Un questionario sulla sicurezza per un'azienda di installazione ruota quasi sempre attorno a una domanda centrale: chi ha accesso all'edificio e ai sistemi del committente, e come viene gestito tale accesso. Le aziende di installazione lavorano in loco, spesso hanno chiavi o badge, e collegano apparecchiature a sistemi di gestione degli edifici, impianti di climatizzazione o sistemi di allarme che a volte vengono gestiti anche da remoto. Proprio qui risiedono le domande che ricorrono costantemente in questo settore.
Il questionario di solito non viene richiesto perché l'azienda di installazione stessa ricade nella Direttiva NIS2, ma perché il committente è assoggettato. Quel committente — un ospedale, un'azienda energetica, un'autorità idrica, un grande gestore immobiliare — ha l'obbligo di adottare misure di gestione del rischio che lo obbliga a valutare i suoi fornitori. Un'azienda di installazione che ha accesso agli edifici o ai sistemi di un'organizzazione di questo tipo viene quindi coinvolta attraverso la catena di approvvigionamento, anche senza rientrare direttamente nel gruppo target della norma.
Perché questo settore riceve più spesso un questionario
Le aziende di installazione spesso mantengono esattamente l'infrastruttura critica per un committente: riscaldamento, ventilazione, elettricità, sistemi di rilevamento incendi, controllo degli accessi. Questi sistemi sono sempre più spesso collegati a una rete, e talvolta l'azienda di installazione è l'unica parte che può accedere in remoto per risolvere i guasti. Per il committente, questo è un motivo per voler sapere come tale accesso è protetto. Se un'azienda specifica ricade sotto la norma o è coinvolta solo attraverso la catena di approvvigionamento, è poche domande.
Accesso all'edificio: cosa viene chiesto
Sul lato fisico, di solito riguarda il modo in cui chiavi, badge e codici di allarme vengono rilasciati e revocati. Le domande ricorrenti sono: chi all'interno dell'azienda dispone di mezzi di accesso ai siti dei clienti, quanto velocemente viene bloccato un badge quando un tecnico lascia l'azienda, e se esiste una panoramica di chi ha accesso dove. Viene inoltre chiesto regolarmente se i subappaltatori ottengono l'accesso in modo indipendente o lavorano sempre sotto supervisione.
Accesso ai sistemi in loco: cosa viene chiesto
Sul lato digitale, le domande si concentrano su come le apparecchiature e le connessioni in loco sono protette. Possibili domande sono se si accede con un account personale o con una password condivisa, se viene utilizzata l'autenticazione a più fattori per la gestione in remoto di un sistema di gestione degli edifici, e come viene revocato l'accesso al termine di un progetto o quando un dipendente se ne va. Anche le apparecchiature personali collegate in loco — un laptop o tablet del tecnico — sono spesso oggetto di indagine: l'apparecchiatura è gestita dall'azienda e dispone di software di sicurezza.
Subappaltatori e personale temporaneo
I lavori di installazione sono spesso eseguiti in parte da subappaltatori o personale esterno. I committenti a volte chiedono quindi informazioni su come l'azienda di installazione gestisce la propria catena di approvvigionamento: un subappaltatore riceve gli stessi mezzi di accesso del personale interno, e c'è visibilità su chi è effettivamente stato in loco in un determinato giorno. Questo è in linea con il principio più ampio secondo cui l'obbligo di adottare misure di gestione del rischio non solo guarda al fornitore diretto, ma anche alle parti che il fornitore a sua volta coinvolge.
Cosa potete fare con queste domande
Le domande stesse spesso non sono complicate, ma la risposta richiede qualcosa che sia documentato: una panoramica di chi ha accesso, come l'accesso viene revocato e chi ne è responsabile. Le aziende che non hanno ancora messo nero su bianco questo aspetto scoprono che la maggior parte del tempo viene dedicata alla documentazione di quello che già accade nella pratica. Una panoramica degli argomenti che compaiono in questo tipo di questionari di sicurezza, sviluppati per ogni situazione, si trova su la pagina con gli argomenti per settore. Chi vuole sapere come le informazioni su secria.eu vengono create e quali fonti vengono utilizzate, lo legge su la pagina sulla metodologia.
È opportuno rendersi conto che un questionario di sicurezza non è un obbligo legale in sé, ma uno strumento con il quale un committente dà attuazione al proprio obbligo di diligenza. Ciò che un committente può esattamente chiedere e cosa no varia a seconda della situazione e del contratto; per la propria situazione è qualcosa da discutere con il committente o, se necessario, con un legale. Le domande frequenti su questo tipo di questionari, incluso quanto spesso un'azienda può aspettarsi di riceverli, sono raccolte su la pagina delle domande frequenti.
Chi vuole vedere quali misure relative al controllo degli accessi e alla sicurezza fisica vengono spesso richieste e come si relazionano alle proprie operazioni aziendali, può farlo gratuitamente e senza account tramite il controllo NIS2 e la knowledge base di secria.eu.