NIS2-opas · 7 min

Käyttävätkö toimittajasi tekoälyä? NIS2:n toimittajariski ja EU:n tekoälyasetus

NIS2:ssa olet vastuussa toimittajiesi kantamasta kyberriskistä (artikla 21(2)(d)). Yhä useammin tähän riskiin kuuluu tekoäly: toimittajat upottavat tekoälyä palveluihin, joista olet riippuvainen, ja niin tekevät myös heidän toimittajansa. EU:n tekoälyasetus, joka on nyt vaiheittaisessa täytäntöönpanossa, lisää velvoitteita organisaatioille, jotka ottavat käyttöön tai nojaavat tekoälyjärjestelmiin, myös kolmansien osapuolten tarjoamiin. Useimmat toimittaja-arvioinnit eivät kysy tekoälystä lainkaan. Tämä opas selittää, missä toimittajien ja neljännen osapuolen tekoäly luo riskiä NIS2:n ja tekoälyasetuksen kannalta, mitä arvioida ja miten säilyttää näkyvyys tekoälyn levitessä.

Tarkista verkkotunnuksesi heti

Näe, mitä organisaatiosi tietoturvasta on julkisesti näkyvissä, ilman rekisteröitymistä.

Tämä pikakatsaus tarkistaa:

HTTPS tavoitettavissa
HSTS käytössä
HTTP → HTTPS -uudelleenohjaus
SPF konfiguroitu
DMARC pakotettu
Sähköposti (MX) konfiguroitu

Täysi raportti lisää kiristysohjelmat, dark webin, varmenteet, yritystiedot ja yli 100 muuta kontrollia.

Keskeiset huomiot

• NIS2 tekee toimittajan kyberriskistä sinun vastuutasi; toimittajan upottama tekoäly on nyt osa sitä.
• EU:n tekoälyasetus lisää velvoitteita, kun nojaat kolmannen osapuolen tekoälyyn, myös suuririskisiin järjestelmiin.
• Useimmat kyselyt sivuuttavat tekoälyn; neljännen osapuolen tekoäly (toimittajiesi toimittajat) on vaikein katvealue.

Mistä tekoäly tulee toimitusketjuusi

Tekoäly saavuttaa sinut toimittajien kautta kolmella tavalla: toimittaja käyttää tekoälyä palvelussa, jota kulutat; toimittaja käsittelee dataasi tekoälyllä (koulutus, päättely, tukityökalut); ja toimittajasi omat toimittajat tekevät samoin (neljäs osapuoli). Kukin lisää hyökkäyspintaa (malli- ja data-altistus, kehotehyökkäykset, uudet integraatiot) ja sääntelyaltistusta. NIS2:n artikla 21(2)(d) tekee sinusta vastuullisen näiden suhteiden turvallisuudesta, ja EU:n tekoälyasetus lisää läpinäkyvyys- ja riskienhallintavelvoitteita, kun otat käyttöön tai nojaat tekoälyjärjestelmiin, myös kolmansien osapuolten.

Viralliset lähteet: NIS2-direktiivi EUR-Lexissä — artikla 21(2)(d); lisäksi EU:n tekoälyasetus (asetus (EU) 2024/1689) tekoälykohtaisista velvoitteista.

Mitä arvioida toimittajan tekoälystä

Lisää nämä toimittaja-arviointiin. Ne vastaavat NIS2:n toimitusketjutoimenpiteitä ja tekoälyasetuksen velvoitteita niille, jotka nojaavat tekoälyyn.

Missä tekoäly koskettaa dataasi

Kysy, mitkä palvelun osat käyttävät tekoälyä, käytetäänkö dataasi koulutukseen tai päättelyyn ja missä käsittely tapahtuu. Tämä määrittää sekä NIS2-altistuksesi että tekoälyasetus- ja GDPR-asemasi.

Onko tekoäly suuririskinen tekoälyasetuksen mukaan

Jos toimittajan tekoäly kuuluu tekoälyasetuksen suuririskiseen luokkaan, peri läpinäkyvyys-, ihmisvalvonta- ja kirjanpitovelvoitteet, kun nojaat siihen. Varmista luokitus ja toimittajan vaatimustenmukaisuustyö.

Neljännen osapuolen tekoäly (toimittajasi toimittajat)

Toimittajat yhä useammin jälleenmyyvät tai upottavat kolmannen osapuolen tekoälyä (perusmallit, tekoäly-API:t). Vaadi näiden alitoimittajien ilmoittaminen, jottei mallikatko, datapoikkeama tai käytäntömuutos yllätä sinua.

