fragelista frågar efter säkerheten hos vår molnleverantör

Molnleverantören faller under leverantörskedjans säkerhet, inte under dina egna åtgärder

Den här frågan handlar inte om dina egna system, utan om en leverantör i din leverantörskedja. Artikel 21 stycke 2 i NIS2 nämner under punkt (d) uttryckligen "säkerhet i leverantörskedjan, inklusive säkerhetsbeskaffenhet i sambanden mellan varje enhet och dess direkta leverantörer eller tjänsteleverantörer." Din molnleverantör är sådan direktleverantör. Kunden vill alltså inte veta om molnet i sig är säkert — det kan ingen garantera — utan om du som mottagare har bedömt om leverantören har tillräcklig säkerhetsnivå, och om det är dokumenterat någonstans.

Det bevis som oftast efterfrågas här är inte ditt eget ISO-certifikat, utan molnleverantörens eget: ett ISO/IEC 27001-uttalande, en SOC 2-rapport, eller en hänvisning till de avtalsvillkor som gäller dataskyddet. Har du inte det tillgängligt är "nej, ännu inte dokumenterat" ett mer ärligt svar än ett slarvigt löfte — särskilt för att säkerhetskrav på egna leverantörer ofta dyker upp igen senare i samma frågeformulär på ett bredare sätt, och inkonsekvens mellan två svar faller i ögonen. Kontrollera också om frågan faktiskt handlar om kryptering av data i molnet — det brukar ofta nämnasväxelvis med "molnsäkerhet", men är en annan underliggande åtgärd.

Rättslig grund: artikel 21 stycke 2 punkt d, tillsammans med Annex A i ISO 27001

Skyldigheten att bedöma leverantörer och tjänsteleverantörer framgår av artikel 21 stycke 2 punkt d i NIS2 och återkommer i den nederländska cybersäkerhetslag när den träder i kraft den 15 augusti 2026. ISO/IEC 27001 Annex A utvecklar detta vidare i kontrollåtgärderna för leverantörsrelationer (kategori A.5.19 till och med A.5.23), som särskilt behandlar bedömning och övervakning av moln- och IT-tjänsteleverantörer.