Hvad ændrer sig i kontrakten med din ordregiver
En ordregiver, der selv falder under NIS2-ansvarpligten — et hospital, et energiselskab, en stor logistisk knudepunkt — skal kunne påvise, at risici i egen forsyningskæde er kortlagt. Installationsbedrifter sidder ofte midt i denne kæde, ikke fordi de selv er forpligtet, men fordi de fysisk og digitalt har adgang til ordregiverens bygning og systemer. Det er præcis derfor, de kontraktbetingelser, du møder i den kommende tid, koncentrerer sig om adgang: hvem må komme ind, med hvilke midler, og hvad kan denne person nå derfra.
Kernen er simpel at forstå uden selv at læse lovteksten: en ordregiver må spørge dig, hvordan du forhindrer, at en nøgle, et adgangskort eller en vedligeholdelsesforbindelse bliver en indgang for en anden. Den præcise formulering varierer fra ordregiver til ordregiver, men det underliggende spørgsmål er stort set det samme hos alle.
Hvad en forpligtet ordregiver præcis spørger om
NIS2-direktivet forpligter kritiske og vigtige enheder til at vurdere risici hos leverandører — det er kernen i ansvarpligten fra artikel 21. I praksis oversættes denne forpligtelse til tre typer krav, der kommer igen hos installationsbedrifter: krav til personer (hvem må komme på stedet på vegne af dig), krav til midler (hvordan styres nøgler, kort og arbejdsordrer) og krav til forbindelser (hvordan logges der på fjernhed ind på bygningssystemer). Intet af disse krav står ordret sådan i direktivet; de er praktiske fortolkninger, som ordregivere selv vælger for at opfylde deres egen ansvarpligt.
Hvis du er usikker på, om din ordregiver selv er forpligtet hertil, kan det kontrolleres via en kort kontrol, der viser, hvem i kæden der bliver berørt. Det hjælper med at placere samtalen med ordregiveren bedre: er dette en forpligtelse, der kommer fra dem, eller er det ordregiverens egen indkøbsafdelings valg.
Adgang til bygninger: nøgler, kort og bygningsadministrationssystemer
Ved fysisk adgang drejer det sig ofte om tre spørgsmål, der går igen i kontrakter: bliver der vedligeholdt en nøgle- eller kortregistrering pr. medarbejder, trækkes denne adgang tilbage, så snart nogen forlader projektet eller virksomheden, og er der en fast procedure for tilmelding af underleverandører, der kommer på stedet på vegne af dig. For installationsbedrifter, der arbejder med skiftende teknikere og underleverandører, er dette ofte den del, hvor der skal foretages mest tilpasning — ikke fordi det er teknisk kompliceret, men fordi det simpelthen ikke var dokumenteret før.
Bygningsadministrationssystemer — systemerne, der styrer opvarmning, belysning, elevatorer eller adgangskontrol — udgør en særlig kategori. En ordregiver vil ofte gerne vide, om systemets adgangskode ændres efter levering, hvem der styrer loginoplysningerne, og om en gammel adgangskode fra et tidligere projekt er blevet genbrugt. Det er ikke overdreven mistro: bygningsadministrationssystemer er præcis den type system, hvor en fejl ikke bliver i en IT-afdeling, men bliver synlig i selve bygningen.
Adgang til systemer: fjernbetjening og vedligeholdelsesforbindelser
Hvor installationsbedrifter ser med fra afstand eller udfører vedligeholdelse — via en VPN-forbindelse, et teamviewer-lignende værktøj eller en fast IP-adresse, der får adgang — vil ordregiveren typisk gerne vide, hvordan denne forbindelse er sikret, om den lukkes efter brug, og hvem hos din virksomhed der har adgang til denne forbindelse. Dette påvirker direkte adgangsstyring inden for din egen organisation: en forbindelse, der kan bruges af alle i teamet uden log eller tidsbegrænsning, er præcis den type svar, hvor en sikkerhedsspørgeskema opstår.
De emner, der hører til — fra adgangskodeliste til tilbagekaldelse af adgang ved personaleudskiftning — er beskrevet på en overskuelig måde i oversigten over emner pr. situationså du ikke behøver at søge i det fulde direktiv efter den del, der er relevant for dig.
Hvad du allerede kan forberede
Selv uden en konkret kontrakt er det værdifuldt at vide, hvilke nøgler, kort og forbindelser der i øjeblikket er aktive ved igangværende projekter, og om registreringen er opdateret. Det er ikke juridisk arbejde, men administrativt arbejde, og det er præcis den type dokumentation, som en ordregiver senere kan anmode om. Hvis du er i tvivl om, hvorvidt et specifikt krav i et kontraktudkast er rimeligt eller går videre end det, cyberforholdsreglen retfærdiggør, er det et spørgsmål til en advokat eller, hvis du er i tvivl om ordregiverens egen forpligtelse, til tilsynsmyndigheden — secria.eu forbereder den underliggende dokumentation, men vurderer ikke individuelle kontrakter.
Vil du først se, hvordan secria.eu understøtter denne slags spørgsmål, fra den første kontrol til skabelonerne til et spørgeskema? På siden, som forklarer, hvor informationen kommer fra beskrives platformens opbygning trin for trin, og de hyppigst stillede spørgsmål om rolle og forpligtelse besvarer lignende tvivl fra andre installationsfirmaer.
Er du nysgerrig på, om din egen situation falder inden for forsyningskæden og hvad det konkret betyder for de kontrakter, du underskriver, så er den gratis NIS2-check et logisk første sted, ligesom den vidensbank, der er tilgængelig uden konto.