NIS2-vaatimukset huomioivassa IT-toimittajasopimuksessa eivät riitä vaatimustenmukaisuusvakuutus, yleisluonteinen tietoturvaehto ja kuukausittainen käytettävyysprosentti. Palveluun liittyvät riskit on muutettava selkeäksi vastuunjaoksi, mitattaviksi palvelutasoiksi, nopeaksi poikkeamatiedonkuluksi, oikeudeksi saada todentavaa näyttöä sekä toteuttamiskelpoiseksi irtautumissuunnitelmaksi. Lähtökohtana ovat palvelun kriittisyys ja osapuolten tosiasiallinen määräysvalta. Vasta niiden perusteella voidaan määrittää sopimukseen sisällytettävät suojaustoimet, määräajat, tarkastusoikeudet ja ilmoitusvelvollisuudet.
Sopimus riskienhallinnan ohjauskeinona
Sopimusten tarkastamista ei pidä aloittaa valmiista tietoturvalausekkeesta, vaan organisaation toimittajariippuvuuksien kartoittamisesta. Jokaisesta toimittajasta on tunnistettava sen tukemat palvelut, prosessit, järjestelmät, tiedot ja sijainnit sekä arvioitava käytettävyyskatkon tai tietoturvaloukkauksen vaikutukset. Etusijalle asetetaan riippuvuudet, joiden häiriintyminen voi keskeyttää toiminnan, vaarantaa velvoitteiden täyttämisen tai vaikeuttaa poikkeaman käsittelyä. Kaikki IT-palvelut eivät siksi edellytä samanlaisia sopimusperusteisia suojaustoimia.
Toimittajan kriittisyysluokituksen tulee perustua liiketoimintavaikutusten analyysiin ja riskiarviointiin, ei pelkästään sopimuksen arvoon. Erityistä huomiota vaativat palvelut, joiden jatkuvuudesta ja poikkeamien hallinnasta yritys vastaa, vaikka toimittaja hallitsee palvelun palauttamiseen tarvittavia teknisiä tietoja, tapahtumalokeja, varmuuskopioita tai käyttöympäristöä. Organisaation on myös nimettävä toimittajariskiin liittyvä riskinomistaja. Ilman tätä roolia vastuu jää helposti hajalleen hankinnan, IT:n, tietoturvan ja prosessinomistajan välille.
Sopimuksen sisältö on suunniteltava häiriöskenaarioiden pohjalta. Näitä ovat esimerkiksi palvelukatko, hyökkäys, tietojen katoaminen tai vahingoittuminen, toimittajan henkilöstön tavoittamattomuus, alihankintaketjun häiriintyminen ja yhteistyön päättyminen. Jokaisessa skenaariossa on määritettävä osapuolten toimet, vastuut, tiedonkulku ja palauttamisen edellytykset. Näistä johdetaan käytettävyystasot, reagointi- ja palautumisajat, vaadittava dokumentaatio sekä tarkastusoikeudet.
Lupaus korkeasta käytettävyydestä ei määritä, kuinka kauan tuotantoa ohjaava järjestelmä saa olla poissa käytöstä, mistä hetkestä katkos lasketaan tai kuka toimittaa poikkeaman arviointiin tarvittavat tiedot. Se ei myöskään takaa pääsyä tapahtumalokien kopioihin, alihankkijatietoihin tai palvelun turvalliseen siirtämiseen tarvittaviin aineistoihin. Puutteet tulevat yleensä esiin vasta häiriötilanteessa, jolloin vastuunjako ei enää voi perustua oletuksiin.
Viittauksen NIS2-direktiiviin tai sovellettaviin KSC-vaatimuksiin tulee täydentää riski- ja vastuuanalyysiä, ei korvata sopimuksen operatiivista sisältöä. Laajempi johtamisnäkökulma esitetään aineistossa NIS2 tuotantoyrityksille: keitä vaatimukset koskevat, mitä velvoitteita ne tuovat ja miten organisaatio valmistellaan rajaamatta asiaa vain IT:hen. Sopimusmuutosten laajuus on aina sovitettava organisaation asemaan, palvelun kriittisyyteen ja osapuolten tosiasialliseen määräysvaltaan.
Palvelun laajuus ja vastuunjako
Vastuut on kuvattava teknisessä liitteessä, eikä niitä pidä jättää sopimuksen kohteen yleisen määritelmän varaan. Liitteessä tulee yksilöidä palvelun piiriin kuuluvat omaisuuserät ja ympäristöt, tietotyypit, käsittely- ja palvelusijainnit, rajapinnat, tukiajat sekä rajaukset. Ilman näitä tietoja ei voida yksiselitteisesti määrittää, mihin toimittajan vastuu päättyy, mikä tapahtuma käynnistää SLA-mittauksen tai kuka suojaa järjestelmien rajapinnat.
