client vrea să știe dacă serviciul nostru cloud este suficient protejat ce răspund

Furnizorul de cloud cade sub politica de securitate a lanțului, nu sub o casă separată

Această întrebare este aproape niciodată un da/nu distinct. Clientul întreabă de fapt dacă managementul furnizorilor dumneavoastră se aplică și furnizorului dumneavoastră de cloud, și asta cade sub cerințele de securitate pentru propriii furnizori — punctul (d) al celor zece măsuri din articolul 21 alineatul (2) al Directivei NIS2. Răspunsul constă deci din două niveluri: are entitatea o politică de furnizori și a fost furnizorul de cloud evaluat în mod concret în baza acesteia. Un «da» numai la primul nivel, fără ca furnizorul de cloud să fi fost niciodată evaluat, este o jumătate de adevăr care reapare la audit.

Ceea ce contează ca dovadă diferă în funcție de maturitatea dosarului. Dacă furnizorul de cloud are el însuși un certificat ISO 27001 sau un raport SOC 2, atunci acesta este cea mai puternică piesă — plasați-o alături de întrebarea dacă propria entitate este certificată ISO 27001, pentru că acestea sunt două certificate separate care nu trebuie confundate în răspuns. Dacă lipsește un certificat, atunci un acord de prelucrare cu anexă de securitate, sau o evaluare proprie a furnizorului cu dată, este cea de-a doua cel mai bună dovadă. Fără una dintre acestea, «nu» sau «în curs de derulare» este răspunsul corect, chiar dacă furnizorul de cloud este probabil très bine asigurat — probabilitatea nu este o piesă de dovadă.

Unde rezultă din: articolul 21 alineatul (2) litera d și Anexa A.15

Obligația de a evalua furnizori și prestatori de servicii cu privire la securitate este nominalizată în articolul 21 alineatul (2) litera d al Directivei NIS2, ca una din cele zece măsuri pe care trebuie să le ia o entitate. ISO/IEC 27001 o detaliază în continuare în Anexă sub măsurile de control pentru relații cu furnizori. În Olanda, aceasta va funcționa în curând prin Legea privind securitatea cibernetică, transpunerea națională a NIS2 care intră în vigoare pe 15 august 2026 — până la acea dată, Directiva însăși rămâne textul la care trebuie să se facă referință. Dacă te îndoiești că aceasta este deja o obligație pentru propria ta entitate și nu doar o întrebare a unui client, verifică la dacă întreprinderea se încadrează sub Directiva NIS2.