Toimittajan tietoturva- ja tietosuojakyselyn laatija korkeakouluille

Kuvaa hankittava työkalu seitsemällä lyhyellä vastauksella, niin saat toimittajakyselyn, jossa kysytään vain sen kannalta olennaiset asiat. Jokaisen kysymyksen yhteydessä kerrotaan, miksi sitä kysytään, mihin säännökseen tai standardiin se perustuu ja mitä näyttöä toimittajalta pyydetään. Kopioi kysely, lataa se CSV- tai Markdown-tiedostona tai tulosta se.

Julkaistu 9. lokakuuta 2026 · Lähteet tarkistettu 9. lokakuuta 2026

Saatavilla myös kielillä: English · Svenska · Nederlands · Norsk · Dansk · Français · Español · Português

Mikä on toimittajan tietoturvakysely?

Toimittajan tietoturvakysely on jäsennelty kysymyssarja, jonka korkeakoulu lähettää toimittajalle ennen palvelun hankintaa tai sopimuksen jatkamista. Siinä kysytään, miten toimittaja suojaa tietoja, mitä säädöksiä se noudattaa ja mitkä asiakirjat sen osoittavat. Hyvin käytettynä kysely on hakemisto näyttöön: jokainen vastaus viittaa sopimusehtoon, sertifikaattiin, raporttiin tai luetteloon, jonka voi tarkistaa.

Eurooppalaisessa korkeakoulussa kysely palvelee useaa ihmistä yhtä aikaa. Tietosuojavastaava tarvitsee tietosuoja-asetuksen mukaiset käsittelijäehdot, alikäsittelijät ja siirrot. Tietoturva tarvitsee sertifikaatit sekä tiedot salauksesta, pääsynhallinnasta ja poikkeamien käsittelystä. Hankinnat tarvitsevat sopimus-, vastuu- ja irtautumisehdot, ja yhä useammin jonkun on myös tarkistettava tekoälyominaisuudet EU:n tekoälysäädöksen ja saavutettavuus EN 301 549 -standardin valossa. Korkeakoulujen toimittaja-arvioinnin oppaamme kuvaa koko prosessin; kysely on yksi sen vaiheista.

Miksi kysely kannattaa räätälöidä?

Koska pitkät ja yleiset kyselyt tuottavat heikkoja vastauksia. Toimittajat, jotka myyvät monille korkeakouluille, saavat satoja kyselyitä vuodessa. Kun 300-rivinen taulukko saapuu yksinkertaisesta työkalusta, joka ei käsittele henkilötietoja, vastaukset kopioidaan usein aiemmasta vastauksesta, ja olennaiset kysymykset hukkuvat epäolennaisten joukkoon.

Räätälöinti auttaa molempia osapuolia:

• Toimittaja vastaa harvempiin kysymyksiin, ja jokainen niistä selvästi koskee sitä, joten vastaukset ovat täsmällisempiä.
• Arvioija lukee vähemmän vastauksia ja voi käyttää ajan niiden taustalla oleviin asiakirjoihin.
• Päätös on helpompi perustella, koska arvioinnin laajuus vastaa riskiä.

Riskiperusteinen rajaus on nykyään myös alan kyselyiden toimintatapa. EDUCAUSEn mukaan HECVAT 4 alkaa rajauskysymyksillä, jotka ratkaisevat, mitkä kysymykset ovat sovellettavia (katso HECVAT-oppaamme eurooppalaisille korkeakouluille). Useat korkeakoulut skaalaavat prosessiaan hankinnan arvon tai tietojen perusteella, kuten alla olevat esimerkit osoittavat.

Miten työkalu valitsee kysymykset

Työkalu antaa palvelulle pistemäärän taustakysymysten vastausten perusteella. Henkilötiedot, erityisiin henkilötietoryhmiin kuuluvat tiedot, alaikäisten tiedot, generatiivinen tekoäly, tuntematon tai ETA:n ulkopuolinen ylläpito, laajat integraatiot, NIS2-soveltamisala ja suuri sopimusarvo kasvattavat sitä. Pistemäärä määrää tason, ja jokaisella pankin kysymyksellä on vähimmäistaso ja tarvittaessa laukaisin.

Laukaisimet toimivat tasosta riippumatta. Jos valitset LTI:n, saat LTI 1.3:a ja kurssin osallistujatietoja koskevat kysymykset. Jos työkalu käyttää generatiivista tekoälyä, saat koulutusta, mallintarjoajia, kehotteiden säilyttämistä ja 50 artiklan läpinäkyvyyttä koskevat kysymykset. Jos ylläpito on ETA:n ulkopuolella tai sijainti ei ole tiedossa, siirtoja koskevat kysymykset siirtyvät kevyelle tasolle. Erityisiin henkilötietoryhmiin kuuluvat tiedot ja alaikäisten tiedot tuottavat aina laajan kyselyn.

