kunde ønsker at vide, om vores cloudtjeneste er tilstrækkeligt sikret, hvad svarer jeg

Cloudleverandør falder under leverandørkæde-sikkerhedspolitik, ikke under en separat boks

Dette spørgsmål er næsten aldrig et selvstændigt ja/nej. Kunden spørger faktisk, om jeres leverandørstyring også gælder for jeres cloudleverandør, og det falder under sikkerhedskrav til egne leverandører — punkt (d) fra de ti foranstaltninger i artikel 21, stk. 2 i NIS2-direktivet. Svaret består således af to lag: har virksomheden en leverandørpolitik, og er cloudleverandøren konkret blevet vurderet i henhold til denne. Et "ja" på kun det første lag uden at cloudleverandøren nogensinde er blevet vurderet, er en halv sandhed, som kommer tilbage ved en revision.

Hvad der tæller som bevis, varierer afhængigt af dossierets modenhed. Hvis cloudleverandøren selv har et ISO 27001-certifikat eller en SOC 2-rapport, er det det stærkeste bevis — læg det op imod spørgsmålet om virksomhedens eget ISO 27001-certifikat, da disse er to adskilte certificeringer, som ikke må forveksles i svaret. Hvis et certifikat mangler, er en databehandleraftale med sikkerhedsbillag eller en dateret egen leverandørvurdering det næstbedste bevis. Uden et af disse er "nej" eller "under behandling" det rigtige svar, også selvom cloudleverandøren sandsynligvis er fortrinligt sikret — sandsynlighed er ikke et bevisstykke.

Hvor det følger heraf: artikel 21, stk. 2, litra d og Annex A.15

Forpligtelsen til at vurdere leverandører og tjenesteudbydere for sikkerhed er navngivet i artikel 21, stk. 2, litra d i NIS2-direktivet som en af de ti foranstaltninger, som en enhed skal gennemføre. ISO/IEC 27001 udspecificerer dette nærmere i Annex A under kontrolforanstaltninger for leverandørrelationer. I Holland løber det snart gennem Cybersikkerhedsloven, den nationale implementering af NIS2, som træder i kraft den 15. august 2026 — indtil da er direktivet selv teksten at henvise til. Hvis du er usikker på, om dette allerede er en forpligtelse for din egen virksomhed og ikke kun et spørgsmål fra en kunde, så se på eller om virksomheden selv falder under NIS2-direktivet.