kyselylomake kysyy, kuinka valvomme toimittajiemme turvallisuutta

Toimitusketjun turvallisuus: asiakkaasi kysyy edelleen omista toimittajistasi

Tämä kysymys koskee NIS2-direktiivin 21 artiklan 2 kappaleen d kohtaa: toimitusketjun turvallisuus, mukaan lukien suhde jokaiseen suoraan toimittajaan tai palveluntarjoajaan. Asiakkaasi haluaa siis tietää paitsi sitä, kuinka turvallinen itse olet, myös sitä, kuinka pakkotat sitä alihankkijoillesi. Käytännössä kysytään yleensä, sisällytkö turvallisuusvaatimuksia sopimuksiin, arvioidaanko toimittajat etukäteen ja valvotaanko jaksottain, että ne noudattavat vaatimuksia.

Jos et ole vielä järjestänyt tätä prosessia muodollisesti, rehellisesti vastattuna olet organisoinut sen epämuodollisesti — esimerkiksi sopimuksellisten lausekkeiden kautta ilman strukturoitua arviointia — tai et ole organisoinut sitä ollenkaan. Vastaaminen "kyllä" siksi että se kuulostaa järkevältä, ei auta: jos asiakkaasi pyytää mallisopimusesittelyä tai toimittajaluetteloa riskipisteillä, sen tulee sitten olla olemassa. Sama kysymys tulee usein jälleen hieman eri muodossa, nimittäin yritys asettaa turvallisuusvaatimuksia omille toimittajilleen — se on lähinnä sama vaatimus, mutta irrotettuna sopimustarinasta. On siis järkevää muodostaa yksi vastaus, jonka voit käyttää uudelleen useilla listoilla.

Mistä tämä tulee: 21 artiklan 2 kappale ja liite A.5.19-21

Oikeusperusta on NIS2-direktiivin 21 artiklan 2 kappaleen d kohta, yksi kymmenestä pakollisesta toimenpiteestä, jotka mainitaan siellä. Hollantilaiseen käytäntöön tämä palautuu kybertietoturvallisuuslakiin, NIS2:n siirtämiseen, joka tulee voimaan 15. elokuuta 2026 — asiakkaasi kysymys siis usein ennakoi sitä, mikä sinulle tulee pakolliseksi vasta myöhemmin, ellei sinä jo kuulu direktiivin piiriin NIS2:n mukaisen yksikön määritelmän kautta. Joka käyttää ISO/IEC 27001 -standardia, tunnistaa saman vaatimuksen liitteestä A, hallintakeinoista A.5.19–A.5.21 toimittajasuhteista ja niihin sisältyneistä turvallisuusvaatimuksista. Molemmat lähteet kysyvät pohjimmiltaan samaa: ei vain tietää, ketkä toimittajasi ovat, vaan osoitettavasti valvoa heidän turvallisuustasoaan.