Kolmansien osapuolten riskit GDPR:n, NIS2:n ja DORAn näkökulmasta

Sama toimittaja voi synnyttää tietosuojaan, kyberturvallisuuteen ja operatiiviseen häiriönsietokykyyn liittyviä velvoitteita. Palkanlaskennan palveluntarjoaja käsittelee henkilötietoja; hallinnoitujen palvelujen tarjoajalla on pääkäyttäjäoikeudet; pilvialusta tukee liiketoimintakriittisiä sovelluksia. Joskus yksi toimittaja tekee kaikki kolme.

Yhteinen toimittajatietue auttaa tiimejä koordinoimaan arviointia, kunhan kukin velvoite pysyy tunnistettavana. Teknologiajohtajalle käytännön haaste on kytkeä sopimukselliset sitoumukset tekniseen todellisuuteen: mihin toimittaja pääsee käsiksi, miten viat leviävät, mistä kontrolleista on näyttöä ja pystyykö organisaatio palautumaan tai irtautumaan.

Selvitä sovellettavuus ennen arviointien yhdistämistä

Nämä säädökset ovat osin päällekkäisiä, mutta niitä ei sovelleta kaikkiin organisaatioihin tai toimittajiin samalla tavalla.

GDPR:n 28 artikla edellyttää, että rekisterinpitäjät käyttävät käsittelijöitä, jotka antavat riittävät takeet. 28 artiklan mukainen sopimus ei ole asianmukainen pelkästään siksi, että toimittaja vastaanottaa tietoja: selvitä ensin todellinen käsittelyrooli.

NIS2-direktiivin 20–23 artikla käsittelevät johdon valvontaa, riskienhallintatoimenpiteitä ja merkittävistä poikkeamista ilmoittamista. NIS2 on kansallisella lainsäädännöllä täytäntöön pantava direktiivi, joten soveltamisala ja menettelyt edellyttävät lainkäyttöaluekohtaisia tarkistuksia.

DORAa on sovellettu 17.1.2025 alkaen. Se kattaa ensisijaisesti tietyt rahoitusalan yhteisöt; tavallisiin ICT-toimittajiin voi kohdistua asiakkaiden sopimusvaatimuksia, kun taas nimetyillä kriittisillä ICT-palveluntarjoajilla on erillinen valvontajärjestelmä. Katettujen rahoitusalan yhteisöjen osalta DORA toimii toimialakohtaisena EU-oikeutena asiaankuuluvilla NIS2:n alueilla. Älä automaattisesti monista molempia kontrollikokonaisuuksia.

Rakenna tietue riippuvuuden ympärille

Aloita palvelusta, ei toimittajakyselystä. Yksi toimittaja voi tarjota useita palveluja, joihin liittyy erilaisia tietoja, pääsyjä ja operatiivista merkitystä.

Kirjaa käytännön perustasona:

• Palvelu, toimittajan oikeushenkilö, liiketoiminnan omistaja, tekninen omistaja ja tarkastajat.
• Tuetut toiminnot, järjestelmät, integraatiot ja pääkäyttäjäoikeudet.
• Henkilötietoryhmät, käsittelyn tarkoitukset, sijainnit ja alihankkijat.
• Saatavuusvaatimukset, palautumistavoitteet ja siedettävä häiriö.
• Taustalla olevat palveluntarjoajat, sopimusriippuvuudet ja realistiset vaihtoehdot.
• Sovellettavat velvoitteet, näytön päivämäärät, ratkaisemattomat puutteet ja päätökset.

Tunnista, mitkä toiminnot pettäisivät tai heikentyisivät vaarantumisen tai käyttökatkon jälkeen. Toimittaja, joka säilyttää vain vähän arkaluonteisia tietoja, voi silti hallita tunnistautumista tai käyttöönottoputkia. Vastaavasti palvelu, jonka saatavuusriski on vähäinen, voi altistaa erittäin arkaluonteisia henkilötietoja.

Pidä nämä ulottuvuudet erillään sen sijaan, että tiivistäisit ne yhdeksi selittämättömäksi ”korkea riski” -pistemääräksi. DORAn piiriin kuuluvien rahoitusalan yhteisöjen osalta kytke tämä operatiivinen luettelo vaadittuun ICT-sopimusjärjestelyjä koskevaan tietorekisteriin; yleinen toimittajaluettelo ei välttämättä riitä.

Hyödynnä näyttöä uudelleen omaksumatta johtopäätöksiä sokeasti

Tietoturvaraportti, tietovirtakartta tai palautustesti voi tukea useita arviointeja. Tarkista sen palvelukattavuus, raportointijakso, poissulkemiset, poikkeamat ja asiakkaan vastuut ennen kuin luotat siihen.

