NIS2 ja toimittajat: mitä asiakkaanne alkavat kysyä teiltä

NIS2 on EU:n kyberturvallisuusdirektiivi, joka koskee keskeisiä ja tärkeitä toimijoita, ja asiakkaiden kautta se ulottuu myös toimittajiin. Vaikka yrityksenne ei itse kuuluisi soveltamisalaan, soveltamisalaan kuuluvan asiakkaan on huolehdittava toimitusketjun turvallisuudesta, mukaan lukien turvallisuusnäkökohdat, jotka liittyvät sen ja sen suorien toimittajien tai palveluntarjoajien välisiin suhteisiin. Näin säädetään direktiivin (EU) 2022/2555 21 artiklan 2 kohdan d alakohdassa.

Käytännössä tämä tarkoittaa kyselyitä, uusia sopimusehtoja, näyttöpyyntöjä ja joskus oikeutta auditointiin. Sama koskee myös yhdysvaltalaisia yrityksiä, jos ne toimittavat ohjelmistoja, hosting-, IT- tai muita palveluja NIS2:n piiriin kuuluville EU-asiakkaille.

Tässä artikkelissa tiivistämme, mitä direktiivi ja sen täytäntöönpanosäännöt todella sanovat toimittajista ja miten valmistelette vastaukset, jotka kestävät tarkastelun.

Keskeiset päivämäärät ja artiklat

• Direktiivi annettiin 14. joulukuuta 2022. Jäsenvaltioiden oli hyväksyttävä kansalliset lakinsa 17. lokakuuta 2024 mennessä ja sovellettava niitä 18. lokakuuta 2024 alkaen (41 artikla).
• 20 artikla edellyttää, että soveltamisalaan kuuluvien toimijoiden johtoelimet hyväksyvät kyberturvallisuuden riskienhallintatoimenpiteet ja valvovat niiden toteutusta.
• 21 artiklan 2 kohta luettelee vähintään 10 toimenpidealuetta riskianalyysistä ja häiriötilanteiden käsittelystä toimitusketjun turvallisuuteen, haavoittuvuuksien käsittelyyn ja monivaiheiseen tunnistautumiseen.
• 21 artiklan 3 kohdan mukaan toimijoiden on toimitusketjun toimenpiteitä valitessaan otettava huomioon kullekin suoralle toimittajalle ja palveluntarjoajalle ominaiset haavoittuvuudet sekä toimittajiensa ja palveluntarjoajiensa tuotteiden ja kyberturvallisuuskäytäntöjen yleinen laatu.
• 23 artiklan 4 kohta määrittää soveltamisalaan kuuluvan toimijan ilmoitusvaiheet: varhainen varoitus 24 tunnin kuluessa siitä, kun merkittävä poikkeama on tullut tietoon, poikkeamailmoitus 72 tunnin kuluessa ja loppuraportti viimeistään kuukauden kuluttua ilmoituksesta.

NIS2 on direktiivi, joten sitovat velvoitteet tulevat kunkin maan kansallisesta laista (Suomessa kyberturvallisuuslaki 124/2025). Yksityiskohdat vaihtelevat; asiakkaanne lakitiimi kertoo, mitä lakia siihen sovelletaan.

Mitä täytäntöönpanoasetus lisää

Tietyille digitaalisten palvelujen tarjoajille (muun muassa pilvipalvelujen, datakeskuspalvelujen, hallinnoitujen palvelujen ja hallinnoitujen tietoturvapalvelujen tarjoajille) komissio asetti yksityiskohtaiset vaatimukset täytäntöönpanoasetuksessa (EU) 2024/2690. Sen liitteen kohta 5.1 kuvaa selkeimmin, mitä asiakkaat tulevat kysymään toimittajilta. Soveltamisalaan kuuluvien toimijoiden on asetettava kriteerit toimittajien valinnalle, mukaan lukien näiden kyberturvallisuuskäytännöt ja turvalliset kehitysmenettelyt, ja niiden sopimuksissa tulisi tarvittaessa määritellä:

• toimittajaa koskevat kyberturvallisuusvaatimukset,
• toimittajan henkilöstön koulutus ja tarvittaessa sertifioinnit,
• henkilöstön taustatarkistukset,
• velvollisuus ilmoittaa asiakkaalle poikkeamista ilman aiheetonta viivytystä,
• oikeus auditoida tai saada auditointiraportit,
• velvollisuus käsitellä haavoittuvuudet, jotka aiheuttavat riskin asiakkaalle,
• alihankintaa koskevat säännöt,
• sopimuksen päättymiseen liittyvät velvoitteet, kuten tietojen palauttaminen ja hävittäminen.

