Čo sa mení v zmluve s vašim objednávateľom
Objednávateľ, ktorý sám podlieha povinnosti starostlivosti NIS2 — nemocnica, energetická spoločnosť, veľké logistické centrum — musí preukázateľne ukázať, že riziká vo vlastnom dodávateľskom reťazci sú identifikované. Inštalačné spoločnosti sú často v strede tohto reťazca, nie preto, že by samy podliehali povinnosti, ale pretože majú fyzický a digitálny prístup k budove a systémom svojho objednávateľa. Práve preto sa zmluvné požiadavky, s ktorými sa v nadchádzajúcej dobe stretnete, sústreďujú na prístup: kto smie vstúpiť, akými prostriedkami a čo sa môže stať od tam ďalej.
Podstata je jednoduchá na pochopenie bez samotného prečítania zákona: objednávateľ vám môže pýtať, ako zabránite tomu, aby kľúč, kartu alebo údržbársku spojenie sa nestali vchodom pre niekoho iného. Presné znenie sa líši od objednávateľa k objednávateľovi, ale základná otázka je u prakticky všetkých rovnaká.
Čo presne požaduje pvinný objednávateľ
Smernica NIS2 zavdzuje podstatné a dôležité subjekty na povinnosť posúdiť riziká u dodávateľov — to je podstata povinnosti starostlivosti z článku 21. Táto povinnosť sa v praxi prekladá na tri druhy požiadaviek, ktoré sa vyskytujú u inštalačných spoločností: požiadavky na osoby (kto smie v mene vašej spoločnosti prísť na lokalitu), požiadavky na prostriedky (ako sa spravujú kľúče, karty a pracovné príkazy) a požiadavky na spojenia (ako sa vzdialene prihlasujeme do budovných systémov). Žiadna z týchto požiadaviek nie je doslova uvedená v smernici; ide o praktické implementácie, ktoré si objednávatelia sami vyberú, aby splnili vlastnú povinnosť starostlivosti.
Ak si nie ste istí, či váš objednávateľ je sám na to viazaný, môžete si to overiť prostredníctvom krátkeho testu, ktorý ukazuje, kto v reťazci je zasiahnutý. To pomáha lepšie zaradiť rozhovor s objednávateľom: ide o povinnosť, ktorá za nimi stojí, alebo ide o vlastný výber ich oddelenia nákupu.
Prístup do budov: kľúče, karty a systémy riadenia budov
Pri fyzickom prístupe ide často o tri otázky, ktoré sa vyskytujú v zmluvách: vedú sa záznamy o kľúčoch alebo kartách na jednotlivých zamestnancov, je tento prístup zrušený hneď po tom, čo osoba opustí projekt alebo spoločnosť, a existuje určitý postup na hlásenie subdodávateľov, ktorí prichádzajú na lokalitu v mene vašej spoločnosti. Pre inštalačné spoločnosti pracujúce so striedavými technikmi a subdodávateľmi je to často časť, kde je potrebná väčšina zmien — nie preto, že by to bolo technicky komplikované, ale jednoducho preto, že to ešte nebolo zdokumentované.
Systémy riadenia budov — systémy, ktoré riadia vykurovanie, osvetlenie, výťahy alebo kontrolu prístupu — tvoria samostatnú kategóriu. Objednávateľ často chce vedieť, či bolo heslo takéhoto systému po odovzdaní zmenené, kto spravuje prihlasovacie údaje a či bolo staré heslo z predchádzajúceho projektu znovu použité. To nie je nadmerná paranoja: systémy riadenia budov sú presne ten typ systému, kde chyba nezostane v IT oddelení, ale bude viditeľná v samotnej budove.
Prístup k systémom: vzdialená správa a údržbárske spojenia
Keď inštalačné spoločnosti vzdialene sledujú alebo vykonávajú údržbu — prostredníctvom VPN spojenia, nástoja podobného teamvieweru alebo pevnej IP adresy, ktorá dostane prístup — objednávateľ zvyčajne chce vedieť, ako je toto spojenie zabezpečené, či je po použití ukončené a kto má vnútri vašej spoločnosti prístup k tomuto spojeniu. To priamo súvisí so správou prístupu v rámci vašej vlastnej organizácie: spojenie, ktoré môže používať každý v tíme bez záznamu alebo časového limitu, je presne typ odpovede, na ktorej sa застane zoznam bezpečnostných otázok.
Témy, ktoré s tým súvisia — od politiky hesiel až po odvolanie prístupu pri odchode zamestnancov — sú jasne popísané v prehľade tém podľa situácie, aby ste nemuseli prehľadávať úplnú smernicou v hľadaní časti, ktorá sa na vás vzťahuje.
Čo môžete už teraz pripraviť
Aj bez toho, aby už existovala konkrétna zmluva, má zmysel vedieť, ktoré kľúče, odznaky a pripojenia sú v súčasnosti aktívne v prebiehajúcich projektoch a či je táto registrácia aktuálna. Nejde o právnu prácu, ale o administratívnu prácu, a je to práve typ dôkazu, ktorý môže objednávateľ neskôr požadovať. Ak si nie ste istí, či je špecifická požiadavka v návrhu zmluvy rozumná alebo presahuje to, čo ospravedlňuje povinnosť starostlivosti, potom ide o otázku pre právnika alebo, ak máte pochybnosti o samotnej povinnosti objednávateľa, pre dozorný orgán — secria.eu pripravuje základnú dokumentáciu, ale nehodnotí jednotlivé zmluvy.
Chcete vidieť, ako secria.eu podporuje tento druh otázok, od prvej kontroly po šablóny pre dotazník? Na stránka, ktorá vysvetľuje, odkiaľ pochádzajú informácie je uvedená štruktúra platformy krok za krokom a najčastejšie otázky o úlohe a povinnosti odpovedá na podobné pochybnosti iných inštalačných spoločností.
Ak vás zaujíma, či vaša vlastná situácia spadá do dodávateľského reťazca a čo to konkrétne znamená pre zmluvy, ktoré podpisujete, potom je bezplatná NIS2-kontrola logickým prvým bodom, rovnako ako vedomostná základňa, ktorá je prístupná bez účtu.