Kas pasikeis jūsų sutartyje su užsakovu
Užsakovas, pats paklūstantis NIS2 priežiūros pareigai — ligoninė, energijos įmonė, didelė logistikos bazmė — privalo įrodyti, kad jo grandinės rizikos yra nustatytos. Diegimo įmonės dažnai yra tiesiai toje grandinėje, ne todėl, kad jos pačios paklūstytų šiai pareigai, o todėl, kad jos turi fizinius ir skaitinius prieigos tikslus prie užsakovo pastato ir sistemų. Būtent todėl sutarčių reikalavimai, kurie jums artimiausiu metu susidursite, sutelkti į prieigą: kas gali įeiti, kokiais priemonėmis ir ką tas žmogus gali nuveikti iš to taško.
Branduolys lengvai suprantamas skaitant patį įstatymą: užsakovas gali jūsų paprašyti, kaip jūs užkertate kelią tam, kad raktas, žymė arba priežiūros jungtis taptu įėjimu kito asmens. Tikslus formulavimas skiriasi priklausomai nuo užsakovo, tačiau pagrindinį klausimą grąžina beveik kiekvienas.
Ko tiksliai prašo pareigybę turintis užsakovas
NIS2 direktyva įpareigoja esminius ir svarbius subjektus įvertinti tiekėjų riziką — tai yra pagrindinė 21 straipsnio priežiūros pareigu. Praktiškai ši pareiga verčiama trimis reikalavimų rūšimis, kurie dažnai pasitaiko diegimo įmonėse: reikalavimai asmenims (kas gali jūsų vardu atvykti į vietą), reikalavimai priemonėms (kaip valdomi raktai, žymės ir darbų lapai) ir reikalavimai jungoms (kaip nuotoliniu būdu užsiregistruojama pastatų sistemose). Nė vienas iš šių reikalavimų nėra tiesiogiai nustatytas direktyvoje; tai praktiniai turinio papildymai, kuriuos patys beria užsakovai, kad atitiktų savo priežiūros pareigą.
Jei neesate tikri, ar jūsų užsakovas pats tam privalo, tai galima tikrinti per trumpą patikrą, kuri rodo, kas grandinėje yra nutrauktas. Tai padeda geriau suprasti pokalbį su užsakovu: ar tai pareiga iš jų pusės, ar tai jų pirkimo skyriaus savarankiška pasirinkimas.
Prieiga prie pastatų: raktai, žymės ir pastato valdymo sistemos
Fiziniu atžvilgiu, prieiga dažnai gręžiasi apie tris klausimus, kurie grįžta sutartyse: ar tvarinamoje raktų ar žymių registracijoje tenkinta kiekvienam darbuotojui, ar ta prieiga panaikinama, kai žmogus palieka projektą arba įmonę, ir ar yra nuolatinė procedūra subrangovams prisistatyti, kurie jūsų vardu atvyksta į vietą. Diegimo įmonėms, kurios dirba su keičiamais technikiniais darbuotojais ir subrangovais, tai dažnai yra dalis, kurioje reikalinga daugiausia pritaikymo — ne todėl, kad tai techniniu požiūriu yra sudėtinga, o todėl, kad paprasčiausiai dar nebuvo nustatytas.
Pastato valdymo sistemos — sistemos, kurios valdo šildymą, apšvietimą, liftus ar prieigos kontrolę — sudaro atskirą kategoriją. Užsakovas dažnai nori žinoti, ar tokios sistemos slaptažodis po perdavimo buvo pakeistas, kas valdo prisijungimo duomenis, ir ar ankstesnio projekto senas slaptažodis buvo panaudotas iš naujo. Tai nėra neopportūnus nepasitikėjimas: pastato valdymo sistemos yra kaip tik tokios sistemos, kuriose sutrikimai nelieka IT skyriuje, o matomi pačiame pastate.
Prieiga prie sistemų: nuotolinis valdymas ir priežiūros jungtys
Kai diegimo įmonės nuotoliniu būdu stebi arba vykdo priežiūrą — per VPN jungtį, TeamViewer panašaus įrankio ar nuolatinę IP adresą, kuriam suteikiama prieiga — užsakovas paprastai nori žinoti, kaip ta jungtis yra apsaugota, ar ji yra uždaryta po naudojimo, ir kas jūsų įmonėje turi prieigą prie tos jungties. Tai tiesiogiai kelia klausimą prieigos valdymui jūsų organizacijoje: jungtis, kurią gali naudoti kiekvienas komandos narys be žurnalo arba laiko apribojimo, yra visai tas atsakymas, kuriame saugumo klausimynas stovi.
Dalykai, kurie čia susiję — nuo slaptažodžio strategijos iki prieigos atšaukimo personalo atleidimo atveju — aiškiai aprašyti temų apžvalgą pagal situaciją, todėl jums nereikia ieškoti jūsų atžvilgiu taikymo dalies visoje direktyvoje.
Ką galite pradėti ruošti jau dabar
Net ir jei dar nėra konkretaus sutarties, naudinga žinoti, kurie raktai, žetonai ir ryšiai šiuo metu yra aktyvūs atliekant besibaigančius projektus, ir ar ta registracija yra atnaujinta. Tai nėra teisiniai darbai, o administraciniai darbai, ir tai yra grynai tas tipo dokumento įrodymas, kurį užsakovas vėliau gali paprašyti. Jei abejojate, ar konkreti reikalavimas projekto sutartyje yra pagrįstas ar eina toliau nei rūpestingumo pareiga justifikuoja, tai yra klausimas juristui arba, jei abejojate paties užsakovo pareiga, priežiūros institucijai — secria.eu paruošia pagrindinę dokumentaciją, bet nevertina atskiros sutarties.
Norėtumėte pirmiausia pamatyti, kaip secria.eu remia šio tipo klausimus, nuo pirmojo patikrinimo iki klausimyno šablonų? Adresas puslapyje, kuriame aiškinamas informacijos šaltinis yra platformos struktūra žingsnis po žingsnio, ir dažniausiai užduodami klausimai apie vaidmenį ir pareigą atsakyti į panašias abejonės iš kitų diegimo įmonių.
Jei jus domina, ar jūsų pačių padėtis patenka į tiekimo grandinę ir ką tai konkrečiai reiškia sutarčių, kurias pasirašote, požiūriu, nemokama NIS2-tikrinima yra logiškas pirmasis etapas, kaip ir žinių bankas, kuris yra prieinamas be paskyros.