Ett säkerhetsfrågeformulär för ett installationsföretag handlar nästan alltid om en huvudfråga: vem som har åtkomst till kundens byggnad och system, och hur denna åtkomst hanteras. Installationsföretag arbetar på plats, har ofta nycklar eller passerkort, och ansluter utrustning till byggstyrningssystem, klimatinstallationer eller larmsystem som ibland även hanteras på distans. Precis här ligger de frågor som återkommer ofta inom denna sektor.
Frågeformuläret kommer vanligtvis inte för att installationsföretaget själv omfattas av NIS2-direktivet, utan för att kunden gör det. Denna kund — ett sjukhus, ett energiföretag, en vattenmyndighet, en stor fastighetsförvaltare — är föremål för en skyldighet att bedöma sina leverantörer. Ett installationsföretag som har åtkomst till byggnader eller system hos sådan organisation påverkas därför genom leverantörskedjan, även utan att själv falla inom lagens målgrupp.
Varför denna sektor ofta får ett frågeformulär
Installationsföretag underhåller ofta just den infrastruktur som är kritisk för en kund: värme, ventilation, elektricitet, brandalarmsystem, åtkomstkontroll. Dessa system är i ökande grad kopplade till ett nätverk, och ibland är installationsföretaget den enda part som kan logga in på distans för att åtgärda fel. För kunden är detta en anledning att vilja veta hur denna åtkomst är skyddad. Huruvida ett specifikt företag omfattas av lagen eller endast påverkas genom leverantörskedjan är med några få frågor.
Åtkomst till byggnaden: vad efterfrågas
På den fysiska sidan handlar det vanligtvis om hur nycklar, passerkort och larmkoder utfärdas och återkallas. Återkommande frågor är: vem inom företaget har åtkomstmedel till kundplatser, hur snabbt ett passerkort blockeras när en montör slutar, och om det finns en överblick över vem som har åtkomst vart. Det är också vanligt att fråga om underentreprenörer får självständig åtkomst eller alltid arbetar under övervakning.
Åtkomst till system på plats: vad efterfrågas
På den digitala sidan fokuserar frågorna på hur utrustning och anslutningar på plats är säkrad. Möjliga frågor är om man loggar in med ett personligt konto eller ett delat lösenord, om flerfaktorsautentisering används vid fjärrhantering av ett byggstyrningssystem, och hur åtkomst återkallas när ett projekt är avslutat eller en anställd slutar. Även egen utrustning som ansluts på plats — en dators eller surfplatta från montören — är ofta föremål för frågor: hanteras denna utrustning av företaget, och finns det säkerhetsprogramvara installerad.
Underentreprenörer och tillfällig personal
Installationsarbete utförs ofta delvis av underentreprenörer eller inhyrd personal. Kunder frågar därför ibland hur installationsföretaget själv hanterar sin egen leverantörskedja: får en underentreprenör samma åtkomstmedel som egen personal, och finns det insyn i vem som faktiskt varit på plats en viss dag. Detta är i linje med den bredare principen att en skyldighet inte bara gäller den direkta leverantören utan också de parter som denna leverantör anlitar.
Vad du kan göra med dessa frågor
Frågorna i sig är ofta inte komplicerade, men svaret kräver något som är dokumenterat: en överblick över vem som har åtkomst, hur åtkomsten återkallas och vem som är ansvarig för det. Företag som ännu inte har detta nedskrivet märker att det mesta av tiden går åt till att anteckna vad som redan händer i praktiken. En överblick över de ämnen som återkommer i den här typen av frågelistor, utarbetade för varje situation, finns på sidan med ämnen per sektor. Den som vill veta hur informationen på secria.eu kommer till och vilka källor som används läser det på sidan om arbetssättet.
Det är bra att inse att en säkerhetsfrågelista inte är en juridisk förpliktelse i sig, utan ett instrument genom vilket en uppdragsgivare uppfyller sin egen aktsamhetsskyldiga. Vad en uppdragsgivare exakt får fråga och vad som inte är tillåtet skiljer sig åt beroende på situation och avtal; för den egna situationen är det något att diskutera med uppdragsgivaren eller, vid behov, en jurist. Vanliga frågor om den här typen av frågelistor, inklusive hur ofta ett företag kan förvänta sig dem, är samlade på sidan med vanliga frågor.
Den som vill se vilka åtgärder kring åtkomsthantering och fysisk säkerhet som ofta efterfrågas och hur de förhåller sig till den egna verksamheten kan se det gratis och utan konto via NIS2-kontrollen och kunskapsbanken på secria.eu.