Alikäsittelijämuutosten hallinta SaaS- ja MSP-palveluissa

Sarah, nopeasti kasvavan fintech-SaaS-palveluntarjoajan tietoturvajohtaja, avasi kriittisen infrastruktuuritoimittajan palvelupäivityksen, joka näytti rutiininomaiselta. Kohdan “palveluoptimoinnit” alle oli piilotettu yksi lause, joka muutti hänen viikkonsa:

“Analytiikan suorituskyvyn parantamiseksi tietojenkäsittelyn työkuormat siirretään uudelle kumppanillemme, DataCrunch Analyticsille, 30 päivän kuluttua.”

Kolmekymmentä päivää. Uusi analytiikkakumppani. Nopea tarkistus osoitti, että palveluntarjoaja sijaitsi EU:n ulkopuolella.

Kehitystiimi näki tilanteen rutiininomaisena toimittajaparannuksena. Hankinta oletti, että nykyinen sopimus kattoi muutoksen. Asiakkuustiimi ei ollut suunnitellut ilmoituskampanjaa. Lakiasiat eivät olleet arvioineet siirron vaikutuksia. Sarah näki heti varsinaisen ongelman: hänen yhtiönsä toimi henkilötietojen käsittelijänä sadoille finanssilaitoksille eri puolilla Eurooppaa. Nämä asiakkaat olivat GDPR:n mukaisia rekisterinpitäjiä. Osa oli neuvotellut etukäteisilmoituksesta uusista alikäsittelijöistä. Osalla oli vastustamisoikeuksia. Useilla oli DORA-perusteisia ulkoistus- ja kolmansien osapuolten TVT-riskiin liittyviä velvoitteita. Muutamilla oli tiukat sijaintia koskevat ilmoitukset, joita ei voitu muuttaa hiljaisesti.

Tässä vaiheessa moni SaaS-palveluntarjoaja, MSP, MSSP ja pilvipalveluntarjoaja havaitsee, että alikäsittelijöiden hallinta ei ole hallinnollinen tietosuojatehtävä. Se on samassa työnkulussa toimittajariskien hallintaa, sopimuksenmukaisuutta, operatiivista häiriönsietokykyä, asiakasviestintää ja auditointinäyttöä.

Julkinen alikäsittelijäsivu ei riitä. Toimittajan alaviite ei riitä. Tietoturvakysely ei riitä. Puolustettavan prosessin on osoitettava, kuka arvioi alikäsittelijän, mitä tietoja käsitellään, mihin asiakkaisiin muutos vaikuttaa, mitkä sopimukset edellyttävät ilmoitusta, käsiteltiinkö vastustukset ennen käyttöönottoa, miten henkilötietojen kansainvälistä siirtoa koskeva todentava aineisto linkitettiin ja missä lopullinen todentava aineisto säilytetään.

Clarysec käsittelee tätä hallittuna kontrollimallina, ei ad hoc -sähköpostiketjuna. Työnkulku yhdistää tietosuojan hallinnan, toimittajien varmentamisen, oikeudellisen katselmoinnin, TVT-toimitusketjuriskin, asiakasilmoitukset ja auditointinäytön Clarysecin politiikkojen, Zenith Blueprint: auditoijan 30 askeleen tiekartta -mallin ja Zenith Controls: vaatimustenmukaisuuden viitekehysten opas -oppaan kautta.

Miksi alikäsittelijämuutokset ovat korkean riskin toimittajatapahtumia

Alikäsittelijämuutos voi muuttaa palvelun riskiprofiilin yhdessä yössä. Se voi muuttaa sitä, missä asiakkaan henkilötietoja isännöidään, mistä niitä käytetään, kenellä on etuoikeutettu tukipääsy, kuinka kauan lokeja säilytetään, miten poikkeamat eskaloidaan, mitkä salausvastuut soveltuvat ja tarvitaanko uusi henkilötietojen kansainvälisen siirron siirtoperuste.

SaaS- ja hallinnoitujen palvelujen tarjoajilla alikäsittelijät sijaitsevat usein tuotteen toimitusketjun sisällä. Niihin voi kuulua pilvi-isännöinnin tarjoajia, tikettialustoja, sähköpostien toimituspalveluja, tekoälyanalytiikkatyökaluja, taustaprosessointialustoja, havainnointialustoja, tukityökaluja, maksunkäsittelijöitä, hallinnoidun tietoturvapalvelun tarjoajia ja tietojen rikastamispalveluja. Monet näistä palveluntarjoajista käsittelevät asiakkaan henkilötietoja myös silloin, kun tiimit kuvaavat niitä “infrastruktuuri-” tai “operointityökaluiksi”.

