vragenlijst wil weten welke clouddiensten wij gebruiken voor onze data

Cloudleveranciers zijn onderdeel van de ketenvraag

De vraag naar gebruikte clouddiensten valt in de meeste vragenlijsten onder het bredere thema leveranciersbeheer, niet onder een apart "cloud"-onderdeel. De klant wil weten of jouw onderneming zicht heeft op waar bedrijfsdata staat en wie daarbij kan. Concreet antwoord: noem de leveranciers die persoonsgegevens of bedrijfskritische data verwerken (denk aan de grote hyperscalers, maar ook een boekhoudpakket of CRM in de cloud telt mee), en geef aan of daar contractuele afspraken over beveiliging bij horen.

Een compleet antwoord bestaat uit twee delen: de naam van de leverancier, en het bewijs dat je die relatie beheerst. Dat tweede deel is waar de meeste ondernemers vastlopen — niet omdat ze geen clouddiensten gebruiken, maar omdat ze geen overzicht hebben van welke afspraken erover zijn vastgelegd. Als dat overzicht ontbreekt, is "nog te bepalen" een eerlijker antwoord dan een lijst opsommen zonder onderbouwing. Dit onderwerp raakt direct de vraag of de onderneming beveiligingseisen stelt aan haar eigen leveranciers: een cloudleverancier is in die zin gewoon een leverancier, en de eisen die daar gelden — contracten, service-level agreements, incidentafspraken — zijn precies wat hier gevraagd wordt.

Waar dat in de richtlijn staat: artikel 21 lid 2

Artikel 21 lid 2 van de NIS2-richtlijn noemt beveiliging van de toeleveringsketen, inclusief de relatie tussen elke entiteit en haar directe leveranciers, als een van de tien verplichte maatregelen. Cloudleveranciers vallen onder die keten. ISO/IEC 27001 werkt dit verder uit in Annex A, waar leveranciersrelaties en het beheer van bedrijfsmiddelen — waaronder data bij derden — expliciet zijn benoemd; wie hierover al een proces heeft voor toegangsbeleid en het beheer van bedrijfsmiddelen, heeft meestal ook al vastgelegd welke clouddiensten daarbinnen vallen. De Cyberbeveiligingswet neemt deze verplichting over zodra die wet in werking treedt.