zákazník se ptá na zabezpečení našeho poskytovatele cloudových služeb, jak mám odpovědět

Poskytovatel cloudových služeb spadá pod článek 21 odst. 2 písm. d

Odpověďte tím, co skutečně můžete podložit: smluvní ujednání s vaším poskytovatelem cloudových služeb týkající se bezpečnosti a případně certifikát nebo zprávu z auditu, kterou vám poskytovatel předal. Otázka bezpečnosti vašeho poskytovatele cloudových služeb spadá do kategorie bezpečnosti dodavatelů: článek 21 odst. 2 písm. d směrnice NIS2 explicitně uvádí bezpečnost dodavatelského řetězce, včetně vztahu k poskytovatelům cloudových služeb. Váš dossier tedy nemusí dokazovat samotnou bezpečnost poskytovatele cloudových služeb — to dělá sám poskytovatel prostřednictvím svého vlastního certifikátu nebo zprávy o transparentnosti. Co musíte být schopni prokázat, je to, že jste si tuto bezpečnost ověřili před přijetím služby a že to pravidelně opakujete.

Pokud tento důkaz nemáte — žádnou kopii certifikátu ISO 27001 poskytovatele, žádnou zprávu SOC 2, žádnou klauzuli v smlouvě o povinnosti oznamovat incidenty — pak je „ne neuvedeno — pokud jsi tam již stanovil zásady, je poskytovatel cloudových služeb konkrétním příkladem.

Kde se to vyskytuje v deseti opatřeních

Článek 21 odstavec 2 NIS2 uvádí deset opatření, která musí entita přijmout; písmeno d se konkrétně týká zabezpečení dodavatelského řetězce, s výslovným odkazem na bezpečnostní aspekty vztahů s dodavateli. ISO/IEC 27001 to rozpracovává v Příloze A v rámci kontrolních opatření pro vztahy s dodavateli, kam spadají i požadavky na poskytovatele cloudových a ICT služeb. Pokud je tvoje vlastní podnikání samo entitou podle Zákona o kybernetické bezpečnosti, pak se nejedná o samostatnou otázku, ale je součástí povinnosti — v případě potřeby si to ověř u otázka, zda tvoje podnikání podléhá NIS2.