Какво се променя в договора с вашия възложител
Възложител, който сам попада под задължението за управление на киберрисковете по NIS2 — болница, енергийно предприятие, голямо логистично хъб — трябва доказуемо да покаже, че рисковете в собствената си верига са известни. Инсталационните компании често се намират в средата на тази верига, не защото сами са задължени, а защото имат физически и цифров достъп до сградата и системите на възложителя. Именно затова договорните изисквания, които ще срещнете в близко време, се съсредоточават върху достъпа: кой може да влезе, с какви средства и какво може да направи всеки от там.
Сърцевината е проста за разбиране без да чете самия законодателен текст: възложител може да ви попита как предотвратявате ключ, пропуск или поддържаща връзка да не станат входна врата за някой друг. Точното формулиране се различава в зависимост от възложителя, но основният въпрос е почти еднакъв за всички.
Какво точно задължена възложител пита
Директива (EU) 2022/2555 задължава критични и важни оператори да оценят рисковете при доставчици — това е сърцевината на задължението за управление на киберрисковете от член 21. Това задължение се преводит на практика в три вида изисквания, които се появяват при инсталационни компании: изисквания към лица (кой може да влезе на място от ваше име), изисквания към средства (как се управляват ключове, пропуски и работни разрешения) и изисквания към връзки (как се влиза отдалечено в сградни системи). Нито едно от тези изисквания не стои буквално така в директивата; това са практически интерпретации, които възложителите сами избират, за да отговорят на собственото си задължение за управление на киберрисковете.
Ако не сте сигурни дали вашия възложител тук е сам задължен, това може да се провери чрез кратка проверка, която показва кой в верига е засегнат. Това помага да поставите по-добре разговора с възложителя: идва ли това задължение от тях или е собствен избор на тяхния отдел за закупуване.
Достъп до сгради: ключове, пропуски и системи за управление на сгради
При физически достъп често има три въпроса, които се появяват в договори: се поддържа ли регистрация на ключове или пропуски за всеки служител, прекратява ли се този достъп веднага след напускане на служител проекта или компанията, и има ли процедура за докладване на подизпълнители, които идват на място от ваше име. За инсталационни компании, които работят със сменяни монтажници и подизпълнители, това е често частта, където е необходима най-голяма адаптация — не защото е технически усложнено, а защото просто все още не е фиксирано.
Системите за управление на сгради — системите, които управляват отопление, осветление, асансьори или контрол на достъпа — представляват отделна категория. Възложител често искат да знаят дали паролата на такава система е променена след превдаване, кой управлява данните за вход, и дали е преизползвана стара парола от предишен проект. Това не е прекомерна подозрителност: системите за управление на сгради са точно типът система, където прекъсването не остава в IT отдела, а е видимо в самата сграда.
Достъп до системи: дистанционно управление и поддържащи връзки
Когато инсталационни компании наблюдават отдалечено или извършват поддръжка — чрез VPN-връзка, инструмент като teamviewer или固定 IP-адрес, който получава достъп — възложител обикновено искат да знаят как е защитена връзката, затваря ли се след използване и кой във вашата организация внътрешно има достъп до тази връзка. Това пряко засяга контрола на достъпа в собствената ви организация: връзка, която всеки в екипа може да използва без запис или временно ограничение, е точно типът отговор, където анкета за кибербезопасност попада.
Темите, които са свързани с това — от политики за пароли до оттегляне на достъп при отпадане на персонала — са ясно описани в преглед на темите по ситуацияза да не трябва да търсите в пълната директива частта, която се отнася до вас.
Какво можете да подготвите сега
Дори без конкретен договор, е полезно да знаете кои ключове, бейджи и връзки са активни в момента при текущи проекти и дали тази регистрация е актуална. Това не е юридическа работа, а административна работа, и това е точно вид доказателство, което възложителят може да поиска по-късно. Ако се съмнявате дали конкретно изискване в проектен договор е разумно или надвишава това, което задължението за преглед оправдава, това е въпрос за юрист или, ако се съмнявате за задължението на самия възложител, за надзорния орган — secria.eu подготвя основната документация, но не оценява отделни договори.
Желаете ли първо да видите как secria.eu подкрепя този вид въпроси, от първата проверка до шаблоните за въпросник? На страницата, която обяснява откъде идва информацията е разложена структурата на платформата стъпка по стъпка, и най-често задаваните въпроси относно роля и задължение дава отговор на подобни съмнения на други инсталационни предприятия.
Ако сте любопитни дали вашата собствена ситуация попада в веригата и какво конкретно означава това за договорите, които подписвате, безплатната NIS2 проверка е логично първо място, както и базата знания, която е достъпна без акаунт.