GDPR:n näkökulmasta tällä on merkitystä, koska Article 28 edellyttää, että henkilötietojen käsittelijät hallitsevat edelleen käytettäviä henkilötietojen käsittelijöitä rekisterinpitäjän valtuutuksen perusteella. Jos käytetään yleistä kirjallista valtuutusta, henkilötietojen käsittelijän on ilmoitettava rekisterinpitäjälle suunnitelluista lisäyksistä tai korvaamisista ja annettava rekisterinpitäjälle mahdollisuus vastustaa niitä. Article 28(4) edellyttää lisäksi, että alikäsittelijälle asetetaan vastaavat tietosuojavelvoitteet. Article 5(2) lisää osoitusvelvollisuuden periaatteen, mikä tarkoittaa, että organisaation on kyettävä osoittamaan vaatimustenmukaisuus, ei vain väittämään sitä.

DORA nostaa panoksia finanssipalveluissa. Finanssialan toimijoiden on hallittava kolmansien osapuolten TVT-riskiä olennaisena osana TVT-riskien hallintaa. Niiden on ylläpidettävä sopimusjärjestelyjen rekistereitä, arvioitava keskittymäriskiä, ymmärrettävä alihankintaketjut, määriteltävä sopimusperusteiset suojatoimet, varmistettava auditointi- ja pääsyoikeudet, tuettava yhteistyötä poikkeamatilanteissa ja suunniteltava irtautumiset. Vaikka SaaS-palveluntarjoaja ei itse olisi suoraan finanssialan toimija, sen finanssialan asiakkaat odottavat todentavaa aineistoa, koska niiden on itse täytettävä DORA-vaatimukset.

NIS2 laajentaa näkökulman toimitusketjun turvallisuuteen ja johdon vastuuvelvollisuuteen. Article 21 edellyttää asianmukaisia teknisiä, operatiivisia ja organisatorisia toimenpiteitä, mukaan lukien toimitusketjun turvallisuus, poikkeamien käsittely, liiketoiminnan jatkuvuus, pääsynhallinta, omaisuudenhallinta, turvallinen hankinta ja ylläpito sekä vaikuttavuuden arviointi. Article 20 asettaa valvontavastuun hallintoelimille. Pilvipalveluntarjoajilla, hallinnoitujen palvelujen tarjoajilla, hallinnoidun tietoturvapalvelun tarjoajilla, datakeskuspalvelujen tarjoajilla, luottamuspalvelujen tarjoajilla, verkkokauppapaikoilla, hakukoneilla ja tietyillä viestintäpalveluilla alikäsittelijänäkyvyys on osa kyberturvallisuuden hallintaa.

ISO/IEC 27001:2022 ja ISO/IEC 27701:2025 tekevät tästä operatiivista. ISO/IEC 27001:2022 edellyttää, että ISMS ymmärtää toimintaympäristön, sidosryhmien vaatimukset, riskit, riskienkäsittelysuunnitelmat, operatiiviset kontrollit ja dokumentoidun tiedon. ISO/IEC 27701:2025 laajentaa tämän hallintajärjestelmäkurinalaisuuden henkilötietojen hallintajärjestelmään. Henkilötietojen käsittelijän näkökulmasta PIMS:n on osoitettava, että asiakkaan henkilötietojen edelleen käsittely on ymmärretty, kontrolloitu, sopimuksellisesti hallittu, seurattu ja todennettu.

Clarysecin malli: luetteloi, arvioi, ilmoita, käsittele vastustukset, hallitse sopimukset, arvioi siirrot ja todenna

Vahvin alikäsittelijöiden hallintamalli on riittävän yksinkertainen operatiivisten tiimien noudatettavaksi ja riittävän tiukka auditoijien testattavaksi. Clarysec käyttää seitsemää verbiä:

1. Luetteloi kaikki nykyiset ja suunnitellut alikäsittelijät.
2. Arvioi tietosuoja-, tietoturva-, häiriönsietokyky- ja riippuvuusriski ennen käyttöä.
3. Ilmoita asiakkaille sovellettavan sopimuksen mukaisesti.
4. Hallitse vastustukset sovitun vastustamisajan kuluessa.
5. Päivitä DPA, tietoturvaliite ja ketjutettavat velvoitteet.
6. Linkitä isännöintiä, käsittelysijaintia ja henkilötietojen kansainvälistä siirtoa koskeva todentava aineisto.
7. Säilytä todentava aineisto tietosuoja- ja toimittajarekistereissä.