Tietoturvatoimet kannattaa määritellä vaaditun lopputuloksen, vastuullisen osapuolen ja toteutusta osoittavan näytön kautta. Teknologiset yksityiskohdat voidaan pitää hallitussa teknisessä dokumentaatiossa, jolloin sopimus ei vanhene tarpeettoman nopeasti. Toimittajan vakioitu suojausvalikoima voidaan hyväksyä vasta, kun sitä on verrattu kyseisen palvelun riskeihin ja havaitut puutteet on korjattu. Vastuumatriisin tulee erottaa toisistaan kontrollin omistaja, toteuttaja ja poikkeamien hyväksyjä.
| Osa-alue | Asiakas | Toimittaja tai alihankkija | Vaadittava näyttö |
|---|---|---|---|
| Käyttöoikeudet ja konfiguraatio | Hyväksyy roolit ja vaatimukset | Myöntää, kirjaa ja poistaa oikeudet sekä ylläpitää konfiguraatiota | Käyttöoikeusrekisteri, katselmukset ja muutoshistoria |
| Päivitykset, haavoittuvuudet ja haittaohjelmasuojaus | Määrittää hyväksyttävät huoltoikkunat ja poikkeukset | Valvoo, arvioi ja toteuttaa suojaustoimet | Haavoittuvuusraportti sekä päivitys- ja poikkeamarekisteri |
| Tapahtumien lokitus | Määrittää lokien vaaditun laajuuden ja saatavuuden | Kerää, suojaa ja luovuttaa lokit | Lokinäyte sekä vahvistus säilytysajasta ja käyttöoikeuksien hallinnasta |
| Varmuuskopiointi ja palautus | Määrittää jatkuvuusvaatimukset | Tekee varmuuskopiot ja palautustestit | Raportti varmuuskopioinnista ja palautustestistä |
| Tietojen poistaminen | Hyväksyy laajuuden ja määräajan | Poistaa tiedot ja niiden kopiot sovitulla menetelmällä | Poistopöytäkirja tai muu vahvistus poistamisesta |
Jos toimittaja hallinnoi ympäristöä, sopimuksessa on lisäksi määriteltävä etuoikeutettu käyttö: tehtävien eriyttäminen, tunnistautumismenetelmät, ylläpitotoimien kirjaaminen sekä oikeuksien viivytyksetön poistaminen roolin vaihtuessa tai yhteistyön päättyessä. Pelkkä vakuutus varmuuskopioiden tekemisestä ei riitä, jos asiakas ei tiedä, kuka varmuuskopiot salaa, missä niitä säilytetään, kuka voi palauttaa ne ja millä asiakirjalla palautustestin tulos osoitetaan.
Toimittajan tulee ylläpitää ajantasaista luetteloa palveluun vaikuttavista alihankkijoista, niiden rooleista ja käsittelysijainneista. Alihankkijoihin on ulotettava vähintään asiakkaan kanssa sovittua vastaavat vaatimukset. Sopimuksessa on ratkaistava, mitkä muutokset edellyttävät ennakkohyväksyntää ja mistä riittää ilmoitus sekä uusi riskiarviointi. Hallintajärjestelmäsertifikaatti voi tukea arviointia, mutta se ei korvaa palvelukohtaisten vastuiden määrittelyä. Tätä suhdetta käsitellään tarkemmin aineistossa NIS2 ja SFS-EN ISO 27001: mitä sertifikaatti osoittaa ja mitä KSC-vaatimusten täyttämisestä on edelleen arvioitava erikseen.
Todennettavat tietoturvaehdot
Tietoturvaehto on aidosti arvioitavissa vasta, kun siinä määritellään odotettu tulos, soveltamisala, toteutustiheys, todentamistapa ja poikkeamien käsittely. Ilmaisut ”parhaiden käytäntöjen mukaisesti” tai ”asianmukaista huolellisuutta noudattaen” voivat täydentää vaatimuksia, mutta niiden perusteella ei voida arvioida velvoitteen toteutumista. Jokaiselle kontrollille on nimettävä vaatimuksen omistaja, näytön säilytysaika ja poikkeuksen hyväksymiseen oikeutettu osapuoli.
