vragenlijst vraagt naar de beveiliging van onze cloudprovider

De cloudprovider valt onder ketenbeveiliging, niet onder je eigen maatregelen

Deze vraag gaat niet over jouw eigen systemen, maar over een leverancier in jouw keten. Artikel 21 lid 2 van NIS2 noemt onder punt (d) expliciet "de beveiliging van de toeleveringsketen, met inbegrip van beveiligingsgerelateerde aspecten betreffende de relaties tussen elke entiteit en haar directe leveranciers of dienstverleners." Je cloudprovider is zo'n directe dienstverlener. De klant wil dus niet weten of de cloud op zich veilig is — dat kan niemand garanderen — maar of jij als afnemer beoordeeld hebt of die leverancier voldoende beveiligingsniveau heeft, en of dat ergens is vastgelegd.

Het bewijsstuk dat hier meestal wordt gevraagd is niet jouw eigen ISO-certificaat, maar dat van de cloudprovider zelf: een ISO/IEC 27001-verklaring, een SOC 2-rapport, of een verwijzing naar de contractuele afspraken over databeveiliging. Heb je dat niet paraat, dan is "nee, nog niet vastgelegd" een eerlijker antwoord dan een slordige toezegging — vooral omdat beveiligingseisen aan eigen leveranciers vaak in dezelfde vragenlijst nog een keer breder terugkomt, en inconsistentie tussen twee antwoorden opvalt. Check ook of de vraag eigenlijk over versleuteling van data in de cloud gaat — dat wordt nogal eens in één adem met "cloudbeveiliging" gesteld, maar is een ander onderliggend maatregel.

Grondslag: artikel 21 lid 2 onder d, aangevuld met Annex A van ISO 27001

De verplichting om leveranciers en dienstverleners te beoordelen staat in artikel 21 lid 2 onder d van NIS2 en komt terug in de Nederlandse Cyberbeveiligingswet zodra die op 15 augustus 2026 in werking treedt. ISO/IEC 27001 Annex A werkt dit verder uit in de beheersmaatregelen voor leveranciersrelaties (categorie A.5.19 tot en met A.5.23), die specifiek gaan over het beoordelen en monitoren van cloud- en IT-dienstverleners.