клиентът иска да знае дали нашата облачна услуга е достатъчно защитена какво трябва да отговоря

Облачният доставчик попада под политиката за безопасност на веригата, а не под отделна графа

Този въпрос почти никога не е самостойно да/не. Клиентът всъщност пита дали вашето управление на доставчиците важи и за вашия облачен доставчик, и това попада под изисквания за сигурност спрямо собствените доставчици — точка (d) на десетте мерки в член 21, параграф 2 на Директива NIS2. Отговорът следователно се състои от два слоя: има ли предприятието политика за доставчици и е ли облачният доставчик конкретно оценен в съответствие с нея. "Да" само на първия слой, без да е вършена някога оценка на облачния доставчик, е половинна истина, която ще се появи при одит.

Какво се брои като доказателство варира в зависимост от зрелостта на досието. Ако облачният доставчик сам има ISO 27001 сертификат или SOC 2 доклад, то е най-силното доказателство — поставете го до въпросът дали собственото предприятие е сертифицирано по ISO 27001, защото това са два отделни сертификата, които не трябва да се бъркат в отговора. Ако липсва сертификат, тогава договор за обработка на данни със приложение за сигурност или собствена оценка на доставчика с дата на документа е вторият най-добър доказ. Без един от двата е "не" или "в процес на разглеждане" правилният отговор, дори ако облачния доставчик е вероятно добре защитен — вероятността не е доказ.

Откъде следва това: член 21, параграф 2, буква (г) и Приложение A.15

Задължението да се оценяват доставчиците и предоставящите услуги по отношение на сигурност е посочено с име в член 21, параграф 2, буква (г) на Директива NIS2, като една от десетте мерки, които един субект трябва да предприеме. ISO/IEC 27001 развива това по-нататък в Приложение А под контролните мерки за връзки с доставчици. В Нидерландия това скоро ще се осъществява чрез Закона за киберсигурност, национално преобразуване на NIS2, който влиза в сила на 15 август 2026 г. — до тогава самата директива остава текстът, към който трябва да се позовавате. Ако се усъмняеш дали това вече е задължение за твоята собствена организация и не е само въпрос от клиент, вижте в дали предприятието самостоятелно попада под NIS2 директивата.