Tulos on lähtökohta. Poista kysymykset, jotka eivät sovi, ja lisää korkeakoulunne omat vaatimukset, kuten kansalliset tietoturvaluokittelun säännöt tai kirjaston lisenssiehdot.

Onko HECVATille eurooppalaista vaihtoehtoa?

HECVAT on hyödyllinen myös Euroopassa, mutta se ei korvaa EU:n omia kysymyksiä. EDUCAUSEn yhdessä Internet2:n ja REN-ISACin kanssa ylläpitämä HECVAT on laaja tietoturva-, tietosuoja- ja saavutettavuuskysely, jonka moni korkeakoulualan toimittaja on jo täyttänyt. Eurooppalainen lainsäädäntö edellyttää tiettyjä asiakirjoja: 28 artiklan mukaisen käsittelijäsopimuksen, siirtoperusteen jokaiselle ETA:n ulkopuoliselle vastaanottajalle, tekoälysäädöksen mukaisen luokittelun ja EN 301 549 -vaatimustenmukaisuusraportin.

Validemicin analyysi
Jos toimittaja lähettää tuoreen HECVAT 4 -kyselyn, hyväksykää se yleisten tietoturvakysymysten osalta ja lähettäkää tästä työkalusta vain EU-kohtaiset osa-alueet: tietosuoja-asetus ja käsittelysopimus, alikäsittelijät, siirrot, tekoäly ja saavutettavuus. Näin toimittajalta ei kysytä samaa asiaa kahdesti. Word-version, jossa on 77 kysymystä 11 osiossa, löydät eurooppalaista toimittajakyselyä käsittelevältä HECVAT-sivultamme.

Onko toimittaja-arviointi juuri nyt käynnissä? Validemic käy toimittajan asiakirjat läpi tietosuoja-asetuksen ja tekoälysäädöksen valossa ja näyttää jokaisen havainnon lähteen. Kokeile demoympäristöä

Miten vastaukset arvioidaan?

Arvioikaa näyttöä, älkää vastaustekstiä. Kyselyn vastaus on toimittajan oma ilmoitus; päätöksen pitää perustua asiakirjoihin, joihin vastaus viittaa. Lukekaa jokainen vastaus sen näytön rinnalla, kirjatkaa puutteet ja lähettäkää yksi kierros jatkokysymyksiä ennen päätöstä.

1. Tarkistakaa, että vastaukset koskevat hankittavaa versiota. Tietosuojaehdot, tekoälykoulutuksen oletusasetukset ja tietojen sijainti eroavat usein maksuttoman, koulutus- ja yritysversion välillä.
2. Lukekaa käsittelysopimus 28 artiklan 3 kohtaa vasten. Jokaisen a–h alakohdan on oltava sopimuksessa, ei pelkästään kyselyvastauksessa. Käsittelysopimuksen tarkistimemme käy sopimusluonnoksen läpi kohta kohdalta.
3. Tarkistakaa alikäsittelijäluettelo ja tietovirrat. Euroopan tietosuojaneuvoston mukaan rekisterinpitäjällä pitäisi olla kaikkien käsittelijöiden ja alikäsittelijöiden tiedot ”readily available at all times” (helposti saatavilla kaikkina aikoina; lausunto 22/2024). Verratkaa luetteloa tietojen sijaintia ja etäkäyttöä koskeviin vastauksiin ja käyttäkää siirtoperustetyökalua jokaiselle ETA:n ulkopuoliselle vastaanottajalle.
4. Tarkistakaa sertifikaattien laajuus ja voimassaolo. ISO/IEC 27001 -sertifikaatilla tai SOC 2 -raportilla on merkitystä vain, jos se kattaa hankittavan tuotteen ja ylläpidon ja on voimassa.
5. Luokitelkaa tekoälyominaisuudet. Käyttäkää koulutusalan tekoälysäädöstarkistinta jokaiseen ominaisuuteen, joka arvioi, valitsee, sijoittaa tai valvoo opiskelijoita.
6. Päättäkää, tarvitaanko vaikutustenarviointi. Tehkää vaikutustenarvioinnin esiarviointi saamienne tietojen pohjalta.
7. Kirjatkaa ehdot. Hyväksykää tarvittaessa ehdoin, esimerkiksi ”vain kertakirjautumisella” tai ”tekoälyominaisuudet pois päältä”, ja asettakaa uudelleenarvioinnin päivämäärä.

