Opas · 9 min lukuaika

Toimittajan kyberriskiarvio: mitä jatkuva seuranta tarkistaa

Mitä toimittajan kyberriskin seuraaminen ulkoa oikeastaan tarkoittaa? Tässä on koko luettelo: jokainen tarkistuskategoria, miksi kukin on NIS2:n kannalta merkittävä ja miten löydös muuttuu joksikin, johon voit tarttua, tai jonka voit perustellusti päättää hyväksyä.

Keskeiset huomiot

Käy läpi jokaisen tarkistuskategorian ja sen NIS2-artiklan, johon kukin vastaa.
Kaikki on passiivista: vain julkisia lähteitä, ei liikennettä toimittajalle eikä suostumusta tarvita.
NIS2 palkitsee dokumentoidun, hallitun riskin, ei tyhjää löydöslistaa: hyväksytty, kirjattu riski on näyttöä.

Passiivinen tiedustelu: mikään ei koskaan kosketa toimittajaa

Kaikki tämä perustuu passiiviseen tiedusteluun. Tieto kerätään kokonaan julkisista lähteistä (varmenteiden läpinäkyvyyslokeista, DNS-tietueista, kiristysohjelmien vuotosivuilta, tietomurtoaineistoista, pakoterekistereistä ja avoimista tiedustelusyötteistä) joten toimittajan järjestelmiin ei koskaan lähetetä liikennettä eikä lupaa tarvita. Voit arvioida toimittajan, jonka kanssa olet allekirjoittanut, sellaisen jota vielä harkitset, tai sellaisen, jolla ei ole aavistustakaan että katsot.

Täysi tarkistuskokonaisuus ajetaan päivittäin; aikakriittiset (kiristysohjelma- ja dark web -lähteet) uudelleen noin kuuden tunnin välein, ja sähköpostihälytys lähtee heti, kun jotain kriittistä ilmaantuu, kuten esiintyminen uhrilistalla tai tuore tunnistetietovuoto.

Ransomware-uhriseuranta

Art. 21(2)(b)

Useita kiristysohjelmia seuraavia lähteitä tarkistetaan uudelleen noin kuuden tunnin välein. Sinä päivänä, jona toimittajasi ilmestyy uhrilistalle (aktiivisen tai äskettäisen hyökkäyksen julkinen tuntomerkki) kuulet siitä, ja se on yleensä päivä kysyä heiltä suoraan, oletko sinä tai datasi sotkeutunut asiaan.

Dark webin tunnistetietovuodot

Art. 21(2)(i)

Infostealer-tartuntojen ja dark web -markkinoiden tunnistetietokasoista etsitään toimittajan domainiin sidottuja kirjautumisia. Varastetut tunnistetiedot ovat yhä yleisin sisäänpääsytie, ja toimittajasi työntekijän vuotanut salasana on salasana, joka voi päätyä osoitettuna sinun järjestelmiisi.

Sähköpostisuojaus

Art. 21(2)(h)

Puuttuvat tai puolitiehen jätetyt SPF, DKIM ja DMARC antavat väärentää toimittajan domainin sähköpostissa, joka saapuu aidon näköisenä. Tarkistus katsoo myös MTA-STS:ää, TLS-RPT-raportointitietuetta ja BIMI-brändimerkkiä. Ne tekniset perustukset, joiden varaan artiklan 21 kryptografiatoimet soveltuvin osin nojaavat.

TLS-varmenteet ja DNSSEC

Art. 21(2)(h)

Varmenteiden voimassaoloa seurataan, ja varoitus tulee kaksi viikkoa ennen vanhenemista. DNSSEC-validointi kertoo, onko toimittajan DNS-ketju allekirjoitettu ja eheä (ilman sitä heidän DNS:nsä voidaan väärentää) ja CAA-tietueet osoittavat, onko varmenteiden myöntäminen rajattu hyväksyttyihin myöntäjiin.

Verkkosivujen turvakonfiguraatio

Art. 21(2)(c)

Evästeiden liput (Secure, HttpOnly, SameSite) tarkistetaan, sillä puuttuvat avaavat oven istunnon kaappaukselle ja XSS:lle. robots.txt luetaan arkaluonteisten polkujen varalta, joita sivusto hiljaa mainostaa, ja security.txt sen varalta, onko olemassa rehellinen kanava ilmoittaa haavoittuvuudesta.

