il cliente vuole sapere se il nostro servizio cloud è sufficientemente protetto cosa rispondo

Il fornitore di servizi cloud rientra nella politica di sicurezza della catena, non in una voce separata

Questa domanda quasi mai è un semplice sì/no. Il cliente chiede in realtà se la vostra gestione dei fornitori si applica anche al fornitore di servizi cloud, e questo rientra in requisiti di sicurezza per i fornitori propri — punto (d) delle dieci misure di cui all'articolo 21 paragrafo 2 della direttiva NIS2. La risposta consiste quindi di due livelli: l'organizzazione ha una politica sui fornitori, e il fornitore di servizi cloud è stato concretamente valutato rispetto ad essa. Un "sì" solo al primo livello senza che il fornitore di servizi cloud sia mai stato valutato è una mezza verità che verrà alla luce in un audit.

Cosa conta come prova varia a seconda della maturità del fascicolo. Se il fornitore di servizi cloud ha un certificato ISO 27001 proprio o un rapporto SOC 2, allora quello è il documento più forte — affiancatelo a la domanda se l'organizzazione stessa è certificata ISO 27001poiché si tratta di due certificati separati che non devono essere confusi nella risposta. Se manca un certificato, allora un accordo di responsabile del trattamento con allegato sulla sicurezza, o una valutazione del fornitore interna con data, è la prova seconda migliore. Senza uno dei due, "no" o "in corso" è la risposta corretta, anche se il fornitore di servizi cloud è probabilmente ben protetto — la probabilità non è una prova.

Dove ne consegue: articolo 21 paragrafo 2 lettera d e Allegato A.15

L'obbligo di valutare i fornitori e i prestatori di servizi sulla sicurezza figura per nome nell'articolo 21 paragrafo 2 lettera d della direttiva NIS2, come una delle dieci misure che un'entità deve adottare. ISO/IEC 27001 lo sviluppa ulteriormente nell'Allegato A tra le misure di controllo per le relazioni con i fornitori. Nei Paesi Bassi questo passerà presto attraverso il Cybersecurity Act, il recepimento nazionale di NIS2 che entrerà in vigore il 15 agosto 2026 — fino a quella data il testo della direttiva stessa rimane il riferimento a cui fare ricorso. Se hai dubbi sul fatto che questo sia già un obbligo per la tua organizzazione e non solo una domanda di un cliente, consulta se l'azienda stessa rientra nella direttiva NIS2.