Asettaako yritys turvallisuusvaatimuksia omille toimittajilleen?

Toimitusketju on yksi kymmenestä toimenpiteestä

Kyllä, useimmissa tapauksissa on relevanttia vastata viittaamalla konkreettiseen toimittajapolitiikkaan, ei yleiseen vakuutukseen. Kysymys tulee suoraan NIS2-direktiivin 21 artiklan 2 kohdasta, jossa "toimitusketjun turvallisuus" on erillinen kohta yhdeksän muun toimenpiteen rinnalla. Asiakas ei siis halua tietää, ovatko te itse hyvin suojattu, vaan välitättekö te tätä vaatimusta niille osapuolille, joista olette riippuvaisia: isäntäpalveluntarjoajat, ohjelmistotoimittajat, IT-palveluntarjoajat.

Konkreettisesti kysymykset ovat: sisältyvätkö turvallisuusvaatimukset kriittisten toimittajien sopimuksiin, testataan toimittajoita tai uusia palveluntarjoajia turvallisuustasolla hankinnan tai käyttöönoton yhteydessä, ja onko näkyvyys riippuvuuksista ketjun eteenpäin. Yrityksellä, jolla on oma tietoturvapolitiikka — katso myös kysymystä riskianalyysiksi ja tietojärjestelmien turvaamisen politiikaksi — on usein jo kehys, jossa toimittajien arviointi on kiinteä osa. Jos sellaista puuttuu, "ei" tai "osittain" on rehellinen vastaus; lupaus siitä, mitä pitäisi tapahtua, ei kuulu meille.

Missä tämä on NIS2:n 21 artiklan 2 kohdassa

Direktiivin (EU) 2022/2555 21 artiklan 2 kohta mainitsee toimitusketjun turvallisuuden yhtenä kymmenestä toimenpiteestä, jonka entiteetin on toteutettava, mukaan lukien huomio entiteetin ja sen suorien toimittajien tai palveluntarjoajien välisestä suhteesta. Tämä kohta liittyy usein muihin toimenpiteisiin samalta listalta: toimittaja, joka ei ilmoita haavoittuvuuksista, vaikuttaa myös prosessiin haavoittuvuuksien havaitsemiseksi ja korjaamiseksija toimittajan poikkeama on käsiteltävä samaa reittiä kuin yrityksen oma poikkeama. Se, onko tämä kysymys ollenkaan pakollinen, riippuu siitä, kuuluuko yritys itse direktiivin soveltamisalaan — se on erillinen kysymys omalla vastauksellaan.