Lühidalt
NIS2 tarneahela turve tähendab, et kohustuslane teab, millised tarnijad toetavad kriitilisi funktsioone, milliseid nõudeid nendele esitatakse ja kuidas nõuete täitmist kontrollitakse. See ei ole ainult lepingute loetelu ega aastane küsimustik.
Praktiline lähenemine on kolm sammu: liigita tarnijad mõju järgi, kirjuta nõuded lepingusse ja kontrolli tõendeid regulaarselt. Kõige nõrgem lüli on tavaliselt tarnija, keda keegi omanikuks ei tunnista.
Mida NIS2 tarneahelalt nõuab
NIS2 artikli 21 kohaselt on üks kohustuslikest meetmetest tarneahela turvalisus, sealhulgas tarnijate ja teenuseosutajate turvameetmete hindamine. See peab olema proportsionaalne riskiga, mitte kõigile sama kontrollnimekiri.
See tähendab ka seda, et kohustuslane ei saa vastutust täielikult tarnijale üle kanda. Kui kriitiline teenus katkeb või tarnija kaudu lekib data, vastutab kohustuslane oma protsessi ja tõendite eest. Täpne ulatus sõltub sektorist, rollist ja RIA juhistest; üldine kohaldumine on NIS2 juhendis.
Tarnijate tiering: kes saab rohkem tähelepanu
| Tase | Kriteerium | Kontrolli sügavus |
|---|---|---|
| 1. Kriitiline | Toetab olulist funktsiooni; ligipääs andmetele või taristule; raskesti asendatav | Sügav due diligence, lepingulised turvanõuded, regulaarne tõendite kontroll, exit-plaan |
| 2. Oluline | Toetab protsessi, kuid lühiajaline katkestus on hallatav | Standardne küsimustik, lepingutingimused, aastane ülevaatus |
| 3. Madal | Piiratud ligipääs, kergesti asendatav, ei töötle tundlikku infot | Üldtingimused, vajadusel äriline kontroll |
Tiering peab lähtuma sinu protsessist, mitte tarnija suurusest. Väike tarkvaratarnija võib olla kriitilisem kui suur kontoritarbete pakkuja, kui tema teenus hoiab töös kliendiportaali või autentimist.
Enne lepingut: due diligence
- Ulatus: milliseid andmeid ja süsteeme tarnija näeb; kas tal on administraatoriõigus.
- Turvakorraldus: juhtimine, intsidendiprotsess, varundus, ligipääs, krüpteerimine, haavatavuste haldus.
- Kolmandad osapooled: kes on alltöövõtjad ja kus andmeid töödeldakse.
- Tõendid: sõltumatu audit, ISO 27001 sertifikaat, penetest, viimased intsidendid – sertifikaat üksi ei tõenda sinu kasutusviisi turvalisust.
- Väljumine: kuidas andmed tagasi saadakse, kustutatakse ja teenus lõpetatakse.
Küsi tõendeid, mis on seotud sinu teenusega. Üldine sertifikaat ei ütle, kas tarnija on sinu integratsiooni jaoks turvaliselt konfigureeritud.
Lepingutingimused, mis peavad kirjas olema
- Turvanõuded: ligipääsu, krüpteerimise, logimise, varunduse ja haavatavuste haldamise miinimum.
- Intsidendist teatamine: kellele, millise aja jooksul ja millise teabega; seo sinu enda NIS2 teatamise tähtaegadega.
- Auditi- ja tõendiõigus: õigus küsida tõendeid või teha kontrolli, ilma et see halvaks teenust.
- Alltöövõtt: eelnev teavitus või nõusolek, samad nõuded alltöövõtjale.
- Andmete asukoht ja kustutamine: kus andmeid hoitakse, kes pääseb ligi, mis saab lepingu lõppedes.
- Exit: andmete eksport, üleminekuaeg, tugi ja teenuse lõpetamise kord.
