klients vēlas zināt, vai mūsu mākoņa pakalpojums ir pietiekami drošs - ko es atbildu

Mākoņa pakalpojuma sniedzējs ietilpst piegādes ķēdes drošības politikā, nevis atsevišķā sadaļā

Šis jautājums gandrīz nekad nav vienkāršs jā/nē. Klients faktiski jautā, vai jūsu piegādes ķēdes vadības politika attiecas arī uz jūsu mākoņa pakalpojuma sniedzēju, un tas ietilpst drošības prasības attiecībā uz pašu piegādātājiem — punktā (d) no desmit pasākumiem, kas noteikti Direktīvas NIS2 21. panta 2. punktā. Tāpēc atbilde sastāv no diviem slāņiem: vai uzņēmumam ir piegādes ķēdes vadības politika, un vai mākoņa pakalpojuma sniedzējs konkrēti tiek pārbaudīts pret tās prasībām. "Jā" tikai par pirmo slāni, neparūpējoties, lai mākoņa pakalpojuma sniedzējs tiktu novērtēts, ir daļēja patiesība, kas audita laikā var atklāties.

Tas, kas tiek uzskatīts par pierādījumu, atšķiras atkarībā no dossiera brieduma pakāpes. Ja mākoņa pakalpojuma sniedzējam ir pats ISO 27001 sertifikāts vai SOC 2 pārskats, tad tas ir spēcīgākais materiāls — salīdziniet to ar jautājumu, vai pašam uzņēmumam ir ISO 27001 sertifikāts, jo tie ir divi atsevišķi sertifikāti, kurus atbildē nedrīkst sajaukt. Ja sertifikāts trūkst, tad datu apstrādes līgums ar drošības papildinājumu vai pašu leveriera novērtējums ar datumu ir nākamais labākais pierādījums. Bez viena no tiem "nē" vai "tiek risināts" ir pareizā atbilde, pat ja mākoņa pakalpojuma sniedzējs iespējams ir labi aizsargāts — iespējamība nav pierādījuma materials.

Tai skaitā tas, kas no tā izriet: Direktīvas NIS2 21. panta 2. punkta apakšpunkts d un Pielikums A.15

Piegādes ķēdes partneru un pakalpojuma sniedzēju novērtēšanas par drošību pienākums ir nosaukts Direktīvas NIS2 21. panta 2. punkta apakšpunktā d, kā viens no desmit pasākumiem, ko entitātei jāveic. ISO/IEC 27001 to tālāk izstrādā Pielikumā A zem piegādes ķēdes partneru attiecību drošības vadības pasākumiem. Nīderlandē tas drīzumā notiks caur Kiberdrošības likumu, NIS2 valsts pārkārtošanu, kas stājas spēkā 2026. gada 15. augustā — līdz tam datumam pati direktīva ir teksts, uz ko atsaukties. Ja jums ir šaubas, vai tas jau ir jūsu uzņēmuma pienākums, nevis tikai klienta jautājums, skatieties sadaļā vai uzņēmums atsevišķi ietilpst NIS2 direktīvas darbības jomā.