Lyhyt vastaus
Osa ICT-palvelun tarjonnasta on nimetty nimenomaisesti NIS2:n sektoriluetteloon ja voi näin ollen olla itse kriittinen tai tärkeä. Ajattele hallittuja palvelujen tarjoajia ja hallittuja kyberturvallisuuspalvelun tarjoajia, pilvipalvelun tarjoajia ja tietokeskuksia. Mutta suurin osa ICT-palvelun tarjoajista — paikallinen verkkonhallinnon hoitaja, osapuoli, joka hallinnoi palvelimia etäältä, liiketoimintasovelluksen toimittaja — ei itse kuulu sektoriluetteloon. He kuitenkin usein joutuvat vaikutuksiin, ja niin siksi, että heidän asiakkaansa on siihen laillisesti velvollinen: kriittinen tai tärkeä entiteetti nimittäin joutuu arvioimaan, kuinka turvallisia hänen toimittajansa ovat, ja ICT-palvelun tarjoaja, jolla on pääsy järjestelmiin, on kyseiseen arviointiin ilmeinen osapuoli.
Se, oletko itse velvoitettu vai joudutko vaikutuksiin toimittajaketjun kautta, riippuu siis kolmesta asiasta rinnakkain: kuuluuko palvelutyyppi sektoriluetteloon, saavuttaako organisaatiosi siihen liittyvän koon, ja mikä on todellinen roolisi asiakkailla, jotka ovat itse velvoitettuja. Nämä kolme tekijää määrittävät yhdessä vastauksen, ja ne toimivat toisistaan riippumatta — voit saavuttaa koon ilman oikeaa sektoria, tai olla täsmälleen oikealla sektorilla saavuttamatta kokoa.
Mitä sektoriluettelo sanoo ICT-palvelun tarjonnasta
NIS2-direktiivi erottaa korkean kriittisyyden sektorit ja muut kriittiset sektorit. Digitaalisen infrastruktuurin ja digitaalisen palvelun tarjonnan sisällä mainitaan erityisesti hallittujen palvelujen tarjoajat (managed service providers) ja hallittujen kyberturvallisuuspalvelujen tarjoajat (managed security service providers), pilvipalvelun tarjonta, tietopalvelut ja verkkokauppapaikkojen ja hakukoneiden tarjoajat. Kuka tahansa, joka kuuluu johonkin näistä nimikkeistä, käy läpi saman testin kuin mikä tahansa muu sektori: kuuluuko oma palvelu direktiivin kuvaukseen, ja jos on, mihin luokkaan.
Kuka toimittaa puhtaasti ohjelmistoja, rakentaa verkkosivustoa tai tekee satunnaisesti IT-projekteja ilman jatkuvaa hallintoa, jää yleensä tämän erityisen kuvauksen ulkopuolelle — vaikka tarkka rajankäynti onkin jokin, joka on oman tilanteen asia, ei yleinen nyrkkisääntö. Jos epäilet, mitä kuvausta sovelletaan palveluihin, se on yksi niistä kysymyksistä, joissa muutamalla kysymyksellä voidaan antaa alustavaa näkemystä selville, viitaten direktiivin täsmälleen oikeaan paikkaan.
Koko on yhtä tärkeä kuin sektori
Sektori yksinään ei riitä olemaan kriittinen tai tärkeä. NIS2 toimii kokokriteerein, jotka sopeutuvat pienten ja keskisuurten yritysten vakioluokitukseen: työntekijöiden lukumäärä ja liikevaihto tai taseen loppusumma vaikuttavat luokkaan. Yhden miehen yritys, joka tarjoaa verkkonhallintoa kouralliselle paikallisille yrityksille, kuuluu koon suhteen yleensä eri luokkaan kuin maanlaajuinen IT-palvelun tarjoaja, jolla on satoja työntekijöitä, vaikka molemmat tarjoavat pohjimmiltaan samaa palvelua.
Kansalliset lait, jotka siirtävät direktiivin — Alankomaissa kyberturvallisuuslaki — kehittävät näitä kriteerejä edelleen, ja valvontaviranomainen julkaisee siihen käytännöllistä selvitystä. Pidämme näitä lähteitä ajan tasalla ja päivämäärällä, jolloin olemme ne nähneet, jotta voit kysyä, milloin merkinnät perustuvat siihen.
Etähallinnointi ja pääsy asiakkaan järjestelmiin: toimittajaketjun sijainti
Erityisesti ICT-palveluiden osalta ketossa omaksuttu asema on usein ratkaiseva tekijä, riippumatta toimialasta ja koosta. Etäkäyttö, pääsy asiakasverkkoihin, salasanojen hallinta tai asiakkaan kannalta kriittisen sovelluksen ylläpito — nämä ovat juuri niitä ominaisuuksia, joita asiakas painottaa arvioidessaan omia toimittajiaan. Nimittäin oleellisen tai tärkeän yhteisön on kyettävä osoittamaan, että toimitusketjun riskit ovat selvillä, ja toimittaja, jolla on pääsy järjestelmiin, on tuolloin korkealla tuolla listalla riippumatta siitä, esiintyykö tuo toimittaja itse toimialaluettelossa.
Tämä selittää, miksi monet ICT-palveluntarjoajat saavat turvallisuuskyselyn tai sopimuksen vaatimuksen, vaikka ne eivät itse olisikaan velvoitettuja. Se ei ole oikeudellinen velvoite, joka kohdistuu niihin suoraan, vaan käytännöllinen vaatimus, joka tulee asiakkaan kautta — ja joka voi todella vaikuttaa sopimukseen.
Alihankkijat: ketju ei lopu teihin
Joka harjoittaa toimintaa yhdessä alihankkijoiden kanssa — freelance-järjestelmänvalvoja, hosting-palvelujen tarjoaja, ulkoinen tukipalvelu — välittää tätä kysymystä käytännössä eteenpäin. Jos asiakkaanne haluaa tietää, kuinka pääsy järjestelmiin on järjestetty, on todennäköistä, että esitätte saman kysymyksen omille alihankkijoillanne. Näin ketjun arviointi kulkee useiden linkkien läpi, vaikka kukaan ketjun osapuolista ei itse kuuluisikaan toimialaluetteloon.
Mitä tämä tarkoittaa dossierollenne
Se, oletko itse velvoitettu, oletko vain ketjun kautta vaikuttunut tai oletko kumpaakaan, määrää, miten valmistelemme: täydellinen huolellisuusvelvoitteen mukainen dossier, kohdistetut vastaukset asiakkaiden kyselyihin tai toistaiseksi mitään toimenpidettä. Kymmenen toimenpiteen yleiskatsaus, joita huolellisuusvelvoite odottaa sinulta, ja kuinka ne vastaavat sitä, mitä asiakas kysyy kyselyssä, löydät jokaisen aiheen selityksestä. Kysymyksestä, kuinka secria.eu pitää lähteitä ja missä ilmaisu perustuu, menettelytapa on hyvä lähtökohta, ja usein esitetyt kysymykset lain soveltamisalasta on koottu yhteen kysymys-vastaus-kokoelmaan.
Aloita nis2-tarkistuksella nähdäksesi, kuuluuko palvelusi toimialaluetteloon, mikä koko vaikuttaa ja mitä ketossa omaksuttu asemasi merkitsee sinulle — ilmaiseksi ja ilman tiliä.