Esimerkiksi toimittajan infrastruktuurin kattava raportti ei välttämättä kata sen tukihenkilöstön pääsyä asiakastietueisiin. Dokumentoitu varmuuskopiointipolitiikka ei osoita, että palautus täyttää sovelluksesi palautumisvaatimukset.

Ylläpidä näytön ja kysymysten välistä matriisia:

ISO-sertifikaatti tai SOC 2 -raportti tukee varmistusta soveltamisalansa puitteissa; kumpikaan ei osoita GDPR:n tai NIS2:n noudattamista. Säilytä tarkastajan perustelut, ei pelkästään ladattua asiakirjaa. Tietoturvavarmistuksen arvioinnin tulisi olla toistettava tekninen katselmointi, ei merkin tarkistus.

Muunna vaatimukset sopimuksiksi ja kontrolleiksi

GDPR:n 28 artiklan mukaan käsittelijää koskevissa ehdoissa on käsiteltävä käsittelyn kohde, kesto, luonne ja tarkoitus, tietotyypit ja rekisteröityjen ryhmät. Niihin kuuluvat myös dokumentoidut ohjeet, salassapito, tietoturva, alihankkijoiden käytön edellytykset, avustaminen, poistaminen tai palauttaminen sekä tieto- ja auditointivelvoitteet. Kansainväliset siirrot edellyttävät erillistä V luvun mukaista arviointia; pelkkä EU:ssa tapahtuva hosting ei ratkaise pääsyyn tai edelleensiirtoihin liittyviä kysymyksiä.

NIS2-direktiivin 21 artikla sisältää toimitusketjun tietoturvan ja suorien toimittajien haavoittuvuuksien ja kyberturvallisuuskäytäntöjen huomioon ottamisen. Käytännön sopimusodotuksiin voivat kuulua pääsyrajoitukset, haavoittuvuuksien käsittely, yhteistyö poikkeamissa ja näytön toimittaminen. Sovita ne palveluun ja kansallisiin vaatimuksiin sen sijaan, että pitäisit yhtä yleistä lausekepakettia oikeudellisesti riittävänä.

DORAn 30 artikla määrittelee ICT-sopimusten määräykset, ja kriittisiä tai tärkeitä toimintoja tukeville palveluille on lisävaatimuksia. Tarkasta palvelukuvaukset, sijainnit, tietosuoja ja tietojen palauttaminen, avustaminen, irtisanominen ja asiaankuuluvat valvontaoikeudet. Kriittiset tai tärkeät toiminnot edellyttävät erityistä huomiota palvelutasoihin, raportointiin, varautumistoimenpiteisiin, testausyhteistyöhön, auditointioikeuksiin ja siirtymäjärjestelyihin.

Varmenna sitten toteutus. Jos sopimus lupaa rajoitetun ylläpitopääsyn, hanki näyttö roolien eriyttämisestä, todennuksesta, hyväksynnästä ja lokituksesta. Jos se lupaa poistamisen, selvitä, mitä varmuuskopioille ja säilytetyille tietueille tapahtuu. Osoita oikeudelliset ja tekniset puutteet asianmukaisille tarkastajille.

Suunnittele poikkeamien vastuunvaihdot ennen poikkeamaa

Toimittajan poikkeamiin reagointia koskeva politiikka voi tukea tietoturva-arviointia jättäen silti ilmoitusvelvollisuudet ratkaisematta. Määritä yhteyskanavat, eskaloinnin kattavuus, ensimmäiset tiedot, päivitysodotukset ja vastuu näytön säilyttämisestä.

GDPR:n 33–34 artiklan mukaan käsittelijä ilmoittaa rekisterinpitäjälle ilman aiheetonta viivytystä. Rekisterinpitäjä arvioi valvontaviranomaiselle ilmoittamisen ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 72 tunnin kuluessa tietoon tulemisesta, ellei loukkaus todennäköisesti aiheuta riskiä henkilöiden oikeuksille ja vapauksille. Korkea riski voi edellyttää ilmoittamista henkilöille poikkeukset huomioon ottaen. Kirjaa perustelut, kun ilmoitusta ei vaadita.

NIS2:n EU-tason ilmoitusvaiheisiin merkittävissä poikkeamissa kuuluvat varhaisvaroitus 24 tunnin kuluessa, ilmoitus 72 tunnin kuluessa ja yleensä loppuraportti kuukauden kuluessa ilmoituksesta; tarkista kansalliset ja toimialakohtaiset säännöt. DORAlla on oma ilmoituskehyksensä merkittäville ICT:hen liittyville poikkeamille. Älä korvaa näitä arviointeja yhdellä toimittajaa koskevalla ”tietoturvaloukkaus”-merkinnällä.

