ptají se, v které zemi jsou naše data uložena

Umístění cloudového úložiště spadá pod bezpečnost řetězce, nikoli pod šifrování

Tato otázka spadá pod opatření bezpečnosti řetězce z článku 21 odst. 2 písm. d NIS2: požadavky, které podnik klade svým vlastním dodavatelům, včetně poskytovatele cloudových služeb. Země úložiště tedy není otázka o technice, ale o řízení dodavatelů — jaké dohody byly s tímto dodavatelem uzavřeny a jsou zaznamenány. Kdo to považuje za samostatnou faktickou otázku a ihned vyplní "ano" bez podkladové smlouvy, odpovídá na otázku technicky správně, ale chybí mu podpora, kterou od něj zákazník ve skutečnosti chce.

Důkazním materiálem, který k tomu patří, je obvykle Data Processing Agreement nebo přehled subdodavatelů poskytovatele cloudových služeb, který obsahuje umístění datových center. Pokud to nemáš po ruce, pak je "ještě k určení" zde správná odpověď — ne proto, aby zůstalo neznámé, ale proto, že uvedení země bez tohoto dokumentu je předpoklad, nikoli fakt. Stejná dokumentace je také relevantní pro otázku zda podnik klade na své vlastní dodavatele požadavky na bezpečnost: DPA s pevným umístěním je často důkazem, že byl tento požadavek vynucen. Někteří zákazníci se to přitom ptají ne na samotné umístění, ale aby ověřili, zda byla aplikována šifrování v klidu — pak zkontroluj, zda otázka není vlastně v souladu s politika o kryptografii a šifrování.

Kde se to v směrnici nachází: článek 21 odst. 2 písm. d

Článek 21 odst. 2 písm. d NIS2 explicitně uvádí "zabezpečení dodavatelského řetězce, včetně bezpečnostních aspektů týkajících se vztahů mezi každou entitou a jejími přímými dodavateli nebo poskytovateli služeb" jako jedno z deseti povinných opatření. Poskytovatel cloudových služeb je takový přímý poskytovatel služeb a místo uložení dat je bezpečnostním aspektem tohoto vztahu. ISO/IEC 27001 Annex A toto dále rozpracovává v rámci kontrolních opatření pro vztahy s dodavateli, což vysvětluje, proč zákazníci tuto otázku často předkládají společně s dotazy týkajícími se certifikace — viz také zda je podnik certifikován dle ISO 27001. Zákon o kybernetické bezpečnosti přebírá tuto povinnost nezměněnou ze směrnice.