Fragebogen möchte wissen, welche Cloud-Dienste wir für unsere Daten nutzen

Cloud-Anbieter sind Teil der Lieferkettenfrage

Die Frage nach genutzten Cloud-Diensten fällt in den meisten Fragebögen unter das breitere Thema Lieferantenmanagement, nicht unter einen separaten "Cloud"-Bereich. Der Kunde möchte wissen, ob Ihr Unternehmen Überblick darüber hat, wo Geschäftsdaten gespeichert sind und wer darauf zugreifen kann. Konkrete Antwort: nennen Sie die Anbieter, die personenbezogene Daten oder geschäftskritische Daten verarbeiten (denken Sie an die großen Hyperscaler, aber auch ein Cloud-Buchhaltungspaket oder CRM zählt dazu), und geben Sie an, ob dazu vertragliche Sicherheitsvereinbarungen gehören.

Eine vollständige Antwort besteht aus zwei Teilen: dem Namen des Anbieters und dem Nachweis, dass Sie diese Beziehung beherrschen. Der zweite Teil ist, wo die meisten Unternehmer steckenbleiben — nicht weil sie keine Cloud-Dienste nutzen, sondern weil sie keinen Überblick über die festgehaltenen Vereinbarungen haben. Wenn dieser Überblick fehlt, ist "noch zu bestimmen" eine ehrlichere Antwort als eine Liste ohne Begründung. Dieses Thema berührt direkt die Frage, ob das Unternehmen Sicherheitsanforderungen an seine eigenen Lieferanten stellt": ein Cloud-Anbieter ist in diesem Sinne einfach ein Lieferant, und die Anforderungen, die dafür gelten — Verträge, Service-Level-Agreements, Incidentvereinbarungen — sind genau das, was hier gefragt wird.

Wo das in der Richtlinie steht: Artikel 21 Absatz 2

Artikel 21 Absatz 2 der NIS2-Richtlinie nennt die Sicherung der Lieferkette, einschließlich der Beziehung zwischen jeder Entität und ihren unmittelbaren Lieferanten, als eine der zehn obligatorischen Maßnahmen. Cloud-Anbieter fallen unter diese Kette. ISO/IEC 27001 arbeitet dies in Annex A weiter aus, wo Lieferantenbeziehungen und das Management von Vermögenswerten — einschließlich Daten bei Dritten — explizit genannt werden; wer hierüber bereits ein Prozess für Zugangsrichtlinien und das Management von Vermögenswerten hat, hat in der Regel bereits festgehalten, welche Cloud-Dienste darunter fallen. Das Cybersicherheitsgesetz übernimmt diese Verpflichtung, sobald dieses Gesetz in Kraft tritt.