Myös asiakkaat, jotka eivät kuulu tämän asetuksen soveltamisalaan, käyttävät sitä usein mallina, koska se muuttaa 21 artiklan konkreettiseksi luetteloksi.

Mitä asiakkaanne käytännössä lähettävät

Odottakaa jotakin yhdistelmää näistä:

1. Tietoturvakysely, joka kattaa pääsynhallinnan, monivaiheisen tunnistautumisen, varmuuskopiot, salauksen, haavoittuvuuksien käsittelyn ja häiriötilanteisiin reagoinnin.
2. Sopimusliitteet, joissa poikkeamista ilmoittamisen määräajat ovat niin lyhyitä, että asiakas ehtii antaa oman varhaisen varoituksensa 24 tunnin kuluessa.
3. Näyttöpyynnöt: toimintaperiaatteet, auditointiraportit, sertifikaatit (kuten ISO/IEC 27001) tai SOC 2 -raportti sekä testitulokset.
4. Kysymykset alihankkijoistanne, erityisesti hostingista ja tuesta.
5. Jatkuva seuranta: liitteen kohta 5.1.6 edellyttää, että toimijat seuraavat toimittajien kyberturvallisuuskäytäntöjen muutoksia suunnitelluin väliajoin, joten varautukaa toistuviin kysymyksiin.

Valmistelkaa vastaukset, jotka kestävät tarkistuksen

Kyselyt on helppo täyttää optimistisesti. Asiakkaat tarkistavat yhä useammin ne osat, jotka näkyvät ulospäin. Ennen kuin vastaatte, varmistakaa, että yrityksenne ulkoinen kuva vastaa sitä, mitä kirjoitatte:

• Sähköpostin todennus. Jos ilmoitatte sähköpostinne olevan vahvasti suojattu, DMARC-tietueenne pitäisi olla pakottavassa tilassa:

dig +short TXT _dmarc.yourcompany.com
"v=DMARC1; p=reject; rua=mailto:dmarc@yourcompany.com"

• TLS ja varmenteet. Voimassa olevat varmenteet jokaisella internetiin näkyvällä palvelinnimellä eikä vanhentuneita varmenteita, ei myöskään unohdetuilla palvelimilla.
• Avoimet palvelut. Ei etätyöpöytää, tietokantoja eikä hallintapaneeleja avoinna internetiin.
• Verkkosivuston hygienia. Tietoturvaotsakkeet paikallaan, ei avoimia .env-, .git- tai varmuuskopiotiedostoja (katsokaa avoimet .env-, .git- ja varmuuskopiotiedostot).
• Unohdettu omaisuus. Ei hylättyjä staging- tai testipalvelimia verkkotunnuksenne alla (katsokaa unohdetut staging- ja testipalvelimet).

Siisti ulkoinen kuva ei todista kypsää tietoturvaohjelmaa, mutta heikko ulkoinen kuva kumoaa hyvän kyselyvastauksen hyvin nopeasti.

Valmistautumisen tarkistuslista

• Nimetkää asiakkaiden tietoturvakyselyille vastuuhenkilö ja pitäkää yllä uudelleenkäytettäviä vastauksia.
• Laatikaa menettely poikkeamista ilmoittamiseen: yhteyshenkilö ja määräaika, jonka todella pystytte pitämään.
• Pitäkää ajantasaista luetteloa omista alihankkijoistanne ja siitä, mitä tietoja ne käsittelevät.
• Dokumentoikaa, miten käsittelette haavoittuvuudet ilmoituksesta korjaukseen.
• Kootkaa näyttö yhteen paikkaan: toimintaperiaatteet, auditointiraportit, sertifikaatit, testiyhteenvedot.
• Käykää ulkoinen hyökkäyspintanne läpi säännöllisesti ja korjatkaa se, minkä asiakas näkisi.
• Tarkistakaa uudelleen ennen jokaista sopimuksen uusimista.

Datahorsesin rooli

Datahorses valvoo yritystänne ulkoa päivittäin: verkkotunnuksia, DNS:ää, varmenteita, sähköpostin todennusta, verkkosivustoja ja avoimia palveluja. Havaintojen mukana tulevat tarkat korjausohjeet, ja ne säilyvät kirjattuina, joten voitte viitata niihin, kun asiakas kysyy, miten valvotte omaa altistumistanne. Emme mene järjestelmiinne emmekä tarvitse pääsyoikeuksia. Katsokaa, mitä valvomme tai miten yhteistyö toimii.