Mitä NIS2 ja kyberturvallisuuslaki vaativat toimittajalta?

Lyhyesti

Jos asiakas kuuluu NIS2-direktiivin ja kyberturvallisuuslain piiriin, sen toimittaja ei automaattisesti muutu lain suoraksi kohteeksi. Toimittaja kuitenkin muuttuu osaksi asiakkaan toimitusketjun kyberturvallisuutta. Kyberturvallisuuslain 9 § velvoittaa toimijaa huomioimaan välittömien toimittajien tuotteet, palvelut, häiriönsietokyvyn ja kyberturvallisuuskäytännöt. Siksi toimittajalta voidaan käytännössä pyytää näyttöä riskienhallinnasta, poikkeamien käsittelystä, jatkuvuudesta, pääsynhallinnasta, salauksesta ja henkilöstön osaamisesta.

Asiakkaan velvoite ulottuu toimitusketjuun

NIS2-direktiivin 21 artikla velvoittaa keskeisiä ja tärkeitä toimijoita hallitsemaan kyberturvallisuusriskejä. Kyberturvallisuuslain 9 § tekee samasta asiasta kansallisen velvoitteen toimijoille.

Toimitusketju tarkoittaa tässä niitä tuotteita ja palveluja, joihin organisaation oma toiminta nojaa. Arkinen esimerkki on palvelu, jossa ulkoinen toimittaja ylläpitää ajanvarausjärjestelmää, taloushallinnon järjestelmää tai asiakasportaalia.

Kyberturvallisuuslain 9 § mainitsee erikseen välittömät toimittajat. Välitön toimittaja on esimerkiksi palveluntarjoaja, jolta asiakas ostaa palvelun suoraan. Lain mukaan asiakkaan riskienhallinnassa on pidettävä ajantasaisesti mukana välittömien toimittajien tuotteiden ja palvelujen yleinen laatu, häiriönsietokyky, niihin sisältyvät hallintakeinot ja toimittajien kyberturvallisuuskäytännöt.

Tämä ei tarkoita vain sopimuksen liitettä. Se tarkoittaa, että asiakkaan täytyy pystyä arvioimaan, voiko toimittajan palvelu aiheuttaa vakavan häiriön asiakkaan omalle palvelulle. Jos toimittaja ylläpitää kriittistä järjestelmää, asiakkaan riskikuva riippuu myös toimittajan varautumisesta.

NIS2-direktiivin 21 artikla nostaa toimitusketjun turvallisuuden omaksi osa-alueekseen. Se kattaa toimijan ja sen välittömien toimittajien tai palveluntarjoajien välisten suhteiden turvallisuusnäkökohdat. Käytännössä asiakas tarvitsee tietoa siitä, miten palvelu on suojattu ja miten häiriöistä palaudutaan.

Toimittajalta pyydettävä näyttö liittyy samoihin aiheisiin kuin asiakkaan oma riskienhallinta

Kyberturvallisuuslain 9 § ei anna yhtä lomaketta toimittaja-arviointiin. Se kertoo osa-alueet, joita toimijan riskienhallinnan toimintamallissa ja hallintakeinoissa on pidettävä mukana.

Toimittajan näkökulmasta nämä osa-alueet näkyvät usein kysymyksinä, sopimusehtoina ja auditointeina. Asiakas voi tarvita vastauksia, koska sen on itse osoitettava, että riskit on arvioitu ja hallintakeinot ovat oikeassa suhteessa riskiin.

Asiakkaan lakisääteinen aihe	Mitä se voi tarkoittaa toimittajalle
Riskienhallinnan toimintaperiaatteet	Toimittaja kuvaa, miten kyberriskit tunnistetaan ja miten päätökset kirjataan.
Tietojärjestelmien turvallisuus	Toimittaja kertoo, miten palvelun tekninen suojaus ja ylläpito on järjestetty.
Hankinnan, kehittämisen ja ylläpidon turvallisuus	Toimittaja osoittaa, miten haavoittuvuuksia käsitellään ja miten muutokset hallitaan.
Toimitusketjun turvallisuus	Toimittaja kertoo omista alihankkijoistaan siltä osin kuin ne vaikuttavat asiakkaan palveluun.
Omaisuudenhallinta	Toimittaja tietää, mitkä järjestelmät, laitteet ja tiedot ovat palvelun kannalta tärkeitä.
Henkilöstöturvallisuus ja koulutus	Toimittaja osoittaa, että palveluun osallistuvat henkilöt tuntevat tietoturvakäytännöt.
Pääsynhallinta ja todentaminen	Toimittaja rajaa käyttöoikeudet ja varmistaa käyttäjän henkilöllisyyden.
Salaus	Toimittaja kuvaa, milloin tietoa suojataan salauksella siirrossa tai tallennettuna.
Poikkeamien havainnointi ja käsittely	Toimittaja tunnistaa poikkeamat ja pystyy palauttamaan turvallisuuden ja toimintavarmuuden.
Jatkuvuus ja varmuuskopiointi	Toimittaja pystyy palautumaan häiriöstä suunnitelman avulla.

