miksi olen vastuussa toimittajieni turvallisuudesta

Ketju on yhtä vahva kuin sen heikoin lenkki

Toimittajaturvaa koskeva vastuu kuuluu kriittisille ja tärkeille tahoille, koska niiden oma digitaalinen turvallisuus riippuu pitkälti muiden järjestelmistä, ohjelmistoista ja palveluista. Organisaatio voi suojata omaa verkkoaan hyvin, mutta jos pääsyä näihin järjestelmiin omaava toimittaja on huonosti suojattu, siitä syntyy reitti, joka kiertää omat turvatoimet. Huolenpitovelvoite ei siis katsele vain organisaation omia seiniä, vaan koko toimitusketjua takana.

Käytännössä tämä koskee paljon enemmän yrityksiä kuin vain velvoitettuja organisaatioita itseään. Kriittisen tai tärkeän tahon, joka joutuu arvioimaan ketjuaan, arviointia lähetetään usein edelleen kyselylomakkeen tai sopimuspyynnön muodossa toimittajille — vaikka nämä toimittajat eivät itse kuuluisi lain soveltamisalaan. Joka saa asiakkaaltaan kyseisen kyberturvallisuuskyselyn saa käytännössä kokea NIS2:n vaikutukset kuulumatta itse sen soveltamisalaan. Mitä turvatoimia asiassa on kyse, kuvataan kohdassa kymmenen eri turvatoimea, jotka direktiivi erottaa.

Mistä tämä huolenpitovelvoitteesta johtuu

NIS2-direktiivin 21 artiklaan 2 kohdan mukaan toimitusketjun turvallisuus on nimenomaisesti osa kymmentä huolenpitovelvoitteeseen kuuluvaa turvatoimea, mukaan lukien suorat toimittajat ja palveluntarjoajat koskevien suhteiden turvallisuusnäkökohdat. Kyberturvallisuuslaki ottaa tämän velvoitteen osaksi Suomen lainsäädäntöä. NCSC selittää, että tämä huolenpitovelvoite on riskiperusteinen: tahon on tunnistettava ketjun riskit ja asetettava niitä vastaan asianmukaiset turvatoimet, mikä käytännössä usein tarkoittaa, että toimittajilta pyydetään todiste niiden turvallisuudesta. ISO/IEC 27001:n liitteessä A on joukko valvontatoimia, joissa käsitellään toimittajasuhteita, ja ne tulevat näin ollen usein referenssikehikoksi tällaisissa arvioinneissa.