Zákazník chce vedieť, či je náša cloudová služba dostatočne zabezpečená, ako mám odpovedať

Poskytovateľ cloudových služieb spadá pod politiku bezpečnosti reťazca, nie pod samostatnú položku

Táto otázka je takmer nikdy samostatným áno/nie. Zákazník sa v skutočnosti pýta, či sa vaša správa dodávateľov vzťahuje aj na vášho poskytovateľa cloudových služieb, a to spadá pod bezpečnostné požiadavky na vlastných leverancielov — bod (d) desiatich opatrení v článku 21 odsek 2 smernice NIS2. Odpoveď sa teda skladá z dvoch vrstiev: má podnik politiku dodávateľov, a bol konkrétne poskytovateľ cloudových služieb posudzovaný podľa nej. "Áno" iba na prvej vrstve bez toho, aby bol poskytovateľ cloudových služieb kedy posúdený, je polovičná pravda, ktorá sa pri audite objaví znova.

To, čo sa počíta ako dôkaz, sa líši v závislosti od zrelosti súboru. Ak má poskytovateľ cloudových služieb svoj certifikát ISO 27001 alebo správu SOC 2, potom je to najsilnejší dokument — umiestnite ho vedľa otázky, či je vlastná organizácia certifikovaná podľa ISO 27001, pretože ide o dva samostatné certifikáty, ktoré sa nesmú v odpovedi zamieňať. Ak chýba certifikát, potom je dohoda o spracovaní s prílohou zabezpečenia alebo vlastné hodnotenie dodávateľa s dátumom najviac druhým najlepším dôkazom. Bez jedného z nich je "nie" alebo "v príprave" správna odpoveď, aj keď je poskytovateľ cloudových služieb pravdepodobne perfektne bezpečný — pravdepodobnosť nie je dôkazný dokument.

Kde z toho vyplýva: článok 21 odsek 2 bod d a Príloha A.15

Povinnosť posúdiť dodávateľov a poskytovateľov služieb z hľadiska bezpečnosti je uvedená menom v článku 21 odsek 2 bod d smernice NIS2 ako jedno z desiatich opatrení, ktoré musí subjekt prijať. ISO/IEC 27001 to ďalej rozvíja v Prílohe A v rámci kontrolných opatrení pre vzťahy s dodávateľmi. V Holandsku to čoskoro prebehne prostredníctvom Zákona o kybernetickej bezpečnosti, národnej transpozície NIS2, ktorá vstúpi v platnosť 15. augusta 2026 — až do tohto dátuma zostáva smernica samotná textom, na ktorý sa možno odvolávať. Ak si nie si istý, či ide pre tvoju vlastnú organizáciu už o povinnosť a nie len o otázku od zákazníka, pozri si alebo či podnik sám spadá pod smernicu NIS2.