NIS2 2026 – toimittajan kyberturvallisuusvarmenne, poikkeama & uudelleentestaus | Word/PDF/Excel

Tärkeä järjestelmätoimittajasi sanoo, että turvallisuus on hyvä – mutta ei voi näyttää ajantasaista testiä hallintotileistä, tietoturvapäivityksistä tai palauttamisesta. Miten dokumentoitte poikkeaman, asette kohtuullisia vaatimuksia, saatte todellisen uudelleentestin ja raportoitte riskistä vastuulliselle johdolle? Tämä NIS2-asiantuntijapaketti sisältää malleja riskipohjaiseen toimittajien kyberturvallisuuden valvontaan – tosiasioihin perustuvasta omavarmistuksesta korjauskirjeeseen, uudelleentestiin ja päätökseen.

Lakitiedollisesti ajankohtainen: Ruotsin kyberturvallisuuslaki (2025:1506) astui voimaan 15. tammikuuta 2026. 2 luvun 3 § 4 kohdassa toimitusketjun turvallisuus mainitaan yhtenä alueena sopiville ja suhteellisille turvatoimenpiteille lain koskettamille toimijoille. NIS2-direktiivin artikloiden 21.2 d ja 21.3 mukaisesti suhteessa suoriin toimittajiin ja palveluntarjoajiin kohdistuvia riskejä, muun muassa niiden erityisiä haavoittuvuuksia ja kyberturvallisuuskäytäntöjä, on arvioitava. MCFFS 2026:11 astuu voimaan 1. lokakuuta 2026 ja tarkentaa turvatoimenpiteitä koskevia säädöksiä koskettaville toimijoille. Katso kyberturvallisuuslaki ja NCSC:n voimassa oleva määräys.

Tärkeä rajaveto: Kaikki ruotsalaiset toiminnot tai niiden toimittajat eivät automaattisesti kuulu kyberturvallisuuslain piiriin. Kosketetun toimijan on ensin arvioitava oma oikeudellinen soveltamisala ja konkreettiset toimittajariskit. Yleistä pakollista, viranomaisen myöntämää ”NIS2-toimittajasertifikaattia” ei ole, eikä yleisiä 14 tai 30 päivän määräaikoja tavallisille yksityisille korjauskirjeille. Täytetty lomake ei todista kyberturvallisuutta eikä korvaa teknistä testiä.

Täydellinen digitaalinen ZIP-paketti 79 kruunulla: viisi ruotsalaista työtaulukkoa sekä ruotsalainen ja englanninkielinen käyttäjän opas – kaikki muokattavissa Word-muodossa (DOCX) ja hakutettavissa, tulostettavissa A4-PDF-muodossa. Lisäksi Excel-työkirja (XLSX), jossa on yhdeksän välilehteä, 612 hallinnollista kaavaa ja 36 hyväksyttyä skenaariotestiä. Yhteensä 7 DOCX + 7 PDF + 1 XLSX = 15 asiakastiedostoa. Viisi ruotsalaista työasiakirjaa, kaksi opasta, seitsemän itsenäistä asiakirjaa; PDF-kopiot eivät ole interaktiivisesti täytettävissä.

Kenelle NIS2-toimittajavalvonta sopii?

Toiminnoille, jotka ovat arvioineet tulleensa kyberturvallisuuslain piiriin – esimerkiksi tietyille toimijoille energiasta, liikenteestä, elintarvikkeista, digitaalisesta infrastruktuurista ja muista yhteiskunnallisesti tärkeitä sektoreista – ja jotka käyttävät IT-ylläpitoa, SaaS-palveluita, pilvipalveluita, järjestelmäkehittäjiä, tietoturvapalveluita tai muita toimittajia, jotka voivat vaikuttaa verkko- ja tietojärjestelmiin. Kohderyhmät ovat erityisesti CISO:t, tietoturvavastuuhenkilöt, hankinta, vaatimustenmukaisuus, riskienhallinta ja liiketoiminnan omistajat, sisäinen tarkastus ja hankintavastuuhenkilöt.

Pakettia voi myös käyttää toimittajana, joka tarvitsee konkreettisen pohjan NIS2-säännellylle asiakkaalle, mutta toimittajan ei saa väittää, että asiakas tai toimittaja on automaattisesti sertifioitu. Itse sopimus ja mahdolliset erityiset sektorisäännöt on tarkistettava.

Tarkka tiedostoluettelo – 15 asiakastiedostoa

Excel – yhdeksän välilehteä ja 36 varmistettua toimintatestiä

Työkirja sisältää Lue minut, Yleiskatsaus, Toimittajat, Varmistus, Valvonta, Poikkeamat, Uudelleentesti, Päätös ja Lähteet. Jokainen asia linkitetään ainutlaatuisella sisäisellä tunnuksella ja todellisiin todisteviittauksiin. Rekisteri toimitetaan tyhjänä eikä sisällä asiakastietoja tai esimerkkiasioita.

