chestionarul întreabă despre securitatea furnizorului nostru de cloud

Furnizorul de cloud cade sub securitatea lanțului de aprovizionare, nu sub propriile tale măsuri

Această întrebare nu se referă la propriile tale sisteme, ci la un furnizor din lanțul tău de aprovizionare. Articolul 21 alineatul 2 din NIS2 menționează în punctul (d) în mod explicit "securitatea lanțului de aprovizionare, inclusiv aspectele legate de securitate privind relațiile dintre fiecare entitate și furnizorii sau prestatarii de servicii direcți ai acesteia." Furnizorul tău de cloud este un asemenea prestator de servicii direct. Clientul deci nu dorește să știe dacă cloud-ul în sine este sigur — nimeni nu poate garanta acest lucru — ci dacă tu ca beneficiar ai evaluat dacă acel furnizor dispune de un nivel de securitate suficient, și dacă acest lucru este consemnat undeva.

Dovada care este de obicei cerută aici nu este propriul tău certificat ISO, ci cel al furnizorului de cloud însuși: o declarație ISO/IEC 27001, un raport SOC 2, sau o trimitere la acordurile contractuale privind protecția datelor. Dacă nu ai aceasta la îndemână, atunci "nu, încă nu este consemnat" este un răspuns mai cinstit decât o promisiune neglijentă — mai ales pentru că cerințele de securitate pentru propriii furnizori apar adesea din nou mai larg în aceeași listă de întrebări, și inconsecvența dintre două răspunsuri se observă. Verifică de asemenea dacă întrebarea se referă de fapt la criptarea datelor în cloud — aceasta este adesea prezentată în același context cu "securitatea cloud-ului", dar este o măsură subliniară diferită.

Bază: articolul 21 alineatul 2 litera d, completat cu Anexa A a ISO 27001

Obligația de a evalua furnizorii și prestatorii de servicii se găsește în articolul 21 alineatul 2 litera d din NIS2 și reapare în Legea neerlandeză privind securitatea cibernetică de îndată ce aceasta intră în vigoare la 15 august 2026. ISO/IEC 27001 Anexa A elaborează în continuare măsurile de control pentru relațiile cu furnizorii (categoria A.5.19 până la A.5.23), care se referă în mod specific la evaluarea și monitorizarea furnizorilor de servicii cloud și IT.