Vaatimusten tulee kattaa vähintään haavoittuvuuksien ja päivitysten hallinta, turvallisen konfiguraation ylläpito, salaus, tapahtumalokien suojaus ja säilytys, varmuuskopiointi, palautustestit, muutoksenhallinta sekä käyttöoikeuksien hallinta. Käyttöoikeuskatselmusten, palautustestien ja raportoinnin tiheys sekä haavoittuvuuksien korjausajat on johdettava palvelun riskiarviosta. Niitä ei pidä määrittää samoiksi kaikille toimittajille.
Jokainen poikkeama on kirjattava rekisteriin perusteluineen, korjausmääräaikoineen, riskinomistajineen ja korvaavine kontrolleineen. Hyväksyntä edellyttää arviota siitä, alentavatko korvaavat kontrollit riskin organisaation hyväksymälle tasolle.
Säännöllistä varmuuskopiointia koskeva ehto on puutteellinen, ellei siinä yksilöidä kopioitavia tietoja ja järjestelmiä, säilytysaikaa, suojausta muuttamiselta tai poistamiselta, käyttöoikeusperiaatteita sekä palautustestien tiheyttä. Ehdossa on myös määritettävä, miten epäonnistuneesta varmuuskopioinnista tai palautustestistä ilmoitetaan, kuka hyväksyy korjaavat toimet ja millä raportilla niiden loppuunsaattaminen osoitetaan. Samoin haavoittuvuuksien korjaamisessa on sovittava luokittelumenetelmästä, riskiperusteisista reagointiajoista, päivitysten lykkäämisperiaatteista ja väliaikaisten kontrollien dokumentoinnista.
Näyttö on jaettava määräajoin toimitettavaan ja pyynnöstä saataville annettavaan aineistoon. Ensimmäiseen ryhmään voivat kuulua haavoittuvuusyhteenvedot, päivitysraportit, palautustestien tulokset ja käyttöoikeuskatselmusten vahvistukset. Poikkeaman, merkittävän muutoksen tai havaitun vaatimustenvastaisuuden jälkeen voidaan tarvita yksityiskohtaisia testituloksia, tapahtumalokeja, muutoshistoriaa, poikkeusrekisteriä ja korjaavien toimenpiteiden suunnitelmaa. Aineistojen laajuus, omistajuus ja säilytysajat kannattaa kytkeä oppaassa NIS2- ja KSC-dokumentaatio ennen tarkastusta: mitä politiikkoja, rekistereitä ja näyttöä todella tarvitaan kuvattuihin periaatteisiin.
Tarkastusoikeuden on oltava porrastettu ja toteuttamiskelpoinen myös pilvipalvelutoimittajien osalta. Ensimmäinen taso voi sisältää dokumenttien tarkastamisen ja selvityskokouksen, seuraava riippumattomat raportit tai sovitut testit. Paikan päällä tehtävä auditointi voidaan varata kohonneen riskin, merkittävän poikkeaman tai epäluotettavan näytön tilanteisiin. Sopimuksessa tulee määrittää määräajat, luottamuksellisuus, tekninen laajuus ja havaintojen käsittely ilman, että asiakkaalle luvataan jaetussa ympäristössä mahdottomia tarkastusoikeuksia.
SLA tukemaan häiriönsietokykyä, ei vain käytettävyyttä
SLA-vaatimusten tulee perustua liiketoimintavaikutusten analyysiin, ei toimittajan vakiomuotoiseen palvelutasoluetteloon. Prosessinomistaja määrittää ensin siedettävän keskeytysajan, hyväksyttävän tietohävikin sekä käyttökatkon vaikutukset tuotantoon, asiakaspalveluun, laskutukseen ja oikeudellisiin velvoitteisiin. Tämän jälkeen voidaan asettaa palautumisaikatavoitteet, korvaavaa palvelua ja varamenettelyä koskevat vaatimukset sekä palvelupyyntöjen prioriteetit. Kuukausittainen käytettävyysprosentti ei kerro, voiko yksittäinen kriittiseen ajankohtaan osuva häiriö pysäyttää prosessin organisaation sietokykyä pidemmäksi ajaksi.
Käytettävyyden lisäksi sopimuksessa on määritettävä ajat ilmoituksen vastaanoton vahvistamiselle, vianmäärityksen aloittamiselle, toiminnallisuuden palauttamiselle ja juurisyyn poistamiselle. Samoin on sovittava tilanneviestinnän tiheydestä, eskalointitasoista ja normaalin palveluajan ulkopuolisesta toiminnasta. Reagointiaika ei ole sama kuin palautumisaika, eikä väliaikaisen ratkaisun käyttöönotto merkitse ongelman lopullista korjaamista. Käsitteiden erottaminen auttaa operatiivista henkilöstöä arvioimaan, milloin työ voi jatkua, ja palvelun omistajaa seuraamaan, milloin juurisyyanalyysi ja pysyvä korjaava toimenpide valmistuvat.
