lista kontrolna pyta o bezpieczeństwo naszego dostawcy usług w chmurze

Dostawca usług w chmurze podlega bezpieczeństwu łańcucha dostaw, a nie Twoim własnym środkom

To pytanie nie dotyczy Twoich własnych systemów, ale dostawcy w Twoim łańcuchu dostaw. Artykuł 21 ust. 2 dyrektywy NIS2 wymienia w punkcie (d) wyraźnie "bezpieczeństwo łańcucha dostaw, w tym aspekty związane z bezpieczeństwem dotyczące relacji między każdym podmiotem a jego bezpośrednimi dostawcami lub dostawcami usług." Twój dostawca usług w chmurze jest takim bezpośrednim dostawcą usług. Klient nie chce zatem wiedzieć, czy sama chmura jest bezpieczna — nikt tego nie może zagwarantować — ale czy Ty jako odbiorca oceniłeś, czy ten dostawca ma wystarczający poziom bezpieczeństwa, i czy jest to gdzieś udokumentowane.

Dowodem, o który najczęściej się tu prosi, nie jest Twój własny certyfikat ISO, ale certyfikat samego dostawcy usług w chmurze: oświadczenie ISO/IEC 27001, raport SOC 2 lub odniesienie do umownych ustaleń dotyczących bezpieczeństwa danych. Jeśli tego nie masz pod ręką, wówczas "nie, jeszcze nie ustalono" jest szczerszą odpowiedzią niż niedokładne zobowiązanie — zwłaszcza dlatego, że wymagania dotyczące bezpieczeństwa własnych dostawców często pojawia się jeszcze raz szerzej w tej samej liście pytań, i niespójność między dwiema odpowiedziami zwraca uwagę. Sprawdź również, czy pytanie rzeczywiście dotyczy szyfrowanie danych w chmurze idzie — to jest często wymieniane w jednym oddechu z "bezpieczeństwem chmury", ale jest to inny środek leżący u podstaw.

Podstawa: artykuł 21 ust. 2 lit. d, uzupełniony o Załącznik A normy ISO 27001

Obowiązek oceny dostawców i świadczących usługi wynika z artykułu 21 ust. 2 lit. d dyrektywy NIS2 i pojawia się ponownie w holenderskiej ustawie o cyberbezpieczeństwie, gdy wejdzie ona w życie 15 sierpnia 2026 r. ISO/IEC 27001 Annex A rozwija to dalej w środkach kontrolnych dotyczących relacji z dostawcami (kategorie A.5.19 do A.5.23), które dotyczą konkretnie oceny i monitorowania dostawców usług w chmurze i IT.