Esimerkkiraportti — fiktiivinen yritysdata. Jokainen norppa.io-tilaus sisältää yli 100 automaattista tarkistusta kaikille seurannassa oleville domaineille — passiivinen OSINT ja HTTP-tietoturvatarkistukset — ajetaan automaattisesti päivittäin.
Acme Manufacturing Oy
Raportointijakso: Maaliskuu 2026 · Luotu 1. huhtikuuta 2026
Yhteenveto
Acme Manufacturingin NIS2-toimitusketjun riskitaso on heikentynyt tällä jaksolla — pistemäärä laski 74:stä 62:een kahden kriittisen löydöksen vuoksi, jotka vaativat välittömiä johdon toimenpiteitä.
Merkittävin uhka on Acme Logistics Oy:n aktiivinen kiristysohjelmauhrilistaus. Kyseinen uhkatoimijaryhmä on tunnettu pysyvästä verkkojalansijasta ja verkkopääsyn myynnistä toissijaisille toimijoille, mikäli ensisijaiset lunnasneuvottelut epäonnistuvat. Kaikki yhdyspisteet — APIt, tiedostosiirrot, jaetut tunnistautumisjärjestelmät — organisaatiosi ja Acme Logisticsin välillä on käsiteltävä mahdollisesti vaarantuneina, kunnes toimittaja toimittaa vahvistetun hallinnaraportin. Lisäksi 14 Nordic Cloud Servicesin henkilöstötunnusta kiertää dark web -infostealer-markkinoilla, mikä muodostaa merkittävän hyökkäysuhan jaetuille pilviympäristöille ja VPN-päätepisteille.
NIS2-vaatimustenmukaisuuden näkökulmasta neljällä artiklalla on aktiivisia löydöksiä tällä jaksolla: Art. 21(2)(d) (toimitusketjun riskienhallinta), 21(2)(e) (poikkeamaraportointivelvoitteet), 21(2)(h) (kryptografiset kontrollit — TLS-vanheneminen) ja 21(2)(i) (pääsynhallinta — tunnistetietohygienia). Art. 21(2)(d):n ja 21(2)(e):n nojalla vaaditaan välittömät dokumentoidut riskiarviot. Databridge.fi:n TLS-sertifikaatin vanheneminen 6 päivän kuluttua asettaa kovan määräajan — uusimatta jättäminen aiheuttaa palveluhäiriön ja muodostaa vaatimustenmukaisuusaukon Art. 21(2)(h):n mukaisesti.
Prioriteettiset toimenpiteet
Acme Logistics Oy — kiristysohjelmauhrilistaus: ota yhteyttä toimittajaan välittömästi ja tarkista datavirrat. Aktivoi tietoturvavastetoimet.
KriittinenNordic Cloud Services — 14 henkilöstön tunnusta dark webissä: ilmoita toimittajalle, vaadi salasanojen vaihto ja MFA.
KriittinenDataBridge Finland — TLS-sertifikaatti vanhenee 6 päivässä: pyydä toimittajaa uusimaan välittömästi palvelukatkoksen estämiseksi.
KorkeaAcme Logistics Oy — korkean riskin maan infrastruktuuri: pyydä toimittajalta infrastruktuuridokumentaatio ja tarkista NIS2 Art. 21(2)(d):n velvoitteet.
KorkeaNordic Cloud Services — DMARC puuttuu: pyydä toimittajaa julkaisemaan DMARC-tietue domainin huijaamisen estämiseksi.
KorkeaNIS2-artiklojen vaatimustenmukaisuustila
Toimitusketjun turvallisuus ja kolmansien osapuolten toimenpiteet
1 löydösRiskienhallinta verkko- ja tietojärjestelmissä
3 löydöstäKryptografia, TLS ja sertifikaattihygienia
4 löydöstäHenkilöstöturvallisuus ja tunnistetietojen hallinta
1 löydösPoikkeamaraportointi ja haavoittuvuuksien julkistaminen
1 löydösAktiiviset löydökset (9)
Toimittajadomain on ilmestynyt aktiiviselle uhkatoimijalistalle. Uhkatoimija väittää suorittaneensa datan suodatuksen.
Toimittajan henkilöstön tunnuksia kiertää dark web -markkinoilla infostealer-kampanjasta. Tunnistettiin 14 yksittäistä tiliä.
Toimittajan pääasiallinen IP-osoite on rekisteröity EU:n korkean riskin kolmannen maan listalla olevaan lainkäyttöalueeseen. Tämä voi edustaa toimitusketjuriskiä NIS2 Art. 21(2)(d):n nojalla.
databridge.fi:n TLS-sertifikaatti vanhenee 30.3.2026. Palvelut muuttuvat saavuttamattomiksi tai näyttävät selainvaroituksia loppukäyttäjille vanhentumisen jälkeen.
Domainille ei ole julkaistu DMARC-tietuetta. Domainia voidaan huijata organisaatioosi kohdistuvissa tietojenkalastelukampanjoissa.
2 CVE-haavoittuvuutta havaittu internet-altistuneessa infrastruktuurissa. CVE-2023-44487 (HTTP/2 Rapid Reset, CVSS 7.5) on luokiteltu korkeaksi ja sillä on tunnettuja julkisia hyväksikäyttötapoja.
DNSSEC ei ole konfiguroitu. DNS-vastauksia ei voida kryptografisesti todentaa, mikä altistaa domainin DNS-huijaushyökkäyksille.
security.txt-tiedostoa ei löydy /.well-known/security.txt-polusta. NIS2 Art. 23 edellyttää saavutettavaa haavoittuvuusilmoituskanavaa.
