Miksi NIS2-vaatimuksia tulee alihankkijalle?
Kyberturvallisuuslain 9 § edellyttää lain piiriin kuuluvalta toimijalta välittömien toimittajien ja palveluntarjoajien turvallisuuden huomioon ottamista. Arvioitavia asioita ovat muun muassa palvelun laatu, häiriönsietokyky ja toimittajan kyberturvallisuuskäytännöt.
Tilaaja voi toteuttaa arviointia tietoturvakyselyllä, hankinnan ehdoilla ja sopimusliitteellä. Vaatimusten pitäisi liittyä ostettavaan palveluun ja siitä syntyviin riskeihin. Sama kysely ei sellaisenaan sovi verkkosivujen ylläpitäjälle ja työmaalle materiaalia toimittavalle yritykselle.
Lähde: Kyberturvallisuuslaki, 7–9 §.
Lakivelvoite ja sopimusvelvoite pitää erottaa
Yritys ei muutu lain tarkoittamaksi NIS2-toimijaksi vain siksi, että sen asiakas kuuluu soveltamisalaan. Yrityksen oma asema ratkaistaan lain toimijamääritelmien, kokoehtojen ja poikkeusten avulla. Oman soveltumisalan tarkistus tehdään erikseen.
Sopimus voi silti velvoittaa alihankkijaa esimerkiksi ilmoittamaan häiriöstä tilaajalle tai poistamaan käyttöoikeudet työn päättyessä. Nämä sitoumukset pitää pystyä toteuttamaan. Tilaajan viranomaisilmoitusvelvollisuus ei siirry alihankkijalle automaattisesti.
Pyydä tilaajalta täsmällinen vaatimus
Jos sopimus sanoo vain ”toimittaja täyttää NIS2-vaatimukset”, pyydä tarkennus. Mitä palvelua ehto koskee? Mitä näyttöä tilaaja odottaa? Kuinka nopeasti häiriöstä pitää ilmoittaa ja mistä ajankohdasta aika lasketaan?
Tarkennus ei ole paperityön hidastamista. Se tekee vastuun toteutettavaksi. Esimerkiksi ympärivuorokautinen tunnin ilmoitusaika vaatii havainnointia, nimetyn päivystäjän ja toimivan varayhteyden. Tavallinen arkipäivän asiakastuki ei yksin täytä sitä.
Kokoa vastaus kuudesta käytännön asiasta
- Palvelu ja vastuuhenkilöt. Kuvaa toimituksesi, sen rajat ja yhteyshenkilö.
- Järjestelmät ja tiedot. Kerro, mitä tilaajan tietoja käsitellään ja missä.
- Käyttöoikeudet. Kuvaa tunnusten myöntäminen, monivaiheinen tunnistautuminen ja oikeuksien poistaminen.
- Ylläpito. Kuvaa päivitykset, haavoittuvuuksien käsittely ja vastuut.
- Jatkuvuus. Kerro varmuuskopioinnista, palautumisen suunnittelusta ja siitä, mitä on testattu.
- Häiriöt ja alihankkijat. Nimeä ilmoituskanava ja palveluun osallistuvat muut toimittajat.
Tämä lista on ehdotus vastauksen rakenteeksi. Se ei ole viranomaisen hyväksymä vaatimustenmukaisuustodistus. Tilaajan palvelukohtaiset tarpeet voivat edellyttää muutakin näyttöä.
Esimerkki: infrarakentajan verkkopalvelut
Kuvitellaan urakoitsija, jonka tilaaja pyytää selvityksen verkkopalveluista. Yritys kerää hosting-kumppanilta päivitys- ja varmuuskopiointikäytännöt. Sähköpostitoimittajalta saadaan tiedot lähettäjäsuojauksista ja tilien hallinnasta. Urakoitsija itse vastaa siitä, kuka sen työntekijöistä saa käyttää palveluja.
Jos urakkaan liittyy myös projektipankki tai pääsy tilaajan verkkoon, ne kuvataan omiksi kokonaisuuksikseen. Hostingin selvitys ei kata niitä. ResaHostin infrarakentajille suunnattu palvelu keskittyy sovittuihin verkkopalveluihin.
Pidä vastaus ajan tasalla
Merkitse selvitykseen päivämäärä ja vastuuhenkilö. Kun palveluntarjoaja, järjestelmä tai käyttöoikeuskäytäntö muuttuu, päivitä myös tilaajalle toimitettava kuvaus. Älä vastaa ”kyllä”, jos käytäntö on vasta suunnitelmassa. Kerro nykytila, korjaava toimi ja sovittu aikataulu.
Myös sopimuksen päättyminen kuuluu suunnitelmaan: kuka palauttaa tiedot, milloin käyttöoikeudet suljetaan ja mitä aineistoa säilytetään? Toimitusketjun hallinta jatkuu koko sopimuksen ajan.
Lähde: Traficom: hankintojen ja toimitusketjujen turvallisuus.
Mitä ResaHostilta kannattaa pyytää?
Pyydä kuvaus ostamastasi ylläpidosta, päivitysrytmistä, varmuuskopioinnista ja häiriöiden yhteydenottokanavasta. Premiumin tietoturvaraportti täydentää palvelua koskevaa näyttöä. Sovitaan ennen tilaamista, vastaavatko nämä tilaajasi pyytämiin tietoihin.
Rakennusliikkeen ylläpito ja riskienhallinnan toimintamalli auttavat hahmottamaan, mihin verkkopalvelujen osuus liittyy. Ota yhteyttä, kun haluat käydä palveluamme koskevat kohdat läpi.
Usein kysyttyä
Koskeeko NIS2 kaikkia alihankkijoita?
Ei. Alihankkijan suora asema ratkaistaan sen oman toiminnan perusteella. Asiakas voi lisäksi edellyttää tietoturvakäytäntöjä sopimuksessa.
Riittääkö ylläpitäjän raportti vastaukseksi tilaajalle?
Se voi kattaa ylläpitäjän palvelun osuuden. Tilaajan vaatimus ratkaisee tarvittavan näytön, ja muiden järjestelmien sekä oman henkilöstön käytännöt kuvataan erikseen.