Τι αλλάζει στο συμβόλαιό σας με τον εργοδότη
Ένας εργοδότης που υπόκειται στην υποχρέωση φροντίδας του NIS2 — ένα νοσοκομείο, μια εταιρεία ενέργειας, ένα μεγάλο κέντρο εφοδιαστικής — πρέπει να αποδείξει ότι οι κίνδυνοι στην δική του αλυσίδα εφοδιασμού είναι σαφώς χαρτογραφημένοι. Οι εταιρείες εγκατάστασης βρίσκονται συχνά στη μέση αυτής της αλυσίδας, όχι επειδή υπόκεινται στην ίδια υποχρέωση, αλλά επειδή έχουν φυσική και ψηφιακή πρόσβαση στο κτίριο και τα συστήματα του εργοδότη. Αυτό είναι ακριβώς το λόγο για τον οποίο οι συμβατικές απαιτήσεις που θα συναντήσετε τους επόμενους μήνες, εστιάζονται στην πρόσβαση: ποιος επιτρέπεται να εισέλθει, με ποια μέσα, και τι μπορεί να πετύχει αυτό το άτομο από εκεί.
Η ουσία είναι απλή να κατανοηθεί χωρίς να διαβάσετε ο ίδιος το κείμενο του νόμου: ένας εργοδότης μπορεί να σας ζητήσει πώς αποτρέπετε ότι ένα κλειδί, μια κάρτα πρόσβασης ή μια σύνδεση συντήρησης γίνεται είσοδος για κάποιον άλλον. Η ακριβής διατύπωση διαφέρει ανά εργοδότη, αλλά η υποκείμενη ερώτηση είναι σχεδόν η ίδια σε όλους.
Τι ακριβώς ζητά ένας υπόχρεος εργοδότης
Η Οδηγία NIS2 υποχρεώνει τις ουσιώδεις και σημαντικές οντότητες να αξιολογήσουν τους κινδύνους στους προμηθευτές τους — αυτή είναι η ουσία της υποχρέωσης φροντίδας από το άρθρο 21. Αυτή η υποχρέωση μεταφράζεται στην πράξη σε τρεις κατηγορίες απαιτήσεων που εμφανίζονται στις εταιρείες εγκατάστασης: απαιτήσεις σχετικά με άτομα (ποιος επιτρέπεται να έρθει στην τοποθεσία εκ μέρους σας), απαιτήσεις σχετικά με μέσα (πώς διαχειρίζονται τα κλειδιά, οι κάρτες πρόσβασης και οι αποδείξεις εργασίας) και απαιτήσεις σχετικά με συνδέσεις (πώς γίνεται η σύνδεση από απόσταση με συστήματα κτιρίων). Καμία από αυτές τις απαιτήσεις δεν εμφανίζεται κατά λέξη στην Οδηγία· είναι πρακτικές εφαρμογές που επιλέγουν οι ίδιοι οι εργοδότες για να συμμορφωθούν με τη δική τους υποχρέωση φροντίδας.
Εάν δεν είστε σίγουροι αν ο εργοδότης σας υποχρεώνεται σε αυτό, μπορείτε να το ελέγξετε μέσω ενός σύντομου ελέγχου που δείχνει ποιος στην αλυσίδα εφοδιασμού επηρεάζεται. Αυτό βοηθά να τοποθετήσετε καλύτερα τη συζήτηση με τον εργοδότη: είναι αυτή μια υποχρέωση που προέρχεται από αυτούς, ή μια δική τους επιλογή του τμήματος προμηθειών.
Πρόσβαση σε κτίρια: κλειδιά, κάρτες πρόσβασης και συστήματα διαχείρισης κτιρίων
Στη φυσική πρόσβαση, συχνά υπάρχουν τρεις ερωτήσεις που επαναλαμβάνονται στα συμβόλαια: διατηρείται ένα δείγμα εγγραφής κλειδιών ή καρτών ανά υπάλληλο, ανακαλείται αυτή η πρόσβαση μόλις κάποιος φύγει από το έργο ή το εταιρεία, και υπάρχει ένα σταθερό διαδικασία για την εγγραφή υπεργολάβων που έρχονται στην τοποθεσία εκ μέρους σας. Για εταιρείες εγκατάστασης που εργάζονται με εναλλασσόμενους τεχνίτες και υπεργολάβους, αυτό είναι συχνά το μέρος όπου χρειάζεται η περισσότερη προσαρμογή — όχι επειδή είναι τεχνικά περίπλοκο, αλλά επειδή δεν είχε καταγραφεί απλώς.