Tekoälykohtaiset turvakontrollit

Suoja kehotehyökkäyksiä ja datavuotoja vastaan, pääsynhallinta mallirajapintoihin, lokitus ja automaattisten päätösten ihmisvalvonta. Nämä ovat artiklan 21(2) perustason tekoälyaikainen laajennus.

Tekoälypoikkeamien ilmoittaminen

Laajenna sopimuksen ilmoitusvelvoite tekoälykohtaisiin poikkeamiin (datavuoto mallin kautta, haitallinen tai manipuloitu tuotos), jotta toimittajan tekoälypoikkeama tavoittaa sinut ajoissa oman ilmoituksesi kannalta.

Katso, miten sinä ja toimittajasi todella pärjäätte

Aloita ilmaiseksi Katso esimerkkiraportti

Ilmainen · ei luottokorttia · ei aikarajaa

Miten säilyttää näkyvyys tekoälyn levitessä

Tekoälyn käyttöönotto toimitusketjussasi muuttuu nopeammin kuin vuosittainen kysely: toimittaja lisää tekoälyominaisuuden, vaihtaa mallintarjoajaa tai uusi alikäsittelijä ilmestyy. Yhdistä kysely jatkuvaan ulkoiseen seurantaan ja elävään neljännen osapuolen inventaarioon, jotta uudet tekoälyriippuvuudet ja niiden takana olevat alitoimittajat tulevat esiin heti ilmestyessään, kytkettynä NIS2:n ja tekoälyasetuksen velvoitteisiin, ei vasta seuraavassa arviointisyklissä.

Yleisiä virheitä

✕Toimittajakysely, joka ei kysy tekoälystä lainkaan.
✕Arvioidaan suora toimittaja mutta sivuutetaan palvelun takana oleva kolmannen osapuolen malli tai tekoäly-API.
✕Käsitellään tekoälyä pelkkänä innovaatioaiheena, ei toimitusketjun turvallisuutena ja tekoälyasetuksen vaatimustenmukaisuutena.
✕Ei sopimusvelvoitetta ilmoittaa tekoälyn käytöstä tai tekoälykohtaisista poikkeamista.

Usein kysytyt kysymykset

Mainitseeko NIS2 tekoälyn erikseen?⌄

NIS2 ei nosta tekoälyä esiin erikseen, mutta artikla 21(2)(d) tekee sinusta vastuullisen toimittajasuhteidesi turvallisuudesta, ja artikla 21(2) vaatii riskienhallintatoimenpiteitä. Kun toimittajan palvelu nojaa tekoälyyn, se tekoäly on osa riskiä, jota sinun on hallittava. EU:n tekoälyasetus lisää tekoälykohtaiset velvoitteet päälle.

Ostamme vain tavallista ohjelmistoa, emme ”tekoälyä”. Koskeeko tämä meitä?⌄

Yhä useammin kyllä. Tavalliset työkalut upottavat nykyään tekoälyominaisuuksia ja kolmannen osapuolen tekoäly-API:ta, usein ilman näkyvää merkintää. Käytännön askel on kysyä toimittajilta, missä tekoälyä käytetään ja mitkä alitoimittajat sitä käyttävät, sen sijaan että oletetaan sen puuttuvan.

Mitä on neljännen osapuolen tekoälyriski?⌄

Se on tekoälyä, jota ei tuo suora toimittajasi vaan sen omat toimittajat (esimerkiksi perusmalli tai tekoäly-API, jonka ne jälleenmyyvät tai upottavat). Se on vaikein nähdä ja esiintyy arviointikehyksissä vain harvoin, mutta sen häiriö tavoittaa silti palvelusi.

Katso miten toimittaja- ja tekoälyriski kytkeytyy NIS2:een

Esimerkki toimittajaraportista (löydökset, NIS2-kytkentä ja näyttö) kahdessa minuutissa.

Aloita ilmaiseksi Katso esimerkkiraportti Kokeile kyselyä

Ilmainen · ei luottokorttia · ei aikarajaa

Ilmaisella tasolla: 41 kysymyksen NIS2-kysely enintään 10 toimittajalle, oman verkkotunnuksesi julkiset tarkistukset ja DMARC-valvonta yhdelle verkkotunnukselle.

Katso esimerkkiportaali

Aiheeseen liittyvät oppaat

NIS2:n sitovat tekniset vaatimukset pilvi-, MSP- ja DNS-toimittajille (asetus 2024/2690)

Yhdellä toimittajaryhmällä on sitovat, eritellyt tekniset vaatimukset, joita sovelletaan suoraan kaikissa 27 jäsenmaassa ilman kansallista lakia. Ketkä yksitoista toimittajatyyppiä kuuluvat piiriin, mitkä ovat kolmetoista vaatimusaluetta, ja mitkä kuusi niistä voit todentaa ulkoa.

