spørgeskemaet spørger om sikringen af vores cloududbyder

Cloududbyderen falder under forsyningskædewebsikkerhed, ikke under dine egne foranstaltninger

Spørgsmålet handler ikke om dine egne systemer, men om en leverandør i din forsyningskæde. Artikel 21, stk. 2, litra d) i NIS2 nævner eksplicit "bevarelse af forsyningskædesikkerheden, herunder sikkerhedsrelaterede aspekter vedrørende relationer mellem hver enhed og hendes direkte leverandører eller tjenesteudbydere." Din cloudleverandør er sådan en direkte tjenesteudbyder. Kunden vil derfor ikke vide, om cloud i sig selv er sikker — det kan ingen garantere — men om du som kunde har vurderet, om denne leverandør har et tilstrækkeligt sikkerhedsniveau, og om det er dokumenteret et sted.

Det bevis, der normalt anmodes om her, er ikke dit eget ISO-certifikat, men cloudleverandørens eget: en ISO/IEC 27001-erklæring, en SOC 2-rapport eller en henvisning til kontraktlige aftaler om databeskyttelse. Hvis du ikke har det ved hånden, er "nej, endnu ikke dokumenteret" et mere ærligt svar end en slatten tilsagn — især fordi sikkerhedskrav til egne leverandører ofte dukker op igen bredt i samme spørgeskema, og uoverensstemmelse mellem to svar falder i øjet. Tjek også, om spørgsmålet faktisk handler om kryptering af data i cloud — det bliver ofte nævnt i samme åndedrag som "cloudsikkerhed", men er en anden underliggende foranstaltning.

Retsgrundlag: artikel 21, stk. 2, litra d), suppleret med Annex A i ISO 27001

Forpligtelsen til at vurdere leverandører og tjenesteudbydere fremgår af artikel 21, stk. 2, litra d) i NIS2 og gendanner sig i den nederlandske cybersikkerhedslov, når den træder i kraft den 15. august 2026. ISO/IEC 27001 Annex A udvikler dette yderligere i kontrolforanstaltninger for leverandørrelationer (kategori A.5.19 til og med A.5.23), som specifikt handler om at vurdere og overvåge cloud- og it-tjenesteudbydere.