meidän on osoitettava, että tarkastamme toimittajamme kybersecurity-vaatimuksista, kuinka teen sen

Toimitusketjun turvallisuus: mitä artiklan 21 kohdan 2 alakohdan d vaatimukset tarkoittavat

Direktiivin NIS2 artiklan 21 kohdan 2 alakohdan d mukaan toimitusketjun turvallisuus on yksi kymmenestä pakollisesta toimenpiteestä, mukaan lukien yrityksen ja sen suorien toimittajien välisten suhteiden turvallisuusnäkökulmat. Käytännössä tämä tarkoittaa: sinun on pystyttävä osoittamaan, että arvioit toimittajasuhteiden perustamisessa ja ylläpitämisessa, muodostaako kyseinen toimittaja riskin omalle palvelulleen. Kirjoitettu toimittajapolitiikka, jossa on vähintään kolme osaa, kattaa tämän yleensä: etukäteisen valintaperuste (mitä vaatimuksia asitat uusille toimittajille), määräaikainen testaus sopimuskaudella sekä eskalaatioväylä, jos toimittaja ilmoittaa tapahtumasta. Tämä on sama kysymys, jonka asiakkaasi esittää sinulle itsellesi ketjuriskeistä — täytät tässä itse asiassa omaa vastaustaasi, mutta yhden tason syvemmällä toimitusketjussa.

Mikä kelpaa todisteeksi, riippuu siitä, kuinka kypsä prosessisi on. Sopimusehto, jossa toimittaja sitoutuu tiettyihin turvallisuusvaatimuksiin, on lähtökohta mutta ei testi. Vahvempi on kysymyslista, jonka lähetät itse toimittajille ja joka on sidottu yksinkertaiseen riskikilpailuun (matala/keskitaso/korkea) sen perusteella, mitä toimittaja näkee tai koskettaa järjestelmistäsi. Jos sinulla ei ole sitä, rehellisimpänä vastauksena on, että sinun on vielä järjestettävä prosessi — et siihen, että täytät "kyllä" sopimusehdon perusteella, jolla ei ole merkitystä. Huomio: tämä on erillinen kysymys siitä, onko oma organisaatiosi direktiivin soveltamisala; vaikka et itse kuuluisi suoraan NIS2:n piiriin, asiakas voi siitä huolimatta vaatia tätä sinulta ketjuvelvoitteen kautta.

Mistä tämä tulee: direktiivi ja hollantilainen laki

Velvoite on Direktiivin (EU) 2022/2555 artiklan 21 kohdassa 2 alakohdassa d; Cyberbeveiligingswet ottaa tämän käyttöön Alankomaiden laissa ja sen odotetaan tulevan voimaan 15. elokuuta 2026. ISO/IEC 27001 Annex A sisältää vastaavan hallinnollisen toimenpiteen toimittajasuhteiden osalta, mikä selittää, miksi asiakkaat ISO-kyselylomakkeella usein esittävät saman kysymyksen kuin asiakkaat, jotka viittaavat NIS2:een.