Bezpečnostný dotazník pre inštalačnú spoločnosť sa takmer vždy točí okolo jednej základnej otázky: kto má prístup k budove a systémom objednávateľa a ako sa tento prístup spravuje. Inštalačné spoločnosti pracujú na lokálnych stránkach, často majú kľúče alebo karty, a pripájajú zariadenia k systémom na riadenie budov, klimatizácnym zariadeniam alebo alarm systémom, ktoré sú niekedy spravované aj na diaľku. Práve tam ležia otázky, ktoré sa v tomto sektore neustále opakujú.
Dotazník zvyčajne neprichádza preto, že samotná inštalačná spoločnosť patrí pod Smernicu NIS2, ale preto, že to platí pre jej objednávateľa. Ten objednávateľ — nemocnica, energetická spoločnosť, vodný podnik, veľký správca nehnuteľností — má povinnosť starostlivosti, ktorá ho zaväzuje posúdiť svojich dodávateľov. Inštalačná spoločnosť, ktorá má prístup k budovám alebo systémom takejto organizácie, je preto postihnutá prostredníctvom dodávateľského reťazca, aj bez toho, aby sama patrila do cieľovej skupiny zákona.
Prečo tento sektor dostáva dotazník častejšie
Inštalačné spoločnosti často udržiavajú práve infraštruktúru, ktorá je pre objednávateľa kritická: kúrenie, vetranie, elektrina, požiarne hlásne zariadenia, kontrola prístupu. Tieto systémy sú čoraz viac prepojené so sieťou a niekedy je inštalačná spoločnosť jedinou stranou, ktorá sa môže na diaľku prihlásiť, aby odstránila poruchy. Pre objednávateľa je to dôvod, aby chcel vedieť, ako je tento prístup chránený. Či konkrétna spoločnosť patrí pod zákon alebo je postihnutá len prostredníctvom dodávateľského reťazca, pomocou niekoľkých otázok.
Prístup k budove: čo sa pýta
Na fyzickej strane ide väčšinou o to, ako sa vydávajú a vrátia kľúče, karty a kódy na vypnutie alarmu. Otázky, ktoré sa opakujú: kto v spoločnosti má prístupové prostriedky k lokalitám zákazníkov, ako rýchle sa karta zablokuje, keď majster odíde zo služby, a či existuje prehľad o tom, kto má prístup kam. Pravidelne sa tiež pýta, či dodávatelia bez zmluvného vzťahu dostanú prístup samostatne alebo vždy pracujú pod dozorom.
Prístup k systémom na lokálnej úrovni: čo sa pýta
Na digitálnej strane sa otázky zameriavajú na to, ako sú zariadenia a pripojenia na mieste zabezpečené. Možné otázky sú, či sa prihlášate osobným účtom alebo zdieľaným heslom, či sa používa viacfaktorové overenie pri diaľkovej správe systému na riadenie budov, a ako sa prístup odvolá po ukončení projektu alebo keď zamestnnanec odíde. Aj vlastné zariadenia, ktoré sú pripojené na mieste — notebook alebo tablet majstra — sú často predmetom otázky: je toto zariadenie spravované spoločnosťou a má na ňom nainštalovaný bezpečnostný softvér.
Podradiaci dodávatelia a dočasní zamestnanci
Inštalačné práce sú často čiastočne vykonávané podraďujúcimi dodávateľmi alebo prenajatými zamestnancami. Objednávatelia sa preto niekedy pýtajú, ako samotná inštalačná spoločnosť spravuje svoje vlastný dodávateľský reťazec: dostane podraďujúci dodávateľ rovnaké prístupové prostriedky ako vlastný personál a existuje prehľad o tom, kto sa v určitý deň skutočne nachádzal na mieste. To je v súlade s širším princípom, že povinnosť starostlivosti sa nezaobiera len priamym dodávateľom, ale aj stranami, ktoré tento dodávateľ angažuje.
Čo môžete s týmito otázkami robiť
Samotné otázky sú často jednoduché, ale odpoveď si vyžaduje niečo, čo je zdokumentované: prehľad toho, kto má prístup, ako sa tento prístup odníma a kto za to zodpovedá. Podniky, ktoré to ešte nemajú zapísané na papieri, zisťujú, že väčšina času ide na zdokumentovanie toho, čo sa v praxi už deje. Prehľad tém, ktoré sa v takýchto zoznamoch otázok objavujú, rozpracovaný pre jednotlivé situácie, nájdete na stránke s témami podľa sektora. Kto chce vedieť, ako vznikajú informácie na secria.eu a ktoré zdroje sa pritom používajú, prečíta si to na stránke o našom postupe.
Je dobré si uvedomiť, že bezpečnostný zoznam otázok nie je právnou povinnosťou samotnou, ale nástrojom, ktorým si objednávateľ plní svoju vlastnú starostlivosť. To, čo si objednávateľ môže presne pýtať a čo nie, sa líši podľa situácie a zmluvy; pre vlastnú situáciu je to niečo, čo treba prebrať s objednávateľom alebo v prípade potreby s právnikom. Často kladené otázky o takýchto zoznamoch otázok vrátane toho, ako často si podnik môže očakávať, že ich dostane, sú zozbierané na stránke s často kladanými otázkami.
Kto chce vidieť, ktoré opatrenia týkajúce sa riadenia prístupu a fyzickej bezpečnosti sú často požadované a ako sa vztahujú na vlastnú činnosť podniku, môže si to pozrieť bezplatne a bez účtu prostredníctvom kontroly NIS2 a vedomostnej základne secria.eu.