Mit változik meg a megrendelővel kötött szerződésében
Az NIS2 gondossági kötelezettség alá tartozó megrendelő — egy kórház, egy energiacég, egy nagy logisztikai központ — bizonyíthatóan fel kell, hogy tárja fel az ellátási láncában lévő kockázatokat. A szerelésipari vállalkozások gyakran éppen azért vannak a lánc közepén, nem mert ők maguk kötélezettségek alatt állnak, hanem mert fizikailag és digitálisan hozzáférésük van az ügyfél épületéhez és rendszereihey. Ez pontosan az oka annak, hogy a közeljövőben tapasztalt szerződéses követelmények a hozzáférésre összpontosítanak: ki mehet be, milyen eszközökkel, és innen kezdve mit érhet el.
Az alapgondolat egyszerű megérteni a jogszöveg olvasása nélkül: egy megrendelő megkérdezheti, hogyan akadályozza meg, hogy egy kulcs, egy jelvény vagy egy karbantartási kapcsolat bejáratként szolgáljon valaki másnak. A pontos megfogalmazás megrendelőnként eltér, de az alapvető kérdés szinte mindenkinek azonos.
Mit kér pontosan egy kötelezett megrendelő
A NIS2-irányelv kötelezi az alapvető és fontos szervezeteket, hogy értékeljék a szállítóknál jelentkező kockázatokat — ez a gondossági kötelezettség lényege a 21. cikkből. Ezt a kötelezettséget a gyakorlatban három fajta követelmény jelenik meg, amelyek a szerelésipari vállalkozásoknál ismét megjelennek: követelmények a személyekre vonatkozóan (ki jöhet helyileg az Ön nevében), az eszközökre vonatkozóan (hogyan kezelik a kulcsokat, jelvényeket és munkarendeléseket) és a kapcsolatokra vonatkozóan (hogyan történik a távolról történő bejelentkezés az épületrendszerekbe). Ezek közül egyik követelmény sem szerepel szó szerint az irányelvben; ezek praktikus megoldások, amelyeket a megrendelők maguk választanak meg saját gondossági kötelezettségük teljesítéséhez.
Ha nem biztos abban, hogy az Ön megrendelője maga alá tartozik-e ennek, akkor ezt ellenőrizheti egy rövid ellenőrzéssel, amely azt mutatja, hogy ki érintett az ellátási láncbanEz segít az ügyfélszeméllyel folytatott beszélgetést jobban elhelyezni: ez a megrendelő számára kötelező, vagy saját beszerzési osztályuk választása.
Épületekhez való hozzáférés: kulcsok, jelvények és épületkezelő rendszerek
A fizikai hozzáférés tekintetében gyakran három kérdés ismétlődik meg a szerződésekben: van-e kulcs- vagy jelvény-nyilvántartás vezetve munkavállalónként, visszavonják-e ezt a hozzáférést, amint valaki elhagyja a projektet vagy a vállalatot, és van-e rögzített eljárás az alvállalkozók bejelentésére, akik az Ön nevében helyileg jelennek meg. A szerelésipari vállalkozások számára, amelyek változó szerelőkkel és alvállalkozókkal dolgoznak, ez gyakran az a rész, ahol a legtöbb alkalmazkodásra van szükség — nem mert ez technikailag bonyolult, hanem egyszerűen azért, mert ezt még nem tisztázták.
Az épületkezelő rendszerek — a fűtést, világítást, lifteket vagy hozzáférés-ellenőrzést vezérlő rendszerek — külön kategóriát képeznek. A megrendelő gyakran tudni szeretné, megváltozott-e az ilyen rendszer jelszava az átadás után, ki kezeli a bejelentkezési adatokat, és újrahasználták-e az előző projekt régi jelszavát. Ez nem túlzott gyanúsítgatás: az épületkezelő rendszerek pontosan azok a típusú rendszerek, ahol egy meghibásodás nem egy IT-részlegen marad, hanem maga az épületben válik láthatóvá.
Hozzáférés a rendszerekhez: távolról történő kezelés és karbantartási kapcsolatok
Ahol a szerelésipari vállalkozások távolról figyelik vagy végzik a karbantartást — VPN-kapcsolaton, teamviewerhez hasonló eszközön vagy rögzített IP-címen keresztül, amely hozzáférést kap — a megrendelő általában azt szeretné tudni, hogyan van a kapcsolat biztosítva, lezárják-e azt a használat után, és ki fér hozzá az Ön cégén belül ehhez a kapcsolathoz. Ez közvetlenül érinti az Ön szervezeten belüli hozzáférés-kezelést: egy kapcsolat, amelyet a csapat bárki használhat napló vagy időkorlát nélkül, pontosan az a fajta válasz, amelyen egy biztonsági kérdőív elakad.
A témák, amelyek ehhez kapcsolódnak – a jelszóházirendtől a személyzet kilépésekor való hozzáférés visszavonásáig – áttekinthetően leírtak a a témák szituációnkénti áttekintésében találod megígy nem kell a teljes irányelvben keresnie az Önre vonatkozó részt.
Mit készíthet már most elő
Még akkor is, ha még nincs konkrét szerződés, érdemes tudni, hogy mely kulcsok, jelvények és kapcsolatok aktívak jelenleg a folyamatban lévő projekteknél, és hogy ez a nyilvántartás naprakész-e. Ez nem jogi munka, hanem adminisztratív munka, és pontosan az a fajta bizonyíték, amelyet egy megrendelő később kérhet. Ha kétli, hogy egy szerződési tervezetben egy konkrét követelmény ésszerű-e vagy túlmegy-e azon, amit a gondossági kötelezettség indokol, akkor ez egy jogi szakember vagy – ha a megrendelő saját kötelezettsége miatt fennáll a kétely – a felügyeleti hatóság felé irányítható kérdés — a secria.eu előkészíti az alapul szolgáló dokumentációt, de nem értékel meg egyedi szerződéseket.
Szeretné-e először megtudni, hogy a secria.eu hogyan támogatja az ilyen típusú kérdéseket, az első ellenőrzéstől a kérdőívek sablonjaiig? A az információ forrásáról szóló oldal tartalmazza a platform felépítését lépésről lépésre, és a a leggyakrabban feltett kérdések a szerepről és a kötelezettségről válaszol az installációs cégek hasonló kétségeire.
Ha kíváncsi arra, hogy saját helyzete esik-e a kínálati láncba, és mit jelent ez konkréten az Ön által aláírt szerződésekre, akkor az ingyenes NIS2-ellenőrzés logikus első lépés, valamint a fiók nélkül elérhető tudásbázis.