Et sikkerhedsspørgeskema for en installationsvirksomhed drejer sig næsten altid om ét kerneemne: hvem har adgang til opdragegiverens bygning og systemer, og hvordan administreres denne adgang. Installationsvirksomheder arbejder på stedet, har ofte nøgler eller kort, og tilslutter udstyr til bygningsstyringssystemer, klimaanlæg eller alarmsystemer, som nogle gange også administreres på distancen. Netop der ligger de spørgsmål, der igen og igen kommer frem i denne sektor.
Spørgeskemaet kommer normalt ikke, fordi installationsvirksomheden selv falder ind under direktiv (EU) 2022/2555, men fordi opdragsgiveren gør det. Denne opdragsgiver — et hospital, et energiselskab, et vandselskab, en stor ejendomsadministrator — har en pligt, der forpligter ham til at vurdere sine leverandører. En installationsvirksomhed, der har adgang til en sådan organisations bygninger eller systemer, bliver derfor ramt via leverandørkæden, også uden selv at være i lovens målgruppe.
Hvorfor denne sektor hyppigere modtager et spørgeskema
Installationsvirksomheder vedligeholder ofte netop den infrastruktur, der er kritisk for en opdragsgiver: varme, ventilation, elektricitet, brandalarmsystemer, adgangskontrol. Disse systemer er i stigende grad forbundet til et netværk, og nogle gange er installationsvirksomheden den eneste part, der kan logge på distancen for at afhjælpe fejl. For opdragsgiveren er det en grund til at ville vide, hvordan denne adgang er beskyttet. Om en specifik virksomhed falder ind under loven eller kun bliver ramt via leverandørkæden, kan nogle få spørgsmål.
Adgang til bygningen: hvad bliver der spurgt om
På den fysiske side drejer det sig normalt om, hvordan nøgler, kort og alarmkoder udstedes og tilbagekaldes. Spørgsmål, der kommer igen: hvem inden for virksomheden har adgangsmidler til kundestederne, hvor hurtigt et kort blokeres, når en tekniker fratræder, og om der findes en oversigt over, hvem der har adgang hvor. Det bliver også jævnligt spurgt, om underentreprenører får selvstændig adgang, eller om de altid arbejder under opsyn.
Adgang til systemer på stedet: hvad bliver der spurgt om
På den digitale side handler spørgsmålene om, hvordan udstyr og forbindelser på stedet er sikret. Mulige spørgsmål er, om der logges på med en personlig konto eller med en delt adgangskode, om flertrinsgodkendelse bruges ved fjernbetjening af et bygningsstyringsystem, og hvordan adgang tilbagekaldes, når et projekt er afsluttet, eller en medarbejder fratræder. Også eget udstyr, der tilsluttes på stedet — en tekniker's laptop eller tablet — er regelmæssigt gjenstand for spørgsmål: administreres dette udstyr af virksomheden, og har det sikkerhedssoftware på sig.
Underentreprenører og midlertidig personale
Installationsarbejde udføres ofte delvis af underentreprenører eller lejet personale. Opdraksgivere spørger derfor nogle gange opfølgende spørgsmål om, hvordan installationsvirksomheden selv administrerer sin egen kæde: får en underentreprenør de samme adgangsmidler som eget personale, og er der indsigt i, hvem der faktisk har været på stedet på en bestemt dag. Dette stemmer overens med det bredere princip om, at en pligt ikke kun ser på den direkte leverandør, men også på de parter, som denne leverandør igen indsætter.
Hvad du kan gøre med disse spørgsmål
Spørgsmålene i sig selv er ofte ikke komplicerede, men svaret kræver noget, der er dokumenteret: et overblik over, hvem der har adgang, hvordan denne adgang tilbagekaldes, og hvem der er ansvarlig for det. Virksomheder, der endnu ikke har det på papir, oplever, at det meste af tiden går med at nedskrive, hvad der allerede sker i praksis. Et overblik over de emner, der optræder i denne slags spørgelister, gennemarbejdet for hver situation, findes på siden med emner pr. sektor. Den, der gerne vil vide, hvordan informationen på secria.eu kommer til, og hvilke kilder der bruges, kan læse det på siden om arbejdsmetoden.
Det er værd at være klar over, at en securityspørgeskema ikke i sig selv er et lovkrav, men et værktøj, som en ordregiver bruger til at opfylde sit eget ansvarpligt. Hvad en ordregiver præcist må spørge om, og hvad der ikke må spørges om, varierer fra situation til situation og fra kontrakt til kontrakt; for den enkelte situation er det noget, der bør drøftes med ordregiveren eller, hvis nødvendigt, en jurist. Ofte stillede spørgsmål om denne slags spørgelister, herunder hvor ofte en virksomhed kan forvente dem, er indsamlet på siden med hyppigt stillede spørgsmål.
Den, der vil se, hvilke foranstaltninger vedrørende adgangskontrol og fysisk sikring ofte spørges om, og hvordan disse forholder sig til den pågældende virksomheds drift, kan se det gratis og uden konto via NIS2-checken og vidensbasen på secria.eu.