Kunde möchte wissen, wie unser Cloud-Provider gesichert ist, was trage ich dort ein

Diese Frage fällt unter Lieferkettenaufsicht, nicht unter Ihre eigene Sicherheit

Dies fällt unter Artikel 21 Absatz 2 Buchstabe d NIS2: Sicherheit in der Lieferkette, einschließlich der Beziehung zu Ihren eigenen Lieferanten. Der Kunde fragt hier nicht, ob Ihre Systeme sicher sind, sondern ob Sie wissen und nachweisen können, dass Ihr Cloud-Lieferant sicher ist. Das ist ein anderes Beweismittel als beispielsweise Ihre eigene Zugangsrichtlinie oder Ihre eigene Verschlüsselungsrichtlinie.

Die Antwort besteht normalerweise aus zwei Ebenen. Erstens: Haben Sie selbst Sicherheitsanforderungen an diesen Lieferanten gestellt, vertraglich oder bei der Auswahl? Das beantworten Sie auf Grundlage Ihres eigenen Einkaufsdossiers, nicht auf Grundlage dessen, was der Lieferant behauptet. Zweitens: Was weist der Lieferant selbst nach? Fordern Sie das Beweismittel an, das er normalerweise bereits mit Kunden teilt — ein ISO-27001-Zertifikat mit Scopeerklärung, einen SOC-2-Bericht oder eine Zusammenfassung seiner NIS2-Maßnahmen, falls er selbst unter die Richtlinie fällt. Haben Sie dieses Zertifikat nicht in Ihrem Dossier, dann ist "nein" oder "unbekannt" die richtige Antwort — nicht "ja" basierend auf einer Annahme. Dies entspricht Sicherheitsanforderungen, die das Unternehmen an seine eigenen Lieferanten stellt: Dort sollte dieser Nachweis standardmäßig vorliegen, auch wenn es sich um einen großen Cloud-Partner anstelle einer langen Lieferkette von Zulieferern handelt.

Wo der Nachweis herkommt: Annex A versus der Vertrag

ISO/IEC 27001 Annex A hat kein separates "Cloud-Sicherheits"-Element; der Nachweis ist über die Kontrollmaßnahmen für Lieferantenbeziehungen und Zugang verteilt. Praktisch bedeutet dies: Überprüfen Sie zunächst, ob Sie selbst bereits festgelegt ist, welche Zugangsrichtlinie und Verwaltung von Vermögenswerten gilt, denn darin ist oft auch festgehalten, wie der Zugriff auf die Cloud-Umgebung geregelt ist. Für den Lieferanten selbst ist das Zertifikat oder der Auditbericht die Quelle, nicht eine Erklärung von Ihnen über seine Systeme — Sie können nämlich nicht im Namen des Lieferanten bestätigen, was er intern tut.