Terveydenhuolto-opas · 8 min
ENISA:n sairaaloiden hankintaohjeistus kyberturvasta: miten arvioit toimittajasi
ENISA julkaisi 22.7.2026 päivitetyn hankintaohjeistuksen sairaaloiden ja terveydenhuollon tuottajien kyberturvasta, yhden ensimmäisistä toimituksista EU:n sairaaloiden kyberturvallisuuden toimintasuunnitelmassa. Se tekee toimittajien kyberturvasta virallisen osan ostoprosessia: vaatimukset toimittajille, käytännön tarkistuslistan ja kontrollit koko hankinnan elinkaarelle. Terveydenhuolto on NIS2:n keskeinen sektori, joten tämä täydentää artiklan 21(2)(d) velvoitetta hallita toimitusketjun riskiä. Tämä opas muuttaa ohjeistuksen konkreettisiksi askeliksi toimittajan arviointiin ennen sopimusta ja sen jälkeen.
Keskeiset opit
- • ENISA odottaa kyberturvan rakennettavan hankinnan jokaiseen vaiheeseen, ei liimattavan päälle jälkikäteen.
- • Ydin on toimittajan turvallisuuden arviointi ennen sopimusta ja sen valvonta koko sopimuksen ajan.
- • Suurin osa arvioinnista onnistuu julkisista signaaleista, dokumentoidulla päätöksellä ja näyttöketjulla.
Mitä ENISA julkaisi, ja miksi sillä on väliä
Hankintaohjeistus on yksi ensimmäisistä toimituksista EU:n sairaaloiden kyberturvallisuuden toimintasuunnitelmassa (2025), ja se saapuu yhdessä uuden terveydenhuollon eurooppalaisen kyberturvatukikeskuksen kanssa. Se asettaa kyberturvavaatimukset toimittajille, nostaa esiin tuotteet ja palvelut joissa turvallisuudella on eniten merkitystä, ja tarjoaa käytännön tarkistuslistan koko hankinnan elinkaarelle. Koska sairaalat ja terveydenhuollon tuottajat ovat NIS2:n keskeisiä toimijoita, tämä täydentää artiklan 21(2)(d) velvoitetta tunnistaa ja hallita toimittajien kantamaa riskiä: ohjeistus kuvaa miten se tehdään ostohetkellä, ja jatkuvasti sen jälkeen.
Virallinen lähde: ENISA — sairaaloiden ja terveydenhuollon tuottajien hankintaohjeistus — julkaistu 22.7.2026, yksi EU:n sairaaloiden kyberturvatoimintasuunnitelman ensimmäisistä toimituksista. Tarkistettu 22.7.2026.
Kyberturva koko hankinnan elinkaarella
Ohjeistus kattaa jokaisen vaiheen vaatimusten määrittelystä sopimuksen hallintaan. Nämä viisi askelta muuttavat sen siksi, mitä toimittajasta oikeasti arvioidaan, ja suurin osa käyttää tietoa jonka saat ilman pääsyä toimittajan järjestelmiin.
Määrittele toimittajan kyberturvavaatimukset ennen tarjouskilpailua
Päätä perustaso jonka toimittajan on täytettävä ennen tarjouspyyntöjä: sähköpostin autentikointi, salaus, haavoittuvuuksien hallinta, poikkeamailmoitus ja näyttövaatimukset. Kun tämä kirjataan, 'luota meihin' muuttuu mitattaviksi kriteereiksi, joita vasten jokaista tarjoajaa voi pisteyttää.
Arvioi ehdokkaat ulkoa ennen sopimusta
Ennen sopimusta tarkista toimittajan julkinen tietoturva-asento: sähköpostin väärennettävyys (SPF/DMARC), sertifikaattien kunto, internetiin altistuneet järjestelmät ja mahdollinen vuotaneiden tunnusten altistus. Tämä sopimusta edeltävä due diligence nostaa esiin korkean riskin toimittajat, kun voit vielä valita toisen, ilman pääsyä heidän järjestelmiinsä.