Tuotantoprosessia ohjaavan järjestelmän kriittinen poikkeama voi edellyttää välitöntä eskalointia ja jatkuvaa viestintää varamenettelyn käynnistymiseen asti. Vastaava tekninen häiriö koulutusympäristössä voidaan luokitella alemmalle prioriteetille. Luokittelun on siksi perustuttava liiketoimintavaikutukseen, ei pelkkään tekniseen vikakuvaukseen. Jos organisaatiolla on luotettavaa historiatietoa, raja-arvojen määrityksessä tulee hyödyntää toteutuneita reagointi- ja palautumisaikoja, käytettävyystuloksia ja toistuvien häiriöiden määrää.
Mittausmenetelmässä on yksilöitävä tietolähde, aikavyöhyke, laskennan aloitus- ja päättymishetki, sovitut palveluajat, huoltoikkunat sekä poikkeaman luokituksen muuttamista koskevat säännöt. Mittauksen ulkopuolelle jätettävät tilanteet on määritettävä suljetussa ja todennettavassa luettelossa. Poissulku ei saa koskea toimittajan vastuulla olevia tapahtumia. Määritysten vastaavuutta todelliseen operatiiviseen valmiuteen voidaan arvioida aineiston NIS2-auditointi tuotantoyrityksessä – miten organisaation valmius uusiin velvoitteisiin arvioidaan mukaisesti.
Palveluhyvitykset tai nimelliset korvaukset eivät palauta prosessia eivätkä vähennä käyttökatkon seurauksia. Vaikuttavampia ehtoja ovat velvollisuus esittää korjaussuunnitelma, johdon eskalointi, ylimääräiset häiriönsietotestit ja oikeus päättää sopimus, jos sovittuja tasoja alitetaan jatkuvasti tai toistuvasti. Taloudellinen seuraamus voi vahvistaa vastuuta, mutta se ei korvaa palvelun palauttamista, juurisyiden poistamista ja uusien häiriöiden ehkäisyä.
Poikkeamat ja ilmoitusvelvollisuudet
Sopimuksen tulee velvoittaa toimittaja ilmoittamaan viipymättä tapahtumasta, joka voi vaikuttaa palveluun, tietoihin, toiminnan jatkuvuuteen tai asiakkaan turvallisuuteen. Ensimmäistä ilmoitusta ei saa sitoa siihen, että syy, vahingon laajuus tai tapahtuman oikeudellinen luokittelu on vahvistettu lopullisesti. Sopimukseen asetettavan määräajan tulee jättää asiakkaalle riittävä aika omaan arviointiin ja mahdollisten ulkoisten ilmoitusmääräaikojen noudattamiseen. Määräaika johdetaan palvelun kriittisyydestä ja ympärivuorokautisen yhteyspisteen saatavuudesta, ei osapuolten hallinnollisesta mukavuudesta.
Tiedonkulku on jaettava ensivaroitukseen, tilannepäivityksiin, jälkiraporttiin ja juurisyyanalyysiin. Jokaiselle vaiheelle on määritettävä tietosisältö, sallittu kanava, vastaanottajat, päivitystiheys ja eskalointitapa yhteyden epäonnistuessa. Ensimmäisen ilmoituksen tulee sisältää vähintään havaitsemisaika, vaikutuksen kohteena olevat omaisuuserät ja palvelut, arvioitu vaikutus, toteutetut toimet, käytettävissä olevat tekniset indikaattorit, arvio leviämisriskistä sekä seuraavan päivityksen ajankohta. Yhteystietoluettelossa on oltava varahenkilöt, ja sen toimivuus on testattava määräajoin myös normaalin työajan ulkopuolella.
Jos toimittaja havaitsee epätavallista verkkoliikennettä kriittistä sovellusta ylläpitävässä ympäristössä, asiakkaalle on annettava varoitus jo ennen kuin tapahtuman mahdollinen luonne tietoturvaloukkauksena on vahvistettu. Asiakas käynnistää oman poikkeamanhallintaprosessinsa, nimeää päätöksenteosta vastaavan henkilön, ottaa mukaan reagointiryhmän ja tarvittaessa vakuutusyhtiön sekä määrittää, kuka hyväksyy ulkoiset ilmoitukset ja asiakasviestinnän. Toimittaja säilyttää sovitut lokit ja tekniset jäljet sekä tukee analysointia, vaikutusten rajaamista ja tapahtuman laajuuden määrittämistä. Se ei kuitenkaan ota vastuulleen asiakkaan sääntelyyn perustuvia velvoitteita.