Συστήματα διαχείρισης κτιρίων — τα συστήματα που ελέγχουν τη θέρμανση, τον φωτισμό, τα ασανσέρ ή τον έλεγχο πρόσβασης — αποτελούν ξεχωριστή κατηγορία. Ένας εργοδότης συχνά θέλει να γνωρίζει αν ο κωδικός πρόσβασης ενός τέτοιου συστήματος έχει αλλάξει μετά την παράδοση, ποιος διαχειρίζεται τα διαπιστευτήρια σύνδεσης και αν ένας παλιός κωδικός από ένα προηγούμενο έργο έχει επαναχρησιμοποιηθεί. Δεν είναι υπερβολική δυσπιστία: τα συστήματα διαχείρισης κτιρίων είναι ακριβώς ο τύπος συστήματος όπου ένα σφάλμα δεν παραμένει σε έναν τμήμα IT, αλλά γίνεται ορατό στο ίδιο το κτίριο.
Πρόσβαση σε συστήματα: διαχείριση από απόσταση και συνδέσεις συντήρησης
Όπου οι εταιρείες εγκατάστασης παρακολουθούν από απόσταση ή εκτελούν συντήρηση — μέσω σύνδεσης VPN, ενός εργαλείου που μοιάζει με teamviewer ή μιας σταθερής διεύθυνσης IP που λαμβάνει πρόσβαση — ο εργοδότης συνήθως θέλει να γνωρίζει πώς η σύνδεση προστατεύεται, αν κλείνεται μετά τη χρήση και ποιος στο δικό σας εταιρεία έχει πρόσβαση σε αυτή τη σύνδεση. Αυτό αγγίζει ευθέως τη διαχείριση πρόσβασης εντός του δικού σας οργανισμού: μια σύνδεση που μπορεί να χρησιμοποιηθεί από οποιοδήποτε μέλος της ομάδας χωρίς καταγραφή ή χρονικό όριο, είναι ακριβώς το είδος της απάντησης όπου ένα ερωτηματολόγιο ασφαλείας κολλάει.
Τα θέματα που σχετίζονται με αυτό — από την πολιτική κωδικών πρόσβασης έως την ανάκληση της πρόσβασης κατά την αποχώρηση του προσωπικού — περιγράφονται με σαφή τρόπο στο την επισκόπηση των θεμάτων ανά περίστασηsecria.eu, έτσι ώστε να μην χρειάζεται να αναζητήσετε το σχετικό τμήμα στην πλήρη κατευθυντήρια γραμμή.
Τι μπορείτε να προετοιμάσετε ήδη τώρα
Ακόμη και χωρίς να υπάρχει ήδη ένα συγκεκριμένο συμβόλαιο, είναι χρήσιμο να γνωρίζετε ποια κλειδιά, διακριτικά σήματα και συνδέσεις είναι ενεργά αυτήν τη στιγμή στα τρέχοντα έργα και εάν αυτή η καταχώρηση είναι ενημερωμένη. Αυτό δεν είναι νομικό έργο αλλά διοικητικό έργο, και είναι ακριβώς το είδος του αποδεικτικού εγγράφου που ένας ανάδοχος μπορεί αργότερα να σας ζητήσει. Εάν αμφιβάλλετε εάν μια συγκεκριμένη απαίτηση σε ένα προσχέδιο συμβολαίου είναι εύλογη ή υπερβαίνει αυτή που δικαιολογεί η υποχρέωση διαχείρισης κινδύνου, τότε αυτό είναι ένα ερώτημα για έναν νομικό ή, σε περίπτωση αμφιβολίας σχετικά με την υποχρέωση του αναδόχου, για τον ρυθμιστή — το secria.eu προετοιμάζει την υποκείμενη τεκμηρίωση, αλλά δεν αξιολογεί μεμονωμένα συμβόλαια.
Θέλετε πρώτα να δείτε πώς το secria.eu υποστηρίζει αυτό το είδος των ερωτημάτων, από τον πρώτο έλεγχο έως τα πρότυπα για λίστα ελέγχου; Στο τη σελίδα που εξηγεί από πού προέρχονται οι πληροφορίες βρίσκεται η δομή της πλατφόρμας βήμα προς βήμα, και οι συχνότερες ερωτήσεις σχετικά με ρόλο και υποχρέωση δίνει απάντηση σε παρόμοιες αμφιβολίες άλλων εγκαταστατών.
Εάν σας ενδιαφέρει να δείτε εάν η δική σας κατάσταση εμπίπτει στην αλυσίδα προσφοράς και τι συγκεκριμένα σημαίνει αυτό για τα συμβόλαια που υπογράφετε, τότε ο δωρεάν έλεγχος NIS2 είναι ένα λογικό πρώτο σταθμό, όπως και η βάση γνώσης που είναι προσβάσιμη χωρίς λογαριασμό.