Bezpečnostní dotazník pro instalační podnik se téměř vždy točí kolem jedné klíčové otázky: kdo má přístup k budově a systémům zadavatele a jak je tento přístup spravován. Instalační podniky pracují na místě, často mají klíče nebo průkazy, a připojují zařízení k systémům řízení budov, klimatizačním instalacím nebo alarmům, které jsou někdy spravovány také na dálku. Právě tam leží otázky, které se v tomto sektoru neustále opakují.
Dotazník obvykle nepochází proto, že by samotný instalační podnik spadal pod směrnici NIS2, ale protože to platí pro jeho zadavatele. Tento zadavatel — nemocnice, energetická společnost, vodárenská společnost, velký správce nemovitostí — má povinnost péče, která ho zavazuje posuzovat své dodavatele. Instalační podnik, který má přístup ke zданím nebo systémům takové organizace, je tímto způsobem postižen prostřednictvím dodavatelského řetězce, i bez toho, aby sám spadal do cílové skupiny zákona.
Proč tento sektor obdrží dotazník častěji
Instalační podniky často udržují právě infrastrukturu, která je pro zadavatele kritická: vytápění, větrání, elektrika, hasiče, kontrola přístupu. Tyto systémy jsou stále více propojeny se sítí, a někdy je instalační podnik jedinou stranou, která se může na dálku přihlásit, aby odstranil poruchy. Pro zadavatele je to důvod, proč chtít vědět, jak je tento přístup chráněn. Zda konkrétní podnik spadá pod zákon nebo je postižen pouze prostřednictvím dodavatelského řetězce, je na několika otázkami.
Přístup k budově: na co se ptají
Na fyzické straně obvykle jde o to, jak se vydávají a odnímají klíče, průkazy a alarm kódy. Otázky, které se vrací: kdo v rámci podniku má přístupové prostředky na místa zákazníků, jak rychle je průkaz zablokován, když technik odejde ze služby, a zda existuje přehled o tom, kdo kam má přístup. Také se běžně ptáno, zda podnikatelé získají přístup samostatně nebo vždy pracují pod dohledem.
Přístup k systémům na místě: na co se ptají
Na digitální straně se otázky zaměřují na to, jak je zařízení a připojení na místě chráněno. Možné otázky jsou, zda se přihlašují pomocí osobního účtu nebo sdíleného hesla, zda se používá vícefaktorová ověření při vzdálené správě systému řízení budovy, a jak se přístup odebírá, když je projekt dokončen nebo zaměstnanec odejde. Také vlastní zařízení připojené na místě — přenosný počítač nebo tablet technika — je pravidelně předmětem otázky: je toto zařízení spravováno podnikem a má v sobě bezpečnostní software.
Subdodavatelé a dočasní zaměstnanci
Instalační práce jsou často částečně prováděny subdodavateli nebo pronajatým personálem. Zadavatelé se proto někdy ptají na to, jak sám instalační podnik spravuje svůj vlastní řetězec: obdrží subdodavatel stejné přístupové prostředky jako vlastní personál, a existuje přehled o tom, kdo byl konkrétního dne skutečně na místě. To se váže na širší princip, že povinnost péče se neukazuje pouze na přímého dodavatele, ale také na strany, které tento dodavatel opět angažuje.
Co s těmito otázkami můžete dělat
Samotné otázky často nejsou složité, ale odpověď vyžaduje něco, co je dokumentováno: přehled o tom, kdo má přístup, jak se přístup odvolává a kdo je za to odpovědný. Podniky, které to ještě nemají zaznamenáno na papíře, si všimnou, že většina času jde na zaznamenání toho, co se v praxi již děje. Přehled témat, která se v takovýchto dotaznících opakují, rozpracovaný pro každou situaci, je k dispozici na stránce s tématy podle sektoru. Kdo chce vědět, jak informace na secria.eu vznikají a jaké zdroje se používají, najde to na stránce o našem postupu.
Je dobré si uvědomit, že bezpečnostní dotazník není samostatnou právní povinností, ale nástrojem, který zadavatel používá k naplnění své vlastní péče. Co může zadavatel přesně ptát a co ne, se liší podle situace a smlouvy; pro vlastní situaci je to věc, kterou je vhodné projednat se zadavatelem nebo, je-li to nutné, s právníkem. Časté otázky k takovýmto dotaznìkům, včetně toho, jak často může podnik očekávat jejich výskyt, jsou shrnuty na stránce s často kladenými otázkami.
Kdo chce vidět, jaká opatření týkající se řízení přístupu a fyzické bezpečnosti se často dotazují a jak se vztahují k vlastnímu podnikání, může si to zdarma a bez účtu prohlédnout prostřednictvím NIS2 proveřovacího nástroje a vědomostní báze secria.eu.