nad küsivad, millises riigis meie andmed asuvad

Pilveteenindamise asukoht kuulub tarneahela turbevaldkonda, mitte krüpteerimise alla

See küsimus kuulub NIS2 direktiivi artikli 21 lõike 2 punkti d järgsesse tarneahela turvalisuse meetmesse: nõuded, mille ettevõte oma tarnijatele, sealhulgas pilveteenuse pakkujale, esitab. Andmete salvestamise riik ei ole seega tehnikaküsimus, vaid tarnijate haldamise küsimus — millised kokkulepped on selle tarnijaga sõlmitud ja kas need on dokumenteeritud. Kes käsitleb seda eraldiseisva faktilise küsimusena ja vastab kohe "jah" ilma alusdokumendita, vastab küsimusele tehniliselt õigesti, kuid jätab puudu põhjenduse, mida klient tegelikult otsib.

Tõendiks, mis sellega käib, on tavaliselt pilveteenuse pakkuja andmetöötluse leping (Data Processing Agreement) või alamtöötlejate loend, kus on toodud andmekeskuste asukoht. Kui sul seda käepärast pole, siis on "veel määratlemata" siin õige vastus — mitte seetõttu, et see peaks jääma teadmata, vaid seetõttu, et riigi nimetamine ilma selle dokumentita on oletama, mitte fakt. Sama dokumentatsioon on asjakohane ka küsimuse puhul kas ettevõte seab tarneahelate turvalisuse nõudeid oma tarnijatele: andmetöötluse leping kindla asukohaga on tihti tõend, et see nõue on kehtestatud. Mõned kliendid küsivad seda aga mitte asukoha enda pärast, vaid selleks, et kontrollida, kas rakendatud on andmete krüpteerimist puhkeolekus — kontrolli siis, kas küsimus ei sobi tegelikult krüpteerimise ja kodeerimise poliitika.

Kus see richtliinis asub: artikkel 21 lõige 2 punkt d

Artikkel 21 lõige 2 punkt d NIS2 mainib selgesõnaliselt "tarneahela turvalisust, sealhulgas turvalisuse aspekte, mis puudutavad suhteid iga üksuse ja tema vahetu tarnija või teenusepakkuja vahel" kui üht kümnes kohustuslikus meetmes. Pilveteenuse pakkuja on selline vahetu teenusepakkuja ja andmesalvestamise asukoht on selle suhte turvalisuse aspekt. ISO/IEC 27001 Lisa A arendab seda edasi tarnijasuhete kontrollimeetmete all, mis selgitab, miks kliendid seda tihti sertifitseerimisküsimustega koos esitavad — vt ka kas ettevõte on ISO 27001-sertifitseeritud. Küberturvalisuse seadus võtab selle kohustuse richtliivi muutmata üle.