asiakas kysyy pilvitoimittajamme suojauksesta, mitä minun pitää vastata

Pilvipalveluntarjoaja kuuluu artiklan 21 kohdan 2 alakohdan d soveltamisalaan

Vastaa sillä, mitä voit todella perustella: sopimukselliset sopimukset pilvipalveluntarjoajasi kanssa tietoturvasta ja mahdollisesti todistus tai auditointiraportti, jonka toimittaja on antanut sinulle. Kysymys pilvipalveluntarjoajasi tietoturvasta kuuluu toimittajan tietoturvan luokkaan: NIS2:n artiklan 21 kohdan 2 alakohta d mainitsee nimenomaisesti toimitusketjun tietoturvan, mukaan lukien suhde pilvipalvelun toimittajiin. Ketjukansiossasi ei siis tarvitse todistaa pilvipalveluntarjoajan itse asiassa olevan suojattu — palveluntarjoaja tekee sen itse, omalla todistuksellaan tai läpinäkyvyysraportillaan. Sen, mitä sinun on pystyttävä osoittamaan, on, että olet tarkistanut kyseisen tietoturvan ennen palvelun hankkimista ja toistat sen säännöllisesti.

Jos sinulla ei ole tätä todistetta — ei kopiota ISO 27001 -sertifikaatista toimittajalta, ei SOC 2 -raporttia, ei sopimukseen sisältyvää lauseketta ilmoitusvelvollisuudesta tapauksissa — niin "ei" tai "ei osoitettu" on oikea vastaus, vaikka luottaisitkin toimittajaan. Luottamus ei ole todiste. Käytännössä: pyydä tämä todiste vielä toimittajalta (suuremmat pilvipalvelun tarjoajat yleensä ovat tämän saatavilla vakioksi trust centerissä tai vastaavassa portaalissa) ja laita se ketjukansioon heti, kun saat sen. Sama kysymys liittyy usein turvallisuusvaatimuksiin, joita asetat toimittajille — jos olet jo määrittänyt tälle politiikan, pilvipalveluntarjoaja on siitä konkreettinen esimerkki.

Missä tämä on kymmenen toimenpiteen joukossa

NIS2:n artiklan 21 kohdan 2 sisältää kymmenen toimenpidettä, joita yhteisön on toteutettava; alakohta d koskee nimenomaisesti toimitusketjun tietoturvaa, ja siihen sisältyy nimenomainen viittaus toimittajien kanssa käytävien suhteiden turvallisuusnäkökohtiin. ISO/IEC 27001 kehittää tätä liitteessä A toimittajasuhteiden hallintaeksi, johon sisältyy myös pilvi- ja ICT-palvelun tarjoajia koskevat vaatimukset. Jos oma yrityksesi on itse Kyberturvallisuuslain mukainen yhteisö, niin tämä ei ole erillinen kysymys vaan velvoitteen osa — tarkista tarvittaessa kohdasta kysymys siitä, kuuluuko yrityksesi NIS2:n soveltamisalaan.