Une liste de contrôle de sécurité pour une entreprise d'installation tourne presque toujours autour d'une question centrale : qui a accès au bâtiment et aux systèmes du client, et comment cet accès est-il géré. Les entreprises d'installation travaillent sur site, possèdent souvent des clés ou des badges, et raccordent des équipements à des systèmes de gestion de bâtiment, des installations climatiques ou des systèmes d'alarme qui sont parfois également gérés à distance. C'est précisément là que se posent les questions qui reviennent régulièrement dans ce secteur.
La liste de contrôle n'est généralement pas demandée parce que l'entreprise d'installation elle-même relève de la Directive (EU) 2022/2555, mais parce que son client le fait. Ce client — un hôpital, une entreprise énergétique, une autorité de l'eau, un grand gestionnaire immobilier — est soumis à des obligations de diligence qui l'obligent à évaluer ses fournisseurs. Une entreprise d'installation qui a accès aux bâtiments ou aux systèmes d'une telle organisation est donc affectée par la chaîne d'approvisionnement, même si elle ne fait pas partie du groupe cible de la loi.
Pourquoi ce secteur reçoit plus souvent une liste de contrôle
Les entreprises d'installation entretiennent souvent précisément l'infrastructure qui est critique pour un client : chauffage, ventilation, électricité, systèmes de détection d'incendie, contrôle d'accès. Ces systèmes sont de plus en plus connectés à un réseau, et parfois l'entreprise d'installation est la seule partie pouvant se connecter à distance pour remédier aux défaillances. Pour le client, c'est une raison de vouloir savoir comment cet accès est sécurisé. Qu'une entreprise spécifique soit soumise à la loi ou seulement affectée par la chaîne d'approvisionnement peut être déterminé avec peut être déterminé en quelques questions.
Accès au bâtiment : qu'est-ce qui est demandé
Sur le plan physique, il s'agit généralement de savoir comment les clés, les badges et les codes d'alarme sont attribués et retirés. Les questions qui reviennent régulièrement : qui au sein de l'entreprise dispose de moyens d'accès aux sites clients, à quelle vitesse un badge est-il bloqué lorsqu'un technicien quitte l'entreprise, et s'il existe un aperçu de qui a accès où. On demande aussi régulièrement si les sous-traitants ont accès de manière autonome ou travaillent toujours sous supervision.
Accès aux systèmes sur site : qu'est-ce qui est demandé
Sur le plan numérique, les questions se concentrent sur la sécurisation des équipements et des connexions sur site. Les questions possibles sont : y a-t-il connexion avec un compte personnel ou un mot de passe partagé, la vérification multifacteur est-elle utilisée pour la gestion à distance d'un système de gestion de bâtiment, et comment l'accès est-il révoqué lorsqu'un projet est terminé ou qu'un employé quitte l'entreprise. Les équipements personnels raccordés sur site — un ordinateur portable ou une tablette du technicien — sont également régulièrement sujet à question : cet équipement est-il géré par l'entreprise et dispose-t-il d'un logiciel de sécurité.
Sous-traitants et personnel temporaire
Le travail d'installation est souvent partiellement exécuté par des sous-traitants ou du personnel loué. Les clients demandent donc parfois comment l'entreprise d'installation gère elle-même sa propre chaîne d'approvisionnement : un sous-traitant reçoit-il les mêmes moyens d'accès que le personnel interne, et y a-t-il une visibilité sur qui a effectivement été sur site un jour donné. Cela s'aligne sur le principe plus large selon lequel les obligations de diligence ne regardent pas seulement le fournisseur direct, mais aussi les parties que ce fournisseur engage à son tour.
Ce que vous pouvez faire avec ces questions
Les questions elles-mêmes ne sont souvent pas compliquées, mais la réponse exige quelque chose de documenté : un aperçu de qui a accès, comment cet accès est révoqué et qui en est responsable. Les entreprises qui n'ont pas encore couché cela sur papier constatent que la plupart du temps est consacré à consigner ce qui se passe déjà en pratique. Un aperçu des sujets qui reviennent dans ce type de questionnaires, traité selon chaque situation, se trouve sur la page avec les sujets par secteur. Celui qui souhaite savoir comment les informations sur secria.eu sont élaborées et quelles sources sont utilisées à cet effet le lit sur la page sur la méthode de travail.
Il est bon de réaliser qu'un questionnaire de sécurité n'est pas une obligation légale en soi, mais un instrument au moyen duquel un maître d'ouvrage donne effet à son propre devoir de diligence. Ce qu'un maître d'ouvrage peut précisément demander et ce qu'il ne peut pas demander varie selon la situation et le contrat ; pour votre situation propre, c'est quelque chose à discuter avec le maître d'ouvrage ou, si nécessaire, avec un juriste. Les questions fréquemment posées sur ce type de questionnaires, y compris la fréquence à laquelle une entreprise peut s'y attendre, sont rassemblées sur la page des questions fréquemment posées.
Celui qui souhaite voir quelles mesures concernant le contrôle d'accès et la sécurité physique sont souvent demandées et comment elles se comparent à ses propres opérations commerciales peut le consulter gratuitement et sans compte via le contrôle NIS2 et la base de connaissances de secria.eu.