Ensimmäinen operatiivinen ankkuri on Henkilötietojen käsittelijöiden, alikäsittelijöiden ja kolmansien osapuolten tietosuojan hallintapolitiikka. Siinä todetaan:

[Henkilötietojen käsittelijä] Toimittaja-/hankintavastaavan TULEE ylläpitää REG08:ssa luetteloa alikäsittelijöistä ja alihankkijoista, joita käytetään asiakkaan henkilötietojen käsittelyyn, ennen käyttöä ja päivittää REG08 10 työpäivän kuluessa hyväksytystä muutoksesta.

Tämä lauseke muuttaa alikäsittelijäluettelon hallituksi rekisteriksi. Se myös tekee aikataulusta nimenomaisen: REG08 päivitetään ennen käyttöä ja sen jälkeen ajantasaistetaan 10 työpäivän kuluessa hyväksytystä muutoksesta.

Sama politiikka tekee asiakasilmoituksesta auditoitavan:

[Henkilötietojen käsittelijä] Toimittaja-/hankintavastaavan TULEE ilmoittaa asiakkaalle suunnitelluista uusista tai korvaavista alikäsittelijöistä sovellettavan asiakassopimuksen mukaisesti ennen käyttöä sekä kirjata ilmoitus, vastustamisaika ja lopputulos REG08:aan.

Tämä on monista ohjelmista puuttuva yksityiskohta. Kysymys ei ole vain siitä, päivitettiinkö julkinen sivu. Kysymys on siitä, ilmoitettiinko oikeille asiakkaille vaaditulla tavalla ennen kuin alikäsittelijä käsitteli heidän henkilötietojaan, ja säilytettiinkö vastustamisaika ja lopputulos todentavana aineistona.

Politiikka yhdistää muutosten hallinnan myös huolellisuusarviointiin:

[Kaikki] Toimittaja-/hankintavastaavan TULEE täydentää tietosuojaa koskeva huolellisuusarvioinnin todentava aineisto REG08:ssa ennen minkä tahansa henkilötietojen käsittelijä-, alikäsittelijä- tai kolmannen osapuolen suhteen valintaa, uusimista tai olennaista muuttamista, kun suhde käsittelee henkilötietoja tai käyttää niitä.

Olennainen muutos voi tarkoittaa infrastruktuurin korvaamista, edelleen käytettävän analytiikkapalveluntarjoajan lisäämistä, isännöintialueiden siirtämistä, tukipääsyn mahdollistamista uudesta maasta, tietoluokkien laajentamista tai palvelun säilytyskäyttäytymisen muuttamista.

Lopuksi politiikka sulkee ketjutettavia velvoitteita koskevan sopimusaukon:

[Henkilötietojen käsittelijä] Toimittaja-/hankintavastaavan TULEE varmistaa, että jokainen alikäsittelijäsopimus sisältää ketjutettavat tietosuoja-, tietoturva-, avustamis-, palautus-, poisto-, poikkeamarajapinta- ja siirtolinkitysvelvoitteet ennen kuin alikäsittelijä käsittelee henkilötietoja.

Tällä on merkitystä, koska yleinen tietoturvaliite ei aina riitä. Henkilötietojen käsittelijää koskevien erityisten velvoitteiden on ketjuttava alaspäin ennen käsittelyn aloittamista.

Missä Clarysecin politiikat yhdistävät tietosuojan, toimittajat ja siirrot

Alikäsittelijöiden hallinta toimii vain, kun tietosuoja, lakiasiat, toimittajaturvallisuus ja operatiivinen muutoksenhallinta käyttävät samaa näyttöketjua.

Laki- ja sääntelyvaatimusten noudattamisen politiikka - SME asettaa säännön, joka on täytettävä ennen tietojen jakamista:

Tietojenkäsittelysopimuksen ehdot tai vastaavat sopimusehdot on sovittava ennen henkilötietojen tai arkaluonteisten tietojen jakamista.

Yritysympäristöissä Laki- ja sääntelyvaatimusten noudattamisen politiikka täsmentää todentavaa aineistoa koskevaa odotusta edellyttämällä seuraavia:

Alikäsittelijöiden ilmoitukset ja maantieteelliset tietojen siirtämistä koskevat ilmoitukset

Se tunnistaa myös hallintaa käynnistävät tapahtumat, jotka liittyvät seuraaviin:

Muutokset tietojen siirtoperusteisiin, alikäsittelijöihin tai rajat ylittäviin tietovirtoihin

Kolmansien osapuolten ja toimittajien tietoturvapolitiikka toteaa:

Alihankkijoiden käyttö edellyttää etukäteen annettua kirjallista suostumusta

Pienemmille organisaatioille Kolmansien osapuolten ja toimittajien tietoturvapolitiikka - SME tarjoaa skaalautuvan version:

Rajoitukset jatkoalihankinnalle ilman hyväksyntää

Se tekee myös toimittajamuutosten uudelleenarvioinnista nimenomaista:

Kaikki toimittajamuutokset, mukaan lukien omistajuus, palvelutyyppi, isännöintisijainti tai alihankinta, on arvioitava uudelleen riskivaikutuksen ja sopimuksellisen merkityksen näkökulmasta.

