Jautājumā tiek jautāts par mūsu mākoņpakalpojuma sniedzēja drošību

Mākoņa pakalpojumu sniedzējs ietilpst piegādes ķēdes drošībā, nevis tavos paša pasākumos

Šis jautājums nav par taviem pašu sistēmiem, bet par piegādātāju tavā ķēdē. NIS2 21. panta 2. punkta d) apakšpunkts skaidri nosaka "piegādes ķēdes drošību, tostarp ar drošību saistītus aspektus, kas attiecas uz attiecībām starp katru subjektu un tā tiešajiem piegādātājiem vai pakalpojumu sniedzējiem." Tavs mākoņa pakalpojumu sniedzējs ir tāds tiešais pakalpojumu sniedzējs. Tāpēc klients grib uzzināt ne to, vai mākoņš pats par sevi ir draudzīgs — to neviens nevar garantēt — bet gan to, vai tu kā lietotājs esi novērtējis, vai šim piegādātājam ir pietiekams drošības līmenis, un vai tas ir uzskaitīts kaut kur.

Pierādījums, ko šeit parasti pieprasa, nav tavs pašu ISO sertifikāts, bet paša mākoņa pakalpojumu sniedzēja sertifikāts: ISO/IEC 27001 deklarācija, SOC 2 atskaite vai atsauce uz līgumiskiem noteikumiem par datu drošību. Ja to nesi pie rokas, tad "nē, vēl nav noteikts" ir godīgāka atbilde nekā nepamatota solījuma — it īpaši tāpēc, ka drošības prasības attiecībā uz pašu piegādātājiem bieži vien tajā pašā jautājumu sarakstā šis atkal parādās plašākā kontekstā, un pretrunas starp abām atbildēm tiek pamanītas. Pārbaudī arī, vai jautājums faktiski ir par datu šifrēšanu mākonī — to diezgan bieži piemin kopā ar "mākoņa drošību", bet tā ir cita pamatā esošā darbība.

Tiesiskais pamats: NIS2 21. panta 2. punkta d) apakšpunkts, papildināts ar ISO 27001 Pielikumu A

Piegādātāju un pakalpojumu sniedzēju novērtēšanas pienākums ir noteikts NIS2 21. panta 2. punkta d) apakšpunktā un atkārtojas Nīderlandes Kiberdrošības likumā, kas stāsies spēkā 2026. gada 15. augustā. ISO/IEC 27001 Pielikums A to detalizē vadības pasākumos piegādātāju attiecībām (kategorijas A.5.19 līdz A.5.23), kas specifiski attiecas uz mākoņa un IT pakalpojumu sniedzēju novērtēšanu un uzraudzību.