Ein Sicherheitsfragebogen für einen Installationsbetrieb dreht sich fast immer um eine Kernfrage: Wer hat Zugang zum Gebäude und zu den Systemen des Auftraggebers, und wie wird dieser Zugang verwaltet. Installationsbetriebe arbeiten vor Ort, haben häufig Schlüssel oder Zugangsausweise, und schließen Geräte an Gebäudemanagementsysteme, Klimaanlagen oder Alarmsysteme an, die manchmal auch remote verwaltet werden. Genau dort liegen die Fragen, die in diesem Sektor immer wieder auftauchen.
Der Fragebogen kommt meist nicht, weil der Installationsbetrieb selbst unter die NIS2-Richtlinie fällt, sondern weil der Auftraggeber das tut. Dieser Auftraggeber — ein Krankenhaus, ein Energieunternehmen, ein Wasserverband, ein großer Immobilienverwalter — hat eine Sorgfaltspflicht, die ihn verpflichtet, seine Lieferanten zu bewerten. Ein Installationsbetrieb, der Zugang zu Gebäuden oder Systemen einer solchen Organisation hat, wird daher über die Lieferkette erfasst, auch ohne selbst in den Anwendungsbereich des Gesetzes zu fallen.
Warum dieser Sektor häufiger einen Fragebogen erhält
Installationsbetriebe unterhalten häufig genau jene Infrastruktur, die für einen Auftraggeber kritisch ist: Heizung, Lüftung, Elektrizität, Brandmeldeanlagen, Zugangsregelung. Diese Systeme sind zunehmend mit einem Netz verbunden, und manchmal ist der Installationsbetrieb die einzige Partei, die sich remote einloggen kann, um Störungen zu beheben. Für den Auftraggeber ist das ein Grund zu erfahren, wie dieser Zugang geschützt ist. Ob ein bestimmtes Unternehmen unter das Gesetz fällt oder nur über die Lieferkette erfasst wird, ist mit einigen wenigen Fragen bestimmen.
Zugang zum Gebäude: Was wird abgefragt
Bei der physischen Seite geht es meist darum, wie Schlüssel, Zugangsausweise und Alarmbcodes ausgegeben und wieder eingezogen werden. Fragen, die immer wieder aufkommen: Wer innerhalb des Betriebs verfügt über Zugangsmedien zu Kundenstandorten, wie schnell wird ein Ausweis gesperrt, wenn ein Techniker aus dem Dienst ausscheidet, und ob es eine Übersicht gibt, wer wo Zugang hat. Auch wird regelmäßig gefragt, ob Subunternehmer eigenständig Zugang erhalten oder immer unter Begleitung arbeiten.
Zugang zu Systemen vor Ort: Was wird abgefragt
Bei der digitalen Seite richten sich die Fragen darauf, wie Geräte und Verbindungen vor Ort geschützt sind. Mögliche Fragen sind, ob mit einem persönlichen Konto oder einem gemeinsamen Passwort angemeldet wird, ob eine mehrstufige Authentifizierung bei der Remote-Verwaltung eines Gebäudemanagementsystems verwendet wird, und wie Zugang entzogen wird, wenn ein Projekt abgeschlossen ist oder ein Mitarbeiter das Unternehmen verlässt. Auch Geräte, die der Techniker vor Ort anschließt — ein Laptop oder Tablet — sind regelmäßig Gegenstand einer Frage: Wird dieses Gerät vom Betrieb verwaltet, und läuft Sicherheitssoftware darauf.
Subunternehmer und befristete Mitarbeiter
Installationsarbeiten werden häufig teilweise von Subunternehmern oder angeheuerten Fachkräften ausgeführt. Auftraggeber fragen daher manchmal nach, wie der Installationsbetrieb seine eigene Lieferkette verwaltet: Erhält ein Subunternehmer dieselben Zugangsmedien wie eigenes Personal, und gibt es einen Überblick, wer an einem bestimmten Tag tatsächlich vor Ort tätig war. Dies entspricht dem breiteren Grundsatz, dass eine Sorgfaltspflicht nicht nur den direkten Lieferanten berücksichtigt, sondern auch die Parteien, die dieser Lieferant wiederum einsetzt.
Was Sie mit diesen Fragen tun können
Die Fragen selbst sind oft nicht kompliziert, aber die Antwort erfordert etwas, das dokumentiert ist: eine Übersicht darüber, wer Zugriff hat, wie dieser Zugriff entzogen wird und wer dafür verantwortlich ist. Unternehmen, die das noch nicht schriftlich festgehalten haben, stellen fest, dass der größte Teil der Zeit dafür aufgewendet wird, das zu dokumentieren, was in der Praxis bereits geschieht. Eine Übersicht der Themen, die in solchen Fragelisten vorkommen, ausgearbeitet für jede Situation, finden Sie auf der Seite mit Themen pro Sektor. Wer erfahren möchte, wie die Informationen auf secria.eu entstehen und welche Quellen dabei verwendet werden, liest das auf die Seite zur Vorgehensweise.
Es ist wichtig zu verstehen, dass eine Cybersicherheits-Frageliste keine gesetzliche Verpflichtung an sich ist, sondern ein Instrument, mit dem ein Auftraggeber seine eigene Sorgfaltspflicht erfüllt. Was ein Auftraggeber dabei genau fragen darf und was nicht, unterscheidet sich je nach Situation und Vertrag; für die eigene Situation ist das etwas, das mit dem Auftraggeber oder, falls erforderlich, mit einem Rechtsbeistand besprochen werden sollte. Häufig gestellte Fragen zu solchen Fragelisten, einschließlich der Häufigkeit, mit der ein Unternehmen mit ihnen rechnen kann, sind auf der Seite mit häufig gestellten Fragen.
Wer sehen möchte, welche Maßnahmen rund um Zugriffsverwaltung und physische Sicherheit häufig abgefragt werden und wie diese sich auf den eigenen Geschäftsbetrieb auswirken, kann dies kostenlos und ohne Konto über die NIS2-Überprüfung und die Wissensdatenbank von secria.eu einsehen.