Mitä muuttuu tänä vuonna asiakkaasi kyberturvallisuuskyselylomakkeessa?
Niiden kyberturvallisuuskysymyslistojen muutos, joita ostajat lähettävät toimittajilleen, tapahtuu kahdella tavalla. Ensinnäkin kysymykset muuttuvat konkreettisemmiksi: yleisen kyllä/ei-kysymyksen sijaan pelkästään turvallisuuspolitiikasta yhä useammat ostajat pyytävät lyhyttä perustelua tai todistetta aiheittain. Toiseksi nämä listat tavoittavat laajemman joukon yrityksiä, myös yrityksiä, jotka eivät itse kuulu suoraan NIS2-direktiivin piiriin.
Syy on yksinkertainen. Direktiivin piiriin kuuluvien yritysten on NIS2:n mukaisesti myös tarkkailtava toimitusketjunsa turvallisuutta. Ne nostavat tämän esiin omissa kysymyslistauksessaan, ja näin kysymys päätyy yrityksille, jotka ovat ketjussa kauempana. Se, koskee tämä myös yritystäsi, riippuu siitä, ketkä ovat asiakkaasi ja mitä he sinulta kysyvät; parhaat keinot selvittää tämä ovat kysyä suoraan asiakkaalta tai tarkistaa joiden avulla saat nopeasti selville asiaa.
Miksi kysymykset muuttuvat yksityiskohtaisemmiksi
Euroopan NIS2-direktiivi kuvailee kymmenen toimenpidekategoriaa, joiden parissa direktiivin piiriin kuuluvien organisaatioiden on työskenneltävä, kuten riskienhallinta, pääsynhallintokäytäntö ja poikkeamien käsittely. Ostajat, joiden on vastattava näistä toimenpiteistä, voivat tehdä niin vain, jos tietävät myös, miten heidän toimittajansa näihin suhtautuvat. Tämä selittää, miksi listat, jotka aiemmin esittivät yhden laajan kysymyksen, esittävät nyt kategoriakohtaisesti erillisiä kysymyksiä, usein pyytäen myös lyhyttä todistetta.
Tämä siirtymä yleisistä kysymyksistä spesifisiin kysymyksiin toimenpidettäin on vain kertainen muutos. Ostajat mukauttavat omaa portaaliaan ja formaattiaan sillä kun he itse saavat lisää selkeyttä siitä, mitä heiltä odotetaan. Sinulle toimittajana tämä tarkoittaa, että sama asiakas voi seuraavana vuonna lähettää hieman erilaisen listan, vaikka yrityksessäsi ei olisi mitään muuttunut.
Ketä tämä tänä vuonna koskee
Direktiivi itse kohdistuu organisaatioihin tietyissä sektoreissa ja tietystä koosta lähtien. Sen, kuuluuko yritys direktiivin piiriin, määritellään direktiivin ja sen täytäntöönpanoa koskevan kansallisen lain perusteella; tämä on asia, jonka voit tarkistaa lakimiehen tai valvontaviranomaisen kanssa, eikä se ole jotain, mitä voit päätellä pelkästään kysymyslistasta. Käytännössä näkyvin seikka on: myös yritykset, jotka eivät itse kuulu direktiivin piiriin, saavat kysymykset välitettyä eteenpäin, koska niiden asiakas on velvollinen tekemään niin.
Tämä ketjuuntumiseffekti on tämän vuoden tärkein käytännöllinen muutos. Asennusyritys, joka ylläpitää ohjelmistoa sähköntuottajalle, tai IT-palvelun tarjoaja, joka palvelee sairaala, voi saada yksityiskohtaisemman kysymyslistan vastaanottaa vaikka omalla yrityksellä ei itsellään olisi direktiivin piiriin kuuluvia velvoitteita. Kymmenen toimenpiteen taustaa ja niiden tarkkaa merkitystä käsitellään tietovarannostamme, jossa on selitykset aihittain.
Mikä ei ole vielä varma
Direktiivi oli alun perin pantava täytäntöön jäsenvaltioiden kansallisessa lainsäädännössä lokakuussa 2024. Suomessa tämä lainsäädäntöprosessi on edelleen käynnissä, ja kirjoitushetkellä kansallisen lain tarkka muoto ja koko voimaantulon ajankohta eivät olleet vielä lopullisesti selvät. Tämä tarkoittaa, että direktiivin piiriin kuuluvien organisaatioiden tarkat velvoitteet ja niihin liittyvät määräajat voivat vielä muuttua. Ajantasaisen tiedon kannalta direktiivin itsensä teksti ja valvontaviranomaisen tiedot ovat oikea lähde, eivät kysymyslista tai uutisartikkeli.
Miten toimit näin ilman että aloitat vuosittain alusta
Koska asiakkaittain ja vuosittain esitetyt kysymykset voivat muuttua hieman, on hyödyllistä kerätä taustalla olevat tiedot kunnolla kerran ja täyttää niiden pohjalta jokainen uusi kyselylomake. Näin vältät, että aloitat jokaisen uuden kyselylomakkeen alusta, vaikka kysymysten muotoilu olisi hieman erilainen kuin viime vuonna. Miten se käytännössä toimii, on kuvattu sivulla mistä tiedot tulevat.
Jos epäilet, koskeeko kyselylomakkeessa oleva tietty kysymys vai ei yrityksesi toimintaa, kannattaa asiasta keskustella suoraan ostajasi kanssa tai neuvonantajan kanssa. Yleisiä kysymyksiä näistä kyselylomakkeista käsittelevä sivusto on sivulla usein kysytyt kysymykset kyselylomakkeista.
Lopuksi
Tämän vuoden muutoksen ydin ei ole uuden velvoitteen syntyminen, vaan sen, että olemassa olevat velvoitteet ulottuvat edelleen toimitusketjussa pidemmälle ja niistä kysytään konkreettisemmin. Jos haluat nopeasti tietää, missä yrityksesi tällä hetkellä on, tee ilmainen nopea arviointi tai lue muita aiheita tietovarastosta.