Cosa cambia nel contratto con il vostro committente
Un committente che ricade direttamente sotto l'obbligo di diligenza della NIS2 — un ospedale, un'azienda energetica, un grande hub logistico — deve dimostrare che i rischi presenti nella propria catena di approvvigionamento siano identificati. Le ditte di installazione spesso si trovano al centro di quella catena, non perché esse stesse abbiano obblighi, ma perché dispongono di accesso fisico e digitale all'edificio e ai sistemi del committente. È precisamente per questo che i requisiti contrattuali che incontrerete nei prossimi tempi si concentrano sull'accesso: chi può entrare, con quali strumenti, e cosa può raggiungere da quel punto.
Il nocciolo è semplice da capire senza leggere il testo normativo: un committente può chiedervi come impedite che una chiave, un badge o una connessione di manutenzione diventi un punto d'accesso per qualcun altro. La formulazione precisa varia da un committente all'altro, ma la domanda di fondo è praticamente la stessa per quasi tutti.
Cosa chiede esattamente un committente obbligato
La Direttiva NIS2 obbliga le entità essenziali e importanti a valutare i rischi presso i fornitori — questo è il nucleo dell'obbligo di diligenza di cui all'articolo 21. Tale obbligo si traduce nella pratica in tre tipi di requisiti che ricorrono presso le ditte di installazione: requisiti relativi alle persone (chi può presentarsi in loco a nome vostro), requisiti relativi agli strumenti (come vengono gestite chiavi, badge e ordini di lavoro) e requisiti relativi alle connessioni (come si accede da remoto ai sistemi di automazione). Nessuno di questi requisiti compare letteralmente nella direttiva; sono applicazioni pratiche che i committenti stessi scelgono per rispettare il proprio obbligo di diligenza.
Se non siete certi che il vostro committente sia direttamente obbligato in proposito, potete verificarlo tramite un breve controllo che mostra chi nella catena è interessato. Ciò aiuta a inquadrare meglio il dialogo con il committente: si tratta di un obbligo che proviene da loro, oppure di una scelta autonoma del loro ufficio acquisti.
Accesso ai locali: chiavi, badge e sistemi di automazione
Per l'accesso fisico ricorrono spesso tre domande che compaiono negli contratti: è mantenuto un registro di chiavi o badge per ogni dipendente, l'accesso viene revocato non appena qualcuno abbandona il progetto o l'azienda, ed esiste una procedura fissa per segnalare i subappaltatori che si presentano in loco a nome vostro. Per le ditte di installazione che operano con montatori e subappaltatori variabili, questo è spesso l'aspetto che richiede maggior adattamento — non perché sia tecnicamente complesso, ma semplicemente perché non era stato documentato prima.
I sistemi di automazione — i sistemi che controllano il riscaldamento, l'illuminazione, gli ascensori o il controllo degli accessi — costituiscono una categoria separata. Un committente vuole spesso sapere se la password di un tale sistema è stata cambiata dopo la consegna, chi gestisce le credenziali di accesso, e se una password precedente da un progetto passato è stata riutilizzata. Non è sospetto esagerato: i sistemi di automazione sono esattamente il tipo di sistema in cui un guasto non rimane confinato in un reparto IT, ma diventa visibile nell'edificio stesso.
Accesso ai sistemi: manutenzione remota e connessioni di servizio
Laddove le ditte di installazione monitorano o svolgono manutenzione da remoto — tramite una connessione VPN, uno strumento simile a teamviewer o un indirizzo IP fisso che riceve accesso — il committente in genere desidera sapere come è protetta quella connessione, se viene chiusa dopo l'uso, e chi all'interno della vostra azienda ha accesso a quella connessione. Questo riguarda direttamente il controllo dell'accesso all'interno della vostra organizzazione: una connessione che chiunque nel team può utilizzare senza registro o limite di tempo è esattamente il tipo di risposta su cui un questionario di sicurezza si blocca.
Gli argomenti correlati — dalla politica delle password alla revoca dell'accesso al momento dell'uscita del personale — sono descritti chiaramente in la panoramica degli argomenti per situazione, in modo che non sia necessario cercare nella direttiva completa la parte che le si applica.
Ciò che potete già preparare ora
Anche senza un contratto concreto già in atto, è utile sapere quali chiavi, badge e connessioni sono attualmente attivi nei progetti in corso e se tale registro è aggiornato. Non è un lavoro giuridico ma amministrativo, ed è proprio il tipo di prova che un committente potrebbe chiedere successivamente. Se dubitate che un requisito specifico in una bozza di contratto sia ragionevole o vada oltre quanto la responsabilità prudenziale giustifichi, quella è una domanda per un giurista o, in caso di dubbi sull'obbligo dello stesso committente, per l'autorità di vigilanza — secria.eu prepara la documentazione sottostante, ma non valuta i singoli contratti.
Volete prima vedere come secria.eu supporta questo tipo di domande, dalla prima verifica ai modelli per un questionario? Su la pagina che spiega l'origine delle informazioni è illustrata la struttura della piattaforma passo dopo passo, e le domande più frequenti su ruolo e obbligo fornisce risposte a dubbi simili di altri installatori.
Se siete curiosi di sapere se la vostra situazione rientra nella catena e cosa significa concretamente per i contratti che firmate, il controllo NIS2 gratuito è una prima tappa logica, così come la banca dati di conoscenze accessibile senza account.