Hallintakeino tarkoittaa käytännön tapaa pienentää riskiä. Se voi olla esimerkiksi käyttöoikeuksien tarkistus, varmuuskopiointi, lokien seuranta tai henkilöstön koulutus.

NIS2-direktiivin 21 artiklan mukaan toimenpiteiden on oltava asianmukaisia ja oikeasuhteisia. Sama ajatus on kyberturvallisuuslain 9 §:ssä. Pienen tukipalvelun toimittajalta ei siis arvioida samoja asioita samalla painolla kuin toimittajalta, jonka palvelu pysäyttää asiakkaan keskeisen toiminnan vikaantuessaan.

Poikkeamat ovat toimittajan ja asiakkaan yhteinen aikakriittinen kohta

Poikkeama tarkoittaa tilannetta, jossa verkko- tai tietojärjestelmän turvallisuus tai toiminta vaarantuu. Esimerkki on haittaohjelma, luvaton pääsy järjestelmään tai palvelu, joka ei toimi hyökkäyksen vuoksi.

NIS2-direktiivin 23 artikla koskee raportointivelvoitteita. Sen mukaan keskeisten ja tärkeiden toimijoiden on ilmoitettava merkittävästä poikkeamasta CSIRT-yksikölle tai toimivaltaiselle viranomaiselle.

Poikkeama on merkittävä, jos se on aiheuttanut tai voi aiheuttaa palvelujen vakavan toimintahäiriön tai taloudellisia tappioita. Se on merkittävä myös silloin, jos se on vaikuttanut tai voi vaikuttaa muihin henkilöihin tai oikeushenkilöihin aiheuttamalla huomattavaa aineellista tai aineetonta vahinkoa.

NIS2-direktiivin 23 artiklan määräajat ovat tiukat. Ennakkovaroitus annetaan viimeistään 24 tunnin kuluessa siitä, kun toimija on tullut tietoiseksi poikkeamasta. Poikkeamailmoitus annetaan viimeistään 72 tunnin kuluessa. Lopullinen raportti annetaan viimeistään kuukauden kuluttua poikkeamailmoituksesta.

Jos toimittajan palvelussa oleva häiriö vaikuttaa asiakkaan palveluun, asiakkaan ilmoituskyky riippuu toimittajan tiedosta. Siksi toimittajasuhteessa korostuu yhteyshenkilö, ilmoituskanava ja tieto siitä, mitä toimittaja kertoo häiriön alkuvaiheessa.

Aihe jatkuu käytännön näkökulmasta artikkelissa Mitä tietoturvapoikkeamasta pitää ilmoittaa ja milloin?.

Kyberturvallisuuslaki painottaa suhteellisuutta ja ajantasaisuutta

Kyberturvallisuuslain 9 § ei vaadi samaa mallia kaikilta toimijoilta. Toimenpiteet suhteutetaan toiminnan laatuun ja laajuuteen. Arvioinnissa huomioidaan myös poikkeaman ennakoitavissa olevat välittömät vaikutukset, järjestelmien riskialttius sekä poikkeamien todennäköisyys ja vakavuus.

Laki mainitsee myös kustannukset ja käytettävissä olevat tekniset mahdollisuudet. Tämä on tärkeä viesti toimittajalle. Asiakas ei arvioi vain sitä, onko jokin yksittäinen suojaus olemassa. Asiakas arvioi, onko suojaus oikeassa suhteessa riskiin.

