Sie fragen, in welchem Land unsere Daten gespeichert sind

Speicherort des Cloud-Speichers fällt unter Kettenbeveiliging, nicht unter Verschlüsselung

Diese Frage fällt unter die Maßnahme Kettensicherheit aus Artikel 21 Absatz 2 Buchstabe d NIS2: die Anforderungen, die das Unternehmen an seine eigenen Lieferanten stellt, einschließlich des Cloud-Anbieters. Das Speicherland ist also keine Frage der Technik, sondern des Lieferantenmanagements — welche Vereinbarungen wurden mit diesem Lieferanten getroffen, und sind diese dokumentiert. Wer dies als lose Sachfrage behandelt und sofort "ja" einträgt, ohne einen zugrunde liegenden Vertrag zu haben, beantwortet die Frage technisch korrekt, aber es fehlt die Begründung, die der Kunde eigentlich damit verbunden haben möchte.

Das Beweismittel, das dazu gehört, ist üblicherweise die Data Processing Agreement oder die Unterprozessorenliste des Cloud-Anbieters, in der der Speicherort der Rechenzentren aufgeführt ist. Hast du das nicht griffbereit, dann ist "noch zu bestimmen" hier die richtige Antwort — nicht weil es unbekannt bleiben muss, sondern weil das Nennen eines Landes ohne dieses Dokument eine Annahme ist, keine Tatsache. Dieselbe Dokumentation ist auch relevant für die Frage ob das Unternehmen Sicherheitsanforderungen an seine eigenen Lieferanten stellt: ein DPA mit einem festen Standort ist oft der Beweis dafür, dass diese Anforderung durchgesetzt wurde. Einige Kunden fragen dies allerdings nicht wegen des Standorts selbst, sondern um zu prüfen, ob Verschlüsselung im Ruhezustand angewendet wurde — prüfen Sie dann, ob die Frage nicht eigentlich anschließt an die Richtlinie zur Kryptografie und Verschlüsselung.

Wo das in der Richtlinie steht: Artikel 21 Absatz 2 Buchstabe d

Artikel 21 Absatz 2 Buchstabe d NIS2 nennt explizit "die Sicherheit der Lieferkette, einschließlich Sicherheitsaspekte der Beziehungen zwischen jeder Einheit und ihren unmittelbaren Lieferanten oder Dienstleistern" als eine der zehn Erforderungsmaßnahmen. Ein Cloud-Dienstleister ist solch ein unmittelbarer Dienstleister, und der Ort der Datenspeicherung ist ein Sicherheitsaspekt dieser Beziehung. ISO/IEC 27001 Annex A arbeitet dies weiter unter den Kontrollmaßnahmen für Lieferantenbeziehungen aus, was erklärt, warum Kunden dies oft zusammen mit Zertifizierungsfragen stellen — siehe auch ob das Unternehmen ISO-27001-zertifiziert ist. Das Cybersicherheitsgesetz übernimmt diese Anforderung unverändert aus der Richtlinie.