kund vill veta om vår molntjänst är tillräckligt säkrad vad svarar jag

Molnleverantör omfattas av leverantörskedjesäkerhetspolicy, inte av en separat ruta

Den här frågan är nästan aldrig ett fristående ja/nej. Kunden frågar faktiskt om er leverantörshantering också gäller er molnleverantör, och det omfattas av säkerhetskrav på egna leverantörer — punkt (d) av de tio åtgärderna i artikel 21 stycke 2 i NIS2-direktivet. Svaret består alltså av två lager: har företaget en leverantörspolicy, och har molnleverantören bedömts konkret mot denna. Ett "ja" enbart på första lagret utan att molnleverantören någonsin har bedömts är en halv sanning som kommer upp vid en revision.

Vad som räknas som bevis varierar beroende på dokumentationens mognad. Har molnleverantören själv ett ISO 27001-certifikat eller en SOC 2-rapport, är det det starkaste beviset — jämför det med frågan om det egna företaget är ISO 27001-certifierat, eftersom det är två separata certifikat som inte får förväxlas i svaret. Om ett certifikat saknas är ett databehandlingsavtal med säkerhetsbilaga, eller en egen leverantörsbedömning med datum, näst bästa bevis. Utan ett av dessa är "nej" eller "under behandling" det korrekta svaret, även om molnleverantören förmodligen är mycket väl skyddad — sannolikhet är inte ett bevisstycke.

Där det följer av: artikel 21 stycke 2 punkt d och Bilaga A.15

Skyldigheten att bedöma leverantörer och tjänsteleverantörer på säkerhet anges vid namn i artikel 21 stycke 2 punkt d i NIS2-direktivet, som en av de tio åtgärderna som en enhet måste vidta. ISO/IEC 27001 utvecklar detta vidare i Bilaga A under kontrollåtgärderna för leverantörsrelationer. I Nederländerna löper detta snart via Cybersäkerhetslagen, den nationella genomförandet av NIS2 som träder i kraft den 15 augusti 2026 — fram till dess är direktivet själv den text som ska hänvisas till. Om du är osäker på om detta redan är en skyldighet för ditt eget företag och inte bara en fråga från en kund, se då på eller om företaget självt omfattas av NIS2-direktivet.