Tietosuoja- ja yksityisyydensuojapolitiikka sisältää seuraavat:

Alikäsittelijöiden hyväksyntävaatimukset

Toimittajariippuvuuksien riskienhallintapolitiikka lisää häiriönsietokyvyn näkökulman:

Alihankkijoiden ilmoittaminen: toimittajan on ilmoitettava meille keskeisistä alihankkijoista ja niihin liittyvistä muutoksista erityisesti silloin, kun ne luovat lisäriippuvuustasoja.

Yhdessä nämä politiikat muodostavat kattavan toimintaperiaatteen: henkilötietoja ei jaeta ilman sopimusehtoja, piilotettuja alikäsittelijöitä ei sallita, alihankintaa ei jätetä hallitsematta, isännöinti- tai sijaintimuutosta ei tehdä ilman arviointia eikä hyväksyntää anneta ilman siirtoa koskevaa todentavaa aineistoa silloin, kun se on tarpeen.

Miten Zenith Controls jäsentää toimittajakontrollien kokonaisuuden

Zenith Controls -oppaassa Clarysec kohdistaa alikäsittelijämuutosten hallinnan ensisijaisesti ISO/IEC 27002:2022 -standardin toimittaja- ja lakisääteisiin kontrolleihin. Tämä on tärkeää, koska se osoittaa, ettei alikäsittelijöiden hallinta ole vain tietosuojaprosessi. Se on myös tietoturvallisuuden, toimittajahallinnan, lakiasioiden ja häiriönsietokyvyn kontrolli.

Zenith Controls kuvaa kontrollin 5.22, “Toimittajapalvelujen seuranta, katselmointi ja muutoksenhallinta”, ennaltaehkäisevänä kontrollina, joka tukee luottamuksellisuutta, eheyttä ja saatavuutta ja joka on yhdenmukainen tunnistamisen kyberturvallisuuskäsitteen sekä toimittajasuhteiden tietoturvan ja tietoturvallisuuden varmentamisen operatiivisten kyvykkyyksien kanssa. Juuri tätä alikäsittelijämuutos edellyttää: tunnista muutos, arvioi riski uudelleen, vahvista sopimuskattavuus ja säilytä varmennusnäyttö.

Kontrollin 5.20 osalta Zenith Controls jäsentää toimittajasopimukset ennaltaehkäiseviksi kontrolleiksi, jotka kattavat luottamuksellisuuden, eheyden ja saatavuuden. Tähän kuuluvat DPA-ehdot, tietoturvaliitteet, alihankintalausekkeet, auditointioikeudet, poikkeamissa avustaminen, palautus ja poistaminen sekä siirtolinkitysvelvoitteet.

Kontrollin 5.21 osalta toimitusketjunäkökulma on tärkeä, koska alikäsittelijä voi luoda neljänsiin osapuoliin liittyvän riippuvuuden. SaaS-toimittaja voi tukeutua infrastruktuuripalveluntarjoajaan, joka tukeutuu data-analytiikkapalveluntarjoajaan, joka puolestaan tukeutuu toiseen pilvialueeseen tai tukikumppaniin. Organisaation on ymmärrettävä ketju riittävän hyvin riskien, asiakassitoumusten ja irtautumisvaihtoehtojen hallitsemiseksi.

30 askeleen tiekartta: politiikasta operatiiviseksi menettelyksi

Zenith Blueprint sijoittaa toimittaja- ja edelleen käsittelyn riskit Step 23:een, Organisatoriset kontrollit. Se selittää, että toimittajasopimuksissa käsitellään tyypillisesti luottamuksellisuutta, pääsynhallintaa, teknisiä ja organisatorisia toimenpiteitä, poikkeamien ilmoitusaikoja, auditointioikeutta, alihankkijakontrolleja ja sopimuksen päättymistä koskevia ehtoja. Blueprint korostaa kriittistä seikkaa:

Sopimuksen rakenteella on merkitystä. Nämä lausekkeet voivat olla palvelusopimuksessa, erillisessä tietojenkäsittelysopimuksessa tai erillisessä tietoturvaliitteessä. Olennaista on, että ne ovat olemassa ja että molemmat osapuolet ymmärtävät ja hyväksyvät ne.