ENISA:n sairaaloiden hankintaohjeistus kyberturvasta: miten arvioit toimittajasi

ENISA:n heinäkuun 2026 hankintaohjeistus tekee toimittajien kyberturvasta osan terveydenhuollon ostoja. Muunna se konkreettisiksi askeliksi: määrittele vaatimukset, arvioi ehdokkaat ulkoa, tee sopimus, valvo ja dokumentoi, kytkettynä NIS2:n artiklan 21(2)(d) toimitusketjuvelvoitteeseen.

Miten täyttää NIS2-vaatimukset: vaiheittainen etenemissuunnitelma

NIS2-vaatimustenmukaisuuden vaiheet järjestyksessä: vahvista soveltamisala, rekisteröidy, johdon vastuu (art. 20), artiklan 21(2) toimenpiteet, toimitusketjun turvallisuus, poikkeamailmoitus (art. 23) ja jatkuva, todennettu varmistus.

Ketä NIS2 koskee? Keskeiset ja tärkeät toimijat, toimialat ja kokorajat

Selvitä, koskeeko NIS2 sinua: kaksi luokkaa, liitteen I/II toimialat, kokorajat, koosta riippumattomat poikkeukset ja miten toimitusketju vetää sinut mukaan, vaikka sinua ei olisi nimetty.

NIS2 toimittajalle: sinua ei ole nimetty, mutta asiakkaasi ovat

Useimpia yrityksiä ei koskaan nimetä NIS2:ssa, mutta monien on silti noudatettava sitä. Miten asiakkaan artiklan 21(2)(d) toimitusketjuvelvoite valuu sinuun, mitä he pyytävät ja miten vastata uskottavasti.

NIS2-direktiivi ja toimitusketjuvaatimus: mitä se tarkoittaa käytännössä

NIS2-direktiivi velvoittaa keskeiset ja tärkeät toimijat arvioimaan toimitusketjunsa kyberriskit. Toimittajien luokittelu, neljännen osapuolen riski, artiklan 23 ilmoitusvelvollisuus ja mitä auditoija katsoo.

Näin murto tapahtuu vuonna 2026: oma ulkoinen hyökkäyspintasi ja toimitusketjusi

Vuoden 2026 hyökkäysketju vaihe vaiheelta: vuotaneet tunnukset, hyödynnetyt edge-laitteet ja sähköpostiväärennös, sekä omalla ulkoisella hyökkäyspinnallasi että toimittajillasi, ja missä norppa.io katkaisee ketjun.

Toimittajan kyberriskiarvio: mitä automaattinen NIS2-seuranta tarkistaa

Kaikki tarkistuskategoriat selitettynä: ransomware, dark web -vuodot, TLS/DNSSEC, evästeet, CVE/EPSS, pakotteet, MX-estolistat ja SAQ. Löydösten elinkaari ja NIS2-artiklakartoitus.

NIS2 Art. 21(2): tarkistuslista toimittajille

Tarkistuslista hankinta- ja tietoturvatiimeille: mitä kysyä, mitä näyttöä kerätä ja miten reagoida, kun toimittaja ei täytä vaatimuksia. Sisältää todentamisasiakirjaehdotukset.

NIS2-toimittajakysely (SAQ): mitä kysyä, miten pisteyttää ja ilmainen malli

Mitä kysyä toimittajilta artiklan 21(2)(d) mukaan, miten pisteyttää vastaukset ja reagoida puutteisiin, miksi itsearviointi vaatii todentamista, ja ilmainen valmis kyselymalli.

NIS2-poikkeamailmoitus: 24 ja 72 tunnin määräajat selitettynä

Mikä on merkittävä poikkeama, artiklan 23 aikataulu (24 t ennakkovaroitus, 72 t ilmoitus, kuukauden loppuraportti) ja milloin toimittajan poikkeamasta tulee sinun velvollisuutesi.

NIS2 ja johdon vastuu: mitä hallituksen ja johdon on tiedettävä

Mitä NIS2 odottaa johdolta: hyväksyntä- ja valvontavelvollisuus, henkilökohtainen vastuu (art. 20), koulutus, hallitusraportoinnin mittarit ja art. 34 -seuraamukset.

ISO 27001 ja NIS2: mitä ISMS jo kattaa, ja mitkä aukot jäävät

Jos sinulla on ISO 27001, mikä siirtyy NIS2:een ja mikä ei: lakisääteinen poikkeamailmoitus, johdon vastuu, rekisteröinti ja jatkuva toimitusketjun varmistus, ja miten aukko suljetaan.

