Qué cambia en el contrato con su cliente
Un cliente que está sujeto a la obligación de diligencia debida de NIS2 (un hospital, una empresa energética, un gran centro logístico) debe demostrar que los riesgos en su propia cadena de suministro están identificados. Las empresas instaladoras suelen estar en medio de esa cadena, no porque estén sujetas a la obligación legal, sino porque tienen acceso físico y digital al edificio y sistemas del cliente. Es precisamente por eso que los requisitos contractuales que encontrará próximamente se concentran en el acceso: quién puede entrar, con qué medios, y qué puede hacer desde allí.
El núcleo es simple de entender sin leer la propia ley: un cliente puede preguntarle cómo previene que una llave, una tarjeta de acceso o una conexión de mantenimiento se conviertan en una puerta de entrada para otra persona. La redacción exacta difiere según el cliente, pero la pregunta subyacente es prácticamente la misma para casi todos.
Qué pregunta exactamente un cliente sujeto a obligación legal
La Directiva NIS2 obliga a las entidades esenciales e importantes a evaluar riesgos en sus proveedores; ese es el núcleo de la obligación de diligencia debida del artículo 21. Ese requisito se traduce en la práctica en tres tipos de exigencias que reaparecen en las empresas instaladoras: requisitos sobre personas (quién puede venir a la ubicación en su nombre), requisitos sobre medios (cómo se gestionan llaves, tarjetas de acceso y órdenes de trabajo) y requisitos sobre conexiones (cómo se accede remotamente a sistemas de edificios). Ninguno de estos requisitos aparece literalmente así en la directiva; son aplicaciones prácticas que los propios clientes eligen para cumplir con su propia obligación de diligencia debida.
Si no está seguro de si su cliente está obligado a esto, puede verificarlo a través de una breve verificación que muestra quién resulta afectado en la cadena. Eso ayuda a enmarcar mejor la conversación con el cliente: ¿se trata de una obligación que proviene de ellos o de una decisión propia de su departamento de compras.
Acceso a edificios: llaves, tarjetas de acceso y sistemas de gestión de edificios
Con el acceso físico suelen aparecer tres preguntas recurrentes en los contratos: se mantiene un registro de llaves o tarjetas de acceso por empleado, se revoca ese acceso tan pronto como alguien abandona el proyecto o la empresa, y existe un procedimiento establecido para registrar a los subcontratistas que vienen a la ubicación en su nombre. Para empresas instaladoras que trabajan con montadores y subcontratistas cambiantes, esta es a menudo la parte donde se necesita más adaptación, no porque sea técnicamente complicado, sino simplemente porque aún no estaba documentado.
Los sistemas de gestión de edificios (los sistemas que controlan la calefacción, iluminación, ascensores o control de acceso) son una categoría aparte. Un cliente suele querer saber si la contraseña de tal sistema se cambió después de la entrega, quién gestiona las credenciales de acceso, y si se reutilizó una contraseña antigua de un proyecto anterior. Eso no es desconfianza excesiva: los sistemas de gestión de edificios son precisamente el tipo de sistema donde una avería no permanece en un departamento de TI, sino que es visible en el propio edificio.
Acceso a sistemas: gestión remota y conexiones de mantenimiento
Cuando las empresas instaladoras observan o realizan mantenimiento a distancia (mediante una conexión VPN, una herramienta tipo teamviewer o una dirección IP fija que obtiene acceso), el cliente suele querer saber cómo se asegura esa conexión, si se cierra después del uso, y quién dentro de su empresa tiene acceso a esa conexión. Esto afecta directamente a la gestión de acceso dentro de su propia organización: una conexión que cualquiera del equipo pueda usar sin registro o límite de tiempo es precisamente el tipo de respuesta en la que una lista de verificación de seguridad se queda atascada.
Los temas que corresponden — desde la política de contraseñas hasta la revocación del acceso cuando el personal se va — se describen de manera clara en la descripción general de temas por situación, de modo que no tiene que buscar en la directiva completa la parte que le aplique.
Lo que ya puede preparar ahora
Aunque todavía no haya un contrato concreto, es útil saber qué llaves, tarjetas de acceso y conexiones están activas en este momento en proyectos en curso, y si ese registro está actualizado. No es un trabajo legal sino administrativo, y es precisamente el tipo de documento de prueba que un cliente puede solicitar más adelante. Si duda de si un requisito específico en un contrato en borrador es razonable o va más allá de lo que la obligación de debida diligencia justifica, esa es una pregunta para un abogado o, si tiene dudas sobre la obligación del propio cliente, para la autoridad supervisora — secria.eu prepara la documentación subyacente, pero no evalúa contratos individuales.
¿Desea ver primero cómo secria.eu apoya este tipo de preguntas, desde la verificación inicial hasta las plantillas de cuestionarios? En la página que explica de dónde proviene la información se muestra la estructura de la plataforma paso a paso, y las preguntas más frecuentes sobre función y obligación responde a dudas similares de otros instaladores.
Si tiene curiosidad por saber si su propia situación en la cadena de suministro se ve afectada y qué significa eso concretamente para los contratos que firma, la verificación NIS2 gratuita es un punto de partida lógico, igual que la base de conocimientos que es accesible sin cuenta.