Zoznam otázok pýta na bezpečnosť nášho poskytovateľa cloudových služieb

Poskytovateľ cloudu spadá pod zabezpečenie dodávateľského reťazca, nie pod vaše vlastné opatrenia

Táto otázka sa netýka vašich vlastných systémov, ale leveranciela vo vašom reťazci. Článok 21 bod 2 NIS2 výslovne spomína v bode (d) "bezpečnosť dodávateľského reťazca vrátane aspektov súvisiacich s bezpečnosťou vo vzťahoch medzi každou entitou a jej priamymi dodávateľmi alebo poskytovateľmi služieb". Váš poskytovateľ cloudu je takýmto priamym poskytovateľom služieb. Zákazník teda nechce vedieť, či je cloud ako taký bezpečný — to nemôže nikto garantovať — ale či ste ako odberateľ posúdili, či má daný leverancier dostatočnú úroveň bezpečnosti a či je to niekde zdokumentované.

Dôkazný materiál, ktorý sa tu zvyčajne požaduje, nie je váš vlastný ISO certifikát, ale certifikát samotného poskytovateľa cloudu: prehlásenie ISO/IEC 27001, správu SOC 2 alebo odkaz na zmluvné dohody o zabezpečení údajov. Ak to nemáte po ruke, je "nie, zatiaľ nie je zdokumentované" poctivejšia odpoveď ako nedbalý sľub — najmä pretože bezpečnostné požiadavky na vlastných leverancielov sa často objavujú aj niekde ďalej v tej istej otázke v širšom kontexte a nejednotnosť medzi dvoma odpoveďami sa niekedy zaznamená. Skontrolujte tiež, či otázka vlastne nejde o šifrovanie údajov v cloude — to sa pomerne často uvádza v súvislosti s "zabezpečením cloudu", ale je to iné základné opatrenie.

Právny základ: článok 21 bod 2 písm. d doplnený o Prílohu A ISO 27001

Povinnosť posúdiť leverancielov a poskytovateľov služieb je uvedená v článku 21 bod 2 písm. d NIS2 a objavuje sa aj v holandskom Zákon o kybernetickej bezpečnosti, keď nadobudne účinnosť 15. augusta 2026. ISO/IEC 27001 Príloha A to ďalej rozpracúva v opatreniach na kontrolu vzťahov s leveranciermi (kategória A.5.19 až A.5.23), ktoré sa konkrétne zaoberajú posúdením a sledovaním poskytovateľov cloudových a IT služieb.