Mitä muuttuu tilaajasi kanssa tekemässäsi sopimuksessa
Tilaaja, johon NIS2:n kyberturvallisuusvelvoite itseensä kohdistuu — sairaala, energiayhtiö tai iso logistiikkakeskus — on osoitettavasti tunnistettava riskit omassa toimitusketjussaan. Asennusyritykset ovat usein ketjun keskeisellä sijalla, ei siksi että ne itse olisivat velvoitettuja, vaan koska heillä on fyysinen ja digitaalinen pääsy tilaajan rakennukseen ja järjestelmiin. Juuri siitä syystä lähiaikoina kohtaamasi sopimusehdot keskittyvät pääsyyn: kuka saa sisään, millä välineillä, ja mitä hän voi sieltä päästä tekemään.
Ydin on yksinkertainen ymmärtää ilman lakitekstiä: tilaaja voi kysyä sinulta, miten estät avainten, merkkien tai huoltoyhteydistä tulevan jouksi jollekullaiselle toiselle. Tarkka sanamuoto vaihtelee tilaajittain, mutta taustalla oleva kysymys on lähes kaikilla sama.
Mitä velvoitteessa oleva tilaaja tarkalleen ottaen vaatii
NIS2-direktiivi velvoittaa kriittiset ja tärkeät toimijat arvioimaan toimittajien riskejä — se on artiklan 21 kyberturvallisuusvelvoitteen ydin. Käytännössä velvoite muuttuu kolmeksi vaatimuskategoriaksi, jotka asennusyrityksillä toistuvat: vaatimukset henkilöille (kuka saa tulla paikan päälle puolestasi), välineille (kuinka avaimet, merkit ja työlistat hallinnoidaan) ja yhteyksille (kuinka etäyhteydet rakennusjärjestelmiin kirjaudutaan). Mikään näistä vaatimuksista ei ole direktiivissä täsmälleen näin; ne ovat käytännöllisiä soveltamisia, jotka tilaajat itse valitsevat omien velvoitteittensa täyttämiseksi.
Jos et ole varma, ovatko sinun tilaajasi näihin itse velvoitettuja, sen voi tarkistaa lyhyellä tarkistuksella, joka näyttää kuka ketjussa vaikuttuu. Se auttaa paremmin ymmärtämään keskustelua tilaajasi kanssa: onko kyse heidän velvoitteestaan vai heidän hankinnan oman valinnan tuloksesta.
Pääsy rakennuksiin: avaimet, merkit ja rakennusten hallintajärjestelmät
Fyysisessä pääsyssä kysymykset, jotka toistuvat sopimuksissa, ovat usein kolme: ylläpidetäänkö avain- tai merkkirekisteriä työntekijöittäin, peruutetaanko pääsy heti kun joku poistuu projektista tai yrityksestä, ja onko siellä kiinteä menettely alihankkijoiden ilmoittamiselle, jotka tulevat paikan päälle puolestasi. Asennusyrityksille, jotka käyttävät vaihtuvia asentajia ja alihankkijoita, tämä on usein se osa, joka vaatii eniten muutosta — ei siksi että se olisi teknisesti monimutkaista, vaan koska sitä ei yksinkertaisesti ole vielä dokumentoitu.
Rakennusten hallintajärjestelmät — järjestelmät, jotka ohjaavat lämmitystä, valaistusta, hissejä tai pääsynvalvontaa — muodostavat oman kategoriansa. Tilaaja haluaa usein tietää, onko järjestelmän salasana vaihdettu luovutuksen jälkeen, kuka hallinnoi kirjautumistietoja, ja onko aiempaa projektia oleva salasana otettu uudelleen käyttöön. Se ei ole perusteeton epäluulo: rakennusten hallintajärjestelmät ovat juuri sellaisia järjestelmiä, joissa häiriö ei jää IT-osastoon, vaan on näkyvästi rakennuksessa.
Pääsy järjestelmiin: etähallinta ja huoltoyhteykdet
Kun asennusyritykset katsovat etäältä tai tekevät huoltoa — VPN-yhteyden, teamviewer-tyyppisen työkalun tai kiinteän IP-osoitteen kautta, jolla on pääsy — tilaaja yleensä haluaa tietää, kuinka yhteys on suojattu, suljetaanko se käytön jälkeen ja kuka yrityksesi sisällä siihen pääsee. Se koskee suoraan pääsynhallintaa omassa organisaatiossasi: yhteys, jota koko tiimi voi käyttää ilman lokia tai aikarajaa, on juuri sellainen vastaus, johon kyberturvallisuuskysely voi juuttua.
Aiheisiin liittyvät asiat — salasanojen hallinnasta henkilöstön poistumisen yhteydessä tapahtuvaan pääsynhallinnan peruuttamiseen — on kuvattu selkeästi tilanteittain olevia aiheita käsittelevästä yleiskatsauksestajoten ette tarvitse etsiä soveltuvan osuuden täysistä direktiivistä.
Mitä voitte valmistella jo nyt
Ilman että konkreettinen sopimus on vielä voimassa, on hyödyllistä tietää, mitkä avaimet, tunnisteet ja yhteydet ovat tällä hetkellä aktiivisia käynnissä olevissa projekteissa ja onko tämä rekisteri ajan tasalla. Se ei ole juridista työtä vaan hallinnollista työtä, ja se on juuri sellainen todiste, jota tilaaja voi myöhemmin pyytää. Jos epäillyt, onko sopimuspöytäkirjan tietty vaatimus kohtuullinen vai menevätko se pidemmälle kuin velvollisuus oikeuttaa, se on kysymys juristille tai, jos epäillät tilaajan itsensä velvollisuuksista, valvontaviranomaiselle — secria.eu valmistelee taustalla olevan dokumentaation, mutta ei arvioi yksittäisiä sopimuksia.
Haluatteko ensin nähdä, miten secria.eu tukee tämäntyyppisiä kysymyksiä ensimmäisestä tarkistuksesta kyselylistan malleihin? Osoitteessa sivulla, joka selittää tietojen lähteen on esitelty alustan rakenne vaihe vaiheelta, ja yleisimmät kysymykset roolista ja velvollisuuksista vastaavat muiden asennusyritysten vastaaviin epäilyihin.
Jos olette utelias, kuuluuko oma tilanteenne toimitusketjuun ja mitä se konkreettisesti tarkoittaa sopimuksille, jotka allekirjoitatte, ilmainen NIS2-tarkistus on looginen ensimmäinen asema, aivan kuten ilmaisen tilin ilman tunnusta saatavilla oleva tietovaranto.