Vie turvallisuus sopimukseen
Muunna vaatimukset ehdoiksi: toimenpiteet jotka toimittajan on ylläpidettävä, oikeus näyttöön, tietomurron ilmoitusaikataulut ja alihankkijoiden velvoitteet. Tässä ENISA:n toimittajavaatimukset muuttuvat toimeenpantaviksi eikä vain tavoitteellisiksi.
Valvo jatkuvasti, ei kerran
Sopimushetkellä kunnossa näyttänyt toimittaja ajautuu: sertifikaatti vanhenee, uusi järjestelmä altistuu, tunnuksia vuotaa. Ohjeistus kattaa koko elinkaaren syystä. Jatkuva ulkoinen valvonta pitää asennon rehellisenä koko sopimuksen ajan, sen sijaan että se olisi vanheneva tilannekuva.
Kirjaa päätös ja säilytä näyttö
Dokumentoi go/no-go-päätös, tarkistetut vaatimukset ja niiden takana oleva näyttö. Keskeiselle toimijalle tämä on sekä hyvää hankintaa että NIS2:n odottama vastuuketju: voit osoittaa mitä arvioit, milloin ja miksi hyväksyit tai hylkäsit toimittajan.
Katso, miten sinä ja toimittajasi todella pärjäätte
7 päivän ilmaiskokeilu · ei luottokorttia · peru milloin vain
Miten norppa toteuttaa tämän
norppa on rakennettu juuri tähän toimitusketjuvelvoitteeseen. Se arvioi ehdokastoimittajan ulkoisen tietoturva-asennon ennen sopimusta (sopimusta edeltävä arvio ilman valvontapaikan kulutusta), kirjaa hankinnan go/no-go-päätöksen perusteluineen, lähettää jäsennellyn kyselyn vaatimuksista jotka toimittajien on todennettava, ja valvoo sitten jokaista toimittajaa jatkuvasti 100+ automaattisella tarkistuksella kytkien jokaisen löydöksen oikeaan NIS2-artiklaan. Tuloksena on dokumentoitu, koko elinkaaren kattava näyttöketju jota ENISA:n ohjeistus kuvaa, ilman IT-projektia tai pääsyä toimittajan järjestelmiin.
Yleisiä virheitä
- ✕Turvallisuus kuitataan kertaluontoisena ruutuna onboardingissa, vaikka ohjeistus kattaa koko sopimuksen elinkaaren.
- ✕Tarjouspyyntöön kirjoitetaan 'oltava turvallinen' ilman mitattavia, tarkistettavia kriteereitä.
- ✕Arvioidaan vain toimittajan kyselyvastaukset, ei koskaan niiden takana olevaa ulkoista todellisuutta.
- ✕Ei pidetä kirjaa siitä miksi toimittaja hyväksyttiin, jolloin auditoijille tai valvojille ei jää vastuuketjua.
Arvioi terveydenhuollon toimittaja ennen sopimusta
Katso esimerkki toimittajaraportista (löydökset, NIS2-kytkentä ja näyttö) kahdessa minuutissa.
7 päivän ilmaiskokeilu · ei luottokorttia · peru milloin vain
Aiheeseen liittyvät oppaat
Miten täyttää NIS2-vaatimukset: vaiheittainen etenemissuunnitelma
NIS2-vaatimustenmukaisuuden vaiheet järjestyksessä: vahvista soveltamisala, rekisteröidy, johdon vastuu (art. 20), artiklan 21(2) toimenpiteet, toimitusketjun turvallisuus, poikkeamailmoitus (art. 23) ja jatkuva, todennettu varmistus.
Ketä NIS2 koskee? Keskeiset ja tärkeät toimijat, toimialat ja kokorajat
Selvitä, koskeeko NIS2 sinua: kaksi luokkaa, liitteen I/II toimialat, kokorajat, koosta riippumattomat poikkeukset ja miten toimitusketju vetää sinut mukaan, vaikka sinua ei olisi nimetty.