Ehdoissa on määritettävä myös todistusaineiston säilyttämisen ja luovuttamisen periaatteet, aineiston eheyden suojaus, päätösten dokumentointi sekä ulkoisiin ilmoituksiin ja myöhempään juurisyyanalyysiin tarvittavien tietojen tuottaminen. Ulkoisten ilmoitusten määräajat, vastaanottajat ja sisältö on aina tarkistettava ajantasaisen lainsäädännön, organisaation aseman ja tapahtuman luonteen perusteella. Ilmoitus-, päätös-, eskalointi- ja toimenpiderekisterit tulee kytkeä aineistoon NIS2- ja KSC-dokumentaatio ennen tarkastusta: mitä politiikkoja, rekistereitä ja näyttöä todella tarvitaan. Mukauttamisen aikataulua käsitellään aineistossa NIS2:n toimeenpano KSC-luetteloon merkitsemisen jälkeen – toimintasuunnitelma 3.4.2027 mennessä.
Käyttöönotto, valvonta ja hallittu irtautuminen
Sopimusliitteen allekirjoittaminen ei päätä toimittajahallintaa. Sopimuksen omistajan tulee katselmoida säännöllisesti SLA-tulokset, poikkeamat, hyväksytyt poikkeukset, korjaavat toimenpiteet, alihankkijamuutokset ja vaatimusten täyttymistä osoittavan näytön ajantasaisuus. Valvonnan perustana on sopimusrekisteri, joka sisältää vähintään uusimispäivän, omistajan, palvelun kriittisyysluokan ja tietoturvavaatimusten sopimistilanteen. Vaatimustenmukaisuusvakuutus ei korvaa raportteja, testituloksia tai velvoitteiden toteutumista osoittavia tallenteita.
Ennen sopimuksen uusimista tai palvelun merkittävää muutosta on arvioitava uudelleen palvelun kriittisyys, tekniset ja prosessiriippuvuudet, palvelujen keskittyminen yhdelle toimittajalle, kontrollien toteuttamiskelpoisuus sekä mahdollisuus siirtyä korvaavaan ratkaisuun. Katselmuksen perusteella ratkaistaan, riittääkö sopimusmuutos vai tarvitaanko uusi hankintamenettely. Jos strateginen toimittaja kieltäytyy auditoinnista tai ehtojen muuttamisesta, organisaation on dokumentoitava puute ja valittava korvaavan kontrollin, jäännösriskin muodollisen hyväksymisen tai toimittajan vaihtamisen välillä.
Irtautumissuunnitelman on oltava toteuttamiskelpoinen jo ennen sopimuksen irtisanomista. Sen tulee kattaa tietojen palauttaminen ja siirtäminen käyttökelpoisessa muodossa, migraatiotuki, jatkuvuuden ylläpito siirtymävaiheessa, käyttöoikeuksien poistaminen, kopioiden hävittäminen ja näiden toimien vahvistaminen. Samalla on säilytettävä oikeudellisiin, todentamis- ja auditointitarpeisiin vaadittavat tallenteet. Käytännön testi on tietojen koepalautus toiselle toimittajalle sekä täydellisyyden, siirtoajan ja vanhojen tunnusten sulkemismahdollisuuden tarkistaminen.
Sopimuskannan uudistaminen on aloitettava liiketoiminnan kannalta vaikutuksiltaan merkittävimmistä palveluista, ja puutteet on priorisoitava vaikutusten ja kiireellisyyden perusteella. Sovittujen mekanismien toimivuus kannattaa testata poikkeamaharjoituksella sekä otantaan perustuvalla näyttöauditoinnilla. SLA-katselmusten, poikkeamien, hyväksyttyjen poikkeusten, korjaavien toimenpiteiden ja irtautumistestien tulokset osoittavat, toimivatko vaatimukset käytännössä vai jäävätkö ne sopimustekstiksi.
Arvioinnin laajuus voidaan yhdistää aineistoon NIS2-auditointi tuotantoyrityksessä – miten organisaation valmius uusiin velvoitteisiin arvioidaan. Organisaation velvoitteet on samalla määritettävä sen aseman perusteella. Aihetta käsitellään aineistossa NIS2-direktiivi – keitä se koskee ja mitkä yritykset kuuluvat uusien vaatimusten piiriin?
Masz pytania? Porozmawiajmy.
Bezpłatna konsultacja – bez zobowiązań.