Haavoittuvuudet ja hyödynnettävyyspisteet

Art. 21(2)(e)

Kaikki toimittajan infrastruktuuriin sidottu, joka on CISAn Known Exploited Vulnerabilities -luettelossa, merkitään välittömästi. Hyödynnettävyystodennäköisyyden pisteet (EPSS) järjestävät loput sen mukaan, kuinka todennäköisesti kutakin oikeasti käytetään, eikä pelkän CVSS-vakavuuden mukaan: ero pitkän ja lyhyen, rehellisen listan välillä.

Pakotteet ja sähköpostipalvelimen maine

Art. 21(2)(e) & Art. 21(2)(j)

Toimittajan organisaatio tarkistetaan EU:n, YK:n ja OFAC:n pakotelistoja vastaan. Sen sähköpostipalvelimen IP-osoitteet tarkistetaan neljää reaaliaikaista estolistaa vastaan: esiintyminen niissä viittaa sähköpostin väärinkäyttöön tai aiempaan kompromissiin, jota ei ole koskaan siivottu.

SAQ: itsearviointikysely

Art. 21(2)(a) & (b) & (d)

Tekninen seuranta kattaa pinnan, jonka kuka tahansa näkee ulkoa. Prosessitason vaatimukset (riskienhallinta, poikkeamien käsittely, toimitusketjun hallinta) tavoitetaan lähettämällä toimittajalle itsearviointikysely portaalista; vastaukset tallennetaan ja luetaan teknisen riskiprofiilin vierellä, niin että väitteet ja näyttö ovat rinnakkain.

Katso, miten toimittajasi todella pärjäävät

Aloita ilmainen kokeilu Katso esimerkkiraportti

7 päivän ilmaiskokeilu · ei luottokorttia · peru milloin vain

Vakavuus ja riskipistemäärä

Jokainen löydös asettuu yhteen neljästä vakavuustasosta: kriittinen (toimi heti), korkea (noin seitsemän päivää), keskitaso (noin kolmekymmentä) ja matala (hyvä tietää). Toimittajan riskipistemäärä (0–100, jossa 100 on puhdas) johdetaan kulloinkin avoinna olevien löydösten vakavuudesta.

Lue pistemäärä tapana priorisoida huomiota, ei tuomiona. Muuten vahvan toimittajan pisteet voivat pudota yhdestä kriittisestä puutteesta, eikä siisti pistemäärä koskaan oikeuta ohittamaan sen alla olevia yksityiskohtia.

Mitä löydökselle tapahtuu

Löydös avautuu heti, kun tarkistus huomaa jotain vialla, ja pysyy avoimena, kunnes ongelma on todella poissa: seuraava ajo vahvistaa korjauksen itsestään ilman manuaalista sulkemista. Kun löydös on riski, jonka olet katsonut ja päättänyt hyväksyä, merkitse se hyväksytyksi riskiksi kommentilla, jolloin se lakkaa tuottamasta uusia hälytyksiä, ellei tila muutu.

Jokainen löydös merkitään kirjattaessa siihen NIS2:n artiklan 21(2) alakohtaan, johon se vastaa, ja näkyy sekä reaaliaikaisessa portaalissa että kuukausittaisessa PDF:ssä.

Miten se kytkeytyy NIS2:een ja mitä raportti kantaa

Raportti avautuu selkokielisellä tiivistelmällä, sitten NIS2-pisteet artikloittain, riskiprofiili toimittajakohtaisesti ja korjauslista valmiiksi tärkeysjärjestyksessä. Se on kirjoitettu luettavaksi johtoryhmässä, ei vain niiden toimesta, jotka korjaukset tekevät.

Se kantaa myös ne löydökset, jotka olet hyväksynyt dokumentoituina riskeinä: juuri se osa, josta auditoijat välittävät eniten. NIS2 ei koskaan pyytänyt puhdasta pöytää; se pyysi sinua hallitsemaan riskiä ja näyttämään työsi.

Oma domain: syvempi ulkoinen katsaus

Toimittajadomainit arvioidaan pelkällä passiivisella tiedustelulla: vain julkisella datalla. Oma domainisi voi mennä askeleen pidemmälle kuukausittaisella ulkoisella arvioinnilla (paljaana olevat portit ja palvelut, tunnetut haavoittuvuusriskit ja TLS-konfiguraatio) koska siellä sinulla on oikeus katsoa tarkemmin. Edelleen ei integraatiota eikä mitään, mikä ylttäisi sisäverkkoosi.

Viralliset lähteet

Katso miltä raportti näyttää

Esimerkkiraportti näyttää tarkalleen, miten löydökset esitetään: NIS2-artikloittain, toimittajakohtaisesti ja tiivistelmänä, jonka johtoryhmä oikeasti jaksaa lukea.

