kyselylomakkeessa kysytään, kuinka valvomme omien toimittajiemme kyberturvallisuutta

Toimitusketjun turvallisuus: mitä asiakas haluaa tietää

Tämä kysymys koskee NIS2-direktiivin 21 artiklan 2 kappaleen d alakohtaa: toimitusketjun suojausta, mukaan lukien suhde jokaiseen yksittäiseen toimittajaan. Asiakas ei siis halua tietää, oletko sinä itse turvallinen, vaan oletko sinä se myös omilta toimittajiltasi vaadi ja valvot. Käytännössä kyselylomake etsii yleensä kolmea asiaa: oletko sisällyttänyt turvallisuusvaatimukset toimittajien kanssa tehtäviin sopimuksiin, arvioidaanko toimittajia ennen niiden käyttöönottoa ja arvioidaanko heidät uudelleen säännöllisesti. Vastaus kuten "luotamme toimittajihimme" ei ole todiste tähän kenttään — prosessin on oltava takana.

Jos sinulla on kyseinen prosessi, todiste on yleensä toimittajapolitiikka tai lauseke vakiosopimuspohjassa, mahdollisesti täydennettynä suoritettujen arvioiden yleiskatsauksella. Jos sinulla ei ole sitä, "ei" on tässä rehellinen vastaus — täyttäminen oletuksen perusteella ei tuota "kyllä"-vastausta, koska dossierin takana ei ole lähdelinkkiä. Tämä aihe liittyy muuten toiseen kenttään samassa kyselylomakkeessa: tai yritys asettaa turvallisuusvaatimuksia omille toimittajilleen on usein erillinen kysymys, mutta todiste päällekkäin sen kanssa, mitä tässä pyydetään. Myös asianmukaista on, ovatko omat riskianalyysinne sisällyttävät toimittajat erilliseksi riskikategoriaksi; se on linjassa riskianalyysin ja tietoturvapolitiikan kanssa joka muualla luettelossa kysytään.

Perusta: 21 artiklan 2 kappaleen ja liitteen A

Velvoite johtuu Direktiivin (EU) 2022/2555 21 artiklan 2 kappaleen d alakohdasta, joka mainitsee toimitusketjun turvallisuuden yhtenä kymmenestä pakollisesta toimenpiteestä. ISO/IEC 27001 kehittää tätä eteenpäin liitteessä A toimittajasuhteisiin liittyvien hallintotoimenpiteiden osalta: siellä tehdään ero suhteen alussa asetetuista vaatimuksista ja säännöllisestä seurannasta. Hollantilaisten yritysten kohdalla sama velvoite näkyy Cyberbeveiligingswetissa, joka tulee voimaan 15. elokuuta 2026 NIS2:n osaksi. Se, sovelletaanko tätä velvoitetta yritykseeseesi, riippuu siitä, kuuluuko se direktiivin soveltamisalaan; tämä on eri kysymys kuin mitä tässä kysytään, ja se on selitetty erikseen osiossa ovatko yritys itse NIS2:n soveltamisalaan.