Blueprint kertoo tiimeille myös, mitä alihankkijoiden osalta on tehtävä:

Tunnista jokaisen kriittisen toimittajan osalta, käyttävätkö ne alihankkijoita eli alikäsittelijöitä, joilla voi olla pääsy tietoihisi tai järjestelmiisi. Dokumentoi, miten tietoturvavaatimuksesi ketjutetaan näille osapuolille joko toimittajasi sopimusehtojen tai omien suorien lausekkeidesi kautta.

Toimittajamuutosten hallinnassa oikea operatiivinen kohdistus on ISO/IEC 27002:2022 -kontrolli 5.22:

Luo yksinkertainen ja skaalautuva menettely toimittajapalveluihin tehtävien muutosten (5.22) arviointiin, kuten pilveen siirtymiseen, uusiin alikäsittelijöihin tai infrastruktuurin uudelleensuunnitteluun. Määritä herätteet, jotka edellyttävät tietoturvan uudelleenarviointia.

Tämä antaa tietoturvajohtajille ja tietosuojavastaaville käytännön etenemispolun. Step 23 määrittää kontrollin tarkoituksen. REG08 tallentaa henkilötietojen käsittelijöihin, alikäsittelijöihin ja kolmansien osapuolten tietosuojaan liittyvän todentavan aineiston. REG09 tallentaa siirtoa koskevan todentavan aineiston. Toimittajasopimukset, DPA-sopimukset ja muutostiketit yhdistävät työnkulun operatiiviseen todellisuuteen.

Käytännön työnkulku alikäsittelijämuutoksesta ilmoittamiseen

Alikäsittelijämuutoksen työnkulun tulee olla oikealla tavalla ennakoitava. Jokaisella vaiheella tulee olla omistaja, todentava aineisto ja hyväksyntäportti, joka estää ennenaikaisen tuotantokäytön.

Keskeinen periaate on yksinkertainen: asiakasilmoitus on tehtävä ennen käyttöä, jos sopimus sitä edellyttää. Julkisen verkkosivun päivittäminen toteutuksen jälkeen voi tukea läpinäkyvyyttä, mutta se ei osoita asiakaskohtaista ilmoitusta, sopimusperusteista valtuutusta tai vastustusten käsittelyä.

Työnkulun soveltaminen Sarahin kriisiin

Sarahin saama toimittajailmoitus DataCrunch Analyticsista käynnistää koko prosessin.

Ensiksi toimittajavastaava avaa REG08-muutostietueen. Tietue yksilöi CoreStackin, DataCrunch Analyticsin, palvelun tarkoituksen, vaikutuksen asiakasympäristöihin, käsittelyroolin, tietoluokat, käsittelysijainnit, tukipääsymallin, säilytysajan ja sen, voiko mukana olla erityisiin henkilötietoryhmiin kuuluvia henkilötietoja tai sääntelyn alaisten finanssiasiakkaiden tietoja.

Toiseksi tietosuoja ja tietoturva tekevät huolellisuusarvioinnin. Ne katselmoivat DataCrunch Analyticsin tekniset ja organisatoriset toimenpiteet, salauksen, pääsynhallinnan, lokituksen, poikkeamailmoitukset, poistokyvykkyydet, varmennusnäytön, alikäsittelijäluettelon ja tietoturvasertifioinnit. Koska palveluntarjoaja on EU:n ulkopuolella, sijainnin ja siirron katselmointi on pakollinen.

Kolmanneksi lakiasiat tarkistaa, käyttävätkö asiakkaiden DPA-sopimukset erityistä valtuutusta vai yleistä valtuutusta ilmoituksella. Asiakkaat jaetaan ilmoitusryhmiin: tavanomaiset 30 päivän ilmoitusajan asiakkaat, yritysasiakkaat, joilla on 45 päivän vastustamisaika, erityistä hyväksyntää edellyttävät asiakkaat, sijaintirajoituksia sisältävät rajoitetut asiakkaat ja asiakkaat, joihin muutos ei vaikuta, koska heidän tietonsa eivät koske analytiikkatyökuormaa.

