asiakas haluaa, että allekirjoitamme turvallisuusvaatimuksen, saako se tehdä vain niin

Allekirjoittaminen saa olla, mutta lue sen jälkeen, mitä siinä lukee

Kyllä, asiakas saa sitä pyytää — turvallisuusselostus ei ole lakisääteinen velvoite vaan sopimukseen perustuva vaatimus, jonka asiakas saa vapaasti asettaa. Kysymys ei ole siitä, voiko hän sitä pyytää, vaan siitä, kattaako selostus sen, mitä te todella teette. Allekirjoitus väitteen "noudatamme NIS2-direktiivin 21 artiklan 2 kappaleen kymmenen toimenpidettä" tai "noudatamme ISO 27001 -standardia" alla on sopimukseen perustuva sitoumus, ei vain merkintä kyselylomakkeessa. Jos riita-asia ilmaantuu — asiakkaalle sattuva poikkeama, joka jäljittyy teille — kyseinen selostus on ensimmäinen asiakirja, johon tartutaan.

Tutki siis ensin muoto. Vaatiko selostus kyllä/ei-vastausta jokaisesta toimenpiteestä vai onko se yksi tyhjä väite "noudatamme NIS2-vaatimuksia"? Ensimmäisen voit perustella kohta kohdalta; toinen on usein laajempi kuin mitä voit todistaa, erityisesti jos et itse kuulu direktiivin piiriin vaan olet sellaisen yksikön toimittaja, joka kuuluu — tai kuuluuko yritys itse NIS2-direktiivin soveltamisalaan on ensimmäinen kysymys, johon vastaat itsellesi. Älä koskaan allekirjoita väitettä toimenpiteestä, jota et pysty osoittamaan, esimerkiksi onko olemassa prosessi haavoittuvuuksien havaitsemiseksi — jos sinulla sellaista ei ole, kirjoita se muistiinpanoihin tai pyydä tarkennettua versiota.

Mistä vastuu lähtee

Selostus ei saa voimansa Kyberturvallisuuslaista — se velvoittaa vain nimetyt yksiköt itsensä, ei suoraan niiden toimittajia — vaan siitä sopimuksesta, jonka allekirjoitat. NIS2 toimii 21 artiklan 2 kappaleen kautta, joka velvoittaa yksiköt hallitsemaan toimitusketjun riskejä; se on syy siihen, miksi kyseinen yksikkö tätä sinulta kysyy, ei syy siihen, miksi sinä olet siihen sidottu. Mitä lupaat, lukee siis selostuksen omassa tekstissä, ei direktiivissä.