Un cuestionario de seguridad para una empresa de instalaciones casi siempre gira en torno a una pregunta central: quién tiene acceso al edificio y los sistemas del cliente, y cómo se gestiona ese acceso. Las empresas de instalaciones trabajan in situ, frecuentemente disponen de llaves o tarjetas de acceso, e instalan equipos en sistemas de gestión de edificios, instalaciones de climatización o sistemas de alarma que a veces se gestionan también de forma remota. Precisamente ahí se encuentran las preguntas que reaparecen constantemente en este sector.
El cuestionario generalmente no llega porque la empresa de instalaciones esté sujeta directamente a la Directiva NIS2, sino porque el cliente sí lo está. Ese cliente —un hospital, una empresa de energía, una junta de agua, un gestor de propiedades de gran tamaño— tiene una obligación de diligencia que le obliga a evaluar a sus proveedores. Una empresa de instalaciones que tiene acceso a edificios o sistemas de una organización de este tipo se ve afectada por tanto a través de la cadena de suministro, incluso sin estar directamente incluida en el ámbito de aplicación de la ley.
Por qué este sector recibe más frecuentemente un cuestionario
Las empresas de instalaciones mantienen a menudo precisamente la infraestructura que es crítica para un cliente: calefacción, ventilación, electricidad, sistemas de detección de incendios, control de acceso. Estos sistemas están cada vez más conectados a una red, y a veces la empresa de instalaciones es la única parte que puede conectarse de forma remota para resolver fallos. Para el cliente, esto es una razón para querer saber cómo está protegido ese acceso. Tanto si una empresa específica está sujeta a la ley como si se ve afectada únicamente a través de la cadena de suministro, es algunas preguntas.
Acceso al edificio: qué se pregunta
En lo que respecta al aspecto físico, suele tratarse de cómo se expiden y se retiran las llaves, tarjetas de acceso y códigos de alarma. Las preguntas recurrentes son: quién dentro de la empresa dispone de medios de acceso a las ubicaciones de los clientes, con qué rapidez se bloquea una tarjeta cuando un técnico se va de la empresa, y si existe un registro de quién tiene acceso dónde. También se pregunta regularmente si los subcontratistas obtienen acceso de forma independiente o siempre bajo supervisión.
Acceso a sistemas in situ: qué se pregunta
En lo que respecta al aspecto digital, las preguntas se centran en cómo están protegidos los equipos y las conexiones in situ. Las preguntas posibles son si se accede con una cuenta personal o con una contraseña compartida, si se utiliza autenticación multifactor al gestionar de forma remota un sistema de gestión de edificios, y cómo se revoca el acceso cuando un proyecto finaliza o un empleado se va. También el equipo propio que se conecta in situ —un portátil o tablet del técnico— es frecuentemente objeto de pregunta: ¿está ese equipo gestionado por la empresa y tiene instalado software de seguridad?
Subcontratistas y empleados temporales
El trabajo de instalación a menudo se ejecuta parcialmente por subcontratistas o personal contratado. Los clientes por tanto a veces profundizan en cómo la empresa de instalaciones gestiona su propia cadena de suministro: ¿recibe un subcontratista los mismos medios de acceso que el personal propio, y hay visibilidad sobre quién estuvo realmente in situ en un día determinado. Esto se alinea con el principio más amplio de que una obligación de diligencia no solo se aplica al proveedor directo, sino también a las partes que ese proveedor a su vez contrata.
Qué puede hacer con estas preguntas
Las preguntas en sí suelen no ser complicadas, pero la respuesta requiere algo que esté documentado: un registro de quién tiene acceso, cómo se revoca ese acceso y quién es responsable de ello. Las empresas que aún no lo tienen por escrito descubren que la mayor parte del tiempo se dedica a documentar lo que ya ocurre en la práctica. Un resumen de los temas que reaparecen en este tipo de cuestionarios, desarrollado según cada situación, se encuentra en la página con temas por sector. Quien desee saber cómo se genera la información en secria.eu y qué fuentes se utilizan al respecto, lo puede leer en la página sobre la metodología.
Es importante comprender que un cuestionario de seguridad no es una obligación legal en sí misma, sino un instrumento mediante el cual un cliente da cumplimiento a su propia obligación de diligencia debida. Lo que un cliente puede preguntarle exactamente a una empresa y qué no, varía según la situación y el contrato; para la propia situación, es algo que conviene discutir con el cliente o, si es necesario, con un abogado. Las preguntas frecuentes sobre este tipo de cuestionarios, incluyendo con qué frecuencia una empresa puede esperar recibirlos, se encuentran recopiladas en la página de preguntas frecuentes.
Quien desee ver qué medidas en materia de control de acceso y seguridad física se solicitan con frecuencia y cómo se relacionan con el funcionamiento de su propia empresa, puede verlo de forma gratuita y sin cuenta a través de la NIS2-check y la base de conocimiento de secria.eu.