Co się zmienia w umowie z zamawiającym
Zamawiający, który sam podlega obowiązkowi opieki NIS2 — szpital, przedsiębiorstwo energetyczne, duży hub logistyczny — musi wykazać, że ryzyko w jego łańcuchu dostaw jest zidentyfikowane. Firmy instalacyjne często znajdują się pośrodku tego łańcucha, nie dlatego że same są zobowiązane, ale dlatego że mają fizyczny i cyfrowy dostęp do budynku i systemów zamawiającego. To właśnie dlatego wymagania umowne, które będziesz napotykać w nadchodzącym czasie, skupiają się na dostępie: kto może wejść do środka, za pomocą jakich środków i co ta osoba może osiągnąć skąd.
Istota jest prosta do zrozumienia bez samego tekstu ustawy: zamawiający może pytać cię, jak zapobiegasz temu, aby klucz, karta dostępu lub połączenie serwisowe stały się wejściem dla kogoś innego. Dokładne sformułowanie różni się w zależności od zamawiającego, ale pytanie bazowe jest prawie wszędzie takie samo.
Co dokładnie pyta zamawiający podlegający obowiązkowi
Dyrektywa NIS2 zobowiązuje podmioty zasadnicze i ważne do oceny ryzyka u dostawców — to jest istota obowiązku opieki z artykułu 21. To zobowiązanie jest w praktyce tłumaczone na trzy rodzaje wymagań spotykanych u firm instalacyjnych: wymagania dotyczące osób (kto może przychodzić na miejsce w twoim imieniu), wymagania dotyczące środków (jak zarządzane są klucze, karty dostępu i zlecenia pracy) i wymagania dotyczące połączeń (jak loguje się zdalnie do systemów budynkowych). Żadne z tych wymagań nie znajduje się dosłownie w dyrektywie; są to praktyczne interpretacje, które zamawiający wybierają sami, aby spełnić swój własny obowiązek opieki.
Jeśli nie jesteś pewny, czy twój zamawiający sam jest do tego zobowiązany, możesz to sprawdzić za pomocą krótkiej kontroli pokazującej, kto w łańcuchu dostaw jest objęty. To pomaga lepiej umieścić rozmowę z zamawiającym: czy jest to zobowiązanie pochodzące od nich, czy własny wybór ich działu zakupów.
Dostęp do budynków: klucze, karty dostępu i systemy zarządzania budynkami
W przypadku dostępu fizycznego chodzi często o trzy pytania, które pojawiają się w umowach: czy prowadzona jest rejestracja kluczy lub kart dostępu dla każdego pracownika, czy ten dostęp jest wycofywany, gdy ktoś opuszcza projekt lub firmę, i czy istnieje stała procedura zgłaszania podwykonawców, którzy przychodzą na miejsce w twoim imieniu. Dla firm instalacyjnych pracujących ze zmiennymi technikami i podwykonawcami, to jest często część, gdzie potrzebna jest największa adaptacja — nie dlatego że jest to technicznie skomplikowane, ale dlatego że po prostu nie było to jeszcze udokumentowane.
Systemy zarządzania budynkami — systemy sterujące ogrzewaniem, oświetleniem, windami lub kontrolą dostępu — stanowią oddzielną kategorię. Zamawiający często chce wiedzieć, czy hasło takiego systemu zostało zmienione po jego oddaniu, kto zarządza danymi logowania i czy stare hasło z poprzedniego projektu nie zostało ponownie użyte. To nie jest przesadna nieufność: systemy zarządzania budynkami to dokładnie typ systemu, gdzie zakłócenie nie pozostaje w dziale IT, ale staje się widoczne w samym budynku.
Dostęp do systemów: zarządzanie zdalne i połączenia serwisowe
Gdy firmy instalacyjne obserwują zdanie lub dokonują konserwacji — poprzez połączenie VPN, narzędzie podobne do TeamViewera lub stały adres IP, który uzyskuje dostęp — zamawiający zwykle chce wiedzieć, jak to połączenie jest zabezpieczone, czy jest zamykane po użyciu i kto wewnątrz twojej firmy ma dostęp do tego połączenia. To bezpośrednio dotyczy kontroli dostępu w twojej własnej organizacji: połączenie, które każdy w zespole może używać bez logowania lub limitu czasowego, to dokładnie ten rodzaj odpowiedzi, na której zawieszają się kwestionariusze bezpieczeństwa.
Tematy do nich związane — od polityki haseł po wycofanie dostępu przy odejściu pracowników — opisane są w przejrzysty sposób w przeglądzie tematów dla każdej sytuacji, dzięki czemu nie trzeba szukać w pełnej dyrektywie fragmentu, który ma zastosowanie w Państwa przypadku.
Co można przygotować już teraz
Nawet jeśli nie ma jeszcze konkretnej umowy, warto wiedzieć, które klucze, karty dostępu i połączenia są aktualnie aktywne w ramach bieżących projektów i czy rejestr tych informacji jest aktualny. To nie jest praca prawnicza, lecz administracyjna, i jest dokładnie tym rodzajem dowodu, o który zleceniodawca może później poprosić. Jeśli wątpią Państwo, czy konkretny wymóg w projekcie umowy jest uzasadniony lub wykracza poza to, co usprawiedliwia obowiązek opieki, jest to pytanie dla prawnika lub, w przypadku wątpliwości dotyczących obowiązku samego zleceniodawcy, dla organu nadzorczego — secria.eu przygotowuje dokumentację stanowiącą podstawę, ale nie ocenia poszczególnych umów.
Czy chcielibyście najpierw zobaczyć, jak secria.eu wspiera tego rodzaju pytania, od pierwszej kontroli do szablonów listy kontrolnej? Na stronie wyjaśniającej źródło informacji opisana jest struktura platformy krok po kroku, a najczęściej zadawane pytania dotyczące roli i obowiązków udzielają odpowiedzi na podobne wątpliwości innych firm instalacyjnych.
Jeśli chcielibyście wiedzieć, czy Wasza sytuacja znajduje się w łańcuchu dostaw i co to konkretnie oznacza dla umów, które podpisujecie, darmowa kontrola NIS2 to logiczne pierwsze miejsce, podobnie jak baza wiedzy dostępna bez konta.