Списъкът пита относно безопасността на нашия облачен доставчик

Облачният провайдър попада под защитата на веригата, а не под собствените ти мерки

Този въпрос не се отнася до твоите собствени системи, а до доставчик във вашата верига. Член 21 параграф 2 точка (d) на NIS2 изрично споменава "защитата на веригата на доставяне, включително аспекти, свързани със сигурност, отнасящи се до отношенията между всяка единица и нейните преки доставчици или служби." Твоят облачен провайдър е такъв преки услугодавател. Клиентът не иска да знае дали облакът е безопасен като такъв — никой не може да гарантира това — а дали ти като получател си преценил дали този доставчик има достатъчно ниво на сигурност и дали това е документирано някъде.

Доказателството, което обикновено се изисква тук, не е твоят собствен ISO сертификат, а този на самия облачен провайдър: ISO/IEC 27001 декларация, SOC 2 доклад или справка относно договорните договоренности за защита на данните. Ако нямаш това под ръка, тогава "не, все още не е документирано" е по-честен отговор от небрежна обещание — особено защото изисквания за сигурност спрямо собствените доставчици често се появяват отново по-широко в същия въпросник, и несъответствието между два отговора е забележимо. Проверете също дали въпросът всъщност е за криптиране на данни в облака — това доста често се посочва заедно с "облачна сигурност", но е друга основна мярка.

Правна основа: член 21 параграф 2 точка d, допълнена с Приложение A на ISO 27001

Задължението за оценка на доставчиците и услугодавателите е записано в член 21 параграф 2 точка d на NIS2 и се връща към нидерландския Закон за киберсигурност, който ще влезе в сила на 15 август 2026 г. ISO/IEC 27001 Приложение A развива това допълнително в мерките за управление на връзките с доставчици (категория A.5.19 до A.5.23), които конкретно се отнасят до оценяването и мониторирането на облачни и IT услугодаватели.