NIS2-sakot ja seuraamukset: kuinka paljon, kuka on vastuussa ja miten välttää ne

Mitä NIS2-seuraamukset ovat: artiklan 34 enimmäismäärät (10 M€ / 2 % keskeisille, 7 M€ / 1,4 % tärkeille toimijoille), johdon henkilökohtainen vastuu (art. 20, art. 32), ei-rahalliset toimenpiteet ja miten ne vältetään jatkuvalla, todennetulla huolellisuudella.

NIS2 vs DORA: miten ne eroavat, missä menevät päällekkäin ja kumpi koskee sinua

Miten kaksi EU-säädöstä eroavat ja menevät päällekkäin, miksi DORA on lex specialis finanssitoimijoille, kumpi koskee sinua, ja mitä molemmat tarkoittavat kolmannen osapuolen riskille.

GDPR vs NIS2: missä ne menevät päällekkäin, miten eroavat ja milloin yksi poikkeama laukaisee molemmat

Miten GDPR ja NIS2 eroavat ja menevät päällekkäin, milloin yksi poikkeama laukaisee molemmat (GDPR art. 33 72 t tietosuojaviranomaiselle vs NIS2 art. 23 24 t/72 t/kuukausi CSIRT-toimijalle), art. 35 yhteistyö ja kaksoissakkojen kielto, ja mitä molemmat tarkoittavat toimittajien huolellisuusarvioinnille.

EU:n kyberkestävyysasetus (CRA): soveltamisala, aikataulu ja mitä se tarkoittaa toimitusketjullesi

Mitä CRA vaatii, sen vaiheittaiset päivämäärät (voimassa 2024, ilmoitukset 9/2026, täysi vaatimustenmukaisuus 12/2027), ketä se koskee ja miksei pelkkää SaaS:ää, miten se täydentää NIS2:ta ja mitä se tarkoittaa hankinnalle ja toimittajien huolellisuusarvioinnille.

EU:n tekoälyasetus: riskiluokat, aikataulu ja mitä käyttöönottajan on tehtävä (artikla 26)

Mitä EU:n tekoälyasetus vaatii: riskiluokat, vaiheittaiset päivämäärät (voimassa 2024, kielletyt 2/2025, GPAI 8/2025, korkea riski 8/2026), artiklan 26 käyttöönottajan velvollisuudet, miten se kasautuu NIS2:n ja GDPR:n kanssa, ja mitä se tarkoittaa tekoälyhankinnoille.

NIS2:n täytäntöönpanon tila: missä EU-maissa se on voimassa

Mitkä 27 EU-jäsenvaltiosta ovat kirjanneet NIS2:n kansalliseen lakiin ja mitkä yhä viimeistelevät, ja miksi erot tavoittavat toimitusketjusi joka tapauksessa.

NIS2-toimittajasopimuksen klausuulit: mitä vaatia toimittajiltasi

Sopimusklausuulit, jotka tekevät NIS2:n toimitusketjuvelvoitteesta toimeenpantavan: tietoturvan perustaso, ilmoitusikkuna, näyttö- ja auditointioikeudet, velvoitteiden siirto alihankkijoille, ja miten todentaa ne jatkuvasti.

Ulkoisen tietoturvasi tila NIS2:ssa: mitä toimittajat ja asiakkaat näkevät

Julkisesti näkyvät signaalit, joita asiakkaat arvioivat NIS2 art. 21(2)(d):n nojalla: sähköpostin väärennettävyys (SPF/DMARC), varmenteiden kunto, internetiin altistuneet järjestelmät ja vuotaneet tunnukset, miksi kukin on tärkeä ja miten ne tarkistetaan ja korjataan.

Toimittajaksi tekeytyminen ja toimitusjohtajahuijaus (BEC): sähköpostin väärentäminen, DMARC ja NIS2

Yksi yleisimmistä toimitusketjuhyökkäyksistä ei vaadi murtoa: väärennetty sähköposti, joka ohjaa maksun toisaalle tai varastaa dataa. Miten BEC ja toimittajaksi tekeytyminen toimivat, mitkä SPF-, DKIM- ja DMARC-asetukset estävät ne, ja miten se kytkeytyy NIS2 art. 21(2)(d):hen.

Viimeksi tarkistettu: 19. kesäkuuta 2026

Tämä opas on yleistä tietoa EU-lainsäädännöstä, ei oikeudellista neuvontaa. NIS2 tulee voimaan kunkin EU-jäsenvaltion kansallisen täytäntöönpanolain kautta, joka voi poiketa yksityiskohdissa. Varmista sinua koskevat velvoitteet toimivaltaiselta viranomaiselta tai lakimieheltä.