Kolmandate osapoolte risk GDPR-i, NIS2 ja DORA lõikes

Sama tarnija võib tekitada privaatsuse, küberturvalisuse ja tegevuse toimepidevusega seotud kohustusi. Palgaarvestuse pakkuja töötleb isikuandmeid; hallatud teenuste pakkujal on privilegeeritud juurdepääs; pilveplatvorm toetab äriliselt kriitilisi rakendusi. Mõnikord teeb üks tarnija kõiki kolme.

Ühine tarnijakirje aitab meeskondadel hindamist koordineerida, tingimusel et iga kohustus jääb eristatavaks. CTO jaoks on praktiline väljakutse siduda lepingulised kohustused tehnilise tegelikkusega: millele tarnija ligi pääseb, kuidas rikked levivad, milliseid meetmeid on tõendatud ja kas organisatsioon suudab taastuda või lahkuda.

Tehke kohaldatavus kindlaks enne hinnangute ühendamist

Need õigusaktid kattuvad, kuid ei kohaldu igale organisatsioonile ega tarnijale ühtemoodi.

GDPR-i artikkel 28 nõuab, et vastutavad töötlejad kasutaksid volitatud töötlejaid, kes annavad piisavad tagatised. Artikli 28 kohane leping ei ole asjakohane ainult seetõttu, et tarnija saab andmeid: tehke kõigepealt kindlaks tegelik töötlemisroll.

NIS2 artiklid 20–23 käsitlevad juhtkonna järelevalvet, riskijuhtimismeetmeid ja olulistest intsidentidest teatamist. NIS2 on riigisisese õiguse kaudu rakendatav direktiiv, seega nõuavad kohaldamisala ja menetlused jurisdiktsioonipõhist kontrolli.

DORA-t on kohaldatud alates 17. jaanuarist 2025. See hõlmab peamiselt määratletud finantsüksusi; tavalised IKT-tarnijad võivad seista silmitsi klientide lepinguliste nõuetega, samas kui määratud kriitilistele IKT-teenuse pakkujatele kehtib eraldi järelevalvekord. Hõlmatud finantsüksuste puhul toimib DORA asjakohastes NIS2 valdkondades valdkonnaspetsiifilise ELi õigusena. Ärge dubleerige automaatselt mõlemat meetmete kogumit.

Ehitage kirje üles sõltuvuse ümber

Alustage teenusest, mitte tarnija küsimustikust. Üks tarnija võib pakkuda mitut teenust, millel on erinevad andmed, juurdepääs ja tegevuslik olulisus.

Praktilise baastasemena dokumenteerige:

• Teenus, tarnija juriidiline isik, äriomanik, tehniline omanik ja ülevaatajad.
• Toetatud funktsioonid, süsteemid, integratsioonid ja privilegeeritud juurdepääs.
• Isikuandmete kategooriad, töötlemise eesmärgid, asukohad ja alamtöötlejad.
• Käideldavusnõuded, taastamiseesmärgid ja talutav häire.
• Aluseks olevad pakkujad, lepingulised sõltuvused ja realistlikud alternatiivid.
• Kohaldatavad kohustused, tõendite kuupäevad, lahendamata puudujäägid ja otsused.

Tehke kindlaks, millised funktsioonid ebaõnnestuksid või halveneksid pärast ohustamist või katkestust. Tarnija, kes salvestab vähe tundlikke andmeid, võib siiski kontrollida autentimist või juurutuskonveiereid. Seevastu madala käideldavusriskiga teenus võib paljastada väga tundlikke isikuandmeid.

Hoidke need mõõtmed eraldi, selle asemel et need ühte selgitamata „kõrge riski“ skoori kokku suruda. DORA-ga hõlmatud finantsüksuste puhul siduge see tegevuslik inventar nõutava IKT-lepinguliste kokkulepete teaberegistriga; üldine tarnijate loend ei pruugi olla piisav.

Kasutage tõendeid uuesti, ilma et järeldusi pimesi üle võetaks

Turvaaruanne, andmevoo kaart või taastamistest võivad toetada mitut ülevaatust. Kontrollige enne neile toetumist nende teenuse ulatust, aruandeperioodi, välistusi, erandeid ja kliendi kohustusi.

