Sigurnosni upitnik za instalacijsko poduzeće gotovo uvijek se vrti oko jednog temeljnog pitanja: tko ima pristup zgradi i sustavima naručitelja, i kako se taj pristup upravlja. Instalacijska poduzeća rade na lokacijama, često imaju ključeve ili identifikacijske kartice, i spajaju opremu na sustave za upravljanje zgradama, klimatizacijske instalacije ili alarme koji se ponekad i daljinski upravljaju. Upravo tu leže pitanja koja se u ovoj grani neprestano ponavljaju.
Upitnik obično ne dolazi zato što samo instalacijsko poduzeće pada pod Direktivu NIS2, nego zato što to čini njegov naručitelj. Taj naručitelj — bolnica, energetsko poduzeće, vodno poduzeće, veliki upravitelj nekretnina — ima dužnost njege koja ga obvezuje da procijeni svoje dobavljače. Instalacijsko poduzeće koje ima pristup zgradama ili sustavima takve organizacije, stoga je zahvaćeno kroz lanac opskrbe, čak i bez da samo spada u ciljanu skupinu zakona.
Zašto ova grana češće dobija upitnik
Instalacijska poduzeća često održavaju upravo infrastrukturu koja je za naručitelja kritična: grijanje, ventilaciju, elektroenergetiku, sustave detekcije požara, kontrolu pristupa. Ti sustavi su sve više povezani na mrežu, a instalacijsko poduzeće je ponekad jedina strana koja se može daljinski prijaviti kako bi otklonila kvarove. Za naručitelja to je razlog da želi znati kako je taj pristup zaštićen. Jesu li specifična poduzeća pod zakon ili su samo zahvaćena kroz lanac opskrbe, može se odrediti s nekoliko pitanja.
Pristup zgradi: što se pita
Na fizičkoj strani obično se radi o tome kako se izdaju i povlače ključevi, identifikacijske kartice i kodovi alarma. Pitanja koja se ponavljaju: tko unutar poduzeća raspolaže sa pristupnim sredstvima za lokacije klijenata, koliko brzo se identifikacijska kartica blokira kada monter napusti službu, i postoji li pregled tko gdje ima pristup. Također se redovito pita jesu li podizvoditelji samostalno dobivaju pristup ili uvijek rade pod nadzором.
Pristup sustavima na lokaciji: što se pita
Na digitalnoj strani pitanja se usmjeravaju na kako su oprema i veze na lokaciji zaštićene. Moguća pitanja su pristupa li se sa osobnom računom ili sa zajedničkom lozinkom, koristi li se višestruka provjera pri daljinskom upravljanju sustavom za upravljanje zgradom, i kako se pristup uklanja kada je projekt završen ili kada monter napusti poduzeće. Također se često postavljaju pitanja o vlastitoj opremi koja se spaja na lokaciji — prijenosno računalo ili tablet montera: upravlja li tom opremom poduzeće, i je li na njoj sigurnosni softver.
Podizvoditelji i privremeni zaposlenici
Instalacijski radovi često se djelomično izvode od strane podizvoditelja ili najamnog osoblja. Naručitelji zato ponekad dodatno pitaju kako samo instalacijsko poduzeće upravlja vlastitim lancem opskrbe: dobija li podizvoditelj ista pristupna sredstva kao vlastito osoblje, i postoji li uvid u to tko je određenog dana zaista bio na lokaciji. To se uklanja u širi princip da dužnost njege ne gleda samo na neposrednog dobavljača, nego i na strane koje taj dobavljač pak uključuje.
Što s tim pitanjima možete učiniti
Pitanja sama po sebi često nisu komplicirana, ali odgovor zahtijeva nešto što je dokumentirano: pregled o tome tko ima pristup, kako se taj pristup uklanja i tko je odgovoran za to. Poduzeća koja to još nisu zapisala na papir, primjećuju da većina vremena ide na dokumentiranje onoga što se u praksi već odvija. Pregled tema koje se često pojavljuju u takvim upitnicima, razrađeno po situaciji, nalazi se na stranici s temama po sektoru. Tko želi znati kako se informacije na secria.eu prikupljaju i koji se izvori pri tome koriste, može to pročitati na stranici o načinu rada.
Važno je znati da upitnik o kibernetskoj sigurnosti nije zakonska obveza sam po sebi, već instrument pomoću kojega naručitelj ispunjava vlastitu obvezu brige. Što naručitelj može točno pitati i što ne, razlikuje se ovisno o situaciji i ugovoru; za vlastitu situaciju to je nešto što treba razmotriti s naručiteljem ili, ako je potrebno, s pravnikom. Često postavljana pitanja o takvim upitnicima, uključujući i to koliko često poduzeće može očekivati da bude ispunjava upitnik, prikupljena su na stranici sa često postavljanim pitanjima.
Tko želi vidjeti koje mjere vezane uz upravljanje pristupom i fizičku sigurnost se često traže i kako se odnose na vlastitu poslovnu djelatnost, može to besplatno i bez računa pregledati putem NIS2 provjere i baze znanja secria.eu.