kyselylomake kysyy toimitusketjumme riskeistä, mikä tarkoittaa sitä, että

Toimitusketjun riskit ovat omien toimittajienne turvallisuus

Toimitusketjun riskit koskevat toimittajia ja palvelun tarjoajia, joita sinä käytät, ja sitä, muodostavatko ne aukon asiakkaasi turvallisuudessa. Kysymys ei ole ilman perustetta: se on kirjaimellinen toimenpide NIS2-direktiivin 21 artiklan 2 kohdan d alakohdasta, joka käsittelee nimenomaisesti toimitusketjun turvallisuutta, mukaan lukien suhde toimittajiin. Asiakkaasi on kyettävä osoittamaan, että hän on kysynyt tästä omilta toimittajiltaan — siis sinulta. Siksi kysymys on kyselylomakkeessa.

Käytännössä kysytään kahta asiaa samalla kertaa. Ensiksi: näetkö itse kriittiset toimittajat (hosting, ohjelmistot, IT-hallinto) sisältävät riskit? Toiseksi: asetetko itse vaatimuksia näille toimittajille, sopimuksellisesti tai muulla tavalla? Tämä toinen osa päällekkäin kysymyksen kanssa siitä, pitääkö omien toimittajien täyttää turvallisuusvaatimukset — usein se on kirjaimellisesti sama kysymys eri muodossa, joten tarkista ensin, olisitko jo vastannut siihen. Jos sinulla ei ole muodollista toimittajapolitiikkaa, rehellinen "ei, ei vielä" on tarkempi vastaus kuin vastaus, joka lupaa enemmän kuin mitä on olemassa.

Jäljitettävissä NIS2:n 21 artiklan 2 kohdan d alakohtaan

Tämä kysymys seuraa suoraan Direktiivin (EU) 2022/2555 21 artiklan 2 kohdan kymmenestä toimenpiteestä, joissa toimitusketjun turvallisuus on erillinen osa (alakohta d) riskianalyysin ja poikkeamatilan käsittelyn rinnalla. Hollantilaisen transponoinnin Kyberturvallisuuslaissa, joka tulee voimaan 15. elokuuta 2026, tämä toimenpide koskee lain soveltamisalaan kuuluvia yhteisöjä. Jos työskentelet ISO/IEC 27001 -standardin kanssa, tunnistat saman vaatimuksen Liite A:ssa toimittajasuhteita koskevissa hallintotoimenpiteissä. Se, kuuluuko sinun yrityksesi itse myös NIS2:n tai kansallisen transponoinnin soveltamisalaan, riippuu siitä, kuuluuko yritys yhteisönä NIS2:n tai kansallisen transponoinnin soveltamisalaan — se määrittää, onko tämä sinulle velvoite vai vain kysymys, jonka asiakkaasi välittää sinulle.