klientas nori žinoti, ar mūsų debesies paslauga yra pakankamai apsaugota, ką atsakysiu

Debesų teikėjas patenka į tiekimo grandinės saugumo politiką, o ne į atskirą lauką

Šis klausimas beveik niekada nėra atskiras taip/ne. Klientas iš tikrųjų klausia, ar jūsų tiekėjų vadyba taikoma ir jūsų debesų teikėjui, ir tai patenka į saugumo reikalavimus savoms tiekėjams — punktą (d) iš dešimties priemonių, nustatytų NIS2 direktyvos 21 straipsnio 2 dalyje. Todėl atsakymas susideda iš dviejų lygių: ar įmonė turi tiekėjų politiką, ir ar debesų teikėjas buvo konkrečiai įvertintas pagal ją. "Taip" tik pirmo lygio atžvilgiu, nesvarbu ar debesų teikėjas kada nors buvo įvertintas, yra pusiau tiesa, kuri gali iškilt į paviršių audito metu.

Įrodymas skiriasi priklausomai nuo bylos branda. Jei debesų teikėjas turi ISO 27001 sertifikatą arba SOC 2 ataskaitą, tai yra stipriausias dokumentas — palyginkite su klausimu, ar pati įmonė turi ISO 27001 sertifikatą, nes tai yra du atskiri sertifikatai, kurie negali būti supainioti atsakyme. Jei sertifikaatas trūksta, duomenų tvarkymo sutartis su saugumo priedu arba savivaldos tiekėjo vertinimas su data yra antras geriausias įrodymas. Be vieno iš jų "ne" arba "nagrinėjama" yra teisingas atsakymas, net jei debesų teikėjas tikriausiai yra puikiai apsaugotas — tikimybė nėra įrodymas.

Kur tai nurodyta: NIS2 direktyvos 21 straipsnio 2 dalies d punktas ir A priedas 15

Tiekėjų ir paslaugų teikėjų vertinimo dėl saugumo pareiga yra aiškiai nurodyta NIS2 direktyvos 21 straipsnio 2 dalies d punkte kaip viena iš dešimties priemonių, kurias turi imtis subjektas. ISO/IEC 27001 tai toliau detalizuoja Priede A pagal saugumo kontrolės priemones tiekėjų santykiams. Nyderlanduose tai vėliau bus atliekama pagal Kibernetinio saugumo įstatymą, kuris yra nacionalinis NIS2 įgyvendinimas ir įsigalioja 2026 m. rugpjūčio 15 d. — iki tos datos pati direktyva išlieka tekstu, kuriuo reikia vadovautis. Jei abejoji, ar jau tai yra pareiga jūsų įmonei, o ne tik klausimas iš kliento, žiūrėk pas ar įmonė pati patenkanti į NIS2 direktyvos taikymo sritį.