Neljänneksi siirtoa koskeva todentava aineisto linkitetään. Henkilötietojen käsittelijöiden, alikäsittelijöiden ja kolmansien osapuolten tietosuojan hallintapolitiikka edellyttää:

[Molemmat] Toimittaja-/hankintavastaavan TULEE kirjata käsittelysijainnit, isännöintisijainnit ja henkilötietojen kansainvälisen siirron indikaattorit REG08:aan sekä linkittää sovellettava siirtoa koskeva todentava aineisto REG09:ään ennen henkilötietojen käsittelijän, alikäsittelijän, sijaintimuutoksen tai siirron kannalta merkityksellisen palvelumuutoksen hyväksymistä.

Viidenneksi asiakkuustiimi lähettää muodolliset ilmoitukset hyväksyttyjä kanavia pitkin. Jokainen ilmoitus sisältää suunnitellun alikäsittelijän, tarkoituksen, tietoluokat, sijaintiyhteenvedon, voimaantulopäivän, vastustamisen määräajan ja yhteydenottokanavan.

Kuudenneksi vastustukset käsitellään. Jos finanssilaitos vastustaa muutosta, koska se vaikuttaa kriittiseen toimintoon tai kolmanteen maahan tehtävään siirtoon, Sarahin tiimi arvioi vaihtoehdot: asiakasympäristön rajaaminen ulkopuolelle, vanhan käsittelypolun säilyttäminen, vain EU:ssa tuotettavan tuen edellyttäminen, sopimusperusteisten suojatoimien muuttaminen tai muutoksen lykkääminen, kunnes vastustus on ratkaistu.

Seitsemänneksi kehitys saa hyväksynnän vain niille asiakasympäristöille ja työkuormille, jotka ovat läpäisseet hyväksyntäportin. Tuotannon muutostiketti linkittyy REG08:aan, REG09:ään, oikeudelliseen hyväksyntään, ilmoitusta koskevaan todentavaan aineistoon ja asiakaskohtaisiin poissulkuihin. Tuotantokäyttöönoton jälkeen sisäinen rekisteri, julkinen alikäsittelijäsivu ja sopimustietovarasto päivitetään.

Tämä erottaa reaktiivisen palonsammutuksen puolustettavasta hallinnasta.

Vaatimustenmukaisuuden viitekehysten välinen mappaus yhdelle näyttöketjulle

Clarysecin etu on, että yksi työnkulku voi täyttää useiden viitekehysten vaatimukset, kun todentava aineisto suunnitellaan oikein alusta alkaen.

NIST CSF 2.0 on hyödyllinen neutraalina jäsentelykerroksena. Sen GOVERN-toiminto sisältää lakisääteisten, sääntelyyn perustuvien, sopimuksellisten, tietosuoja- ja kansalaisvapauksiin liittyvien velvoitteiden ymmärtämisen, roolien osoittamisen, politiikkojen laatimisen, suorituskyvyn katselmoinnin ja kyberturvallisuuden toimitusketjuriskin hallinnan. GV.SC-luokka odottaa toimittajariskiprosesseja, toimittajan kriittisyyden arviointia, sopimusperusteisia kyberturvallisuusvaatimuksia, huolellisuusarviointia, elinkaaren aikaista seurantaa, poikkeamasuunnittelua ja suhteen päättymisen jälkeisiä toimia.

DORA on finanssialan toimijoille velvoittavampi. Articles 28 to 30 edellyttävät kolmansien osapuolten TVT-riskien hallintaa, sopimusrekistereitä, kriittisen tai tärkeän toiminnon luokittelua, alihankintaketjun näkyvyyttä, sijaintitietoisuutta, sopimusperusteisia suojatoimia, auditointioikeuksia, yhteistyötä poikkeamissa ja irtautumissuunnittelua. Jos SaaS-alustasi tukee finanssialan asiakkaita, alikäsittelijää koskeva todentava aineisto tulee osaksi niiden DORA-näyttöpakettia.

NIS2 lisää johdon vastuuvelvollisuuden. Article 20 edellyttää, että hallintoelimet hyväksyvät kyberturvallisuuden riskienhallintatoimenpiteet ja valvovat niiden toteutusta. Article 21 edellyttää toimitusketjun turvallisuutta ja toimittajien kyberturvallisuuskäytäntöjen arviointia. Merkittävän alikäsittelijämuutoksen tulee siksi näkyä riskiraportoinnissa eikä jäädä piiloon hankintakansioon.

Mitä auditoijat testaavat

Kypsä alikäsittelijäprosessi muodostaa suoran linjan politiikasta todentavaan aineistoon.

ISO/IEC 27001:2022 -auditoija aloittaa ISMS:n soveltamisalasta, sidosryhmävaatimuksista, riskeistä, soveltuvuuslausunnosta ja operatiivisista kontrolleista. Hän testaa todennäköisesti toimittajasuhteita, toimittajasopimuksia, TVT-toimitusketjua, toimittajien seurantaa ja muutoksenhallintaa, lakisääteisiä vaatimuksia, pilvipalveluja, tietosuojan suojaamista, lokitusta ja operatiivista muutoksenhallintaa.