Content-Security-Policy-otsikko puuttuu pääverkkokohteesta. Tämä lisää altistumista XSS- ja sisältöinjektiohyökkäyksille.
Haluatko tämän raportin omasta toimittajaverkostostasi?
Aloita ilmainen kokeilu — ei luottokorttiaToimittajien riskiyhteenveto
| Toimittaja | Domain | Tietoturvapistemäärä | Kriittinen | Korkea |
|---|---|---|---|---|
| Acme Logistics Oy | acme-logistics.fi | 22 | 2 | 1 |
| Nordic Cloud Services | nordiccloud.fi | 48 | 1 | 1 |
| DataBridge Finland | databridge.fi | 64 | — | 1 |
| SupplyLink Partners | supplylink.eu | 81 | — | — |
| Vantage IT Oy | vantage-it.fi | 97 | — | — |
Oma ympäristö
acme-manufacturing.fi
Viimeksi skannattu: 7.5.2026
78/100
Tietoturvapistemäärä
security.txt-tiedostoa ei löydy /.well-known/security.txt-polusta. NIS2 Art. 23 edellyttää saavutettavaa haavoittuvuusilmoituskanavaa.
DNSSEC ei ole konfiguroitu domainillesi. DNS-vastauksia ei voida kryptografisesti todentaa.
Oma domainisi saa samat yli 100 automaattista tarkistusta kuin toimittajasi — passiivinen OSINT ja HTTP-tietoturvatarkistukset päivittäin. Full Scan -lisäosa (jos käytössä) kohdistuu tähän domainiin kuukausittaisella syvässkannauksella.
Toimittajien itsearviointilomakkeet (SAQ)
Toimittajat täyttävät 28 kysymyksen NIS2-itsearviointilomakkeen. Vastaukset pisteytetään automaattisesti ja näkyvät tässä automatisoitujen löydösten rinnalla — kaksi kerrosta vaatimustenmukaisuustodistetta yhdessä raportissa.
| Toimittaja | SAQ-pistemäärä |
|---|---|
| Acme Logistics Oy | — |
| Nordic Cloud Services | 61/100 |
| DataBridge Finland | 74/100 |
| SupplyLink Partners | — |
| Vantage IT Oy | 91/100 |
Nordic Cloud Services
[email protected] · 20.3.2026
61/100
SAQ-pistemäärä
Osiokohtainen erittely
Hallinto ja tietoturvakäytännöt
Art. 21(2)(a)
Pääsynhallinta ja autentikointi
Art. 21(2)(i)(j)
Poikkeamien käsittely ja ilmoittaminen
Art. 21(2)(b), Art. 23
Tietosuoja ja kryptografia
Art. 21(2)(h)
Liiketoiminnan jatkuvuus
Art. 21(2)(c)
Toimitusketju ja kolmannet osapuolet
Art. 21(2)(d)
Haavoittuvuuksien hallinta
Art. 21(2)(e)(g)
Seurantametodologia
Yli 100 automaattista tarkistusta ajetaan päivittäin kaikille seurannassa oleville domaineille, ja kiristysohjelma- ja dark web -seuranta 6 tunnin välein. Tarkistukset kattavat: kiristysohjelmauhrilistaukset (useita uhkatiedusteluvirtoja), dark web -infostealer-tunnistetietovuodot, TLS/sertifikaattiterveys, DNS-eheys (SPF, DMARC, DKIM, DNSSEC), DNSSEC-validointiketju, MX-palvelinten DNS-mustatauluosumat, sähköpostin väärentämisriski (TLS-RPT, MTA-STS, BIMI, BEC-composite-pisteet), evästeturvallisuus (Secure, HttpOnly, SameSite), robots.txt- ja sitemap-polkupaljastukset, IP-sijainti ja korkean riskin maadetektio, tunnetut haavoittuvuudet (CVE/EPSS), AiTM-phishing-infrastruktuurin tunnistus CT-lokeista, RPKI/BGP-reittilähtövalidointi, yritysrekisteri- ja LEI-tila (PRH, GLEIF), dangling CNAME- ja MX-tunnistus, SBOM/CSAF-viitedetektio, security.txt, tietoturvaotsikot, HTTPS-uudelleenohjauksen vahvistus sekä verkkosivumuutosten seuranta.
post-quantum TLS -valmiuden tunnistus (NIST FIPS 203 ML-KEM -hybridit), Model Context Protocol (MCP) -päätepisteen altistumistarkistus, JavaScript-bundle-salaisuuksien skannaus (API-avaimet, tokenit), AI-toimittajainventaario EU:n AI-asetuksen Art. 26 -velvoitteita varten, GraphQL-introspektion ja OpenAPI-paljastusten tarkistukset sekä DORA Register of Information -vienti (Annex III B_02.03 + B_05.01). Kaikki löydökset kartoitetaan automaattisesti NIS2-artikloihin.
Skannaukset ajetaan päivittäin. Viimeisin skannaus: 7.5.2026 klo 00:00 UTC.
Hanki tämä raportti omalle toimittajaverkostollesi
Uudet toimittajat jonoutetaan skannaukseen välittömästi. Kuukausittaiset NIS2-vaatimustenmukaisuusraportit luodaan automaattisesti jokaisen skannauskierroksen jälkeen — AI-tiivistelmällä. Ei asennettavia agentteja.
Katso hinnoittelu →