Varoitusmerkit toimittajan vastauksissa

Validemicin analyysi
Mikään näistä vastauksista ei automaattisesti sulje toimittajaa pois. Jokainen niistä edellyttää jatkokysymystä ennen hyväksyntää.

Hyväksymättömät työkalut ohittavat usein tämän arvioinnin kokonaan. Varjo-IT:tä ja tekoälytyökaluja korkeakouluissa käsittelevä oppaamme kertoo, miten ne saadaan prosessin piiriin.

Miten korkeakoulut arvioivat toimittajia

Korkeakoulujen julkaisemissa menettelyissä toistuu sama kaava: arviointi käynnistyy tietojen tai järjestelmien käytön perusteella, sen laajuus riippuu riskistä tai arvosta, ja se aloitetaan hyvissä ajoin ennen sopimusta.

• Aberdeenin yliopisto (Iso-Britannia). Sen henkilöstöohje lokakuulta 2020 valitsee menettelyn sopimuksen arvon perusteella: ”If the total value of your contract is under £10,000, complete the Standard Assessment.” (Jos sopimuksen kokonaisarvo on alle 10 000 puntaa, tee perusarviointi.) Tätä suuremmissa hankinnoissa laajempi arviointi tehdään Skotlannin hallituksen Cyber Security Procurement Support Tool -työkalulla. Ohjeen mukaan arviointiin kannattaa varata noin neljä viikkoa.
• Edinburghin yliopisto (Iso-Britannia). Sen pilvipalveluja koskeva ohje pyytää henkilöstöä tarkistamaan neuvotellut sopimukset, tietojen tallennuspaikat ja salauksen: ”Check that any cloud service provider handling data on your behalf will encrypt it, both at rest and in transit.” (Tarkista, että puolestasi tietoja käsittelevä pilvipalveluntarjoaja salaa ne sekä tallennettuina että siirron aikana.)
• Luleån teknillinen yliopisto (Ruotsi). Sen hankintojen tietoturvaa koskevat ohjeet, jotka perustuvat Ruotsin yhteiskuntaturvallisuusviraston (MSB) ohjeisiin, edellyttävät yksityiskohtaisia ja arvioitavissa olevia vaatimuksia ja sitä, että kerrotaan ”which requirements are mandatory ("must") and which are non-mandatory ("should")” (mitkä vaatimukset ovat pakollisia ja mitkä eivät).
• Montclair State University (Yhdysvallat). Se edellyttää tietoturva-arviointia pilvi- ja SaaS-palveluista ennen hankintaa, sopimuksen jatkamista tai pilotointia, hyväksyy HECVAT 3.x:n tai uudemman ja toteaa: ”Generally, vendor security reviews are valid for two years.” (Toimittajien tietoturva-arvioinnit ovat yleensä voimassa kaksi vuotta.)

Työkalu noudattaa samaa logiikkaa: taustakysymykset määräävät laajuuden, ja tuloksessa erotetaan se, mitä kysytään, siitä, mitä tarkistetaan.

Lähteet

Kaikki lähteet haettu 9.10.2026. EU-säädökset luettiin Julkaisutoimiston Euroopan unionin virallisessa lehdessä julkaistuina versioina, ja niihin linkitetään EUR-Lexissä.

