Mis muutub teie tellijaga sõlmitud lepingus
Tellija, kes ise kuulub NIS2 kohustuslikkuse alla — näiteks haigla, energiaettevõte või suur logistikakeskus — peab näitama, et tema tarneahela riskid on kaardistatud. Paigaldusettevõtted asuvad sageli ahela keskel mitte seetõttu, et nad ise oleksid kohustatud, vaid seetõttu, et neil on füüsiline ja digitaalne juurdepääs tellijate hoonetele ja süsteemidele. Sellepärast käsitlevad järgmistel aastatel esitatavad lepingutingimused juurdepääsu: kes võib sisse tulla, milliste vahendite abil ja mida saab sealt kaudu teha.
Põhimõte on lihtne mõista ilma seadusetekstita: tellija võib teil küsida, kuidas te vähendatakse riski, et võti, märk või hooldusvühendus ei muutuks kellegile teisele ukseks. Täpne sõnastus erineb tellijati, kuid aluseks olev küsimus on peaaegu kõigil sama.
Mida kohustatud tellija täpselt küsib
NIS2-direktiiv kohustab olulisi ja tähtsaid üksusi hindama riske tarnijate juures — see on artikli 21 kohustuslikkuse põhiosa. Praktikas tõlgitakse see kohustus paigaldusettevõtete juures kolme tüüpi nõueteks: nõuet inimestele (kes võib teie nimel saidil käia), nõuet ressurssidele (kuidas hallitakse võtmeid, märke ja töötelge) ja nõuet ühendustele (kuidas sisse logitakse distantsilt hoonekontrollisüsteemidesse). Ükski neist nõuetest ei esine direktiivis sellisena; need on praktilised rakendused, mille tellijad ise valivad oma kohustuslikkusele vastamiseks.
Kui te pole kindel, kas teie tellija on siia kohustatud, saate kontrollida lühikese kontrollimise kaudu, mis näitab, kes ahelatakse ahelasse. See aitab vestlust tellijaga paremini mõista: kas tegemist on nendelt pärineva kohustusega või nende hankeosakonnas võetud otsusega.
Juurdepääs hooneisse: võtmed, märgid ja hoonekontrollisüsteemid
Füüsilise juurdepääsu puhul käib sageli kolme küsimuse ümber, mis lepingutes korduvad: kas iga töötaja kohta peetakse võtmete või märgiste registrit, tühistatakse see juurdepääs niipea, kui keegi projekti lahkub või ettevõtet, ja kas on olemas püsiv protseduur alahangetajate registreerimiseks, kes teie nimel saidil käivad. Paigaldusettevõtete jaoks, kes töötavad muutuva tehnikuga ja alahangetajatega, on see sageli osa, kus on kõige rohkem kohandamist vaja — mitte seetõttu, et see oleks tehniline keeruline, vaid seetõttu, et see ei olnud lihtsalt fikseeritud.
Hoonekontrollisüsteemid — süsteemid, mis juhivad kuumutamist, valgustust, asansööre või juurdepääsukontrolli — moodustavad eraldi kategooria. Tellija tahab sageli teada, kas sellise süsteemi parool muudeti pärast üleandmist, kes sisselogimistunnuseid juhib ja kas vanemast projektist pärit vanasid paroole taaskasutati. See ei ole põhjendamatu kahtlus: hoonekontrollisüsteemid on täpselt selline süsteemitüüp, kus häire ei jää IT-osakonda, vaid muutub hoone ise nähtavaks.
Juurdepääs süsteemidele: distantsine haldus ja hooldusvühendused
Kui paigaldusettevõtted jälgivad distantsilt või teevad hooldust — VPN-ühenduse, teamvieweri sarnase vahendi või kindla IP-aadressi kaudu, mis saab juurdepääsu — tahab tellija tavaliselt teada, kuidas see ühendus on kaitstud, kas see sulgetakse pärast kasutamist ja kel teil ettevõttes on selle ühenduse juurdepääs. See puudutab otseselt juurdepääsu juhtimist teie organisatsioonis: ühendus, mida kogu meeskond võib ilma logita ja ajalimiita kasutada, on täpselt selline vastus, kus turvaküsimustik jääb seisusse.
Teemad, mis kuuluvad siia — paroolipoliitikast kuni juurdepääsu tühistamiseni personali väljavoolu korral — on selgelt kirjeldatud iga olukorra teemade ülevaateszodat u niet in de volledige richtlijn hoeft te zoeken naar het stuk dat op u van toepassing is.
Mida saate juba nüüd ette valmistada
Isegi ilma konkreetse lepinguta, on kasulik teada, millised võtmed, märgid ja ühendused on praegu aktiivsed jooksvate projektide juures, ja kas see registreering on ajakohane. See ei ole juriidiline töö, vaid haldustöö, ja see on täpselt selline tõendmaterjal, mida tellijapoolne asutus hiljem küsida võib. Kui olete ebakindel, kas kontseptlepingus olev konkreetne nõue on mõistlik või ulatub kaugemale kui hoolduskohustus põhjustab, siis on see küsimus juristile või, kui teil on kahtlused tellijapoolse asutuse enda kohustuste kohta, siis järelevalveasutusele — secria.eu valmistab ette alusdokumentatsiooni, kuid ei hinda üksikuid lepinguid.
Kas soovite kõigepealt näha, kuidas secria.eu selliseid küsimusi toetab, esimesest kontrollimisest kuni küsimustiku mallideni? Saidil lehel, mis seletab, kust teave pärineb on platvormi ehitus samm-sammult, ja kõige sagedamini esitatud küsimused rolli ja kohustuse kohta annavad vastuse teiste paigaldusettevõtete sarnastele kahtlustele.
Kui olete uudishimulik, kas teie enda olukord ketis esineb ja mida see konkreetselt tähendab lepingute jaoks, mille te allkirjastate, siis on tasuta NIS2-kontroll loogiline esimene peatusjaam, samuti kui teadmusbaas, mis on ilma kontota juurdepääsetav.