asiakas kysyy, kuinka olemme suojattuja toimittajien kautta tulevien hyökkäysten vastaan

Tämä kysymys koskee artiklan 21 kohdan 2 alakohdan d osalta, ei koko turvallisuuspolitiikkaanne

Tämä kysymys koskee erityisesti toimitusketjun turvallisuutta: mitä teette estääksenne, ettei toimittajienne heikkous mahdollistaisi hyökkäystä teitä vastaan. Se on yksi kymmenestä toimenpiteestä artiklan 21 kohdan 2 NIS2-direktiivistä, rinnalla muun muassa riskianalyysi, poikkeamien käsittely ja salaus. Kysyjä siis ei halua tietää, kuinka omia järjestelmiänne suojataan — se on eri kysymys luettelossa — vaan kuinka hallitsette riskejä, jotka tulevat kolmannen osapuolen kautta.

Konkreettista näyttöä tälle muodostuu yleensä kolmesta dokumentista: toimittajien arvioinnista ennen sopimuksen tekemistä, turvallisuusvaatimuksista, jotka on kirjattu sopimukseen (ajatelkaa tietojenkäsittelyä koskevia sopimuksia tai erillistä turvallisuuslisää), ja luettelosta siitä, millä toimittajilla on pääsy mihin järjestelmiin tai tietoihin. Jos teillä sitä ei ole, niin "ei" on rehellinen vastaus — toimittajalistalla ilman taustalla olevia vaatimuksia ei ole hallinnon näyttöä. Jos haluatte katsoa syvemmälle siihen, mitä asiakas tarkalleen tällä kysymyksellä tarkoittaa, niin auttaa tarkastaa, onko yritys asettaa turvallisuusvaatimuksia omille toimittajilleen erillisesti laadittu ketjutiedostoon, erillään siitä, oletko itse direktiivin alainen.

Jos olette ISO 27001 -sertifioituja, vastaus on usein jo valmiina: liitteessä A on toimittajasuhteiden hallintaa koskevia erityisiä toimenpiteitä (A.5.19–A.5.22 vuoden 2022 versiossa), ja auditoija on sen jo tarkistanut. Ilman sertifikaattia vastaus ei ole automaattisesti "ei" — kyse on siitä, mitä teette tosiasiallisesti, ei leimasta. Epäillessä tarkistakaa, onko yritys ISO 27001 -sertifioitu jo kirjattu tiedostoon, se säästää tutkimustyötä tässä kysymyksessä.

Missä tämä on peräisin: direktiivin 2022/2555 artiklan 21 kohdan 2 alakohta d

Direktiivin (EU) 2022/2555 artiklan 21 kohdan 2 alakohta d mainitsee nimenomaisesti "toimitusketjun turvallisuuden" pakollisena osana riskinhallinasta, mukaan lukien suhde yksittäisiin toimittajiin. Kyberturvallisuuslaki ottaa tämän velvoitteen omakseen heti kun se tulee voimaan; siihen asti kysymys voi kuitenkin esiintyä, koska asiakas itse on direktiivin alainen ja johtaa tämän ketjussa, vaikka te itse ette ole NIS2-yksikkö.