Aloita ilmainen kokeilu Katso esimerkkiraportti

7 päivän ilmaiskokeilu · ei luottokorttia · peru milloin vain

Katso esimerkki-dashboard

Kaikki oppaat

Viimeksi tarkistettu: 19. kesäkuuta 2026

Tämä opas on yleistä tietoa EU-lainsäädännöstä, ei oikeudellista neuvontaa. NIS2 tulee voimaan kunkin EU-jäsenvaltion kansallisen täytäntöönpanolain kautta, joka voi poiketa yksityiskohdissa. Varmista sinua koskevat velvoitteet toimivaltaiselta viranomaiselta tai lakimieheltä.

Aiheeseen liittyvät oppaat

Miten täyttää NIS2-vaatimukset: vaiheittainen etenemissuunnitelma

NIS2-vaatimustenmukaisuuden vaiheet järjestyksessä: vahvista soveltamisala, rekisteröidy, johdon vastuu (art. 20), artiklan 21(2) toimenpiteet, toimitusketjun turvallisuus, poikkeamailmoitus (art. 23) ja jatkuva, todennettu varmistus.

Ketä NIS2 koskee? Keskeiset ja tärkeät toimijat, toimialat ja kokorajat

Selvitä, koskeeko NIS2 sinua: kaksi luokkaa, liitteen I/II toimialat, kokorajat, koosta riippumattomat poikkeukset ja miten toimitusketju vetää sinut mukaan, vaikka sinua ei olisi nimetty.

NIS2 toimittajalle: sinua ei ole nimetty, mutta asiakkaasi on

Useimpia yrityksiä ei koskaan nimetä NIS2:ssa, mutta monien on silti noudatettava sitä. Miten asiakkaan artiklan 21(2)(d) toimitusketjuvelvoite valuu sinuun, mitä he pyytävät ja miten vastata uskottavasti.

NIS2-laki ja toimitusketjuvaatimus: mitä se tarkoittaa käytännössä

NIS2-direktiivi velvoittaa keskeiset ja tärkeät toimijat arvioimaan toimitusketjunsa kyberriskit. Toimittajatieraus, 4. osapuoli -riski, Art. 23 -ilmoitusvelvollisuus ja mitä tilintarkastaja katsoo.

Näin murto tapahtuu 2026: oma ulkopintasi ja toimitusketjusi

2026-hyökkäysketju vaihe vaiheelta — vuotaneet tunnukset, hyödynnetyt edge-laitteet, sähköpostiväärennös — sekä omalla ulkopinnallasi että toimittajillasi, ja missä norppa.io katkaisee ketjun.

NIS2 Art. 21(2): tarkistuslista toimittajille

Tarkistuslista hankinta- ja tietoturvatiimeille: mitä kysyä, mitä dokumentteja pyytää ja miten reagoida, kun toimittaja ei täytä vaatimuksia. Sisältää todentamisasiakirjaehdotukset.

NIS2-toimittajakysely (SAQ): mitä kysyä, miten pisteyttää ja valmis malli

Mitä kysyä toimittajilta 21(2)(d) mukaan, miten pisteyttää vastaukset ja reagoida puutteisiin, miksi itsearviointi vaatii todentamista, ja ilmainen valmis kyselymalli.

NIS2-poikkeamailmoitus: 24 ja 72 tunnin määräajat selitettynä

Mikä on merkittävä poikkeama, artiklan 23 aikataulu (24 t ennakkovaroitus, 72 t ilmoitus, kuukauden loppuraportti) ja milloin toimittajan poikkeamasta tulee sinun velvollisuutesi.

NIS2 ja johdon vastuu: mitä hallituksen ja johdon on tiedettävä

Mitä NIS2 odottaa johdolta: hyväksyntä- ja valvontavelvollisuus, henkilökohtainen vastuu (art. 20), koulutus, hallitusraportoinnin mittarit ja art. 34 -seuraamukset.

ISO 27001 ja NIS2: mitä ISMS jo kattaa, ja mitä se ei kata

Jos sinulla on ISO 27001, mikä siirtyy NIS2:een ja mikä ei: lakisääteinen poikkeamailmoitus, johdon vastuu, rekisteröinti ja jatkuva toimitusketjun varmistus, ja miten aukko suljetaan.

