ranljivosti, kdo lahko dostopa do produkcijskih podatkov in kako hitro lahko ugotovite, ali je neki varnostni incident prizadel njegov sistem.

Na večino vprašanj imate načeloma dobre odgovore. Težava je le, da jih ne morete dokazati.

Petnajst let dobrega sodelovanja. In nenadoma je na mizi vprašanje, ali ste še sprejemljivo tveganje. Priznajmo, malce žaljivo zveni.

Če ob tem začutite nelagodje, to ni znak slabega dela. Je znak, da se je spremenilo merilo, po katerem se delo ocenjuje. Petnajst let je naročnik ocenjeval rezultat: ali programska oprema deluje. Zdaj ocenjuje tudi postopek: ali lahko pokažete, kako ste do rezultata prišli in kaj se zgodi, ko gre kaj narobe.

Najprej tisto, kar se ni spremenilo. Predpisi niso izumili potrebe po varni programski opremi. Dobri razvijalci so ranljivosti popravljali, odvisnosti posodabljali in dostope omejevali že prej. Spremenilo se je dvoje: kdo za varnost odgovarja in kaj je treba o njej dokazati.

Dva evropska predpisa sta to premaknila iz dobre prakse v obveznost:

• Direktiva NIS2 (2022/2555) zahteva od bistvenih in pomembnih subjektov ukrepe za obvladovanje kibernetskih tveganj, med njimi izrecno tudi varnost dobavne verige in odnosov z neposrednimi dobavitelji (člen 21(2)(d)). V Sloveniji jo je prenesel Zakon o informacijski varnosti ZInfV-1 (Uradni list RS, št. 40/2025), ki velja od 19. junija 2025. V Nemčiji velja zakon za prenos NIS2 (NIS2UmsuCG) od 6. decembra 2025; nemški BSIG v § 38 odgovornost za izvajanje ukrepov izrecno nalaga vodstvu podjetja.
• Akt o kibernetski odpornosti (CRA), uredba 2024/2847, velja od 10. decembra 2024 in se uporablja postopoma. Od 11. septembra 2026, torej čez dober mesec, morajo proizvajalci izdelkov z digitalnimi elementi poročati o aktivno izkoriščenih ranljivostih in hudih incidentih: zgodnje opozorilo v 24 urah, uradno obvestilo v 72 urah, končno poročilo pri ranljivosti v 14 dneh po tem, ko je na voljo popravek, pri hudem incidentu v enem mesecu. Obveznost poročanja velja tudi za izdelke, ki so bili na trg dani že prej. V celoti se uredba uporablja od 11. decembra 2027.

11. september 2026 v tej seriji ni datum, ko se je industrija čez noč spremenila. Je mejnik, ob katerem postane vidno, kar se je spreminjalo že nekaj let: odgovornost za varnost potuje po dobavni verigi navzdol. Nemški naročnik, ki mora odgovarjati za svojo dobavno verigo, bo to odgovornost delil z vami. Najprej z vprašalnikom, potem s pogodbo.

Osrednja misel je zato preprosta: predpisi ne zahtevajo boljše kode. Zahtevajo dokaz, da tveganja, povezana z njo, kdo obvladuje.

O NIS2 in CRA je bilo v Sloveniji objavljenega veliko. Urad Vlade RS za informacijsko varnost (URSIV) je pripravil navodila za samoregistracijo zavezancev in skupaj z agencijo ENISA izvedel delavnice o odzivu na incidente. Združenje za informatiko in telekomunikacije pri GZS je pripombe k predlogu CRA posredovalo že leta 2023. Na voljo so predstavitve, članki in posnetki. Kdor je hotel izvedeti, da predpisa obstajata, je to lahko izvedel.

Zato je vprašanje zahtevnejše: če je bilo informacij toliko, zakaj bi slovenski dobavitelj še vedno lahko ostal nepripravljen, ko pride nemški vprašalnik?

Odgovor je v razliki med štirimi ravnmi pripravljenosti:

Po našem pregledu objavljeno gradivo dobro pokrije prvi dve ravni. Nemški naročnik pa sprašuje po tretji in četrti. Med »vem, da moram imeti seznam komponent« in »tu je seznam komponent za izdajo 4.2, ustvarjen samodejno ob gradnji« je razlika, ki je ne zapre nobeno predavanje. Zapre jo samo delo v lastnem razvojnem okolju.

Namesto dolgega kontrolnega seznama pet vprašanj. Odgovorite nanje za zadnjo izdajo, ki ste jo dostavili naročniku, ne za podjetje na splošno.

