Asennusyrityksen turvallisuuskyselylomake pyörii lähes aina yhden keskeisen kysymyksen ympärillä: kuka saa pääsyn tilaajan rakennukseen ja järjestelmiin, ja miten pääsy hallinnoidaan. Asennusyritykset työskentelevät tiloissa, heillä on usein avaimet tai kulkukortit, ja he kytkenevät laitteistoja rakennuksen hallintajärjestelmiin, ilmastointi- ja hälytinjärjestelmiin, joita joskus hallinnoidaan myös etänä. Juuri siellä ovat kysymykset, jotka tällä alalla toistuvat jatkuvasti.
Kyselylomake tulee yleensä ei siksi, että asennusyritys itse kuuluisi direktiivin (EU) 2022/2555 soveltamisalaan, vaan siksi, että tilaaja kuuluu siihen. Tilaaja — sairaala, energiayhtiö, vesistöviranomainen tai suurten kiinteistöjen hallintija — on vastuussa arvioimaan toimittajiaan. Asennusyritys, jolla on pääsy tällaisen organisaation rakennuksiin tai järjestelmiin, joutuu siten tarkasteluun toimitusketjun kautta, vaikka se ei kuuluisi lain kohderyhmään.
Miksi tämä ala saa usein kyselylomakkeita
Asennusyritykset ylläpitävät usein juuri sitä infrastruktuuria, joka tilaajalle on kriittistä: lämmitys, ilmanvaihto, sähköt, paloilmoitusjärjestelmät, kulunvalvonta. Nämä järjestelmät kytkeytyvät yhä useammin verkkoon, ja joskus asennusyritys on ainoa osapuoli, joka voi etäyhteyden avulla kirjautua sisään häiriöiden korjaamiseksi. Tilaajalle on tämä syy haluta tietää, miten pääsy on suojattu. Riippumatta siitä, kuuluuko tietty yritys lain soveltamisalaan vai ei, siihen pääsee selville: muutamalla kysymyksellä.
Pääsy rakennukseen: mitä kysytään
Fyysisessä mielessä kysymykset koskevat yleensä sitä, miten avaimet, kulkukortit ja hälytinkoodit jaetaan ja peruutetaan. Toistuvat kysymykset ovat: keillä yrityksen sisällä on pääsy asiakkaiden tiloihin, kuinka nopeasti kulkortti estetään, kun asentaja poistuu työstä, ja onko olemassa katsaus siitä, kuka millä alueella pääsyä hallinnoi. Lisäksi kysytään säännöllisesti, saako alihankkija pääsyn itsenäisesti vai toimiiko se aina valvonnan alaisena.
Pääsy paikallisiin järjestelmiin: mitä kysytään
Digitaalisessa mielessä kysymykset kohdistuvat siihen, miten laitteistot ja yhteydet paikalleen on suojattu. Mahdollisia kysymyksiä ovat: kirjaudutaanko henkilökohtaisella tunnuksella vai jaetulla salasanalla, käytetäänkö monitekijäistä tunnistautumista rakennuksen hallintajärjestelmän etähallinnossa, ja miten pääsy poistetaan, kun projekti on päättynyt tai työntekijä lähtee. Myös paikalleen kytketty omaa laitteistoa — asentajan kannettava tietokone tai tabletti — on säännöllisesti kysymyksen kohteena: hallinnoidaanko laitteistoa yrityksen toimesta ja onko siinä turvaohjelmisto.
Alihankkijat ja tilapäiset työntekijät
Asennustyöt suoritetaan usein osittain alihankkijoiden tai vuokrattujen työntekijöiden toimesta. Tilaajat kyselevät tämän vuoksi joskus, miten asennusyritys itse hallinnoi omaa toimitusketjuaan: saako alihankkija samat pääsyn välineet kuin oman henkilöstön jäsenet, ja onko näkyvyyttä siihen, kuka tietyllä päivällä oli tosiasiassa paikalleen. Tämä vastaa laajempaa periaatetta, jonka mukaan vaatimus ei katso vain suoraa toimittajaa, vaan myös osapuolia, joita tämä toimittaja puolestaan käyttää.
Mitä voit tehdä näiden kysymysten kanssa
Kysymykset itsessään eivät usein ole monimutkaisia, mutta vastaus edellyttää jotain, mikä on dokumentoitu: katsaus siihen, kellä on pääsy, miten pääsy poistetaan ja kuka siitä vastaa. Yritykset, jotka eivät ole vielä dokumentoineet tätä, huomaavat, että suurin osa ajasta kuluu sen kirjaamiseen, mitä käytännössä jo tapahtuu. Yhteenveto aiheista, jotka esiintyvät tämäntyyppisissä kyselylomakkeissa, kunkin tilanteen mukaan jaoteltuna, löytyy sivulta, jossa käsitellään aiheita sektoreittain. Joka haluaa tietää, miten secria.eu:n tieto kootaan ja mitä lähteitä siinä käytetään, lukee sen osoitteesta menettelytapaa käsittelevällä sivulla.
On hyvä ymmärtää, että kyberturvallisuuskyselylomake ei ole sinänsä lakisääteinen velvoite, vaan väline, jolla toimeksiantaja toteuttaa omaa huolellisuusvelvoitteitaan. Se, mitä toimeksiantaja voi tarkasti ottaen kysyä ja mitä ei, vaihtelee tilanteen ja sopimuksen mukaan; omaa tilannetta varten se on asia, jota on syytä käsitellä toimeksiantajan kanssa tai tarvittaessa oikeustieteilijän kanssa. Usein esitetyt kysymykset tämäntyyppisistä kyselylomakkeista, mukaan lukien se, kuinka usein yritys voi odottaa niitä, ovat koottuna osoitteeseen sivulle usein kysytyistä kysymyksistä.
Joka haluaa nähdä, mitä toimenpiteitä pääsynhallinnan ja fyysisen turvallisuuden osalta usein pyydetään ja miten ne liittyvät omaan liiketoimintaan, voi tarkastella sitä ilmaiseksi ja ilman tiliä secria.eu:n NIS2-tarkistuksen ja tietopankin kautta.