Organisaation on otettava huomioon kuhunkin suoraan toimittajaan ja palveluntarjoajaan liittyvät erityiset haavoittuvuudet sekä toimittajien ja palveluntarjoajien tietoturvatuotteiden ja -käytäntöjen yleinen laatu, mukaan lukien niiden turvalliset kehitysmenettelyt.

Lisäksi organisaation on otettava huomioon verkko- ja tietoturvayhteistyöryhmän toteuttamien kriittisiin toimitusketjuihin kohdistuvien turvallisuusriskien koordinoitujen arviointien tulokset.

Kaikki mahdolliset toimittajat, kriittisten resurssien toimittajat ja muut asiaankuuluvat kolmannet osapuolet arvioidaan ennen hankintaa esimerkiksi seuraavin keinoin:

• Perusteellisen due diligence -tarkastuksen tekeminen sekä hankinnansuunnittelu, jotka vastaavat kunkin toimittajasuhteen riskitasoa, kriittisyyttä ja monimutkaisuutta.
• Arvioidaan teknologian sekä riskinhallinta- ja kyberturvallisuuskäytäntöjen soveltuvuus.
• Tehdään toimittajien riskinarviointeja liiketoiminnan ja sovellettavien kyberturvallisuusvaatimusten perusteella.
• Arvioidaan kriittisten tuotteiden aitous, eheys ja turvallisuus ennen hankintaa ja käyttöä.

Arvioidessaan kriittisiä toimintoja tukeviin ICT-palveluihin liittyviä riskejä tulee ottaa huomioon:

• Onko kyseessä sopimuksen tekeminen ei-korvattavan ICT-palveluntarjoajan kanssa.
• Useiden sopimusten vaikutukset samojen tai läheisesti toisiinsa liittyvien ICT-palveluntarjoajien kanssa.
• Vvaihtoehtoisten ratkaisujen arviointi, kuten eri palveluntarjoajien käyttö, liiketoiminnan tarpeiden mukauttaminen ja digitaalinen häiriönsietostrategia.

Mitä tulee alihankintaan:

• Rahoituslaitosten tulee arvioida alihankinnan hyödyt ja riskit, erityisesti kun alihankkijat sijaitsevat kolmansissa maissa.
• Maksukyvyttömyyslain säännösten huomioon ottaminen palveluntarjoajan konkurssin ja tietojen palauttamisen rajoitusten yhteydessä.
• Unionin tietosuojasääntöjen noudattaminen ja lainvalvonta kolmansissa maissa.
• Monimutkaisten alihankintaketjujen mahdollisten vaikutusten arviointi seuranta- ja valvontakykyyn.