ISO/IEC 27701:2025 -standardin PIMS-auditoija keskittyy roolien selkeyteen. Oletko henkilötietojen käsittelijä, rekisterinpitäjä, yhteisrekisterinpitäjä vai näitä useita eri palveluissa? Henkilötietojen käsittelijän toimien osalta hän pyytää alikäsittelijäluetteloa, valtuutusperustetta, ilmoituksia koskevaa todentavaa aineistoa, vastustusten käsittelyä, edelleen käsittelyn sopimuksia, siirtoa koskevaa todentavaa aineistoa, poistotukea, poikkeamarajapintaa ja seurantatallenteita.

GDPR-tietosuojakatselmoija testaa osoitusvelvollisuutta. Hän kysyy, kuka käsittelee henkilötietoja, mitä tarkoitusta varten, minkä sopimuksen perusteella, missä sijainnissa, millä suojatoimilla ja millaisella asiakkaille annettavalla läpinäkyvyydellä. Jos asiakas vastusti muutosta, hän kysyy, mitä tapahtui ennen käsittelyn aloittamista.

DORA-asiakasauditoija kysyy, tukeeko alikäsittelijä kriittistä tai tärkeää toimintoa, ovatko alihankintaketjut näkyvissä, onko tietojen sijainnit dokumentoitu, onko poikkeamissa avustaminen sopimuksellisesti taattu, ketjuttuvatko auditointioikeudet, huomioitiinko keskittymäriski ja onko irtautuminen mahdollista.

NIS2-arvioija keskittyy toimitusketjun turvallisuuteen, johdon valvontaan, valmiuteen poikkeamatilanteisiin ja oikeasuhtaisiin kontrolleihin. Hän voi kysyä, miten toimittajamuutokset havaitaan, miten suorat toimittajat arvioidaan, miten toimittajien haavoittuvuudet otetaan huomioon ja miten palvelun vastaanottajiin liittyvät poikkeamat eskaloidaan.

Todentavan aineiston kokonaisuuden tulee olla helposti rekonstruoitavissa:

• Hyväksytty alikäsittelijämuutospyyntö.
• REG08-huolellisuusarvioinnin kirjaus.
• Tietoluokan ja käsittelyn tarkoituksen arviointi.
• Käsittely- ja isännöintisijaintia koskeva todentava aineisto.
• REG09-siirtoa koskeva todentava aineisto, kun se on merkityksellistä.
• DPA:n ja sopimuksen ketjutettavien velvoitteiden katselmointi.
• Asiakasilmoitusten luettelo, päivämäärät, sanamuoto ja toimituksen todentava aineisto.
• Vastustusloki ja ratkaisua koskeva todentava aineisto.
• Tuotannon muutostiketti linkitettynä hyväksyntään.
• Päivitetty alikäsittelijäluettelo ja seuranta-aikataulu.
• Riskin hyväksyminen tai poikkeuksen hyväksyntä tarvittaessa.

Yleiset epäonnistumismallit

Ensimmäinen epäonnistuminen on alikäsittelijäsivun käsitteleminen koko prosessina. Julkinen sivu tukee läpinäkyvyyttä, mutta se ei osoita asiakaskohtaista ilmoitusta, vastustusten käsittelyä tai valtuutusta.

Toinen epäonnistuminen on tietosuojaa, tietoturvaa ja hankintaa koskevan todentavan aineiston erottaminen toisistaan. Tietosuoja voi hyväksyä DPA:n, tietoturva voi katselmoida SOC 2 -raportin ja hankinta voi arkistoida sopimuksen, mutta mikään yksittäinen tietue ei yhdistä päätöstä.

Kolmas epäonnistuminen on siirtolinkityksen puuttuminen. Tiimit kirjaavat toimittajan nimen, mutta eivät käsittelysijainteja, isännöintisijainteja, tukisijainteja, henkilötietojen kansainvälisen siirron indikaattoreita tai REG09-todentavaa aineistoa.

Neljäs epäonnistuminen on tuotantokäytön mahdollistaminen ennen vastustamisaikojen päättymistä. Kun asiakkaan henkilötietoja käsitellään uudella alikäsittelijällä, organisaatio on voinut jo rikkoa sopimusta.

