Lista kontrolna bezpieczeństwa dla firmy instalacyjnej niemal zawsze obraca się wokół jednego kluczowego pytania: kto ma dostęp do budynku i systemów klienta, i w jaki sposób ten dostęp jest zarządzany. Firmy instalacyjne pracują na miejscu, często posiadają klucze lub identyfikatory dostępu, i podłączają urządzenia do systemów zarządzania budynkami, instalacji klimatyzacyjnych lub systemów alarmowych, które czasem są również zarządzane zdalnie. To właśnie tam leżą pytania, które w tej branży regularnie się pojawiają.
Lista kontrolna zwykle nie pojawia się dlatego, że sama firma instalacyjna podlega Dyrektywie NIS2, ale ponieważ klient podlega tej dyrektywie. Ten klient — szpital, przedsiębiorstwo energetyczne, zarząd wodny, duży zarządca nieruchomości — ma obowiązek opieki, który go zobowiązuje do oceny swoich dostawców. Firma instalacyjna mająca dostęp do budynków lub systemów takiej organizacji jest zatem dotknięta poprzez łańcuch dostaw, nawet jeśli sama nie należy do grupy docelowej ustawy.
Dlaczego ta branża częściej otrzymuje listę kontrolną
Firmy instalacyjne zajmują się często utrzymaniem infrastruktury, która dla klienta jest krytyczna: ogrzewanie, wentylacja, elektyka, instalacje sygnalizacji pożaru, kontrola dostępu. Systemy te są coraz częściej podłączane do sieci, a czasem firma instalacyjna jest jedyną stroną, która może zalogować się zdalnie w celu usunięcia awarii. Dla klienta to powód, aby chciał wiedzieć, w jaki sposób ten dostęp jest chroniony. To, czy konkretna firma podlega ustawie czy jest dotknięta tylko poprzez łańcuch dostaw, można określić za pomocą można określić za pomocą kilku pytań.
Dostęp do budynku: o co się pyta
Pod względem fizycznym zwykle chodzi o sposób wydawania i odbierania kluczy, identyfikatorów dostępu i kodów alarmowych. Pytania, które się powtarzają: kto w firmie ma dostęp do środków dostępu do lokacji klientów, jak szybko identyfikator dostępu jest blokowany, gdy technik odchodzi z pracy, i czy istnieje przegląd tego, kto ma dostęp gdzie. Również regularnie pyta się, czy podwykonawcy otrzymują dostęp samodzielnie, czy zawsze pracują pod nadzorem.
Dostęp do systemów na miejscu: o co się pyta
Pod względem cyfrowym pytania skupiają się na tym, w jaki sposób urządzenia i połączenia na miejscu są zabezpieczone. Możliwe pytania dotyczą tego, czy logowanie odbywa się na osobistym koncie czy wspólnym hasłem, czy używane jest wieloetapowe uwierzytelnianie podczas zdalnego zarządzania systemem zarządzania budynkami, i w jaki sposób dostęp jest wycofywany po zakończeniu projektu lub odejściu pracownika. Również własne urządzenia podłączane na miejscu — laptop lub tablet technika — są regularnie przedmiotem pytania: czy urządzenie jest zarządzane przez firmę i czy zawiera oprogramowanie bezpieczeństwa.
Podwykonawcy i pracownicy tymczasowi
Prace instalacyjne są często realizowane częściowo przez podwykonawców lub pracowników zatrudnionych na zewnątrz. Klienci dlatego czasem pytają dalej o to, w jaki sposób sama firma instalacyjna zarządza swoim własnym łańcuchem dostaw: czy podwykonawca otrzymuje te same środki dostępu co personel własny, i czy istnieje wgląd w to, kto faktycznie był na miejscu w danym dniu. To jest zgodne z szerszą zasadą, że obowiązek opieki nie patrzy tylko na bezpośredniego dostawcę, ale także na strony, które ten dostawca z kolei zatrudnia.
Co możesz zrobić z tymi pytaniami
Pytania same w sobie często nie są skomplikowane, ale odpowiedź wymaga czegoś, co zostało udokumentowane: przeglądu tego, kto ma dostęp, jak dostęp jest odwołany i kto za to odpowiada. Firmy, które tego jeszcze nie mają udokumentowane, zauważają, że większość czasu poświęca się na opisanie tego, co w praktyce już się dzieje. Przegląd tematów, które pojawiają się w tego rodzaju listach kontrolnych, opracowany dla każdej sytuacji, znajduje się na stronie z tematami dla każdego sektora. Kto chce wiedzieć, jak powstają informacje na secria.eu i jakie źródła są przy tym wykorzystywane, czyta to na strona dotycząca procedury postępowania.
Warto sobie uświadomić, że lista kontrolna ds. bezpieczeństwa nie stanowi sama w sobie obowiązku ustawowego, ale jest narzędziem, za pomocą którego zleceniodawca wypełnia swój własny obowiązek staranności. To, co zleceniodawca może przy tym dokładnie pytać i co nie, różni się w zależności od sytuacji i umowy; dla własnej sytuacji jest to kwestia do omówienia ze zleceniodawcą lub, w razie potrzeby, z prawnikiem. Często zadawane pytania dotyczące tego rodzaju list kontrolnych, w tym jak często firma może się ich spodziewać, zostały zebrane na stronie z najczęściej zadawanymi pytaniami.
Kto chce zobaczyć, jakie środki dotyczące kontroli dostępu i bezpieczeństwa fizycznego są często pytane i jak odnoszą się do własnej działalności biznesowej, może to bezpłatnie i bez konta przejrzeć za pośrednictwem kontroli NIS2 i bazy wiedzy secria.eu.