kyselylomake kysyy, kuinka kartoitamme riskejä toimitusketjussamme

Toimitusketjun riskit koskevat kahta eri kysymystä

Toimitusketjun riskeistä esitetty kysymys käytännössä koskee kahta asiaa samanaikaisesti, ja kyselylomake ei usein tee tätä eroa eksplisiittisesti. Ensinnäkin: onko organisaatiolla näkemystä riskeistä, jotka tulevat sen omien toimittajien ja palveluntarjoajien kautta — ajatella esimerkiksi IT-toimittajaa, jolla on pääsy verkkoon, tai kolmannen osapuolen ohjelmistokomponenttia. Toiseksi: asettaako organisaatio vaatimuksia näille toimittajille ja valvoo se niitä. Toinen asia osittain päällekkäinen kysymyksen kanssa onko organisaatio asettanut turvatoimintavaatimuksia omille toimittajilleen — usein se on kirjaimellisesti sama kysymys, vain muotoiltu uudella tavalla listassa muualla.

Kuka on ISO/IEC 27001 -sertifioitu, voi yleensä viitata hallintamenettelyihin toimittajasuhteiden osalta liitteestä A — ne on erityisesti tätä osaa varten, ja tarkastaja on jo arvioinut ne. Ilman sertifikaattia vastaus ei ole automaattisesti "ei": olennaista on, ovatko riskinarviointi olemassa, johon toimittajat on otettu huomioon huomioitavaksi näkökohdaksi, vaikka se olisikin epävirallinen. Se sopii yhteen laajemman kysymyksen kanssa riskianalyysin politiikastajossa toimitusketjun riskit ovat tyypillisesti yksi kappale, eivät erillinen asiakirja. Jos mitään ei ole dokumentoitu, "ei" on rehellinen vastaus — "kyllä"-vastauksen esittäminen ilman taustalla olevaa riskianalyysia, sopimuksellista lauseketta tai toimittajaluetteloa, ei kestä, jos asiakas pyytää todistusasiakirjaa.

Mistä tämä tulee: NIS2-direktiivin 21 artiklan 2 kohta

Toimitusketjun turvallisuus mainitaan erillisenä osana NIS2-direktiivin 21 artiklan 2 kohdassa, kymmenen siellä luetellun toimenpiteen joukossa. Niille, joihin direktiivi itse asiassa soveltuu — tai myöhemmin Kyberturvallisuuslakiin, Alankomaiden täytäntöönpanoon, joka astuu voimaan 15. elokuuta 2026 — tämä ei ole vapaaehtoinen osa vaan yksi pakollisista toimenpiteistä. Niille, joihin se ei sovellu, mutta jotka silti saavat kysymyksen asiakkaalta, se on yleensä saman vaatimuksen uudelleenlähetys: asiakkaan on itse pystyttävä osoittamaan, että se hallitsee ketjuaan, ja siksi se kysyy siitä eteenpäin.