klant wil weten of onze clouddienst voldoende beveiligd is wat antwoord ik

Cloudleverancier valt onder ketenbeveiligingsbeleid, niet onder een apart vakje

Deze vraag is bijna nooit een losstaand ja/nee. De klant vraagt eigenlijk of jullie leveranciersbeheer ook geldt voor je cloudleverancier, en dat valt onder beveiligingseisen aan eigen leveranciers — punt (d) van de tien maatregelen in artikel 21 lid 2 van de NIS2-richtlijn. Het antwoord bestaat dus uit twee lagen: heeft de onderneming een leveranciersbeleid, en is de cloudleverancier daar concreet aan getoetst. Een "ja" op alleen de eerste laag zonder dat de cloudleverancier ooit is beoordeeld, is een halve waarheid die bij een audit terugkomt.

Wat telt als bewijs verschilt per volwassenheid van het dossier. Heeft de cloudleverancier zelf een ISO 27001-certificaat of een SOC 2-rapport, dan is dat het sterkste stuk — leg het naast de vraag of de eigen onderneming ISO 27001-gecertificeerd is, want dat zijn twee aparte certificaten die niet met elkaar verward mogen worden in het antwoord. Ontbreekt een certificaat, dan is een verwerkersovereenkomst met beveiligingsbijlage, of een eigen leveranciersbeoordeling met dagtekening, het op-één-na-beste bewijs. Zonder een van beide is "nee" of "in behandeling" het juiste antwoord, ook als de cloudleverancier waarschijnlijk prima beveiligd is — waarschijnlijkheid is geen bewijsstuk.

Waar dat uit volgt: artikel 21 lid 2 sub d en Annex A.15

De verplichting om leveranciers en dienstverleners te beoordelen op beveiliging staat met naam in artikel 21 lid 2 sub d van de NIS2-richtlijn, als een van de tien maatregelen die een entiteit moet nemen. ISO/IEC 27001 werkt dit verder uit in Annex A onder de beheersmaatregelen voor leveranciersrelaties. In Nederland loopt dit straks via de Cyberbeveiligingswet, de nationale omzetting van NIS2 die op 15 augustus 2026 in werking treedt — tot die datum blijft de richtlijn zelf de tekst om naar te verwijzen. Twijfel je of dit voor je eigen onderneming al een verplichting is en niet alleen een vraag van een klant, kijk dan bij of de onderneming zelf onder de NIS2-richtlijn valt.