Vprašalnik prosi o varnosti naše ponudnika oblačnih storitev

Ponudnik oblaka spada pod varnost verige, ne pod vaše lastne ukrepe

To vprašanje ne gre o vaših lastnih sistemih, ampak o ponudniku v vaši verigi. Člen 21 odstavek 2 direktive NIS2 navaja pod točko (d) eksplicitno »varnost verige oskrbe, vključno z vidiki varnosti, ki se nanašajo na razmerja med vsako entiteto in njenimi neposrednimi dobavitelji ali ponudniki storitev.« Vaš ponudnik oblaka je tak neposredni ponudnik storitev. Odjemalec torej ne želi vedeti, ali je oblak sam po sebi varen — tega nihče ne more zagotoviti — ampak ali ste vi kot uporabnik presodili, da ima ta ponudnik ustrezno raven varnosti, in ali je to nikjer dokumentirano.

Dokazilo, ki se tukaj običajno zahteva, ni vaš lastni ISO-certifikat, ampak certifikat samega ponudnika oblaka: ISO/IEC 27001-izjava, SOC 2-poročilo ali sklicevanje na pogodbene dogovore o varnosti podatkov. Če tega nimate pri roki, je »ne, še ni dokumentirano« pošteneji odgovor kot nedosledna obljuba — še posebej ker varnostni pogoji za lastne dobavitelje pogosto znova nastopijo širše v isti vprašalniku, in nedoslednost med dvema odgovoroma je opazna. Preverite tudi, ali vprašanje pravzaprav gre za šifriranje podatkov v oblaku — to se pogosto omenja skupaj z »varnostjo oblaka«, a je drugačen osnovni ukrep.

Osnova: člen 21 odstavek 2 točka d, dopolnjen s Prilogo A standarda ISO 27001

Obveznost ocenitve dobaviteljev in ponudnikov storitev je navedena v členu 21 odstavek 2 točka d direktive NIS2 in se pojavi v nizozemskem zakonu o kibernetski varnosti, ko ta 15. avgusta 2026 začne veljati. ISO/IEC 27001 Prilog A to nadaljuje v nadzornih ukrepih za razmerja z dobavitelji (kategorije A.5.19 do A.5.23), ki se posebej nanašajo na ocenjevanje in spremljanje ponudnikov oblačnih in IT-storitev.