Što se mijenja u ugovoru s vašim naručiteljem
Naručitelj koji sam spada pod obvezu skrbi prema NIS2 — bolnica, energetsko poduzeće, veliki logistički centar — mora biti u mogućnosti dokazati da su rizici u vlastitom lancu nabave vidljivi. Instalaterska poduzeća često se nalaze usred tog lanca, ne zato što su sama puna pod obvezu, već zato što imaju fizički i digitalni pristup zgradi i sustavima tog naručitelja. Upravo je zato što ugovorne zahtjeve koje ćete u idućem vremenu naići, usredotočeni su na pristup: tko smije unutar, kojim sredstvima, i što ta osoba može od tamo dostići.
Jezgra je jednostavna za razumijevanje bez čitanja samoga zakona: naručitelj smije od vas tražiti kako sprječavate da ključ, identifikacijska kartica ili veza za održavanje postane ulazna točka za nekoga drugog. Točna formulacija razlikuje se od naručitelja do naručitelja, ali temeljna pitanja su kod gotovo svih ista.
Što točno traži puna naručiteljska strana
Direktiva NIS2 obvezuje ključne i važne subjekte da procijene rizike kod dobavljača — to je jezgra obveze skrbi iz članka 21. Ta se obaveza u praksi prevodi u tri vrste zahtjeva koji se vraćaju instalaterskim poduzećima: zahtjevi za osobe (tko smije u vaše ime doći na lokaciju), zahtjevi za sredstva (kako se upravljaju ključevima, identifikacijskim karticama i radnim nalozima) i zahtjevi za veze (kako se na daljinu prijavljuje u sustave zgrada). Nijedan od tih zahtjeva nije doslovno tako formuliran u direktivi; to su praktični odgovori koje naručitelji sami biraju da bi ispunili vlastitu obvezu skrbi.
Ako niste sigurni je li vaš naručitelj sam pod tom obvezom, to se može provjeriti putem brze provjere koja pokazuje tko je u lancu zahvaćen. To pomaže da bolje razumijete razgovor s naručiteljem: je li ovo obaveza koja dolazi od njih, ili vlastiti odabir njihove nabavne službe.
Pristup zgradama: ključevi, identifikacijske kartice i sustavi upravljanja zgradama
Kod fizičkog pristupa često se vraćaju tri pitanja u ugovorima: vodi li se registar ključeva ili identifikacijskih kartica po zaposleniku, povlači li se taj pristup čim netko napusti projekt ili poduzeće, te postoji li uvijek opisan postupak za prijavu podugodovnika koji u vaše ime dolaze na lokaciju. Za instalaterska poduzeća koja rade s raznovrsnim tehničarima i podugodovnicima, ovo je često dio gdje je potrebna najveća prilagodba — ne zato što je tehnički složeno, već zato što jednostavno nikad nije bilo zabilježeno.
Sustavi upravljanja zgradama — sustavi koji upravljaju grijanjem, osvjetljenjem, liftovima ili kontrolom pristupa — čine posebnu kategoriju. Naručitelj često želi znati je li lozinka takvog sustava promijenjena nakon predaje, tko upravlja pristupnim podacima, i je li stara lozinka iz prethodnog projekta ponovo upotrijebljena. To nije pretjerana sumnja: sustavi upravljanja zgradama su upravo vrsta sustava gdje se kvar ne zadržava u IT-odjelu, već postaje vidljiv u samoj zgradi.
Pristup sustavima: upravljanje na daljinu i veze za održavanje
Gdje instalaterska poduzeća na daljinu prate ili obavljaju održavanje — preko VPN-veze, alata sličnog teamvieweru ili fiksne IP-adrese koja dobiva pristup — naručitelj obično želi znati kako je ta veza zaštićena, je li zatvorena nakon upotrebe, i tko u vašoj tvrtki ima pristup toj vezi. To izravno dodiruje upravljanje pristupom u vašoj vlastnoj organizaciji: veza koju svatko u timu može koristiti bez zapisa ili vremenskog ograničenja, upravo je vrsta odgovora na kojoj se sigurnosna lista pitanja zaglavila.
Teme koje su povezane s tim — od politike lozinki do oduzimanja pristupa pri odlasku zaposlenika — jasno su opisane u pregledu tema po situacijitako da ne trebate pretraživati cijelu Direktivu da biste pronašli dio koji se na vas primjenjuje.
Što sada možete već pripremiti
Čak i ako još nema konkretnog ugovora, korisno je znati koje ključeve, propusnice i veze su trenutno aktivne u tekućim projektima te je li ta evidencija ažurna. To nije pravni rad već administrativni rad, i to je upravo vrsta dokaza koju naručitelj kasnije može zatražiti. Ako sumnjate jesu li specifični zahtjevi u nacrtnom ugovoru razumni ili nadilaze ono što opravdava dužnost pažnje, to je pitanje za pravnika ili, ako ste nesigurni je li sam naručitelj pod obvezom, za nadzorni organ — secria.eu pripremá temeljnu dokumentaciju ali ne procjenjuje pojedinačne ugovore.
Želite li prvo vidjeti kako secria.eu podržava ovu vrstu pitanja, od prve provjere do predložaka za popis pitanja? Na stranici koja objašnjava odakle dolaze informacije prikazana je struktura platforme korak po korak, a najčešće postavljana pitanja o ulozi i obvezi daju odgovore na slične nedoumice drugih instalacijskih tvrtki.
Ako vas zanima je li vaša situacija u lancu dobavljanja i što to konkretno znači za ugovore koje potpisujete, besplatna NIS2-provjera logična je prva postaja, kao i banka znanja dostupna bez računa.