Ajantasaisuus on toinen keskeinen sana. Riskienhallinnan toimintamallin ja siihen perustuvien hallintakeinojen pitää pysyä ajan tasalla. Toimittajan vanha kuvaus ei yleensä riitä, jos palvelu, uhkat tai alihankintaketju ovat muuttuneet.

Kyberturvallisuuslain 9 § antaa myös valvovalle viranomaiselle mahdollisuuden antaa toimialallaan tarkentavia teknisiä määräyksiä. Tämä tarkoittaa, että asiakkaan vaatimukset voivat tarkentua toimialan mukaan. Siksi sama toimittaja voi saada eri asiakkailta erilaisia kysymyksiä.

Mitä laki ei automaattisesti vaadi toimittajalta?

Tärkein raja on tämä: NIS2-direktiivin 21 ja 23 artiklan velvoitteet on kirjoitettu keskeisille ja tärkeille toimijoille. Kyberturvallisuuslain 9 § puhuu toimijoiden riskienhallinnasta. Jos toimittaja ei itse ole tällainen toimija, pelkkä asiakkuus lain piirissä olevan asiakkaan kanssa ei tee toimittajasta suoraan ilmoitusvelvollista.

Toinen raja koskee todisteita. Kyberturvallisuuslain 9 § ei määrää, että toimittajalla täytyy olla tietty sertifikaatti tai tietty raporttipohja. Se määrää, mitä aiheita toimijan riskienhallinnassa on huomioitava. Asiakas voi silti sopimuksessa tai hankinnassa pyytää tiettyä näyttöä.

Kolmas raja koskee täydellistä turvallisuutta. NIS2-direktiivin 21 artikla ja kyberturvallisuuslain 9 § puhuvat riskien hallinnasta, haitallisten vaikutusten estämisestä ja minimoimisesta. Ne eivät tarkoita, että kaikki poikkeamat olisi mahdollista estää.

Avoimeksi voi jäädä myös se, kuinka syvälle toimittajan omiin alihankkijoihin arviointi ulottuu. Kyberturvallisuuslain 9 § nimeää välittömät toimittajat ja palveluntarjoajat. NIS2-direktiivin 21 artikla korostaa välittömien toimittajien ja palveluntarjoajien haavoittuvuuksia, tuotteiden laatua ja kyberturvallisuuskäytäntöjä.

Hyvä toimittajavalmius rakentuu kuudesta käytännön kyvystä

Kun asiakas kuuluu lain piiriin, toimittajan on hyödyllistä pystyä keskustelemaan samoilla käsitteillä kuin asiakas. Kyse ei ole vain teknisestä suojauksesta. Kyse on siitä, miten turvallisuus johdetaan, todistetaan ja pidetään käynnissä arjessa.

Ensimmäinen kyky on riskienhallinta. Toimittaja tunnistaa, mikä palvelussa voi mennä pieleen ja miten se vaikuttaa asiakkaaseen.

Toinen kyky on poikkeamien käsittely. Toimittaja havaitsee poikkeaman, rajaa sen, palauttaa palvelun ja antaa asiakkaalle olennaiset tiedot.

Kolmas kyky on jatkuvuus. Toimittajalla on varmuuskopiointi, palautumissuunnittelu ja kriisinhallinta niille palveluille, joihin asiakas nojaa.

Neljäs kyky on toimitusketjun hallinta. Toimittaja tietää, ketkä sen omat palveluntarjoajat vaikuttavat asiakkaan palveluun.

Viides kyky on salaus ja pääsynhallinta. Toimittaja suojaa tiedon ja rajaa pääsyn vain niille, jotka sitä tarvitsevat.

Kuudes kyky on henkilöstön osaaminen. Kyberturvallisuuslain 9 § mainitsee henkilöstöturvallisuuden ja kyberturvallisuuskoulutuksen. NIS2-direktiivin 21 artikla mainitsee perustason kyberhygieniakäytännöt ja kyberturvallisuuskoulutuksen.

Johdon ja henkilöstön koulutusvelvoitetta käsitellään tarkemmin artikkelissa NIS2 ja kyberturvallisuuslaki: johdon koulutusvelvoite ja henkilöstön kyberhygienia. Henkilöstön perustason osaamisesta on lisää artikkelissa Mitä kyberturvallisuuslaki vaatii henkilöstön koulutukselta?.