Kaj se spremeni v pogodbi z vašim naročnikom
Naročnik, ki sam spada pod obveznosti cybervarnosti NIS2 — bolnišnica, energetsko podjetje, velik logistični hub — mora dokazati, da so tveganja v lastni dobavni verigi vidna. Instalacijska podjetja so pogosto sredi te verige, ne ker bi sama bila podvržena obveznostim, temveč ker imajo fizičen in digitalen dostop do stavbe in sistemov naročnika. To je natanko razlog, da se pogodljene zahteve, ki jih boste naslednje čase naleteli, osredotočajo na dostop: kdo sme vstopiti, s katerimi sredstvi in kaj lahko od tam doseže.
Bistvo je preprosto razumeti brez tega, da bi sami brali zakonski besedilo: naročnik vas lahko vpraša, kako preprečujete, da bi ključ, prstna karta ali vzdrževalna povezava postali vhod za nekoga drugega. Natančna besedila se razlikujejo od naročnika do naročnika, vendar je osnovno vprašanje pri skoraj vsakogar enako.
Kaj natanko zahteva prikrajšani naročnik
Direktiva NIS2 zavezuje bistvene in pomembne subjekte, da ocenijo tveganja pri dobaviteljih — to je jedro obveznosti varovanja iz člena 21. Ta obveznost se v praksi prevaja v tri vrste zahtev, ki se pojavljajo pri instalacijskih podjetjih: zahteve glede oseb (kdo sme v vaše ime priti na lokacijo), zahteve glede sredstev (kako se upravljajo ključi, prstne kartice in delovni nalogi) in zahteve glede povezav (kako se na daljavo prijavljate v sisteme stavb). Nobena od teh zahtev ni dobesedno napisana v direktivi; to so praktični ukrepi, ki si jih naročniki sami izbirajo, da bi izpolnili lastno obveznost varovanja.
Če niste prepričani, ali je vaš naročnik sam zavezан tej obveznosti, je to mogoče preveriti prek kratke preverke, ki kaže, kdo je v verigji dotaknjen. To pomaga, da bolje razumete pogovor z naročnikom: ali je to obveznost, ki jo imajo oni, ali lastna odločitev njihovega nabavnega oddelka.
Dostop do stavb: ključi, prstne kartice in sistemi upravljanja stavb
Pri fizičnem dostopu pogosto pride do treh vprašanj, ki se ponavljajo v pogodbah: ali se vodi register ključev ali prstnih kartic za vsakega delavca, ali se ta dostop odvzame, takoj ko nekdo zapusti projekt ali podjetje, in ali obstaja stalen postopek za prijavo podizvajalcev, ki so v vaše ime na lokaciji. Za instalacijska podjetja, ki delajo s spremenljivim številom monterjev in podizvajalcev, je to pogosto del, kjer je potrebna največ prilagoditve — ne ker bi bil tehnično zapleten, ampak zato, ker preprosto še ni bil dokumentiran.
Sistemi upravljanja stavb — sistemi, ki upravljajo ogrevanje, razsvetljavo, dvigala ali nadzor dostopa — so posebna kategorija. Naročnik ponavadi želi vedeti, ali je geslo takega sistema po prevzemu spremenjeno, kdo upravlja prijave, in ali je staro geslo iz prejšnjega projekta ponovno uporabljeno. To ni pretirana suma: sistemi upravljanja stavb so natanko tisti tip sistema, kjer napaka ne ostane v IT-oddelku, temveč postane vidna v sami stavbi.
Dostop do sistemov: upravljanje na daljavo in vzdrževalne povezave
Kadar instalacijska podjetja na daljavo spremljajo ali izvajajo vzdrževanje — prek VPN-povezave, orodja, podobnega teamviewerju, ali določenega IP-naslova, ki dobija dostop — naročnik ponavadi želi vedeti, kako je ta povezava zaščitena, ali se zatvori po uporabi, in kdo ima v vašem podjetju interno dostop do te povezave. To se neposredno dotika upravljanja dostopa v vaši lastni organizaciji: povezava, ki jo lahko uporablja vsakdo v ekipi brez dnevnika ali časovne omejitve, je natanko vrsta odgovora, na katerem vprašalnik o varnosti obstane.
Teme, ki jih zajema — od politike gesel do preklica dostopa ob odhodu zaposlenih — so jasno opisane v pregledu vsebin po situaciji, tako da vam ni treba iskati v celotni direktivi dela, ki se vas tiče.
Kaj lahko že sedaj pripravite
Čeprav še ni konkretne pogodbe, je koristno vedeti, kateri ključi, izkaznice in povezave so trenutno aktivne pri tekočih projektih in ali je ta evidenca posodobljena. To ni pravno delo temveč upravno delo in je ravno vrsta dokazila, ki ga lahko naročnik kasneje zahteva. Če ste negotovi, ali je posebna zahteva v osnutku pogodbe smiselna ali gre dlje, kot to opravičuje dolžnost skrbnosti, je to vprašanje za pravnika ali, če obstaja dvom o obaveznosti samega naročnika, za nadzorni organ — secria.eu pripravi podlagno dokumentacijo, vendar ne ocenjuje posameznih pogodb.
Želite li najprej videti, kako secria.eu podpira tovrstna vprašanja, od prve preverke do predlog za vprašalnik? Na strani, ki razlaga, od kje prihajajo informacije je razlaga delovanja platforme po korakih, in najpogostejša vprašanja o vlogi in obveznosti daje odgovore na podobne dvome drugih instalacijskih podjetij.
Če vas zanima, ali vaša lastna situacija spada v verigo in kaj to konkretno pomeni za pogodbe, ki jih podpisuete, je brezplačna NIS2-preverka logična prva postaja, prav tako kot banka znanja, ki je dostopna brez računa.