asiakkaamme kuuluu NIS2-säännöksiin ja nyt asettaa meille vaatimuksia, mitä se tarkoittaa

Asiakkaasi välittää sinulle artiklan 21 kymmenen toimenpidettä

Tämä tarkoittaa, että tulet osaksi toimitus­ketjun­lähestymis­tapaa, jonka NIS2:n artiklan 21 luku 2 määrää. Entiteetin, joka kuuluu NIS2:n piiriin, on itse toteutettava "toimitus­ketjun tietoturvatoimia" — mainitun luvun kohta (d) — ja asiakkaasi tekee niin välittämällä itselleen asettamansa vaatimukset myös sinulle. Et siis muutu itse NIS2:n velvoitteeksi tämän kyselylistan perusteella; saat asiakkaasi velvoitteen vaikutukset omaksesi. Kysymys siitä, kuulutko itse richtliivin piiriin, on erillinen asia — jonka vastaat erikseen, esimerkiksi selostuksen avulla tai kuuluuko yritys itse NIS2-direktiivin soveltamisalaan.

Käytännössä kyselylista kääntää artiklan 21 luvun 2 erillisiksi kysymyksiksi: onko sinulla riskianalyysi ja tietoturva­käytäntö, miten käsittelet poikkeamia, miten varmuuskopiot ja palautus toimivat, miten hallitset pääsyä ja käytät monivaiheista todennusta, ja — määräys, jota asiakkaasi nyt sinuun soveltaa — asetko sinäkin vaatimuksia omille toimittajillesi. Jokaisen näistä kohdista osalta on olemassa erillinen selitys tietokannassa, kuten riskianalyysi­ ja tietoturva­käytäntö tietojärjestelmille ja tietoturvavaatimukset omille toimittajille. Jos sinulla on jo ISO 27001 -sertifikaatti, se kattaa suuren osan näistä kysymyksistä kerralla.

Missä tämä esiintyy ohjeistuksessa: artikla 21 luku 2

Direktiivin (EU) 2022/2555 artiklan 21 luku 2 luettelee kymmenen toimenpidettä kirjaimellisesti: riskianalyysi­käytännöstä (a) tuotteiden ja palvelujen hankinnan turvallisuuteen ja toimittaja­suhteisiin (d), pääsy­käyttöoikeuksien hallintaan ja monivaiheiseen todennukseen (j). Alankomaiden Kybertietoturvalaki panee tämän direktiivin täytäntöön kansallisesti ja tulee voimaan 15. elokuuta 2026; siihen asti asiakkaasi voi jo siirtää omaa valmistautumistaan sinulle, vaikka laki ei vielä olisi voimassa. Joka tunnistaa kymmenen toimenpidettä erillisinä ISO/IEC 27001:n Annex A -ohjauksina, voi ottaa monia vastauksia suoraan olemassa olevasta ISMS:stä.