Näiteks ei pruugi tarnija taristut hõlmav aruanne hõlmata tema tugitöötajate juurdepääsu kliendikirjetele. Dokumenteeritud varunduspoliitika ei näita, et taastamine vastab teie rakenduse taastamisnõuetele.

Pidage tõendite ja küsimuste maatriksit:

ISO sertifikaat või SOC 2 aruanne toetab kindlustandmist oma ulatuse piires; kumbki ei tõenda GDPR-ile või NIS2-le vastavust. Säilitage ülevaataja põhjendus, mitte ainult üles laaditud dokument. Turvatagatiste hindamine peaks olema korratav tehniline ülevaatus, mitte märgi kontroll.

Muutke nõuded lepinguteks ja meetmeteks

GDPR-i artikli 28 kohaselt peavad volitatud töötleja tingimused käsitlema töötlemise sisu, kestust, laadi ja eesmärki, andmete liike ja isikute kategooriaid. Need hõlmavad ka dokumenteeritud juhiseid, konfidentsiaalsust, turvalisust, alamtöötlejate tingimusi, abi, kustutamist või tagastamist ning teabe- ja auditikohustusi. Rahvusvahelised edastamised nõuavad eraldi V peatüki kohast hindamist; ainuüksi ELis majutamine ei lahenda juurdepääsu ega edasise edastamise küsimusi.

NIS2 artikkel 21 hõlmab tarneahela turvalisust ning otseste tarnijate haavatavuste ja küberturvalisuse tavade arvessevõtmist. Praktilised lepingulised ootused võivad hõlmata juurdepääsupiiranguid, haavatavuste käsitlemist, intsidentide puhul koostööd ja tõendite esitamist. Kohandage need teenuse ja riigisiseste nõuetega, selle asemel et käsitleda üht universaalset klauslipaketti õiguslikult piisavana.

DORA artikkel 30 täpsustab IKT-lepingusätted koos lisanõuetega kriitilisi või olulisi funktsioone toetavatele teenustele. Vaadake üle teenuse kirjeldused, asukohad, andmekaitse ja taastamine, abi, lõpetamine ning asjakohased järelevalveõigused. Need kriitilised või olulised funktsioonid nõuavad erilist tähelepanu teenustasemetele, aruandlusele, varumeetmetele, testimisel tehtavale koostööle, auditiõigustele ja üleminekukorraldusele.

Seejärel kontrollige rakendamist. Kui leping lubab piiratud halduslikku juurdepääsu, hankige tõendid rollide eraldamise, autentimise, kinnitamise ja logimise kohta. Kui see lubab kustutamist, tehke kindlaks, mis juhtub varukoopiate ja säilitatud kirjetega. Määrake õiguslikud ja tehnilised puudujäägid asjakohastele ülevaatajatele.

Kavandage intsidentide üleandmised enne intsidenti

Tarnija intsidentidele reageerimise poliitika võib toetada turvahinnangut, jättes teavitamiskohustused lahendamata. Määrake kontaktkanalid, eskaleerimise katvus, esmane teave, ajakohastuste ootused ja vastutus tõendite säilitamise eest.

GDPR-i artiklite 33–34 kohaselt teavitab volitatud töötleja vastutavat töötlejat põhjendamatu viivituseta. Vastutav töötleja hindab järelevalveasutuse teavitamist põhjendamatu viivituseta ja võimaluse korral 72 tunni jooksul pärast teadasaamist, välja arvatud juhul, kui rikkumine ei too tõenäoliselt kaasa ohtu isikute õigustele ja vabadustele. Suur oht võib nõuda isikute teavitamist, arvestades erandeid. Dokumenteerige põhjendus, kui teavitamine ei ole nõutav.

NIS2 ELi tasandi teatamisetapid oluliste intsidentide puhul hõlmavad 24 tunni jooksul esitatavat varajast hoiatust, 72 tunni jooksul esitatavat teadet ja üldjuhul lõpparuannet ühe kuu jooksul pärast teavitamist; kontrollige riigisiseseid ja valdkondlikke reegleid. DORA-l on suurte IKT-intsidentide jaoks oma teatamisraamistik. Ärge asendage neid hinnanguid tarnija ühe „rikkumise“ märkega.

