miksi saan tietoturvavaatimuksia, jos en itse ole NIS2:n alainen

Toimitusketju siirtää huolenpitovelvoitteen toimittajille

Se johtuu siitä, miten huolenpitovelvoite on rakennettu. Organisaation, joka itse kuuluu NIS2-direktiivin soveltamisalaan, on ei vain saatettava oma turvallisuus kuntoon, vaan myös arvioitava, kuinka turvallisia sen toimittajat ja palveluntarjoajat ovat — se on osa mitä huolenpitovelvoite tavallisesti tarkoittaa. Tämä velvoite ulottuu oman toimitusketjun yli. Velvoitetun organisaation ei siis riitä suojata vain omia järjestelmiään; sen on myös pystyttävä näkemään riskit, jotka tulevat toimitusketjun kautta, ohjelmistokumppaneiden ja palveluntarjoajien välityksellä. Siksi kyselylomake, sopimuksellinen vaatimus tai kehotus toimittaa todistusaineisto.

Kyselylomakkeen saajalle tämä ei automaattisesti tarkoita, että oman organisaation olisi kuuluttava NIS2-direktiivin soveltamisalaan. Se tarkoittaa, että asiakas, joka sinne kuuluu, on velvoitettu tarkistamaan sen toimittajillaan. Joka ei ole itse velvoitettu, mutta kuuluu velvoitetun organisaation toimitusketjuun, joutuu samanlaisiin kysymyksiin — pääsynhallinnasta, poikkeamailmoituksesta, turvallisuustoimista — ilman omaa ilmoitus- tai raportointivelvoitetta valvontaviranomaisille. Joka haluaa täsmälleen tietää, kuuluuko oma organisaatio direktiivin soveltamisalaan muista syistä, voi tarkistaa sen kysymyksestä, miten tiedät, kuuluuko yrityksesi NIS2:n soveltamisalaan. Joille tällainen kyselylomake on jo pöydällä, on erillinen ohje mitä tehdä, kun asiakas pyytää tietoturvan kyselylomaketta.

Mistä tämä seuraa: NIS2-direktiivin 21 artiklan 2 kohta

NIS2-direktiivin 21 artiklan 2 kohdassa mainitaan nimenomaisen toimitusketjun turvallisuus ja suhde toimittajiin osana kymmenen toimenpidettä, jotka välttämättöminä ja tärkeinä pitämiä entiteettejä on toteutettava. Tämä velvoite on otettu Alankomaissa mukaan kyberturvallisuuslakiin. NCSC selventää omassa ohjeessaan huolenpitovelvoitteesta, että tämä ketjuvastuullisuus johtaa käytännössä kyselylomakkeisiin ja sopimuksellisiin vaatimuksiin toimittajille, jotka eivät itse kuulu lain soveltamisalaan.