spørgeskemaet ønsker at vide, hvilke cloudtjenester vi bruger til vores data

Cloudleverandører er en del af kædesporet

Spørgsmålet om anvendte cloudtjenester falder i de fleste spørgeskemaer under det bredere tema leverandørstyring, ikke under en separat "cloud"-del. Kunden ønsker at vide, om din virksomhed har overblik over, hvor forretningsdata opbevares, og hvem der har adgang hertil. Konkret svar: nævn de leverandører, der behandler personoplysninger eller forretningskritiske data (tænk på de store hyperscalere, men også et regnskabsprogram eller CRM i cloudmiljøet tæller med), og angiv, om der er kontraktuelle aftaler om sikkerhed.

Et fuldstændigt svar består af to dele: leverandørens navn og bevis for, at du styrer det forhold. Den anden del er, hvor de fleste virksomheder går i stå — ikke fordi de ikke bruger cloudtjenester, men fordi de ikke har overblik over, hvilke aftaler der er dokumenteret herom. Hvis dette overblik mangler, er "endnu ikke bestemt" et mere retfærdigt svar end at opregne en liste uden dokumentation. Dette emne vedrører direkte spørgsmålet om virksomheden stiller sikkerhedskrav til sine egne leverandører: en cloudleverandør er i denne forstand blot en leverandør, og de krav, der gælder herfor — kontrakter, serviceaftaler, incidentaftaler — er præcis det, der spørges om her.

Hvor det fremgår af direktivet: artikel 21, stk. 2

Artikel 21, stk. 2 i NIS2-direktivet nævner sikring af forsyningskæden, herunder forholdet mellem hver enhed og hendes direkteleverandører, som en af de ti obligatoriske foranstaltninger. Cloudleverandører falder under denne kæde. ISO/IEC 27001 udvikler dette yderligere i Bilag A, hvor leverandørforhold og forvaltning af virksomhedsmidler — herunder data hos tredjemand — udtrykkeligt er nævnt; hvem der allerede har en proces for adgangspolitik og forvaltning af virksomhedsmidler, har som regel allerede dokumenteret, hvilke cloudtjenester der indgår heri. Cybersikkerhedsloven overtager denne forpligtelse, når loven træder i kraft.