klant wil weten hoe onze cloudprovider beveiligd is, wat vul ik daar in

Deze vraag valt onder ketentoezicht, niet onder je eigen beveiliging

Dit hoort bij artikel 21 lid 2 sub d NIS2: beveiliging in de toeleveringsketen, inclusief de relatie met je eigen leveranciers. De klant vraagt hier niet of jouw systemen veilig zijn, maar of jij weet en kunt aantonen dat je cloudleverancier dat is. Dat is een ander bewijsstuk dan bijvoorbeeld je eigen toegangsbeleid of je eigen encryptiebeleid.

Het antwoord bestaat meestal uit twee lagen. Eerst: heb je zelf beveiligingseisen gesteld aan die leverancier, contractueel of in de selectie? Dat beantwoord je op basis van je eigen inkoopdossier, niet op basis van wat de leverancier beweert. Daarna: wat toont de leverancier zelf aan? Vraag het bewijsstuk op dat hij normaal al deelt met klanten — een ISO 27001-certificaat met scopeverklaring, een SOC 2-rapport, of een samenvatting van zijn NIS2-maatregelen als hij zelf onder de richtlijn valt. Heb je dat certificaat niet in je dossier, dan is "nee" of "onbekend" het juiste antwoord — niet "ja" op basis van een aanname. Dit sluit aan bij beveiligingseisen die de onderneming aan haar eigen leveranciers stelt: daar hoort dit bewijs standaard te liggen, ook als het om één grote cloudpartij gaat in plaats van een lange keten van toeleveranciers.

Waar het bewijs vandaan komt: Annex A versus het contract

ISO/IEC 27001 Annex A kent geen los "cloudbeveiliging"-onderdeel; het bewijs zit verspreid over de beheersmaatregelen voor leveranciersrelaties en toegang. Praktisch betekent dit: check eerst of je zelf al is vastgelegd welk toegangsbeleid en beheer van bedrijfsmiddelen geldt, want daarin staat vaak ook hoe toegang tot de cloudomgeving is geregeld. Voor de leverancier zelf is het certificaat of auditrapport de vindplaats, niet een verklaring van jou over hun systemen — je kunt namelijk niet namens de leverancier bevestigen wat hij intern doet.