1. Asetus (EU) 2016/679 (yleinen tietosuoja-asetus), erityisesti 3, 5, 8, 9, 22, 25, 27, 28, 30, 32–36, 44–49 ja 89 artikla: eur-lex.europa.eu/eli/reg/2016/679/oj/fin
2. Asetus (EU) 2024/1689 (tekoälysäädös), 3, 4, 5, 6, 13–15, 25–27, 50 ja 53 artikla sekä liite III: eur-lex.europa.eu/eli/reg/2024/1689/oj/fin
3. Asetus (EU) 2026/1744 (tekoälyä koskeva digitaalinen omnibus), jolla muutetaan 4 artiklaa, 50 artiklan siirtymäsäännöstä ja 113 artiklan päivämääriä: eur-lex.europa.eu/eli/reg/2026/1744/oj/fin
4. Direktiivi (EU) 2022/2555 (NIS 2 -direktiivi), 2 artiklan 5 kohta, 21 ja 23 artikla sekä liitteet I ja II: eur-lex.europa.eu/eli/dir/2022/2555/oj/fin
5. Asetus (EU) 2023/2854 (datasäädös), 25 ja 29 artikla: eur-lex.europa.eu/eli/reg/2023/2854/oj/fin
6. Asetus (EU) 2024/2847 (kyberresilienssisäädös), 14 ja 71 artikla: eur-lex.europa.eu/eli/reg/2024/2847/oj/fin
7. Direktiivi (EU) 2016/2102 (saavutettavuusdirektiivi), 7 artikla: eur-lex.europa.eu/eli/dir/2016/2102/oj/fin
8. Komission täytäntöönpanopäätös (EU) 2021/1339 (viittaus standardiin EN 301 549 V3.2.1): eur-lex.europa.eu/eli/dec_impl/2021/1339/oj/fin
9. Direktiivi 2014/24/EU (julkiset hankinnat), 4 artikla, 42 artiklan 1 kohta ja 58 artiklan 4 kohta: eur-lex.europa.eu/eli/dir/2014/24/oj/fin
10. Komission täytäntöönpanopäätös (EU) 2018/1523 (saavutettavuusselosteen malli): eur-lex.europa.eu/eli/dec_impl/2018/1523/oj/fin
11. Direktiivi 2002/58/EY (sähköisen viestinnän tietosuojadirektiivi), 5 artiklan 3 kohta sellaisena kuin se on muutettuna direktiivillä 2009/136/EY: eur-lex.europa.eu/eli/dir/2009/136/oj/fin
12. Komission täytäntöönpanopäätös (EU) 2021/914 (vakiosopimuslausekkeet), lausekkeet 14 ja 15: eur-lex.europa.eu/eli/dec_impl/2021/914/oj/fin
13. Komission täytäntöönpanopäätös (EU) 2023/1795 (EU:n ja Yhdysvaltojen tietosuojakehys): eur-lex.europa.eu/eli/dec_impl/2023/1795/oj/fin
14. Euroopan tietosuojaneuvosto, lausunto 22/2024 käsittelijöiden ja alikäsittelijöiden käyttöön liittyvistä velvoitteista, hyväksytty 9.10.2024: edpb.europa.eu, lausunto 22/2024
15. Euroopan tietosuojaneuvosto, ohjeet 07/2020 rekisterinpitäjän ja käsittelijän käsitteistä yleisessä tietosuoja-asetuksessa: edpb.europa.eu, ohjeet 07/2020
16. Euroopan tietosuojaneuvosto, suositukset 01/2020 siirtovälineitä täydentävistä toimenpiteistä, versio 2.0, 13 kohta (etäkäyttö on siirto): edpb.europa.eu, suositukset 01/2020
17. ENISA, Good Practices for Supply Chain Cybersecurity (13.6.2023): enisa.europa.eu
18. EDUCAUSE, Higher Education Community Vendor Assessment Toolkit (HECVAT): educause.edu (tiedot sellaisina kuin ne on tiivistetty HECVAT-oppaassamme, tarkistettu 7.10.2026)
19. ISO/IEC 27001:2022, tietoturvallisuuden hallintajärjestelmät: iso.org/standard/27001; ISO/IEC 42001:2023, tekoälyn hallintajärjestelmät: iso.org/standard/42001
20. ETSI EN 301 549 V3.2.1 (2021-03), tieto- ja viestintätekniikan tuotteiden ja palvelujen saavutettavuusvaatimukset: etsi.org (PDF)
21. 1EdTech, Learning Tools Interoperability (LTI 1.3 ja LTI Advantage): 1edtech.org/standards/lti
22. Aberdeenin yliopisto, ”How to undertake a supplier assessment” (21.10.2020): abdn.ac.uk
23. Edinburghin yliopisto, Information Security, ”Using cloud services”: infosec.ed.ac.uk
24. Luleån teknillinen yliopisto, ”Guidelines for information security in procurement and purchasing” (LTU-2486-2021, 4.12.2023): ltu.se (PDF)
25. Montclair State University, Information Security, ”Vendor Assessment (HECVAT)”: inside.montclair.edu

Tietoa tästä sivusta

Kirjoitimme kysymyspankin yllä luetelluista säädösteksteistä ja standardeista, jotka luettiin 9.10.2026, sekä korkeakoulujen julkaisemista menettelyistä. Kysymykset ovat omiamme, eikä niitä ole otettu HECVATista tai muusta lisensoidusta kyselystä. Viittaukset osoittavat säännöksen, johon kysymys perustuu; jos säännös koskee vain tiettyjä tilanteita (esimerkiksi suuririskisiä tekoälyjärjestelmiä tai datasäädöksen mukaisia datankäsittelypalveluja), kysymyksessä sanotaan niin. Komission digitaalisen omnibus-ehdotuksen vireillä olevat tietosuoja-asetuksen muutokset eivät ole voimassa olevaa oikeutta, eikä niitä ole otettu huomioon. Työkalu ei ole oikeudellista neuvontaa, ja vastuu arvioinnista on korkeakoululla. Jos löydät virheen tai muuttuneen viittauksen, ota meihin yhteyttä, niin korjaamme sen.