dotazník se ptá na bezpečnost našeho poskytovatele cloudových služeb

Poskytovatel cloudových služeb podléhá bezpečnosti dodavatelského řetězce, nikoli vašim vlastním opatřením

Tato otázka se netýká vašich vlastních systémů, ale dodavatele ve vašem řetězci. Článek 21 odstavec 2 NIS2 výslovně jmenuje pod bodem (d) "bezpečnost dodavatelského řetězce, včetně aspektů souvisejících se zabezpečením vztahů mezi každou entitou a jejími přímými dodavateli nebo poskytovateli služeb." Váš poskytovatel cloudových služeb je takový přímý poskytovatel služeb. Zákazník se tedy neptal, zda je cloud sám o sobě bezpečný — to nemůže nikdo zaručit — ale zda jste jako odběratel posoudili, zda má takový dodavatel dostatečnou úroveň bezpečnosti, a zda je to někde zdokumentováno.

Důkazní materiál, který je zde obvykle požadován, není vaše vlastní certifikát ISO, ale certifikát samotného poskytovatele cloudových služeb: prohlášení ISO/IEC 27001, zpráva SOC 2 nebo odkaz na smluvní dohody o ochraně dat. Pokud to nemáte po ruce, je "ne, zatím to není zdokumentováno" čestnější odpovědí než nedbalý slib — zvláště protože bezpečnostní požadavky na vlastní dodavatele se v téže dotazníku často появí znovu v širším kontextu a nekonzistence mezi dvěma odpověďmi se všimne. Zkontrolujte také, zda se otázka vlastně týká šifrování dat v cloudu jde — to se často zmiňuje v jednom dechu s "zabezpečením cloudu", ale jde o jiné základní opatření.

Právní základ: článek 21 odst. 2 písm. d, doplněno přílohou A normy ISO 27001

Povinnost posuzovat poskytovatele a poskytovatele služeb je stanovena v článku 21 odst. 2 písm. d směrnice NIS2 a opakuje se v holandské Cybersecurity Act, která vstupuje v platnost 15. srpna 2026. ISO/IEC 27001 Příloha A to dále rozpracovává v kontrolních opatřeních pro vztahy se dodavateli (kategorie A.5.19 až A.5.23), která se konkrétně zabývají posouzením a monitorováním cloudových a IT služeb.