Ne 612 kaavaa voivat antaa hallinnollisia viestejä, kuten ”TARKISTA TOIMITTAJAKETJU”, ”TARKISTA SOVELTUVUUS”, ”VARMISTA LÄHETODISTE”, ”TARKISTUS PUUTTUU”, ”TURVALLISUUSPUUTE”, ”TARKENNUS SOPIMUSTA”, ”MÄÄRÄÄ AIKA MANUAALISESTI”, ”DOKUMENTOI LÄHETYS”, ”JATKOKSIIRA” ja ”ESKALEROI KORVA-RISKI”. Täydellisillä syötteillä näytetään sen sijaan materiaali manuaaliseen tarkistukseen, ei koskaan ”NIS2-hyväksytty”.

36/36 teknisestä skenaariotestista läpäisty sen jälkeen, kun yleiskatsauksen lukumäärien käsittelyvirheet korjattiin. Testi varmistaa erityisesti, että korkea riski ei voi merkitä automaattisesti päättyneeksi, vaikka kaikki päätös- ja vahvistuskentät olisivat täytetty ja käyttäjä haluaisi sulkea asian. Asiakkaan 12 yleiskatsausarvo on 0 ennen ensimmäistä todellista toimittajan rekisteröintiä.

Käytännön työprosessi toimittajalle, jolla on turvallisuuspuute

1. Arvioi soveltuvuus. Onko toimintasi olennaista tai tärkeää kyberturvallisuuslain mukaan? Dokumentoi päätös, toimiala ja lähde lomakkeeseen 01.
2. Rajaa kosketettu palvelu. Tunnista suora sopimusosapuoli, mitä järjestelmiin toimittaja pääsee käsiksi, kosketetut tiedot ja kyberhäiriön seuraukset.
3. Pyydä suhteellista turvallisuusnäyttöä. Kysy todellisesta versiosta ja todisteista MFA:sta, etuoikeutuneesta pääsystä, haavoittuvuuspäätöksistä, varmuuskopioinnista tai häiriöiden käsittelystä tunnistetun riskin mukaan.
4. Arvioi mahdollinen varmistus. Allekirjoitettu kyllä-vastaus, ISO-väite tai toimittajan käytäntö ei ole sama asia kuin todellinen testi kyseisestä järjestelmästä.
5. Lähetä konkreettinen korjausvaatimus. Määritä, mihin sopimukseen ja mihin todelliseen valvontatulokseen vaatimus perustuu. Määritä sopimuksen mukainen realistinen määräaika; älä keksi yleistä lainmukaista vastausaikaa.
6. Tee uudelleentesti ja säilytä todisteketju. Tarkista todelliset konfiguraatiot, suoritettu korjaus, päivämäärä ja pysyvät riskit. Älä jaa salaisia avaimia tai salasanoja avoimissa laskentataulukossa.
7. Päätä erikseen. Valtuutettu riskin omistaja tekee päätöksen jatkuvasta toiminnasta, korvaavista suojauksista, eskaloitumisesta, sopimusmuutoksesta tai poistumisesta – ilman Excelin automaattista myönteistä päätöstä.

Oikeudellinen perusta – mitä säännöt todellisuudessa tarkoittavat

Kyberturvallisuuslaki (2025:1506), 2 luvun 3 §: teknisten, organisatoristen ja toimintaan liittyvien turvatoimenpiteiden on oltava sopivia, suhteellisia ja riskipohjaisia. Kohdassa 4 käsitellään toimitusketjun turvallisuutta ja kohdassa 6 turvatoimenpiteiden tehokkuuden arviointia. Lue koko teksti Ruotsin parlamentin sivuilta.

NIS2-direktiivin artiklat 21.2 d ja 21.3: toimittajakohtaisia haavoittuvuuksia ja suorien toimittajien turvallisuusjonnituksen laatua, mukaan lukien turvallinen kehitys, on arvioitava. Se on peruste riskipohjaiselle valvonnalle – ei yleinen lainmukainen lomake kaikille toimittajille. EU:n virallinen direktiivi.

MCFFS 2026:11: turvatoimenpiteitä ja johdon koulutusta koskevat määräykset ja yleiset ohjeet olennaisten ja tärkeiden toimijoiden koskevat voimassa ovat 1. lokakuuta 2026 alkaen. Vahvista myös omaan sektoriin liittyvät erityissäännöt. Virallinen NCSC-lähde.

Vastuun rajat: toimittajan antama varmistus tietyistä valvontatoimenpiteistä ei vapauta asiakasta arvioimaan itse, riittääkö sen oma turvallisuus. NIS2:n lisäksi esimerkiksi GDPR, toimialakohtaiset määräykset, sopimukset tai sektorikohtaiset EU-säännöt voivat sisältää muita velvollisuuksia. Tämä paketti ei ole häiriöilmoitus, viranomaislomake, tunkeutumistestipalvelu tai sanktiopalvelu.

