asiakkaani pyytää minua täyttämään tietoturvakyselylomakkeen, mitä minun tulee tehdä

Tietoturvakyselylomake on yleensä toimitusketjusignaali, ei lakisääteinen velvoite

Asiakkaan kyselylomake tarkoittaa yleensä, että asiakas itse on NIS2-säännösten alainen ja velvollinen arvioimaan toimittajiaan. Näin tapahtuu myös silloin, kun vastaanottava organisaatio ei ole itse lainkaan velvollinen: asiakkaalla on velvollisuus kartoittaa oma toimitusketjunsa, ja kyselylomake on sen seurausta. Tämä tilanne — kysymysten saaminen ilman, että itse kuuluu lain piiriin — on yleinen monille pk-yritystoimitsijoille ja on selitetty tarkemmin sivulla miksi toimittajat saavat tietoturvavaatimuksia ilman, että he ovat itse velvoitettuja.

Kyselylomake käsittelee yleensä samoja aiheita: pääsynhallinta, päivityskäytäntö, poikkeavuuksien havaitseminen, varmuuskopiot, toimittajien hallinta ja kuka organisaatiossa vastaa turvallisuudesta. Jos nämä aiheet eivät ole vielä kunnossa tai dokumentoituna, on parasta järjestää ne ensin ennen kyselylomakkeen täyttämistä — muuten syntyy pirstoutunut kokoelma irtonaisia vastauksia, jotka seuraavan kyselylomakkeen yhteydessä täytyy kerätä uudelleen. Hyvä ensimmäinen askel on selvittää mitkä kymmenen toimenpidettä käytetään pohjanakoska lähes jokainen kyselylomake perustuu oleellisesti niihin, ja määrittää mistä aloittaa jos mitään ei ole vielä dokumentoitu.

Miksi asiakkaat kysyvät juuri näin: NIS2-direktiivin 21 artiklan 2 kohta

Toimittajien arviointivelvoite johtuu NIS2-direktiivin 21 artiklan 2 kohdasta, jossa esitetään kymmenen toimenpidettä, jotka velvoitetun organisaation on toteutettava — mukaan lukien nimenomaisesti toimitusketjun turvallisuus. Elintärkeen tai tärkeään kokonaisuuteen kuuluvilla organisaatioilla on mahdollisuus täyttää tämä vaatimus vain osoittamalla, että ne valvovat myös omia toimittajiaan, ja tietoturvakyselylomake on tavallisesti tähän käytetty väline. Kansallisessa täytäntöönpanolaissa, kyberturvallisuuslaissa, tämä velvoite on esillä organisaatioille, jotka kuuluvat lain piiriin Hollannissa. Jos haluat itse tarkistaa, koskeeko velvoite myös suoraan omaa organisaatiotasi, voit testata sen kysymyksen avulla kuinka määrittää, kuuluuko yritys NIS2:n piiriin.