kunde vil vide, hvordan vores cloududbyder er sikret, hvad udfylder jeg der

Denne forespørgsel falder under kædeovervågning, ikke under din egen sikkerhed

Dette henhører under artikel 21 stk. 2 litra d NIS2: sikkerhed i leverandørkæden, herunder forholdet til dine egne leverandører. Kunden spørger her ikke, om dine egne systemer er sikre, men om du ved og kan dokumentere, at din cloudleverandør er det. Det er et andet bevis end f.eks. din egen adgangspolitik eller din egen krypteringspolitik.

Svaret består normalt af to niveauer. Først: har du selv stillet sikkerhedskrav til den leverandør, kontraktmæssigt eller ved udvælgelsen? Det besvarer du på grundlag af dine egne indkøbsoplysninger, ikke på grundlag af, hvad leverandøren påstår. Derefter: hvad dokumenterer leverandøren selv? Anmod om det bevis, som han normalt allerede deler med kunder — et ISO 27001-certifikat med scopeerklæring, en SOC 2-rapport eller et resumé af hans NIS2-foranstaltninger, hvis han selv falder ind under direktivet. Hvis du ikke har det certifikat i dine oplysninger, så er "nej" eller "ukendt" det rigtige svar — ikke "ja" på grundlag af en antagelse. Dette stemmer overens med sikkerhedskrav, som virksomheden stiller til sine egne leverandører: der skal normalt ligge dette bevis, selv om det drejer sig om ét stort cloudselskab i stedet for en lang kæde af underleverandører.

Hvor beviset kommer fra: Annex A versus kontrakten

ISO/IEC 27001 Annex A har ikke en separat "cloud-sikkerhed"-del; beviset er fordelt på beheersmaatregelen for leverandørforhold og adgang. Praktisk betyder det: kontroller først, om du selv allerede har fastlagt, hvilken adgangspolitik og styring af virksomhedsmidler, der gælder, for deri står det ofte også, hvordan adgangen til cloud-miljøet er ordnet. For leverandøren selv er certificeringen eller revisionsrapporten kildestedet, ikke en erklæring fra dig om deres systemer — du kan nemlig ikke bekræfte på leverandørens vegne, hvad han internt gør.