NIS2-sakot ja seuraamukset: kuinka paljon, kuka on vastuussa ja miten välttää ne

Mitä NIS2-seuraamukset ovat: artiklan 34 enimmäismäärät (10 M€ / 2 % keskeisille, 7 M€ / 1,4 % tärkeille toimijoille), johdon henkilökohtainen vastuu (art. 20, art. 32), ei-rahalliset toimenpiteet ja miten ne vältetään jatkuvalla, todennetulla huolellisuudella.

NIS2 vs DORA: miten ne eroavat, missä menevät päällekkäin ja kumpi koskee sinua

Miten kaksi EU-säädöstä eroavat ja menevät päällekkäin, miksi DORA on lex specialis finanssitoimijoille, kumpi koskee sinua, ja mitä molemmat tarkoittavat kolmannen osapuolen riskille.

GDPR vs NIS2: missä ne menevät päällekkäin, miten eroavat ja milloin yksi poikkeama laukaisee molemmat

Miten GDPR ja NIS2 eroavat ja menevät päällekkäin, milloin yksi poikkeama laukaisee molemmat (GDPR art. 33 72 t tietosuojaviranomaiselle vs NIS2 art. 23 24 t/72 t/kuukausi CSIRT-toimijalle), art. 35 yhteistyö ja kaksoissakkojen kielto, ja mitä molemmat tarkoittavat toimittajien due diligencelle.

EU:n kyberkestävyyssäädös (CRA): soveltamisala, aikataulu ja mitä se tarkoittaa toimitusketjullesi

Mitä CRA vaatii, sen vaiheittaiset päivämäärät (voimassa 2024, ilmoitukset 9/2026, täysi vaatimustenmukaisuus 12/2027), ketä se koskee ja miksei pelkkää SaaS:ää, miten se täydentää NIS2:ta ja mitä se tarkoittaa hankinnalle ja toimittajien due diligencelle.

EU:n tekoälyasetus: riskiluokat, aikataulu ja mitä käyttöönottajan on tehtävä (artikla 26)

Mitä EU:n tekoälyasetus vaatii: riskiluokat, vaiheittaiset päivämäärät (voimassa 2024, kielletyt 2/2025, GPAI 8/2025, korkea riski 8/2026), artiklan 26 käyttöönottajan velvollisuudet, miten se kasautuu NIS2:n ja GDPR:n kanssa, ja mitä se tarkoittaa tekoälyhankinnoille.

NIS2:n täytäntöönpanon tila: missä EU-maissa se on voimassa

Mitkä 27 EU-jäsenvaltiosta ovat kirjanneet NIS2:n kansalliseen lakiin ja mitkä yhä viimeistelevät, ja miksi erot tavoittavat toimitusketjusi joka tapauksessa.

NIS2-toimittajasopimuksen klausuulit: mitä vaatia toimittajiltasi

Sopimusklausuulit jotka tekevät NIS2:n toimitusketjuvelvoitteesta toimeenpantavan: tietoturvan perustaso, ilmoitusikkuna, näyttö- ja auditointioikeudet, alihankkijaketjutus, ja miten todentaa ne jatkuvasti.

Ulkoinen tietoturva-asentosi NIS2:ssa: mitä toimittajat ja asiakkaat näkevät

Julkisesti näkyvät signaalit, joita asiakkaat arvioivat NIS2 art. 21(2)(d):n nojalla: sähköpostin väärennettävyys (SPF/DMARC), sertifikaattien kunto, internetiin altistuneet järjestelmät ja vuotaneet tunnukset, miksi kukin on tärkeä ja miten ne tarkistetaan ja korjataan.

Käyttävätkö toimittajasi tekoälyä? NIS2:n toimittajariski ja EU:n tekoälyasetus

Toimittajat upottavat yhä useammin tekoälyä palveluihin, joista olet riippuvainen, ja niin tekevät heidän toimittajansa. Missä toimittajan ja nth-party-tekoäly luo riskiä NIS2 art. 21(2)(d):n ja EU:n tekoälyasetuksen kannalta, mitä arvioida ja miten säilyttää näkyvyys.

Toimittajan esiintyminen ja toimitusjohtajahuijaus (BEC): sähköpostin väärentäminen, DMARC ja NIS2

Yksi yleisimmistä toimitusketjuhyökkäyksistä ei vaadi murtoa: väärennetty sähköposti, joka ohjaa maksun toisaalle tai varastaa dataa. Miten BEC ja toimittajan esiintyminen toimivat, mitkä SPF-, DKIM- ja DMARC-asetukset estävät ne, ja miten se kytkeytyy NIS2 art. 21(2)(d):hen.