kyselylomake kysyy, kuinka hallitsemme toimittajiemme riskejä

Ketjuturvallisuus on yksi kymmenestä pakollisesta toimenpiteestä

Tämä ei ole vain ylimääräinen kysymys: toimitusketjun turvallisuus mainitaan erillisenä osana direktiivin NIS2 artiklan 21 kohdan 2 säännöksissä, muiden yhdeksän toimenpiteen rinnalla, kuten riskianalyysi, poikkeamien käsittely ja pääsynvalvonta. Asiakas, joka tätä kysyy, tarkistaa, katsoo organisaatiosi myös taaksepäin: ei pelkästään omaa turvallisuuttaan, vaan myös niiden osapuolten turvallisuutta, joista olet riippuvainen. Tämä vastaa turvallisuusvaatimuksia, joita organisaatio asettaa omille toimittajilleen — sama periaate, yksi askel pidemmälle ketjussa.

Käytännössä kysytään yleensä kolmesta asiasta: onko sinulla politiikka tai prosessi toimittajien arvioimiseen kyberriskin perusteella, asetetko sopimusperustaisia vaatimuksia (ajattele ilmoitusvelvollisuutta poikkeamissa, vähimmäisturvallisuustasoja), ja valvotko sitä sopimuksen allekirjoittamisen jälkeen. Jos sinulla ei ole tätä prosessia, "ei" lyhyen selvityksen kanssa on erinomainen vastaus — parempi kuin "kyllä", jota et voi perustella. Jos sinulla on toimittajien arviointi mutta ei erillistä kyberlukkoa, nimeä se tarkasti näin: todiste on oltava yhteydessä siihen, mitä syötät. ISO 27001 -sertifikaatti Annex A:lla kattaa tämän aiheen yleensä, joten jos organisaatio on ISO 27001 -sertifioitu se on usein nopein todiste toimittaa.

Missä tämä tulee: artikla 21 luku 2 ja Liite A

Direktiivin NIS2 artiklan 21 kohdan 2 kymmenen toimenpidettä mainitsevat ketjuturvallisuuden erillisenä kohtana, erillään yleisestä riskianalyysistä. ISO/IEC 27001 kehittää tätä edelleen Annex A:n hallintotoimenpiteissä, jotka on erityisesti suunnattu toimittajasuhteisiin ja niihin asetettuihin vaatimuksiin. Tietoturvalaissa nämä velvoitteet pannaan täytäntöön Suomen oikeudessa, ja se tulee voimaan 15. elokuuta 2026 — toistaiseksi EU-direktiivi itse on lähde, ja asiakas kysyy käytännössä usein jo etukäteen.