Käytännön suosituksena harjoittele toimittajapoikkeamaa puutteellisten tietojen pohjalta. Testaa, pystyvätkö tiimit selvittämään asianomaiset palvelut, altistumisen, operatiivisen vaikutuksen ja ilmoituspäätökset odottamatta lopullista juurisyyraporttia.

Esimerkki: yksi palvelu, kolme arviointipolkua

Oletetaan havainnollistavasti, että katettu rahoitusalan yhteisö käyttää isännöityä asiakastukialustaa, joka käsittelee henkilötietoja ja tukee toimintoa, jonka yhteisö on luokitellut DORAn mukaan kriittiseksi tai tärkeäksi.

Toimittaja toimittaa varmennusraportin, poikkeamapolitiikan ja tiivistelmän palautustestistä. Tietoturva toteaa, että ylläpitopääsyn kontrolleista on näyttöä, mutta palautustesti ei kata asiakkaan integraatiota.

Tietosuoja tunnistaa erikseen epäselvän alihankkijamuutosten prosessin ja ratkaisemattomat etäpääsyyn liittyvät siirtojärjestelyt. DORA-arviointi toteaa, että siirtymäavustus ja asiaankuuluvat auditointimääräykset vaativat huomiota.

Tuloksena syntyvä toimintasuunnitelma on täsmällinen:

• Tekninen omistaja testaa integraation palautumisen ja dokumentoi tuloksen.
• Tietosuojan tarkastaja ratkaisee alihankkijoita ja siirtoja koskevat kysymykset.
• Lakiasiat ja hankinta käsittelevät sopimukselliset puutteet.
• Vastuullinen omistaja päättää, onko väliaikainen käyttö hyväksyttävää, ehdoin ja tarkastuspäivin.

Näyttöä hyödynnetään uudelleen, mutta mitään kolmesta johtopäätöksestä ei johdeta toisesta. Hyväksytty tietoturvakatselmointi ei sulje tietosuojan tai häiriönsietokyvyn puutteita.

Seuraa muutoksia, keskittymää ja toteuttamiskelpoista irtautumista

Aseta katselmointitiheys riippuvuuden ja riskin mukaan. Käynnistä lisäkatselmointi poikkeamien, merkittävien palvelumuutosten, uusien alihankkijoiden, tietojen sijainnin muutosten, omistusmuutosten tai sopimuksen uusimisen jälkeen.

Katso toimittajien nimien taakse: useat palvelut voivat riippua samasta pilvialueesta, identiteetintarjoajasta tai alihankkijasta. Arvioi korreloituneet häiriöt ja se, onko ehdotetulla vaihtoehdolla sama riippuvuus. DORAn 29 artikla käsittelee nimenomaisesti ICT-keskittymäriskin arviointia.

Ylläpidä oikeasuhteista irtautumissuunnitelmaa, joka kattaa tietojen viennin, siirron, jatkuvuuden, pääsyn mitätöinnin ja näytön poistamisesta. Testaa viennin käyttökelpoisuus ja selvitä, kuka pystyy operoimaan korvaavaa palvelua. Irtisanomisoikeus on hyödyllisempi, kun organisaatio pystyy käyttämään sitä.

Myös seuraukset eroavat. GDPR:ssä on rikkomuskohtaiset seuraamustasot; NIS2 edellyttää kansallisia seuraamusjärjestelyjä, joissa enimmäismäärät eroavat keskeisten ja tärkeiden yhteisöjen välillä. Rahoitusalan yhteisöihin kohdistuvat DORA-seuraamukset riippuvat sovellettavista järjestelyistä, kun taas kriittisten palveluntarjoajien valvontaan liittyvät seuraamukset ovat erillisiä. Älä mallinna altistumista yhden oletetun yleisen sakon perusteella.

Aloita yhdestä merkittävästä riippuvuudesta

Valitse yksi toimittaja, joka tukee tärkeää toimintoa. Täsmäytä sen palveluluettelo, sopimukset, näyttö, avoimet riskit ja irtautumisoletukset. Päätä työ nimettyihin omistajiin ja erillisiin, päivättyihin johtopäätöksiin kustakin sovellettavasta velvoitteesta.

Secanissa tiimit voivat mallintaa palvelun ja ulkoisen palveluntarjoajan, kytkeä vaatimukset ja kontrollit näyttöön ja seurata puutteita tehtävinä, joilla on omistajat. Ihmisen tarkastamat päätökset, lähdelinkit, kommentit ja aikaleimat säilyttävät perustelut. Tämä tukee yhteistä toimittajakontekstia kätkemättä erillisiä tietosuojaa, tietoturvaa ja häiriönsietokykyä koskevia arvioita.