NIS2 toimittajalle: sinua ei ole nimetty, mutta asiakkaasi on
Useimpia yrityksiä ei koskaan nimetä NIS2:ssa, mutta monien on silti noudatettava sitä. Miten asiakkaan artiklan 21(2)(d) toimitusketjuvelvoite valuu sinuun, mitä he pyytävät ja miten vastata uskottavasti.
NIS2-laki ja toimitusketjuvaatimus: mitä se tarkoittaa käytännössä
NIS2-direktiivi velvoittaa keskeiset ja tärkeät toimijat arvioimaan toimitusketjunsa kyberriskit. Toimittajatieraus, 4. osapuoli -riski, Art. 23 -ilmoitusvelvollisuus ja mitä tilintarkastaja katsoo.
Näin murto tapahtuu 2026: oma ulkopintasi ja toimitusketjusi
2026-hyökkäysketju vaihe vaiheelta — vuotaneet tunnukset, hyödynnetyt edge-laitteet, sähköpostiväärennös — sekä omalla ulkopinnallasi että toimittajillasi, ja missä norppa.io katkaisee ketjun.
Toimittajan kyberriskiarvio: mitä automaattinen NIS2-seuranta tarkistaa
Kaikki tarkistuskategoriat selitettynä: ransomware, dark web -vuodot, TLS/DNSSEC, evästeet, CVE/EPSS, pakotteet, MX-mustataulut ja SAQ. Löydösten elinkaari ja NIS2-kartoitus.
NIS2 Art. 21(2): tarkistuslista toimittajille
Tarkistuslista hankinta- ja tietoturvatiimeille: mitä kysyä, mitä dokumentteja pyytää ja miten reagoida, kun toimittaja ei täytä vaatimuksia. Sisältää todentamisasiakirjaehdotukset.
NIS2-toimittajakysely (SAQ): mitä kysyä, miten pisteyttää ja valmis malli
Mitä kysyä toimittajilta 21(2)(d) mukaan, miten pisteyttää vastaukset ja reagoida puutteisiin, miksi itsearviointi vaatii todentamista, ja ilmainen valmis kyselymalli.
NIS2-poikkeamailmoitus: 24 ja 72 tunnin määräajat selitettynä
Mikä on merkittävä poikkeama, artiklan 23 aikataulu (24 t ennakkovaroitus, 72 t ilmoitus, kuukauden loppuraportti) ja milloin toimittajan poikkeamasta tulee sinun velvollisuutesi.
NIS2 ja johdon vastuu: mitä hallituksen ja johdon on tiedettävä
Mitä NIS2 odottaa johdolta: hyväksyntä- ja valvontavelvollisuus, henkilökohtainen vastuu (art. 20), koulutus, hallitusraportoinnin mittarit ja art. 34 -seuraamukset.
ISO 27001 ja NIS2: mitä ISMS jo kattaa, ja mitä se ei kata
Jos sinulla on ISO 27001, mikä siirtyy NIS2:een ja mikä ei: lakisääteinen poikkeamailmoitus, johdon vastuu, rekisteröinti ja jatkuva toimitusketjun varmistus, ja miten aukko suljetaan.
NIS2-sakot ja seuraamukset: kuinka paljon, kuka on vastuussa ja miten välttää ne
Mitä NIS2-seuraamukset ovat: artiklan 34 enimmäismäärät (10 M€ / 2 % keskeisille, 7 M€ / 1,4 % tärkeille toimijoille), johdon henkilökohtainen vastuu (art. 20, art. 32), ei-rahalliset toimenpiteet ja miten ne vältetään jatkuvalla, todennetulla huolellisuudella.
NIS2 vs DORA: miten ne eroavat, missä menevät päällekkäin ja kumpi koskee sinua
Miten kaksi EU-säädöstä eroavat ja menevät päällekkäin, miksi DORA on lex specialis finanssitoimijoille, kumpi koskee sinua, ja mitä molemmat tarkoittavat kolmannen osapuolen riskille.
