pitaju u kojoj zemlji se naši podaci nalaze

Lokacija pohrane u oblaku spada pod sigurnost opskrbnog lanca, a ne pod enkripciju

To pitanje spada pod mjeru sigurnosti opskrbnog lanca iz članka 21 stavka 2 podtačka d NIS2: zahtjevi koje poduzeće postavlja svojim vlastitim dobavljačima, uključujući pružatelja oblačnih usluga. Mjesto pohrane nije dakle pitanje tehnike, već upravljanja dobavljačima — koja su ugovorena s tim dobavljačem i je li zabilježena. Tko ovo tretira kao samostalno činjenično pitanje i odmah upisa "da" bez underlying ugovora, tehnički ispravno odgovara na pitanje ali mu nedostaje dokumentacija koju kupac zapravo želi.

Dokaz koji tome pripada je obično Data Processing Agreement ili popis subprocesora pružatelja oblačnih usluga u kojem je navedena lokacija podatkovnih centara. Ako to nemaš pri ruci, tada je "još se određuje" ovdje ispravan odgovor — ne zato što mora ostati nepoznato, već zato što navoditi zemlju bez tog dokumenta je pretpostavka, ne činjenica. Ista dokumentacija je također relevantna za pitanje jesu li u poduzeću postavljeni zahtjevi za sigurnost na vlastite dobavljače: DPA s fiksnom lokacijom je često dokaz da je taj zahtjev ostvaren. Neki kupci to međutim ne pitaju zbog same lokacije, već da provjere je li primijenjena enkripcija u mirovanju — tada provjeri je li pitanje zapravo povezano s politiku o kriptografiji i enkripciji.

Gdje je to navedeno u direktivi: članak 21 stavak 2 podtačka d

Članak 21 stavak 2 podtačka d NIS2 eksplicitno navodi "sigurnost opskrbnog lanca, uključujući sigurnosne aspekte odnosa između svakoga subjekta i njegovih izravnih dobavljača ili pružatelja usluga" kao jednu od deset obveznih mjera. Pružatelj oblačnih usluga je takav izravni pružatelj usluga, a lokacija pohrane podataka je sigurnosni aspekt tog odnosa. ISO/IEC 27001 Annex A to dalje razrađuje pod mjerama kontrole za odnose s dobavljačima, što objašnjava zašto kupci ovo često postavljaju zajedno s pitanjima o certificiranju — vidi također je li poduzeće certificirano prema ISO 27001. Zakon o kibernetskoj sigurnosti preuzima tu obvezu neizmijenjenu iz direktive.