1. Ali lahko natančno ugotovite, katere različice ranljive knjižnice so vključene v posamezne izdaje vaših izdelkov?
2. Ali lahko rekonstruirate, kdo je odobril določeno spremembo, kateri testi so bili izvedeni in kaj je bilo dejansko dostavljeno?
3. Ali znate pokazati, kje se v vaši arhitekturi vzpostavi zaupanje v identiteto uporabnika oziroma storitve?
4. Ali imate preizkušen postopek obravnave ranljivosti in obveščanja prizadetih naročnikov?
5. Ali lahko naročniku brez improvizacije predložite arhitekturo, varnostne ukrepe in dokazila o njihovi učinkovitosti?

Če ste pri katerem od vprašanj pomislili »načeloma da, ampak bi morali pogledati«, ste našli točko, na kateri se bo ustavil tudi vprašalnik.

Bi nemški naročniki zamenjali vsakega dobavitelja, ki nima certifikata? Ne. To bi bila poenostavitev, in to napačna: menjava dobavitelja je draga, tvegana in počasna, kar vedo tudi nabavni oddelki.

Pravilneje je takole: če dva dobavitelja ponujata primerljivo funkcionalnost, pa eden omogoča pregledno obvladovanje varnostnih tveganj, drugi pa od naročnika zahteva zaupanje brez dokazov, cenovna prednost drugega morda ne bo več odločilna. Pri novih naročilih še manj kot pri obstoječih.

Za slovensko IT-industrijo to ni grožnja s kaznimi. Je vprašanje konkurenčnosti. Naša prednost na nemškem trgu ni bila nikoli samo cena; bila je kombinacija znanja, bližine in zanesljivosti. Dokazljivost je naslednji del te kombinacije.

Odgovornost ni samo na podjetjih. Pri pripravljenosti imajo vlogo trije akterji:

• podjetja, ki morajo iz dobre prakse narediti ponovljiv in dokumentiran postopek;
• strokovna združenja, ki lahko informiranje nadgradijo v praktično usposabljanje in skupne vzorce;
• naročniki, ki lahko z jasnimi zahtevami prihranijo obema stranema veliko dopisovanja.

Ne potrebujemo še enega certifikata ali še enega sloja administracije. Potrebujemo merljive rezultate: ponovljiv razvojni postopek, sledljivost komponent, obvladovanje ranljivosti in dokazila, ki jih je mogoče uporabiti. O vsakem od teh govori eden od naslednjih delov serije.

Vprašanje ni več samo, ali znamo razviti programsko opremo, ki deluje. Vprašanje je, ali znamo dokazati, da naš naročnik z njo ne kupuje neobvladljivega tveganja.

„Bitte beschreiben Sie, wie Sie sicherstellen, dass die von Ihnen gelieferte Software keine bekannten ausnutzbaren Schwachstellen enthält, und welche Nachweise Sie dafür vorlegen können.“

Prevod: Opišite, kako zagotavljate, da programska oprema, ki jo dobavljate, ne vsebuje znanih ranljivosti, ki jih je mogoče izkoristiti, in katera dokazila lahko za to predložite.

Kaj v resnici želi vedeti? Ključna je druga polovica stavka: Nachweise, dokazila. Odgovor »uporabljamo sodobna orodja in dobre prakse« je opis namena, ne dokaz. Naročnik pričakuje opis postopka (kdaj in s čim preverjate odvisnosti, kdo odloča o popravku, v kolikšnem času) in vsaj en dokument, ki ta postopek pokaže pri konkretni izdaji, na primer poročilo pregleda odvisnosti za zadnjo dostavljeno različico.

Petnajst vprašanj, razdeljenih na pet področij. Vsako vprašanje ocenite za zadnjo izdajo, dostavljeno nemškemu naročniku:

• 0 – ne, ali ne vemo;
• 1 – da, vendar dokazilo pripravljamo ročno ali ga ni;
• 2 – da, dokazilo nastane samodejno ali je že pripravljeno.

Kako brati rezultat:

• 24–30 točk: na vprašalnik ste pripravljeni; preverite, ali so dokazila aktualna.
• 15–23 točk: postopki obstajajo, dokazila pa so ročna; največ boste pridobili s samodejnim nastajanjem dokazil (4. del serije).
• pod 15 točk: začnite s področjema Komponente in Ranljivosti; na njiju sloni vse ostalo.

Vprašanja z oceno 0 ali 1 zapišite. Ta seznam bo izhodišče za 90-dnevni načrt v zadnjem delu serije.

Naslednji del (11. 8. 2026): O uredbi smo pisali. Smo komu povedali, kaj naj naredi v ponedeljek zjutraj?

Če želite rezultat samoocene preveriti s sogovornikom, ki pozna nemške vprašalnike, nam pišite.