Toimittajien onboarding NIS2:n mukaan: mitä BSIG:n 30 § edellyttää toimitusketjun osalta?

NIS2-direktiivin täytäntöönpanolailla (Saksan säädöskokoelma BGBl. 2025 I nro 301) muutettu BSI-laki erottaa toisistaan keskeiset ja tärkeät toimijat (BSIG:n 28 §). Ratkaisevia ovat toimijan tyyppi liitteiden 1 ja 2 mukaan – esimerkiksi energia, liikenne, rahoitus, posti- ja kuriiripalvelut tai valmistusteollisuus – ja toimijan koko.

Liitteessä 1 tarkoitettu toimija on keskeinen, jos sillä on vähintään 250 työntekijää tai jos sen vuosiliikevaihto on yli 50 miljoonaa euroa ja samalla taseen loppusumma yli 43 miljoonaa euroa. Liitteessä 1 tai 2 tarkoitettu toimija on tärkeä, jos sillä on vähintään 50 työntekijää tai jos sen liikevaihto ja taseen loppusumma ovat kumpikin yli 10 miljoonaa euroa. Jotkin toimijat, kuten kriittisten laitosten ylläpitäjät, kuuluvat soveltamisalaan koosta riippumatta.

Toimittajien ei tarvitse itse kuulua lain soveltamisalaan tunteakseen sen vaikutukset: niiden asiakkaiden on osoitettava toimitussuhteen turvallisuus, ja siksi ne siirtävät vaatimukset toimittajilleen.

BSIG:n 30 §:n 2 momentissa luetellaan kymmenen toimenpidettä, jotka riskienhallinnan on vähintään sisällettävä. Sen 4 kohdassa mainitaan toimitusketjun turvallisuus, mukaan lukien suhteisiin suoriin toimittajiin tai palveluntarjoajiin liittyvät turvallisuusnäkökohdat. Sen 5 kohta lisää turvallisuuden hankinnassa, kehittämisessä ja ylläpidossa, mukaan lukien haavoittuvuuksien hallinta ja julkistaminen.

Direktiivi (EU) 2022/2555 on tässä kohdin täsmällisempi: sen 21 artiklan 3 kohdan mukaan toimijat ottavat huomioon kullekin suoralle toimittajalle ominaiset haavoittuvuudet sekä toimittajiensa tuotteiden ja kyberturvallisuuskäytäntöjen yleisen laadun. Tätä kohtaa ei ole kirjattu sanatarkasti Saksan lakitekstiin; lain perustelut (liittopäivien asiakirja BT-Drucksache 21/1501) viittaavat siihen 30 §:n kohdalla.

Laki ei määrää kiinteää kyselylomaketta. Käytännössä toimiviksi ovat osoittautuneet neljä vaihetta: toimittajat luokitellaan kriittisyyden mukaan (mihin tietoihin, järjestelmiin ja prosesseihin ne liittyvät?), kullekin luokalle asetetaan vähimmäisvaatimukset, vaatimusten täyttyminen tarkastetaan todisteiden perusteella ja tulos arkistoidaan niin, että se voidaan esittää auditoinnissa.

Tyypilliset vaatimukset koskevat pääsynhallintaa, kuten monivaiheista tunnistautumista, salausta, haavoittuvuuksien ja päivitysten hallintaa, häiriötilanteisiin varautumista, tietoturvapoikkeamien ilmoituskanavia sekä sertifiointeja, kuten ISO/IEC 27001. Jos toimittaja käsittelee henkilötietoja asiakkaan lukuun, mukaan tulee GDPR:n 28 artiklan mukainen sopimus.

Tarkastus ei ole kertaluonteinen: sertifikaatit vanhenevat, alihankkijat vaihtuvat ja vaatimukset muuttuvat. Toistuvat tarkastukset kuuluvat siksi riskienhallintaan.

BSIG:n 33 §:n mukaan soveltamisalaan kuuluvien toimijoiden on rekisteröidyttävä Saksan liittovaltion tietoturvavirastoon (BSI) viimeistään kolmen kuukauden kuluttua siitä, kun ne ensimmäisen kerran katsotaan toimijaksi. BSI:n mukaan tämä määräaika on jo päättynyt toimijoilla, jotka kuuluivat lain soveltamisalaan sen tullessa voimaan; niiden on rekisteröidyttävä viipymättä.

Johdon on toteutettava riskienhallintatoimenpiteet ja valvottava niiden toteutusta (BSIG:n 38 §:n 1 momentti) sekä osallistuttava säännöllisesti koulutukseen (BSIG:n 38 §:n 3 momentti).

BSIG:n 65 §:n mukaan 30 §:n rikkomisesta voidaan määrätä seuraamusmaksu, joka on keskeisille toimijoille enintään 10 miljoonaa euroa ja tärkeille toimijoille enintään 7 miljoonaa euroa. Jos maailmanlaajuinen vuosiliikevaihto on yli 500 miljoonaa euroa, enimmäismäärä on 2 % ja vastaavasti 1,4 % tästä liikevaihdosta.

Vendo4u ei esitä vaatimuksia asiakaskohtaisena kyselylomakkeena vaan yhteisenä kriteeristönä: toimittajat tallentavat tietoturvaa, tietosuojaa ja toiminnan jatkuvuutta koskevat tietonsa kerran ja tukevat niitä kunkin kriteerin yhteyteen liitetyillä dokumenteilla. Ostajat suodattavat vähimmäisvaatimustensa mukaan, vertailevat toimittajia ja vievät profiilin todisteineen omaan dokumentaatioonsa.

Arviointivelvollisuus säilyy toimijalla. Vendo4u tarjoaa sille yhtenäisen ja jäljitettävän perustan.