5.1 Toimitusketjun turvallisuuskäytäntö

a)

tavarantoimittajien ja palveluntarjoajien kyberturvallisuuskäytännöt, mukaan lukien niiden turvallista kehittämistä koskevat menettelyt;

b)

tavarantoimittajien ja palveluntarjoajien kyky täyttää asianomaisen toimijan asettamat kyberturvallisuusvaatimukset;

c)

TVT-tuotteiden ja -palvelujen yleinen laatu ja häiriönsietokyky sekä niihin sisältyvät kyberturvallisuusriskien hallintatoimenpiteet, mukaan lukien TVT-tuotteiden ja -palvelujen riskit ja turvallisuusluokitustaso;

d)

tapauksen mukaan asianomaisen toimijan mahdollisuus monipuolistaa hankintalähteitä ja rajoittaa toimittajariippuvuutta.

a)

tavarantoimittajia tai palveluntarjoajia koskevat kyberturvallisuusvaatimukset, mukaan lukien 6.1 kohdassa esitetyt TVT-palvelujen tai -tuotteiden hankinnan turvallisuutta koskevat vaatimukset;

b)

tavarantoimittajien tai palveluntarjoajien työntekijöiltä vaadittavaa tietämystä, taitoja ja koulutusta sekä tarvittaessa sertifiointia koskevat vaatimukset;

c)

tavarantoimittajien ja palveluntarjoajien työntekijöiden taustan tarkistamista koskevat vaatimukset;

d)

tavarantoimittajien ja palveluntarjoajien velvollisuus ilmoittaa ilman aiheetonta viivytystä asianomaiselle toimijalle poikkeamista, jotka aiheuttavat riskin kyseisen toimijan verkko- ja tietojärjestelmien turvallisuudelle;

e)

oikeus suorittaa tarkastuksia tai saada tarkastuskertomuksia;

f)

tavarantoimittajien ja palveluntarjoajien velvollisuus korjata haavoittuvuudet, jotka aiheuttavat riskin kyseisen toimijan verkko- ja tietojärjestelmien turvallisuudelle;

g)

alihankintaa koskevat vaatimukset ja, jos asianomainen toimija sallii alihankinnan, alihankkijoita koskevat kyberturvallisuusvaatimukset a alakohdassa tarkoitettujen kyberturvallisuusvaatimusten mukaisesti;

h)

tavarantoimittajien ja palveluntarjoajien velvoitteet sopimuksen päättyessä, kuten tavarantoimittajien ja palveluntarjoajien tehtäviään suorittaessaan saamien tietojen talteenotto ja hävittäminen.

a)

tapauksen mukaan seurattava säännöllisesti raportteja palvelutasosopimusten täytäntöönpanosta;

b)

arvioitava tavarantoimittajien ja palveluntarjoajien TVT-tuotteisiin ja -palveluihin liittyvät poikkeamat;

c)

arvioitava ylimääräisten arviointien tarvetta ja dokumentoitava havainnot ymmärrettävällä tavalla;

d)

analysoitava tavarantoimittajien ja palveluntarjoajien TVT-tuotteisiin ja -palveluihin tehtyjen muutosten aiheuttamat riskit ja tarvittaessa toteutettava vaikutuksia lieventäviä toimenpiteitä viipymättä.