Sektor instalacyjny nie podlega w całości dyrektywie NIS2. W załącznikach, które dyrektywa wykorzystuje do wskazania podmiotów istotnych i ważnych, nie istnieje sektor „instalacja". Niemniej firmy instalacyjne otrzymują to pytanie coraz częściej, i ma to konkretny powód: wielu ich klientów podlega obowiązkowi dołożenia należytej staranności, a ten obowiązek zmusza ich do zwracania uwagi również na swoich dostawców.
To, czy NIS2 dotyczy Twojej firmy instalacyjnej, zależy zatem od trzech rzeczy razem wziętych: sektora, w którym sam działasz, wielkości Twojego przedsiębiorstwa oraz pytania, czy poprzez swoich klientów trafiasz do łańcucha dostaw podmiotu objętego obowiązkami. Ta trzecia droga jest dla instalatorów często najbardziej prawdopodobna i dlatego zasługuje na osobną uwagę.
Sektor: czy instalacja podlega załącznikom I lub II?
Dyrektywa wskazuje sektory w dwóch załącznikach: załączniku I dla sektorów istotnych, takich jak energia, woda pitna, ochrona zdrowotna i infrastruktura cyfrowa, oraz załączniku II dla sektorów ważnych, takich jak określone gałęzie przemysłu i oczyszczalnia ścieków. Ogólna firma instalacyjna zajmująca się montażem systemów grzewczych, elektrycznych lub bezpieczeństwa nie jest wymieniona jako taka w tych załącznikach. Możliwe są wyjątki: instalator, który sam jest częścią sieci energetycznej lub zarządza krytyczną infrastrukturą dla wskazanego sektora, może być bliżej bezpośredniego zakresu. To ocena przypadku po przypadku, a nie ogólny wynik dla branży.
Wielkość: czy jesteś mikro, małą, średnią czy dużą firmą?
Dyrektywa wiąże bezpośredni obowiązek z wielkością: w istocie chodzi o średnie i duże przedsiębiorstwa w ramach wskazanych sektorów, z wyjątkami, które mogą się różnić w zależności od sektora. Wiele firm instalacyjnych pod względem liczby pracowników i przychodów jest małe lub średnie i z tego powodu często wykracza poza obowiązek bezpośredni, nawet jeśli sektor miałby powiązanie. Sama wielkość nigdy nie jest jednak pełną odpowiedzią; sektor i wielkość muszą być rozpatrywane razem, a transpozycja krajowa może różnić się od samej dyrektywy.
Pozycja w łańcuchu: dostęp do budynków i systemów u klientów
Tutaj leży rzeczywisty punkt uwagi dla instalatorów. Firma instalacyjna pracująca dla szpitala, zakładu energetycznego, zarządu wodnego lub dużej firmy logistycznej często dosłownie wchodzi do wnętrz: do budynków, przy rozdzielnicach liczników, przy systemach zarządzania budynkami, czasem z własnym loginem do systemów klienta. Dla klienta, który sam podlega obowiązkowi dołożenia należytej staranności, to dokładnie taki rodzaj dostępu, na który patrzy artykuł 21 dyrektywy: zagrożenia pojawiające się poprzez dostawców i usługodawców są częścią własnego bezpieczeństwa tej organizacji. Dlatego firmy instalacyjne otrzymują ankiety bezpieczeństwa, warunki umowy lub wymogi dotyczące kontroli dostępu, nawet jeśli same nie są objęte obowiązkami.
Co konkretnie oznacza dla Ciebie "być zaangażowanym w łańcuch dostaw"?
Bycie zaangażowanym w łańcuch dostaw oznacza, że sam nie podlegasz obowiązkowi zgłaszania lub rejestracji, ale klient może Cię poprosić, aby wykazać, jak postępujesz z dostępem, hasłami, aktualizacjami i incydentami. Zwykle odbywa się to poprzez ankietę bezpieczeństwa lub uzupełnienie umowy. Kto nie może na to odpowiedzieć, ryzykuje, że zlecenie przejdzie do konkurenta, który potrafi szybko i przekonująco odpowiedzieć. To zatem nie jest bezpośredni obowiązek prawny spoczywający na Twojej firmie, ale raczej rzeczywistość biznesowa wynikająca z obowiązku Twojego klienta. przeczytać wyjaśnienie dla każdej sytuacji przedstawia obraz tego, jak w praktyce te dwie drogi — bezpośrednio objęty obowiązkami i zaangażowany w łańcuch dostaw — się od siebie różnią.
Co możesz teraz zrobić?
Pierwszym krokiem jest wyjaśnienie, która z trzech kategorii ma zastosowanie do Twojej firmy: podmiot istotny, podmiot ważny, dotknięty łańcuchem dostaw, czy nieobjęty. Dokładnie do tego służy kontrola NIS2: kilka pytań o sektor, wielkość i klientów, dla których pracujesz, wraz ze wskazaniem i wyjaśnieniem powodu. w kilku pytaniach sprawdzić, gdzie stoi Twoja firma nie wymaga konta ani kosztów. Jeśli wynik to dotknięty łańcuchem dostaw, kolejne praktyczne pytanie to: jakich list kontrolnych i wymogów umownych można się spodziewać oraz jak udokumentować odpowiedzi, aby nie trzeba było wymyślać ich na nowo za każdym razem. zapoznaj się z frequently asked questions dotyczącymi kontroli i dossier daje pierwszy obraz tego przeczytaj, skąd pochodzi informacja na platformie pokazuje, jak wyniki są powiązane z dyrektywą i ustawą krajową.
Chcesz już teraz wiedzieć, czy Twoje przedsiębiorstwo instalacyjne zmierza w kierunku podmiotu istotnego, podmiotu ważnego, podmiotu dotkniętego łańcuchem dostaw czy podmiotu nieobjętego? Przeprowadź bezpłatną kontrolę NIS2 lub najpierw przejrzyj bazę wiedzy, aby zapoznać się z pojęciami w swoim tempie.