GDPR vs NIS2: missä ne menevät päällekkäin, miten eroavat ja milloin yksi poikkeama laukaisee molemmat
Miten GDPR ja NIS2 eroavat ja menevät päällekkäin, milloin yksi poikkeama laukaisee molemmat (GDPR art. 33 72 t tietosuojaviranomaiselle vs NIS2 art. 23 24 t/72 t/kuukausi CSIRT-toimijalle), art. 35 yhteistyö ja kaksoissakkojen kielto, ja mitä molemmat tarkoittavat toimittajien due diligencelle.
EU:n kyberkestävyyssäädös (CRA): soveltamisala, aikataulu ja mitä se tarkoittaa toimitusketjullesi
Mitä CRA vaatii, sen vaiheittaiset päivämäärät (voimassa 2024, ilmoitukset 9/2026, täysi vaatimustenmukaisuus 12/2027), ketä se koskee ja miksei pelkkää SaaS:ää, miten se täydentää NIS2:ta ja mitä se tarkoittaa hankinnalle ja toimittajien due diligencelle.
EU:n tekoälyasetus: riskiluokat, aikataulu ja mitä käyttöönottajan on tehtävä (artikla 26)
Mitä EU:n tekoälyasetus vaatii: riskiluokat, vaiheittaiset päivämäärät (voimassa 2024, kielletyt 2/2025, GPAI 8/2025, korkea riski 8/2026), artiklan 26 käyttöönottajan velvollisuudet, miten se kasautuu NIS2:n ja GDPR:n kanssa, ja mitä se tarkoittaa tekoälyhankinnoille.
NIS2:n täytäntöönpanon tila: missä EU-maissa se on voimassa
Mitkä 27 EU-jäsenvaltiosta ovat kirjanneet NIS2:n kansalliseen lakiin ja mitkä yhä viimeistelevät, ja miksi erot tavoittavat toimitusketjusi joka tapauksessa.
NIS2-toimittajasopimuksen klausuulit: mitä vaatia toimittajiltasi
Sopimusklausuulit jotka tekevät NIS2:n toimitusketjuvelvoitteesta toimeenpantavan: tietoturvan perustaso, ilmoitusikkuna, näyttö- ja auditointioikeudet, alihankkijaketjutus, ja miten todentaa ne jatkuvasti.
Ulkoinen tietoturva-asentosi NIS2:ssa: mitä toimittajat ja asiakkaat näkevät
Julkisesti näkyvät signaalit, joita asiakkaat arvioivat NIS2 art. 21(2)(d):n nojalla: sähköpostin väärennettävyys (SPF/DMARC), sertifikaattien kunto, internetiin altistuneet järjestelmät ja vuotaneet tunnukset, miksi kukin on tärkeä ja miten ne tarkistetaan ja korjataan.
Käyttävätkö toimittajasi tekoälyä? NIS2:n toimittajariski ja EU:n tekoälyasetus
Toimittajat upottavat yhä useammin tekoälyä palveluihin, joista olet riippuvainen, ja niin tekevät heidän toimittajansa. Missä toimittajan ja nth-party-tekoäly luo riskiä NIS2 art. 21(2)(d):n ja EU:n tekoälyasetuksen kannalta, mitä arvioida ja miten säilyttää näkyvyys.
Toimittajan esiintyminen ja toimitusjohtajahuijaus (BEC): sähköpostin väärentäminen, DMARC ja NIS2
Yksi yleisimmistä toimitusketjuhyökkäyksistä ei vaadi murtoa: väärennetty sähköposti, joka ohjaa maksun toisaalle tai varastaa dataa. Miten BEC ja toimittajan esiintyminen toimivat, mitkä SPF-, DKIM- ja DMARC-asetukset estävät ne, ja miten se kytkeytyy NIS2 art. 21(2)(d):hen.
Viimeksi tarkistettu: 19. kesäkuuta 2026
Tämä opas on yleistä tietoa EU-lainsäädännöstä, ei oikeudellista neuvontaa. NIS2 tulee voimaan kunkin EU-jäsenvaltion kansallisen täytäntöönpanolain kautta, joka voi poiketa yksityiskohdissa. Varmista sinua koskevat velvoitteet toimivaltaiselta viranomaiselta tai lakimieheltä.