Ero Mallbutiken muihin tuotteisiin

NIS2 Mallpaket – Kyberturvallisuuslaki 2026 on laajempi materiaali oman organisaation kyberturvallisuusjohtoon. Toimittajavalvonta & Toimittajayhteisvaikutus on yleinen toimittaja-/laatuvalvonta. DORA IT-toimittajasopimus on tarkoitettu rahoitusalan DORA-soveltamiseen. Tämä uusi tuote keskittyy erityisesti NIS2-relevanttiin kyberturvallisuusnäyttöön, kirjalliseen korjausvaatimukseen ja varmistettuun uudelleentestiin tietyn toimittajan kohdalla.

Usein kysyttyä NIS2-toimittajan kyberturvallisuusvarmistuksesta

Onko kaikkien toimittajien pakko allekirjoittaa NIS2-varmistus?

Ei. Ei ole yleistä virallista toimittajan varmistusta, jonka kaikki toimittajat ovat täytettävä. Yritys valitsee sopivat ja suhteelliset valvontatoimenpiteet todellisen riskin ja sovellettavien sopimusten perusteella.

Onko pieni SaaS-toimittaja automaattisesti NIS2-velvoitteessa, jos asiakas kuuluu sen piiriin?

Ei. Toimittajan omia velvollisuuksia on arvioitava erikseen. NIS2-säännellyllä asiakkaalla voi silti olla tarve asettaa sopimusperusteisia ja riskienhallittuja turvallisuusvaatimuksia.

Voiko mallia käyttää ISO 27001 -sertifikaattina?

Ei. Toimittajan omavarmistus tai täytetty kyselylomake ei ole ISO 27001 -sertifiointi, riippumaton tarkastus tai virallinen viranomaisen arvio.

Mitä tapahtuu, kun toimittaja sanoo, että poikkeama on korjattu?

Dokumentoi toimittajan ilmoitus ja tarkista todellinen todiste sekä uudelleentesti oikeaa järjestelmää/versiota vastaan. Pysyvät virheet merkitään ja vaativat erillisen päätöksen.

Onko toimittajan pakko vastata korjausvaatimukseen 30 päivän kuluessa?

Ei. Kyberturvallisuuslain yleiset toimittajavaatimukset eivät määritä tällaista yleistä määräaikaa yksityisille korjauskirjeille. Perustu sopimukseen, todelliseen turvallisuusasetelmaan ja kohtuulliseen aikatauluun.

Voiko Excel hyväksyä toimittajan turvallisuuden automaattisesti?

Ei. Kaavat tunnistavat hallinnollisen valvontatarpeen eivätkä voi koskaan näyttää ”oikeudellisesti hyväksyttyä” tai ”sertifioitua”. Todellinen tekninen ja oikeudellinen arvio on välttämätöntä.

Sisällytetäänkö viranomaiselle häiriöilmoitus?

Ei. Jos merkittävä kyberhäiriö on tapahtunut, lain häiriömääräykset ja määräykset on arvioitava erikseen. Tämä paketti on tarkoitettu toimittajavalvontaan, ei viralliseen häiriöilmoitukseen.

Ovatko kaikki mallit englanniksi?

Ei. Viisi työtaulukkoa, ruotsalainen opas ja Excel ovat ruotsiksi. Käyttöön sisältyy englanninkielinen English User Guide, mutta se ei ole täydellinen käännös viidestä päämallista.

Ovatko PDF-tiedostot täytettävissä digitaalisesti?

Ei. PDF-tiedostot ovat hakutettavia ja tulostettavia A4-versioita. Muokkaa Word-tiedostoja täyttäessäsi omia tietoja.

Viralliset oikeuslähteet ja läpinäkyvyys

Lähteet: Kyberturvallisuuslaki 2025:1506; Kyberturvallisuusasetus 2025:1507; NIS2-direktiivi 2022/2555; MCFFS 2026:11; NCSC:n opas turvatoimenpiteistä.

Versio 1.0. AI-avusteinen oikeuslähteiden tarkistus ja tekninen tiedosto-QA 9. marraskuuta 2026. Mitään ulkopuolista lakimiestä, viranomaista, sertifioijaa tai teknistä tarkastajaa ei ole hyväksynyt materiaalia. PDF-teksti ja kaikki 14 A4-sivua on tarkistettu, Excel sisältää 612 kaavaa ja 36/36 skenaariotestiä on hyväksytty, ja ZIP on tarkistettu tietoturvallisuuden osalta. Käytä malleja pohjana todellisille, erillisille päätöksille soveltuvuudesta, turvallisuudesta, sopimuksista ja riskeistä.