zákazník chce vědět, zda je naše cloudová služba dostatečně zabezpečena, jak mám odpovědět

Poskytovatel cloudových služeb podléhá zásadám zabezpečení dodavatelského řetězce, ne samostatné koloně

Tato otázka je téměř nikdy samostatným ano/ne. Zákazník se vlastně ptá, zda se vaše správa dodavatelů vztahuje také na vašeho poskytovatele cloudových služeb, a to spadá pod bezpečnostní požadavky na vlastní dodavatele — bod (d) deseti opatření v článku 21 odst. 2 směrnice NIS2. Odpověď se tedy skládá ze dvou úrovní: má podnik zásady pro dodavatele, a byl poskytovatel cloudových služeb konkrétně posuzován podle těchto zásad. "Ano" pouze na první úrovni bez toho, aby byl poskytovatel cloudových služeb kdy posuzován, je polovičatá pravda, která se vrátí při auditu.

To, co se počítá jako důkaz, se liší v závislosti na zralosti souboru. Má-li poskytovatel cloudových služeb vlastní certifikát ISO 27001 nebo zprávu SOC 2, je to nejsilnější součástí — porovnejte ji s otázkou, zda je vlastní podnik certifikován podle ISO 27001, protože se jedná o dva oddělené certifikáty, které nesmějí být v odpovědi zaměňovány. Pokud certifikát chybí, pak je dohoda o zpracování s dodatkem o zabezpečení, nebo vlastní posouzení dodavatele s datem, druhým nejlepším důkazem. Bez jednoho z nich je "ne" nebo "v řešení" správná odpověď, i když je poskytovatel cloudových služeb pravděpodobně velmi dobře zabezpečený — pravděpodobnost není důkazním materiálem.

Pokud to z toho vyplývá: článek 21 odst. 2 písm. d) a Příloha A.15

Povinnost posuzovat poskytovatele a poskytovatele služeb z hlediska bezpečnosti je výslovně uvedena v článku 21 odst. 2 písm. d) směrnice NIS2 jako jedno z deseti opatření, která musí podnik přijmout. Norma ISO/IEC 27001 to dále rozpracovává v Příloze A v opatřeních k řízení vztahů s dodavateli. V Nizozemsku bude probíhat prostřednictvím zákona o kybernetické bezpečnosti, národní transpozice NIS2, která vstoupí v platnost 15. srpna 2026 — do té doby zůstává samotná směrnice textem, na který se lze odkazovat. Pokud si nejste jisti, zda se to již týká vaší vlastní organizace a není to pouze otázka od zákazníka, podívejte se na zda podnik sám spadá pod směrnici NIS2.