Kunde möchte wissen, ob unser Cloud-Dienst ausreichend geschützt ist, was antworte ich

Cloud-Anbieter fällt unter Supply-Chain-Sicherheitsrichtlinie, nicht unter ein separates Feld

Diese Frage ist fast nie eine isolierte Ja/Nein-Frage. Der Kundin fragt eigentlich, ob euer Lieferantenverwaltung auch für deinen Cloud-Anbieter gilt, und das fällt unter Sicherheitsanforderungen an eigene Lieferanten — Buchstabe d) der zehn Maßnahmen in Artikel 21 Absatz 2 der NIS2-Richtlinie. Die Antwort besteht also aus zwei Ebenen: Hat das Unternehmen eine Lieferantenpolitik, und wurde der Cloud-Anbieter konkret danach bewertet. Ein "ja" nur auf der ersten Ebene, ohne dass der Cloud-Anbieter je bewertet wurde, ist eine halbe Wahrheit, die bei einer Prüfung wieder auftaucht.

Was als Beweis zählt, unterscheidet sich je nach Reife des Dossiers. Hat der Cloud-Anbieter selbst ein ISO-27001-Zertifikat oder einen SOC-2-Bericht, dann ist das das stärkste Dokument — legen Sie es neben die Frage, ob das eigene Unternehmen ISO-27001-zertifiziert ist, denn das sind zwei separate Zertifikate, die in der Antwort nicht verwechselt werden dürfen. Fehlt ein Zertifikat, dann ist eine Datenverarbeitungsvereinbarung mit Sicherheitsanlage oder eine eigenständige Lieferantenbewertung mit Datum das zweibeste Dokument. Ohne eines davon ist "nein" oder "in Bearbeitung" die richtige Antwort, auch wenn der Cloud-Anbieter wahrscheinlich ausgezeichnet geschützt ist — Wahrscheinlichkeit ist kein Beweismittel.

Soweit daraus folgt: Artikel 21 Absatz 2 Buchstabe d und Annex A.15

Die Verpflichtung zur Bewertung von Lieferanten und Dienstleistern hinsichtlich der Sicherheit steht mit Namen in Artikel 21 Absatz 2 Buchstabe d der NIS2-Richtlinie, als eine der zehn Maßnahmen, die ein Unternehmen ergreifen muss. ISO/IEC 27001 konkretisiert dies in Annex A unter den Kontrollmaßnahmen für Lieferantenbeziehungen. In den Niederlanden läuft dies künftig über das Cyber-Sicherheitsgesetz, die nationale Umsetzung von NIS2, die am 15. August 2026 in Kraft tritt — bis dahin bleibt die Richtlinie selbst der Text, auf den zu verweisen ist. Wenn Sie unsicher sind, ob dies für Ihr eigenes Unternehmen bereits eine Verpflichtung ist und nicht nur eine Frage eines Kunden, schauen Sie dann bei oder ob das Unternehmen selbst unter die NIS2-Richtlinie fällt.