asiakkaani lähettää laajan NIS2-kyselylomakkeen, vaikka sitä ei aiemmin ollut, mitä minun pitää tehdä

Asiakkaasi siirtää ketjuvelvoitteensa eteenpäin

Tämä tarkoittaa yleensä sitä, että asiakkaasi itse kuuluu kyberturvallisuuslain soveltamisalaan, ja että hän toimittajana tai tärkeänä yksikkönä on velvollinen arvioimaan omien toimittajiensa turvallisuutta. Tämä velvoite tulee NIS2-direktiivin 21 artiklan 2 kohdan kymmenestä toimenpiteestä, ja yksi niistä koskee erityisesti ketjun turvallisuutta: organisaation on tiedettävä, kuinka turvallisia sen toimittajat ovat, ja sen on pystyttävä osoittamaan tämä. Asiakkaasi ei siis esitä kysymystä vain niin, vaan hän on siihen itse velvoitettu, ja olet tuolloin osa hänen "ketjuaan". Siksi kysely nyt tulee, vaikka olit toimittanut jo vuosia ilman, että tätä koskaan kysyttiin: velvoite on hänelle uusi, eivät suhteesi.

Mitä voit odottaa, on yhdistelmä kysymyksiä, jotka kuuluvat aiemmin pääsynhallintaan ja yritysvarojen hallintaan kysymyksiä turvallisuuspoikkeamien käsittelymenettelystä ja kysymyksiä häiriöstä toipumiskyvystä. Jos sinulla ei ole ISO 27001 -sertifikaattia, se sinänsä ei yleensä ole ongelma — direktiivi ei vaadi, että jokainen toimittaja on sertifioitu, se vaatii, että asiakas tietää miten sinulla on asiansa. Kuvaus omista toimenpiteistäsi, joihin liittyvin todisteaineistoin, on tällöin kelvollinen vastaus. Missä sinulla ei ole mitään, vastaat, että mitään ei ole; lista, jossa pelkästään "kyllä" ilman taustalla olevaa asiakirjaa aiheuttaa asiakkaasi myöhemmässä auditissa enemmän riskiä kuin rehellinen "ei, ei vielä".

Miksi tämä nyt sinulle tulee: 21 artiklan 2 kohta

Velvoite arvioida toimittajia on direktiivin (EU) 2022/2555 21 artiklan 2 kohdassa, ja se sovelletaan Suomen yksiköihin kyberturvallisuuslain nojalla, joka tulee voimaan 15 päivänä elokuuta 2026. Voit yleensä tarkistaa, kuuluuko asiakkaasi itse tuon lain soveltamisalaan ja on siihen velvoitettu, katsomalla hänen yrityksensä kokoa ja toimialaa — asia, joka on myös tärkeä tietää kuuluuko sinä itse yksikkönä direktiivin soveltamisalaan.