kunde spørger om sikring af vores cloudleverandør, hvad skal jeg svare

Cloudleverandør falder ind under artikel 21 stk. 2 litra d

Svar med det, du faktisk kan dokumentere: de kontraktlige aftaler med din cloudleverandør om sikkerhed, og eventuelt et certifikat eller revisionsrapport, som leverandøren har givet dig. Spørgsmålet om sikringen af din cloudleverandør falder ind under kategorien leverandørsikkerhed: artikel 21 stk. 2 litra d NIS2 nævner eksplicit sikringen af forsyningskæden, herunder forholdet til leverandører af cloudtjenester. Dit dossier behøver således ikke at bevise sikringen af cloudleverandøren selv — det gør den leverandør selv ved hjælp af sit eget certifikat eller transparensrapport. Det, du skal kunne vise, er, at du har kontrolleret den sikring, før du påtog dig tjenesten, og at du gentager det med jævne mellemrum.

Hvis du ikke har det bevis — ingen kopi af et ISO 27001-certifikat fra leverandøren, ingen SOC 2-rapport, ingen klausul i kontrakten om anmeldelsespligt ved hændelser — så er "nej" eller "ikke dokumenteret" det rigtige svar, også selvom du godt kan stole på leverandøren. Tillid er ikke et bevisstykke. Praktisk: anmod leverandøren om dette bevis alligevel (de større cloudaktører har dette sædvanligvis til rådighed på et tillidskontor eller lignende portal) og læg det i dit ketendossier, så snart du har det. Det samme spørgsmål hænger ofte sammen med sikkerhedskrav, som du selv stiller til leverandører — hvis du allerede har fastlagt politik for det, er cloudleverandøren et konkret eksempel på det.

Hvor dette står blandt de ti foranstaltninger

Artikel 21 stk. 2 NIS2 anfører ti foranstaltninger, som en enhed skal træffe; litra d vedrører specifikt sikringen af forsyningskæden med en udtrykkelig henvisning til sikkerhedsaspekterne i forholdet til leverandører. ISO/IEC 27001 udfolder dette i Annex A under kontrolforanstaltninger for leverandørforhold, hvor krav til sky- og it-tjenesteudbydere også er omfattet. Hvis din egen virksomhed selv er en enhed under cybersikkerhedsloven, er dette ikke et enkelt spørgsmål, men en del af en forpligtelse — kontroller det eventuelt hos spørgsmålet om, hvorvidt din virksomhed falder ind under NIS2.