En leverantörsrapport för installationsbranschen är en överblick över de parter ni arbetar med — underentreprenörer, frilansare, mjukvaruleverantörer för er schemaläggning eller byggnadsstyrningssystem — med en riskbedömning för respektive part. För installationsföretag ligger fokus ofta inte bara på digital åtkomst utan också på fysisk åtkomst: vem får nyckel, åtkomstkort eller inloggning i kundens styrningssystem.
Det gör installationsbranschen till ett särskilt fall. Medan ett mjukvareföretag främst tittar på vem som kan nå källkoden tittar ett installationsföretag på vem som står i kundens byggnad, vilken kabelarbete som utförs och vilka uppgifter om byggnaden — ritningar, alarmkoder, åtkomstloggar — som skickas till en underentreprenör. En leverantörsrapport förening dessa två världar, fysisk och digital, i en gemensam överblick.
Varför detta är relevant även utan egen skyldighet
Installationsföretag faller vanligtvis inte under säkerhetskravet i cyberlagstiftningen. Men beställaren som är skyldig — ett sjukhus, ett energiföretag, en kommun — måste bedöma sin egen kedja, vilket innebär att han också tittar på vem ni använder. En underentreprenör med en ohanterad bärbar dator som loggar in i ett sjukhus styrningssystem är en risk för beställaren, även om kontraktet formellt är ingånget med er. En leverantörsrapport visar att ni känner till och hanterar denna vidarebefordringskedja istället för att lämna frågan obesvarad när den kommer. Mer om vad beställaren exakt får fråga läser ni i sammanfattningen av ämnen per sektor.
Vad som konkret ska ingå i rapporten
En praktisk leverantörsrapport börjar med en lista: vem arbetar för er, med vilken åtkomst och hur varaktig är relationen. För installationsföretag är det vanligtvis tre kategorier. Underentreprenörer och frilansare som arbetar på plats och får fysisk åtkomst till byggnader, nyckelskåp eller serverrum. Mjukvaruleverantörer av schemaläggnings-, fakturerings- eller byggnadsstyrningssystem som följer med på distans eller medverkar. Och leverantörer av material eller utrustning som ibland behöver egen inloggning, till exempel för fjärrregistrering av garanti.
För varje part är frågan vilken rimlig kontroll som är lämplig: en förklaring om att lösenord inte delas mellan anställda, en överenskommelse om vad som händer med åtkomstkoder när en arbetsuppgift är klar, eller helt enkelt en kontaktperson ni kan nå om något går fel. Inte varje leverantör kräver samma djup — en skruvleverantör kräver något annat än en underentreprenör som loggar in med ert konto i ett sjukhus styrningssystem.
Underentreprenörer och åtkomst: punkten där det ofta går fel
I installationsbranschen arbettas mycket med växlande underentreprenörer, ibland för en enskild arbetsuppgift, ibland strukturerat. Det gör åtkomsthantering svårare än i ett företag med ett fast team. En praktisk utgångspunkt är en enkel fråga per underentreprenör: får denna person eget åtkomstkort eller nyckel, eller arbetar man med en delad kod? Dras åtkomsten in så fort arbetsuppgiften är klar, eller förblir den aktiv tills någon kommer ihåg att blockera den? Och vem inom er eget företag är ansvarig för denna återkallelse?
Dessa frågor verkar organisatoriska, inte tekniska, men de är precis vad en leverantörsrapport handlar om: inte om brandväggar utan om vem som kommer in var och varför. För bredare åtgärder kring åtkomst inom er eget företag finns separat fördjupning; den här artikeln handlar specifikt om parter utanför er organisation som ni själva anlitar.
Hur ni börjar utan att göra det till ett årslångt projekt
En leverantörspolicy behöver inte vara fullständig från början. En praktisk ordning är: börja med de parter som har tillgång till de mest känsliga miljöerna — byggnadsförvaltningssystem hos kunder från vitala sektorer, eller programvara som övervakar på distans. Dokumentera per part vad ni vet, vad ni behöver ta reda på vidare och vem som ansvarar för det. Utöka sedan denna översikt till resten av försörjningskedjan.
Huruvida och i vilken omfattning detta är relevant för ert företag beror på de sektorer där era kunder är verksamma och på arten av er egen tjänsteverksamhet. En kort kontroll visar var ert företag står i kedjan, och kunskapsbanken på secria.eu visar per ämne vilken källhänvisning i den officiella texten som motsvarar det. Hur vi upprätthåller dessa källor förklaras på sidan om vår arbetsmetod.
Vad denna artikel inte ersätter
En leverantörspolicy är ett organisatoriskt dokument, inte juridisk rådgivning om era specifika kontrakt eller ansvar gentemot underentreprenörer. För frågor om detta är en jurist eller branschorganisationen rätt kontakt. Vanliga frågor om lagens tillämpningsområde och leverantörernas roll är samlade på sidan med vanliga frågor.
Vill ni veta var ert eget företag står och vilka leverantörer i er kedja som först förtjänar uppmärksamhet? Snabbkontrollen är kostnadsfri och ger på ett par minuter en första indikation, utan att ni behöver ett konto.