клиентът пита за защитата на нашия облачен доставчик, какво трябва да отговоря

Доставчикът на облачни услуги попада под член 21 параграф 2 буква d

Отговорете с това, което действително можете да докажете: договорните споразумения с вашия доставчик на облачни услуги относно защитата, и евентуално сертификат или одитен доклад, който доставчикът ви е предоставил. Въпросът относно защитата на вашия доставчик на облачни услуги попада в категорията защита на доставчиците: член 21 параграф 2 буква d NIS2 изрично споменава защитата на веригата на доставка, включително отношението с доставчици на облачни услуги. Вашето досие не трябва да доказва защитата на самия доставчик на облачни услуги — това прави той сам, чрез собствения си сертификат или доклад за прозрачност. Това, което трябва да можете да покажете, е че сте проверили тази защита, преди да преведете услугата, и че периодично го повтаряте.

Ако нямате това доказателство — няма копие на ISO 27001 сертификат на доставчика, нямате SOC 2 доклад, нямате клауза в договора за задължение за докладване при инциденти — тогава "не" или "не е демонстрирано" е правилният отговор, дори ако имате добро доверие в доставчика. Доверието не е доказателство. Практически: поискайте това доказателство от доставчика (по-големите облачни партньори обикновено имат това на разположение по подразбиране в trust center или подобен портал) и го поместете в своето досие на веригата веднага щом го получите. Същият въпрос често е свързан с изисквания за защита, които вие сами определяте за доставчиците — ако вече сте установили политика по този въпрос, доставчикът на облачни услуги е конкретен пример за това.

Където това е в десетте мерки

Член 21 параграф 2 NIS2 изброява десет мерки, които организацията трябва да предприеме; буква d касае специално защитата на веригата на доставка с изрично позоваване на аспектите на защитата на отношенията с доставчици. ISO/IEC 27001 разработва това в Приложение A под мерките за контрол на отношенията с доставчици, което включва и изисквания към облачни и ИКТ-услугодатели. Ако вашата собствена организация е сама организация според Закона за кибербезопасността, то това не е отделен въпрос, а част от задължение — проверете това при нужда с въпросът дали вашата организация попада под NIS2.