el cliente pregunta sobre la seguridad de nuestro proveedor en la nube qué debo responder

El proveedor de nube está cubierto por el artículo 21 apartado 2 letra d

Responde con lo que realmente puedas justificar: los acuerdos contractuales con tu proveedor de nube sobre seguridad, y eventualmente un certificado o informe de auditoría que el proveedor te haya proporcionado. La pregunta sobre la seguridad de tu proveedor de nube se encuadra en la categoría de seguridad de proveedores: el artículo 21 apartado 2 letra d NIS2 menciona explícitamente la seguridad de la cadena de suministro, incluyendo la relación con proveedores de servicios en la nube. Tu dossier no necesita demostrar la seguridad del proveedor de nube en sí — eso lo hace el propio proveedor, mediante su propio certificado o informe de transparencia. Lo que debes poder demostrar es que verificaste esa seguridad antes de contratar el servicio y que lo repites periódicamente.

Si no tienes esa prueba — sin copia de un certificado ISO 27001 del proveedor, sin informe SOC 2, sin cláusula en el contrato sobre deber de notificación en caso de incidentes — entonces "no" o "no demostrado" es la respuesta correcta, incluso si confías en el proveedor. La confianza no es un documento justificativo. En la práctica: solicita esta prueba al proveedor (los mayores proveedores de nube suelen tenerla disponible estándar en un centro de confianza o portal similar) e inclúyela en tu dossier de la cadena tan pronto como la tengas. La misma pregunta frecuentemente está relacionada con requisitos de seguridad que tú mismo estableces a los proveedores — si ya has documentado una política al respecto, el proveedor de nube es un ejemplo concreto de ello.

Dónde está esto en las diez medidas

El artículo 21 apartado 2 NIS2 enumera diez medidas que debe tomar una entidad; la letra d se refiere específicamente a la seguridad de la cadena de suministro, con una referencia expresa a los aspectos de seguridad de las relaciones con proveedores. ISO/IEC 27001 lo desarrolla en el Anexo A bajo las medidas de control para relaciones con proveedores, donde también se incluyen los requisitos para proveedores de servicios en la nube e ICT. Si tu propia empresa es en sí misma una entidad bajo la Ley de Ciberseguridad, esta no es una pregunta aislada sino parte de una obligación — compruébalo si es necesario en la pregunta sobre si tu empresa está sujeta a NIS2.