Kunde fragt nach Schutz unseres Cloud-Lieferanten, was muss ich antworten

Cloud-Anbieter fällt unter Artikel 21 Absatz 2 Buchstabe d

Antworten Sie mit dem, was Sie tatsächlich nachweisen können: die vertraglichen Vereinbarungen mit Ihrem Cloud-Anbieter zur Sicherheit und gegebenenfalls ein Zertifikat oder Audit-Bericht, den Ihnen der Anbieter zur Verfügung gestellt hat. Die Frage nach der Sicherheit Ihres Cloud-Anbieters fällt unter die Kategorie Lieferantensicherheit: Artikel 21 Absatz 2 Buchstabe d NIS2 erwähnt ausdrücklich die Sicherheit der Lieferkette, einschließlich der Beziehung zu Cloud-Dienstanbietern. Ihr Dossier muss also nicht die Sicherheit des Cloud-Anbieters selbst nachweisen — das tut dieser Anbieter selbst, über sein eigenes Zertifikat oder Transparenzbericht. Was Sie nachweisen müssen, ist, dass Sie diese Sicherheit vor der Inanspruchnahme der Dienste überprüft haben und dass Sie dies regelmäßig wiederholen.

Wenn Sie diesen Nachweis nicht haben — keine Kopie eines ISO-27001-Zertifikats des Anbieters, keinen SOC-2-Bericht, keine Klausel im Vertrag über die Meldepflicht bei Vorfällen — dann ist "nein" oder "nicht nachgewiesen" die richtige Antwort, auch wenn Sie dem Anbieter grundsätzlich vertrauen. Vertrauen ist kein Beweismittel. Praktisch: fordern Sie diesen Nachweis beim Anbieter an (die größeren Cloud-Anbieter haben dies normalerweise standardmäßig in einem Trust Center oder einem ähnlichen Portal verfügbar) und fügen Sie ihn in Ihr Ketendossier auf, sobald Sie ihn haben. Dieselbe Frage hängt oft zusammen mit Sicherheitsanforderungen, die Sie selbst an Lieferanten stellen — falls du dort bereits eine Richtlinie festgelegt hast, ist der Cloud-Anbieter ein konkretes Beispiel dafür.

Wo dies in den zehn Maßnahmen steht

Artikel 21 Absatz 2 NIS2 listet zehn Maßnahmen auf, die ein Unternehmen treffen muss; Buchstabe d befasst sich speziell mit der Sicherheit der Lieferkette, mit einem ausdrücklichen Verweis auf die Sicherheitsaspekte der Beziehungen zu Lieferanten. ISO/IEC 27001 arbeitet dies in Anhang A unter den Kontrollmaßnahmen für Lieferantenbeziehungen aus, worunter auch Anforderungen an Cloud- und ICT-Dienstleister fallen. Ist dein eigenes Unternehmen selbst ein Unternehmen nach dem Cybersicherheitsgesetz, so ist dies keine separate Frage, sondern Teil einer Verpflichtung — prüfe das gegebenenfalls bei der Frage, ob dein Unternehmen unter NIS2 fällt.