Praktilise soovitusena harjutage tarnija intsidenti puuduliku teabega. Testige, kas meeskonnad suudavad kindlaks teha mõjutatud teenused, avatuse, tegevusliku mõju ja teatamisotsused, ootamata lõplikku algpõhjuse aruannet.

Näide: üks teenus, kolm ülevaatusrada

Oletame illustratiivselt, et hõlmatud finantsüksus kasutab majutatud klienditoe platvormi, mis töötleb isikuandmeid ja toetab funktsiooni, mille üksus on DORA alusel klassifitseerinud kriitiliseks või oluliseks.

Tarnija esitab kindlustandmise aruande, intsidendipoliitika ja taastamistesti kokkuvõtte. Turvalisus leiab, et halduslikud juurdepääsukontrollid on tõendatud, kuid taastamistest jätab välja kliendi integratsiooni.

Privaatsus tuvastab eraldi ebaselge alamtöötlejate muutmise protsessi ja lahendamata kaugjuurdepääsuga seotud edastamiskorralduse. DORA ülevaatus leiab, et üleminekuabi ja asjakohased auditisätted vajavad tähelepanu.

Saadud tegevuskava on konkreetne:

• Tehniline omanik testib integratsiooni taastamist ja dokumenteerib tulemuse.
• Privaatsuse ülevaataja lahendab alamtöötlejate ja edastamise küsimused.
• Õigusosakond ja hange käsitlevad lepingulisi puudujääke.
• Vastutav omanik otsustab, kas ajutine kasutamine on aktsepteeritav, koos tingimuste ja ülevaatuse kuupäevaga.

Tõendeid kasutatakse uuesti, kuid ühtegi kolmest järeldusest ei tuletata teisest. Läbitud turvaülevaatus ei sulge privaatsuse ega toimepidevuse puudujääke.

Jälgige muudatusi, kontsentratsiooni ja teostatavat väljumist

Seadke ülevaatuse sagedus vastavalt sõltuvusele ja riskile. Käivitage täiendav ülevaatus pärast intsidente, suuri teenusemuudatusi, uusi alamtöötlejaid, andmete asukoha muudatusi, omandimuudatusi või lepingu uuendamist.

Vaadake tarnijate nimede taha: mitu teenust võivad sõltuda samast pilveregioonist, identiteedipakkujast või alltöövõtjast. Hinnake korreleeritud häireid ja seda, kas kavandatud alternatiiv jagab sama sõltuvust. DORA artikkel 29 käsitleb sõnaselgelt IKT-kontsentratsiooniriski hindamist.

Pidage proportsionaalset väljumisplaani, mis hõlmab andmete eksporti, migratsiooni, jätkuvust, juurdepääsu tühistamist ja kustutamise tõendeid. Testige ekspordi kasutatavust ja tehke kindlaks, kes saab asenduslahendust käitada. Lõpetamisõigus on kasulikum, kui organisatsioon suudab seda ka teostada.

Ka tagajärjed erinevad. GDPR-il on rikkumisepõhised karistusastmed; NIS2 nõuab riigisiseseid karistuskorraldusi, millel on oluliste ja tähtsate üksuste jaoks erinevad ülemmäärad. DORA sanktsioonid finantsüksustele sõltuvad kohaldatavast korraldusest, samas kui kriitiliste pakkujate järelevalvega seotud karistused on eraldiseisvad. Ärge modelleerige riski ühe oletatava universaalse trahvi abil.

Alustage ühest olulisest sõltuvusest

Valige üks tarnija, kes toetab olulist funktsiooni. Viige vastavusse selle teenuste inventar, lepingud, tõendid, avatud riskid ja väljumiseeldused. Lõpetage nimetatud omanike ja iga kohaldatava kohustuse kohta eraldi dateeritud järeldustega.

Secanis saavad meeskonnad modelleerida teenust ja välist pakkujat, siduda nõudeid ja meetmeid tõenditega ning jälgida puudujääke omanikega ülesannetena. Inimese poolt läbivaadatud otsused, allikalingid, kommentaarid ja ajatemplid säilitavad põhjenduse. See toetab ühist tarnijakonteksti, varjamata eraldiseisvaid privaatsuse, turvalisuse ja toimepidevuse hinnanguid.