Vad förändras i avtalet med din uppdragsgivare
En uppdragsgivare som själv omfattas av NIS2-skyddsplikt — ett sjukhus, ett energiföretag, ett stort logistikcentrum — måste kunna visa att risker i den egna leverantörskedjan är identifierade. Installationsföretag befinner sig ofta mitt i den kedjan, inte för att de själva är skyldiga enligt regelverket, utan för att de har fysisk och digital åtkomst till uppdragsgivarens byggnader och system. Det är exakt anledningen till att de avtalsvillkor du kommer att möta under tiden framöver fokuserar på åtkomst: vem får gå in, med vilka medel, och vad kan denna person åstadkomma därifrån.
Kärnan är enkel att förstå utan att läsa själva lagstiftningen: en uppdragsgivare får fråga dig hur du förhindrar att en nyckel, ett kort eller en underhållsanslutning blir en ingång för någon annan. Den exakta formuleringen skiljer sig åt mellan uppdragsgivare, men den underliggande frågan är i stort sett densamma för nästan alla.
Vad en skyldig uppdragsgivare frågar exakt
NIS2-direktivet förplikt kritiska och viktiga enheter att bedöma risker hos leverantörer — det är kärnan i skyddsplikten enligt artikel 21. Denna förpliktelse översätts i praktiken till tre typer av krav som förekommer hos installationsföretag: krav på personer (vem får representera dig på plats), krav på medel (hur nycklar, kort och arbetssedlar hanteras) och krav på anslutningar (hur man loggar in på distans på byggnadssystem). Inget av dessa krav står bokstavligen så i direktivet; det är praktiska tolkningar som uppdragsgivare själva väljer för att uppfylla sin egen skyddsplikt.
Om du inte är säker på om din uppdragsgivare själv är skyld härtill kan det kontrolleras via en kort kontroll som visar vem i kedjan som omfattas. Det hjälper till att bättre placera samtalet med uppdragsgivaren: är detta en förpliktelse som kommer från dem, eller ett eget val från deras inköpsavdelning.
Åtkomst till byggnader: nycklar, kort och byggnadskontrollsystem
Vid fysisk åtkomst handlar det ofta om tre frågor som återkommer i avtal: upprätthålls en nyckel- eller kortregistrering per anställd, återkallas denna åtkomst så snart någon lämnar projektet eller företaget, och finns det en fast procedur för att registrera underentreprenörer som kommer på plats för din räkning. För installationsföretag som arbetar med växlande montörer och underentreprenörer är detta ofta den del där mest anpassning behövs — inte för att det är tekniskt komplicerat, utan för att det helt enkelt inte hade dokumenterats tidigare.
Byggnadskontrollsystem — systemen som styr värme, belysning, hissar eller åtkomstkontroll — utgör en separat kategori. En uppdragsgivare vill ofta veta om lösenordet för ett sådant system ändrades efter leverans, vem som hanterar inloggningsuppgifterna, och om ett gammalt lösenord från ett tidigare projekt återanvändes. Det är inte överdriven misstro: byggnadskontrollsystem är precis den typ av system där ett fel inte stannar i en IT-avdelning utan blir synligt i själva byggnaden.
Åtkomst till system: fjärrhantering och underhållsanslutningar
Där installationsföretag övervakar på distans eller utför underhållsarbete — via en VPN-anslutning, ett teamviewer-liknande verktyg eller en fast IP-adress som får åtkomst — vill uppdragsgivaren vanligtvis veta hur denna anslutning är säkrad, om den stängs efter användning, och vem inom ditt företag som har åtkomst till denna anslutning. Detta rör direkt åtkomsthantering inom din egen organisation: en anslutning som vem som helst i teamet kan använda utan logg eller tidsgräns är exakt den typ av svar där en säkerhetsenkät fastnar.
De ämnen som är relevanta här — från lösenordsprinciper till återkallelse av åtkomst när personal lämnar — beskrivs på ett överblickbart sätt i översikten över ämnen per situation, så att du inte behöver söka igenom hela direktivet efter den del som gäller för dig.
Vad du redan kan förbereda
Även om det ännu inte finns ett konkret avtal, är det värdefullt att veta vilka nycklar, märken och anslutningar som för närvarande är aktiva i pågående projekt, och om denna registrering är uppdaterad. Det är ingen juridisk arbete utan administrativ arbete, och det är exakt den typ av bevis som en uppdragsgivare senare kan begära. Om du är osäker på om ett specifikt krav i ett utkast till avtal är rimligt eller går längre än vad ansvarsskyldigheten rättfärdigar, är det en fråga för en jurist eller, om du är osäker på uppdragsgivarens egen skyldighet, för tillsynsmyndigheten — secria.eu förbereder den bakomliggande dokumentationen men utvärderar inte enskilda avtal.
Vill du först se hur secria.eu stöder denna typ av frågor, från den första kontrollen till mallarna för en enkät? På sidan som förklarar var informationen kommer från beskrivs plattformens struktur steg för steg, och de vanligaste frågorna om roll och skyldighet svarar på liknande osäkerhet från andra installationsföretag.
Om du är nyfiken på om din egen situation ligger i leverantörskedjan och vad det konkret betyder för de avtal du undertecknar, är den kostnadsfria NIS2-kontrollen en logisk första hållplats, liksom kunskapsbanken som är tillgänglig utan konto.