klausimynas klausia apie mūsų debesies tiekėjo saugą

Debesų paslaugų teikėjas patenka į tiekimo grandinės saugumą, o ne į jūsų pačių priemones

Šis klausimas nėra apie jūsų pačių sistemas, o apie tiekėją jūsų tiekimo grandinėje. NIS2 direktyvos 21 straipsnio 2 dalies d punktas aiškiai nurodo "tiekimo grandinės saugumą, įskaitant su saugumu susijusius aspektus, susijusius su santykiais tarp kiekvieno subjekto ir jo tiesioginių tiekėjų arba paslaugų teikėjų." Jūsų debesų paslaugų teikėjas yra toks tiesioginis paslaugų teikėjas. Taigi klientas nori ne žinoti, ar debesys iš esmės yra saugūs — to negali garantuoti niekas — bet ar jūs kaip paslaugų gavėjas įvertinote, ar tas tiekėjas turi pakankamą saugumo lygį, ir ar tai kur nors užfiksuota.

Šiame klausime paprastai reikalaujamas ne jūsų pačių ISO sertifikatas, o paties debesų paslaugų teikėjo: ISO/IEC 27001 pareiškimas, SOC 2 ataskaita arba nuoroda į sutartyje numatytas duomenų saugumo sutartis. Jei to neturite paruošę, tada "ne, dar nėra užfiksuota" yra teisingesnis atsakymas nei nerūpestinga pažada — ypač todėl, kad saugumo reikalavimus savoms tiekėjams toje pačioje klausimyne dažnai vėliau grąžinama plačiau, ir neatitikimas tarp dviejų atsakymų pastebimas. Taip pat patikrinkite, ar klausimas iš tikrųjų dėl duomenų šifravimo debesyje — tai gana dažnai nurodoma "debesų saugumo" frazėje, bet tai yra kitokia pagrindinė priemonė.

Pagrindas: NIS2 direktyvos 21 straipsnis, 2 dalis, d punktas, papildytas ISO 27001 A priedu

Pareiga įvertinti tiekėjus ir paslaugų teikėjus nustatyta NIS2 direktyvos 21 straipsnio 2 dalies d punkte ir kartojasi Nyderlandų Kibernetinio saugumo įstatyme, kai jis pradės galioti 2026 m. rugpjūčio 15 d. ISO/IEC 27001 A priedas tai detalizuoja toliau tiekėjo santykių kontrolės priemonėmis (A.5.19–A.5.23 kategorijos), kurios konkrečiai nagrinėja debesų ir IT paslaugų teikėjų vertinimą ir monitoringą.