Viides epäonnistuminen on heikko ketjutus. Suora toimittaja hyväksyy vahvat ehdot, mutta sen edelleen käyttämät palveluntarjoajat eivät sitoudu vastaaviin tietosuoja-, tietoturva-, avustamis-, palautus-, poisto-, poikkeama-, auditointi- ja siirtovelvoitteisiin.

Kuudes epäonnistuminen on heikko muutosten havaitseminen. Toimittajan omistajuus, isännöintisijainti, palvelutyyppi, tukimalli tai alihankintaketju muuttuu, eikä kukaan arvioi riskiä uudelleen.

Seitsemäs epäonnistuminen on auditointijäljen puuttuminen. Tiimit muistavat päätöksen, mutta eivät voi osoittaa, milloin se tehtiin, kuka sen hyväksyi, mille asiakkaille ilmoitettiin ja miten vastustukset ratkaistiin.

Johdon raportointi tietoturvajohtajille ja tietosuojavastaaville

Alikäsittelijöiden hallinnan tulee tuottaa johdon tietoa, ei pelkästään vaatimustenmukaisuuden artefakteja.

Tämä raportointi sopii hallintajärjestelmämalliin. ISO/IEC 27001:2022 odottaa johtajuutta, operatiivista kontrollia, suorituskyvyn arviointia ja jatkuvaa parantamista. DORA ja NIS2 korostavat johdon vastuuvelvollisuutta. Alikäsittelijöiden hallinnan tulee näkyä tietosuojan ohjausryhmän kokouksissa, toimittajariskikatselmuksissa, ISMS:n johdon katselmoinnissa ja TVT-riskiraportoinnissa silloin, kun se on merkityksellistä.

Rakenna alikäsittelijämuutoksen näyttöpaketti

Aloita yhdestä viimeaikaisesta toimittajamuutoksesta ja testaa, pystyykö organisaatiosi vastaamaan näihin kysymyksiin:

• Tunnistettiinko palveluntarjoaja henkilötietojen käsittelijäksi, alikäsittelijäksi, toimittajaksi, TVT-palveluntarjoajaksi tai näiksi kaikiksi?
• Päivitettiinkö REG08 tai vastaava rekisteri ennen käyttöä?
• Kirjattiinko käsittelysijainnit ja isännöintisijainnit?
• Arvioitiinko henkilötietojen kansainvälisen siirron indikaattorit?
• Linkitettiinkö siirtoa koskeva todentava aineisto REG09:ään tai vastaavaan tiedostoon?
• Sisälsikö sopimus ketjutettavat tietosuoja-, tietoturva-, avustamis-, palautus-, poisto-, poikkeama-, auditointi- ja siirtovelvoitteet?
• Ilmoitettiinko asiakkaille heidän sopimustensa mukaisesti ennen käsittelyn aloittamista?
• Seurattiinko ja ratkaistiinko vastustamisajat?
• Estettiinkö tuotantokäytön mahdollistaminen hyväksyntään asti?
• Voisiko auditoija rekonstruoida päätöspolun alle 30 minuutissa?

Jos vastaus on ei, puute ei ole vain oikeudellinen. Se liittyy operatiiviseen toimintaan, sopimuksiin, toimittajariskiin, tietosuojaan ja auditointivalmiuteen.

Clarysec auttaa tiimejä sulkemaan tämän aukon nopeasti. Käytä Zenith Blueprint -mallia sijoittaaksesi alikäsittelijöiden hallinnan ISMS- ja PIMS-toteutuksen tiekarttaan. Käytä Zenith Controls -opasta toimittajasuhde-, toimittajasopimus-, TVT-toimitusketju-, toimittajamuutos-, pilvipalvelu- ja lakisääteisten vaatimusten kontrollien mappaamiseen ISO/IEC 27001:2022:n, ISO/IEC 27701:2025:n, GDPR:n, DORA:n, NIS2:n, NIST CSF 2.0:n ja COBIT 2019:n välillä. Käytä Henkilötietojen käsittelijöiden, alikäsittelijöiden ja kolmansien osapuolten tietosuojan hallintapolitiikkaa, Kolmansien osapuolten ja toimittajien tietoturvapolitiikkaa, Laki- ja sääntelyvaatimusten noudattamisen politiikkaa, Tietosuoja- ja yksityisyydensuojapolitiikkaa ja Toimittajariippuvuuksien riskienhallintapolitiikkaa muuttaaksesi mappauksen päivittäiseksi toteutukseksi.

Älä odota yllätysalaviitettä toimittajan sähköpostissa. Rakenna työnkulku, näyttöpaketti ja kontrollikartta nyt, jotta jokainen alikäsittelijämuutos osoittaa kypsää hallintaa vaatimustenmukaisuuskriisin sijaan.