il cliente chiede la protezione del nostro fornitore cloud cosa devo rispondere

Il fornitore cloud rientra nell'articolo 21 paragrafo 2 lettera d

Rispondi con ciò che puoi effettivamente provare: gli accordi contrattuali con il tuo fornitore cloud sulla sicurezza, ed eventualmente un certificato o un rapporto di audit che il fornitore ti ha fornito. La domanda sulla sicurezza del tuo fornitore cloud rientra nella categoria della sicurezza dei fornitori: l'articolo 21 paragrafo 2 lettera d della NIS2 cita esplicitamente la sicurezza della catena di approvvigionamento, inclusa la relazione con i fornitori di servizi cloud. Il tuo dossier non deve quindi provare la sicurezza del fornitore cloud stesso — lo fa il fornitore stesso, tramite il suo certificato o rapporto di trasparenza. Quello che devi dimostrare è che hai controllato quella sicurezza prima di utilizzare il servizio e che lo ripeti periodicamente.

Se non hai quella prova — nessuna copia del certificato ISO 27001 del fornitore, nessun rapporto SOC 2, nessuna clausola nel contratto su l'obbligo di segnalazione in caso di incidenti — allora "no" o "non provato" è la risposta corretta, anche se riponi fiducia nel fornitore. La fiducia non è un documento probatorio. Praticamente: richiedi comunque questa prova al fornitore (i principali provider cloud di solito la hanno disponibile come standard in un trust center o portale simile) e inseriscila nel tuo dossier della catena non appena l'hai ottenuta. La stessa domanda è spesso correlata a requisiti di sicurezza che tu stesso imponi ai fornitori — se hai già definito una politica al riguardo, il fornitore cloud ne è un esempio concreto.

Dove questo è tra le dieci misure

L'articolo 21 paragrafo 2 della NIS2 elenca dieci misure che un'entità deve adottare; la lettera d riguarda specificamente la sicurezza della catena di approvvigionamento, con un riferimento esplicito agli aspetti di sicurezza delle relazioni con i fornitori. La norma ISO/IEC 27001 lo sviluppa nell'Allegato A tra le misure di controllo per le relazioni con i fornitori, dove rientrano anche i requisiti per i fornitori di servizi cloud e ICT. Se la tua stessa azienda è un'entità secondo la Legge sulla cibersicurezza, allora questa non è una domanda isolata ma parte di un obbligo — verificalo se necessario con la domanda se la tua azienda rientra nella NIS2.