Tarnijate kaasamine NIS2 järgi: mida nõuab BSIG § 30 tarneahela kohta?

BSI seadus NIS2 direktiivi ülevõtmise seaduse kohases redaktsioonis (Saksamaa föderaalne seadusteleht BGBl. 2025 I nr 301) eristab olulisi ja tähtsaid üksusi (BSIG § 28). Määravad on üksuse liik lisade 1 ja 2 järgi – näiteks energeetika, transport, finantssektor, posti- ja kullerteenused või töötlev tööstus – ning selle suurus.

Lisas 1 nimetatud üksus on oluline alates 250 töötajast või siis, kui tema aastakäive ületab 50 miljonit eurot ja samal ajal bilansimaht ületab 43 miljonit eurot. Lisas 1 või 2 nimetatud üksus on tähtis alates 50 töötajast või siis, kui nii käive kui ka bilansimaht ületavad kumbki 10 miljonit eurot. Mõned üksused, näiteks kriitiliste rajatiste käitajad, kuuluvad kohaldamisalasse olenemata suurusest.

Tarnijad ei pea ise seaduse kohaldamisalasse kuuluma, et selle mõju tunda: nende kliendid peavad tõendama tarnesuhte turvalisust ja annavad seetõttu nõuded tarnijatele edasi.

§ 30 lõikes 2 on loetletud kümme meedet, mis peavad riskijuhtimise osana olema vähemalt rakendatud. Punktis 4 on nimetatud tarneahela turvalisus, sealhulgas otseste tarnijate või teenuseosutajatega peetavate suhete turvalisusega seotud aspektid. Punkt 5 lisab turvameetmed hankimisel, arendamisel ja hooldamisel, sealhulgas turvanõrkuste käsitlemise ja avalikustamise.

Direktiiv (EL) 2022/2555 on selles kohas konkreetsem: artikli 21 lõike 3 kohaselt võtavad üksused arvesse iga otsese tarnija eripäraseid nõrkusi ning oma tarnijate toodete ja küberturvalisuse tavade üldist kvaliteeti. Saksamaa seaduse tekstis seda lõiget sõna-sõnalt ei ole; seaduseelnõu seletuskiri (Bundestagi trükis, BT-Drucksache 21/1501) käsitleb seda § 30 selgitustes.

Seadusest ei tulene kindlat küsimustikku. Praktikas on end tõestanud neli sammu: liigitada tarnijad kriitilisuse järgi (milliseid andmeid, süsteeme ja protsesse nad puudutavad?), määrata igale tasemele miinimumnõuded, kontrollida nende täitmist tõendite põhjal ja säilitada tulemus nii, et seda saab auditi käigus esitada.

Tüüpilised nõuded puudutavad juurdepääsukaitset, näiteks mitmikautentimist, krüpteerimist, turvanõrkuste ja turvapaikade haldust, hädaolukorraks valmisolekut, turvaintsidentidest teatamise kanaleid ja sertifikaate, nagu ISO/IEC 27001. Kui tarnija töötleb isikuandmeid teie nimel, lisandub GDPR-i artikli 28 kohane leping.

Kontroll ei ole ühekordne: sertifikaadid aeguvad, alltöövõtjad vahetuvad, nõuded muutuvad. Seepärast kuuluvad korduvad kontrollid riskijuhtimise juurde.

BSIG § 33 kohaselt peavad asjaomased üksused registreeruma Saksamaa Föderaalses Infoturbeametis (BSI) hiljemalt kolm kuud pärast seda, kui neid esimest korda üksuseks loetakse. BSI andmetel on see tähtaeg nende üksuste puhul, kes kuulusid kohaldamisalasse juba seaduse jõustumisel, möödunud; nad peavad viivitamata registreeruma.

Juhtkond peab riskijuhtimismeetmed rakendama ja nende rakendamist jälgima (BSIG § 38 lõige 1) ning regulaarselt koolitustel osalema (BSIG § 38 lõige 3).

BSIG § 65 kohaselt võib § 30 rikkumise eest määrata trahvi kuni 10 miljonit eurot oluliste üksuste puhul ja kuni 7 miljonit eurot tähtsate üksuste puhul. Kui ülemaailmne aastakäive ületab 500 miljonit eurot, on ülempiir vastavalt 2 % või 1,4 % sellest käibest.

Vendo4u ei kajasta nõudeid iga kliendi eraldi küsimustikuna, vaid ühise kataloogina: tarnijad esitavad oma andmed infoturbe, andmekaitse ja talitluspidevuse kohta ühe korra ning tõendavad neid iga kriteeriumi juurde lisatud dokumentidega. Ostjad filtreerivad oma miinimumnõuete järgi, võrdlevad tarnijaid ja ekspordivad profiili koos tõenditega oma dokumentatsiooni jaoks.

Hindamiskohustus jääb üksusele. Vendo4u annab selleks ühtse ja jälgitava aluse.