asiakas kysyy, kuinka hallitsemme ulkoisten toimittajien pääsyä

Ulkoisten toimittajien pääsy on osa artiklaa 21 kohta 2

Tämä kysymys koskee sitä, kuinka hallitsette kolmansien osapuolten pääsyä järjestelmiin ja tietoihin, ja se koskettaa kahta NIS2-direktiivin 21 artiklan 2 kohdan kymmenen toimenpiteestä samanaikaisesti: kohta (i), pääsynvalvontapolitiikka, ja kohta (d), toimitusketjun turvallisuus toimittajien suhteen. Asiakas haluaa siis tietää paitsi sen, onko ulkoisilla osapuolilla pääsy, myös sen, miten pääsy on rajattu, kuka sen myöntää ja peruuttaa, ja onko prosessi dokumentoitu. Vastaus kuten "toimittajat saavat pääsyn vain hyväksynnän jälkeen" on liian epämääräinen ilman selvitystä siitä, miten hyväksyntä etenee ja kuinka usein sitä tarkistetaan.

Mitä konkreettisesti tarvitsette: kuvaus ulkoisten tilien valtuutusprosessista, mieluiten maininnan kanssa vähimmän oikeuksien periaatteesta (pääsy rajoitettu siihen, mitä tarvitaan) ja aikavälistä, jolla pääsy tarkistetaan tai peruutetaan tehtävän päättyessä. Jos prosessi puuttuu, "ei" on rehellinen vastaus tässä — vihjaileva "kyllä" ilman taustalla olevaa asiakirjaa aiheuttaa asiakkaalle tarkastuksessa enemmän vahinkoa kuin ei-vastaus yhdessä selityksen kanssa siitä, että politiikka on kehitteillä. Tämä aihe koskettaa pääsynvalvonnan politiikkaan ja liiketoimintavälineiden hallintaan, jossa käsitellään laajempaa valtuutusrakennetta, ja kysymystä siitä, että yritys asettaa vaatimuksia omille toimittajilleen, koska ulkoisen pääsyn hallinta on käytännössä usein osa samaa keturiapolitiikkaa.

Missä tämä on: artiklan 21 kohta 2, kohdat (d) ja (i)

Direktiivin (EU) 2022/2555 21 artiklan 2 kohdassa mainitaan kohdassa (i) "pääsynvalvontapolitiikka" yhtenä kymmenestä pakollisesta toimenpiteestä, ja kohdassa (d) toimitusketjun turvallisuus mukaan lukien suhteet toimittajiin — ulkoinen pääsy kuuluu molempiin. ISO/IEC 27001 Liitteessä A vastaavat hallintakontrollit pääsynhallinnalle ja toimittajasuhteiden hallinnalle on kehitetty hallintatasolla, mikä selittää, miksi asiakas usein kysyy tietystä Liite A -hallintanumerosta sen sijaan, että kyselisi direktiivin tekstiä itsessään. Yrityksille, joihin sovelletaan Alankomaiden täytäntöönpanoa, tämä velvoite tulee takaisin Kyberturvallisuuslaissa, joka astuu voimaan 15. elokuuta 2026.