Pärast lepingut: pidev seire
Tarneahela risk muutub koos tarnija omaniku, alltöövõtjate, taristu ja intsidentidega. Seetõttu ei piisa ühekordsest küsimustikust enne lepingut. Sea iga kriitilise tarnija jaoks omanik, ülevaatuse sagedus ja päästikud: oluline intsident, omandimuutus, uus alltöövõtja, uus andmevoog või suur versiooniuuendus.
Seire ei pea tähendama pidevat skaneerimist. Sageli on väärtuslikum kvartaalne vestlus tarnijaga, intsidentide ülevaatus ja tõendite uuendamine. Kirjuta üles, mida otsustati ja miks.
Milliseid tõendeid hoida
- Tarnijate register koos kriitilisuse, omaniku ja lepinguviitega.
- Due diligence'i kokkuvõte ja riskihinnang enne lepingut.
- Lepingus olevad turva- ja teatamisklauslid.
- Iga-aastane või sündmuspõhine ülevaatus, osalejad ja otsused.
- Intsidentide, paranduste ja exit-testi tõendid.
Register peab olema seotud tegelike süsteemide ja funktsioonidega. Kui tarnijat ei saa seostada ühegi protsessi või varaga, on tõenäoliselt tegemist ebavajaliku kirjega või puuduva kaardistusega.
Levinud vead
- Kõik tarnijad samas tasemes: kriitiline pilveteenus ja kontoritarve saavad sama küsimustiku.
- Ainult sertifikaat: ISO 27001 ei tõenda sinu integratsiooni turvalisust.
- Alltöövõtjad nähtamatud: leping on peakontoga, andmeid töötleb teine firma.
- Teatamistähtaeg liiga pikk: tarnija teavitab nädalaga, sinu NIS2 tähtaeg on 24 tundi.
- Exit puudub: andmete tagasisaamine selgub alles lepingu lõppedes.
30/60/90 päeva plaan
- 0–30 päeva: loo tarnijate register, määra omanikud ja kriitilisus; leia kriitilised funktsioonid ja nende tarnijad.
- 31–60 päeva: vii kriitilistele tarnijatele läbi due diligence; kontrolli lepingutingimusi ja teatamistähtaegu.
- 61–90 päeva: kirjuta puuduvad klauslid, sea ülevaatuste kalender ja testi ühe kriitilise tarnija exit-plaani.
Kui oled finantssektoris, vaata lisaks DORA nõudeid: seal on teaberegister ja kolmandate osapoolte risk eraldi reguleeritud.
Küsimused tarneahela kohta
Kas NIS2 nõuab kõigi tarnijate auditeerimist?
Ei. Nõue on riskipõhine. Kõigi tarnijate sügav audit ei ole proportsionaalne ega realistlik. Kriitilised tarnijad vajavad sügavamat kontrolli, madala riskiga tarnijad kergemat.
Kas ISO 27001 sertifikaat on piisav tõend?
Sertifikaat näitab, et tarnijal on juhtimissüsteem, kuid ei tõenda sinu teenuse konfiguratsiooni, andmevooge ega intsidentide käsitlemist. Küsi lisaks teenusepõhiseid tõendeid ja lepingulisi kohustusi.
Mida kirjutada intsidendi teatamise klauslisse?
Vähemalt: kes teatab, kellele, millise aja jooksul, millise teabega ja kuidas uuendatakse. Tarnija teavitamise aeg peab mahtuma sinu enda NIS2 teatamistähtaegadesse.
Kas väikeettevõttest tarnija vajab sama kontrolli?
Kontrolli sügavus sõltub tema rollist, mitte ainult suurusest. Väike tarnija, kellel on administraatoriõigus kriitilisele süsteemile, võib vajada rohkem kontrolli kui suur tarnija, kellel puudub ligipääs andmetele.
Allikad
- NIS2 direktiiv (EL) 2022/2555, artikkel 21.
- ENISA: Good Practices for Supply Chain Cybersecurity.
- Tehisabiline: NIS2 kontrollnimekiri.
See artikkel on selgitav, mitte õigusnõu. Kohustuse ulatuse ja tõendite piisavuse kinnitab sinu riskipõhine otsus ja pädev asutus.