de spørger, i hvilket land vores data er gemt

Placering af cloudlagring falder under forsyningskædebeveiliging, ikke under kryptering

Dette spørgsmål falder under foranstaltningen forsyningskædebeveiliging fra artikel 21 stk. 2 litra d NIS2: de krav, som virksomheden stiller til sine egne leverandører, herunder cloudleverandøren. Lagringslandet er således ikke et spørgsmål om teknik, men om leverandørstyring — hvilke aftaler er indgået med denne leverandør, og er de fastlagt. Den, der behandler dette som et løsrevet faktisk spørgsmål og straks udfylder "ja" uden underliggende kontrakt, besvarer spørgsmålet teknisk korrekt, men mangler den dokumentation, som kunden faktisk gerne vil have.

Bevisstykket, der hører til dette, er normalt Data Processing Agreement eller underleverandøroversigten fra cloudleverandøren, hvori placeringen af datacentrene er angivet. Hvis du ikke har dette ved hånden, er "endnu ikke fastlagt" her det rigtige svar — ikke fordi det skal forblive ukendt, men fordi det at nævne et land uden dette dokument er en antagelse, ikke en kendsgerning. Den samme dokumentation er også relevant for spørgsmålet eller virksomheden stiller sikringskrav til sine egne leverandører: en DPA med en fast placering er ofte beviset for, at dette krav er blevet håndhævet. Nogle kunder spørger dog ikke herom for placeringens egen skyld, men for at kontrollere, om der er anvendt kryptering i hvile — kontroller derefter, om spørgsmålet ikke faktisk vedrører politikken for kryptografi og kryptering.

Hvor det står i richtlinen: artikel 21 stk. 2 litra d

Artikel 21 stk. 2 litra d NIS2 nævner eksplicit "sikring af forsyningskæden, herunder sikkerhedsaspekter vedrørende relationerne mellem hver enhed og dens direkte leverandører eller tjenesteudbydere" som en af ti obligatoriske foranstaltninger. En cloudleverandør er sådan en direkte tjenesteudbyder, og placeringen af datalagring er et sikkerhedsaspekt af dette forhold. ISO/IEC 27001 Annex A udfolder dette yderligere under kontrolforanstaltningerne for leverandørforhold, hvilket forklarer, hvorfor kunder ofte stiller dette sammen med certificeringsspørgsmål — se også eller virksomheden er ISO 27001-certificeret. Cybersikkerhedsloven tager denne forpligtelse uændret fra richtlinen.