onko meidän kysyttävä samoja kyberturvallisuuskysymyksiä oMille omilta toimittajiltamme

Kyllä, koska artikla 21 kohta 2 velvoittaa siihen kirjaimellisesti

Kyllä, useimmissa tapauksissa se on välttämätöntä. NIS2-direktiivin artikla 21 kohta 2 luettelee kymmenen toimenpidettä, jotka yhteisön on toteutettava, ja sen kohta (d) käsittelee erityisesti toimitusketjun turvausta — mukaan lukien suhteen jokaiseen toimittajaan tai palvelun tarjoajaan. Jos asiakkaasi siis kysyy toimitusketjun turvauksesta, ei riitä, että näytät vain, mitä itse teet. Sinun on myös pystyttävä näyttämään, mitä vaaddit omilta alihankkijoiltasi ja kuinka sitä valvot.

Käytännössä tämä tarkoittaa yleensä porrastettua lähestymistapaa, ei asiakkaasi koko kyselylistan kopiointia. Tavallisesti sinä puolestasi pyydät: onko alihankkijalla perusturvatoimet kunnossa (käyttöoikeudet, varmuuskopiot, poikkeamien käsittely), onko sopimuksessa määräys ilmoitusvelvollisuudesta poikkeaman sattuessa, ja — kriittisten toimittajien osalta — onko näyttöä, kuten ISO 27001 -sertifikaatti tai oma ilmoitus. Mitä suuremmalla painolla alihankkija vaikuttaa palvelusi toimittamiseen asiakkaalle, sitä spesifisemmät vaatimukset voit asettaa. Tämä on sama kysymys, jonka asiakkaasi nyt sinulle esittää turvallisuusvaatimukset omille toimittajille — olet tässä ketjun keskellä, ei alussa.

Missä se on ohjausasiakirjassa ja standardissa

Itse velvoite on NIS2-direktiivin artiklan 21 kohdan 2 kohdassa (d), joka luettelee toimitusketjun turvallisuuden yhtenä kymmenestä pakollisesta toimenpiteestä. Hollannin käytäntöön tämä merkitsee Cyberbeveiligingswetia, NIS2:n transponointi, joka astuu voimaan 15. elokuuta 2026 — siitä päivästä lähtien velvoite koskee muodollisesti myös kansallisen lainsäädännön mukaisesti yhteisöjä, jotka kuuluvat lain soveltamisalaan. Joka voi osoittaa, että tämä on järjestelmällisesti järjestetty, viittaa usein ISO/IEC 27001:n liitteeseen A, jossa toimittajasuhteita ja toimitusketjun turvallisuutta käsitellään erillisinä hallintotoimenpiteinä. Sitä vastoin, kuuluuko yrityksesi itse NIS2-direktiivin piiriin yhteisönä, on erillinen kysymys, joka on erillään siitä, mitä asiakkaasi sopimuksellisesti sinulta vaatii; tämä ero käsitellään kohdassa kysymys siitä, kuuluuko yritys direktiivin soveltamisalaan.