Fragebogen fragt nach der Sicherheit unseres Cloud-Providers

Der Cloud-Provider fällt unter die Lieferkettensicherheit, nicht unter deine eigenen Maßnahmen

Diese Frage bezieht sich nicht auf deine eigenen Systeme, sondern auf einen Lieferanten in deiner Lieferkette. Artikel 21 Absatz 2 der NIS2 nennt unter Punkt (d) ausdrücklich "die Sicherheit der Lieferkette, einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen jeder Einheit und ihren unmittelbaren Lieferanten oder Dienstleistern." Dein Cloud-Provider ist ein solcher unmittelbarer Dienstleister. Der Kunde möchte also nicht wissen, ob die Cloud an sich sicher ist — das kann niemand garantieren — sondern ob du als Abnehmer bewertet hast, ob dieser Lieferant ein ausreichendes Sicherheitsniveau erfüllt, und ob dies irgendwo dokumentiert ist.

Das Beweismittel, das hier normalerweise verlangt wird, ist nicht dein eigenes ISO-Zertifikat, sondern das des Cloud-Providers selbst: eine ISO/IEC 27001-Erklärung, ein SOC 2-Bericht oder ein Verweis auf die vertraglichen Vereinbarungen zur Datensicherheit. Wenn du das nicht zur Hand hast, ist "nein, noch nicht dokumentiert" eine ehrlichere Antwort als eine nachlässige Zusage — besonders weil Sicherheitsanforderungen an eigene Lieferanten häufig an derselben Stelle in der Frageliste noch einmal breiter vorkommt, und Unstimmigkeiten zwischen zwei Antworten auffallen. Prüfe auch, ob die Frage eigentlich von Verschlüsselung von Daten in der Cloud handelt — das wird oft zusammen mit "Cloud-Sicherheit" genannt, ist aber eine andere zugrunde liegende Maßnahme.

Rechtsgrundlage: Artikel 21 Absatz 2 Buchstabe d, ergänzt durch Anlage A der ISO 27001

Die Verpflichtung, Lieferanten und Dienstleister zu bewerten, steht in Artikel 21 Absatz 2 Buchstabe d der NIS2 und kehrt in das niederländische Cybersecurity Act sobald dieses am 15. August 2026 in Kraft tritt. ISO/IEC 27001 Anlage A arbeitet dies weiter in den Kontrollmaßnahmen für Lieferantenbeziehungen aus (Kategorie A.5.19 bis A.5.23), die sich speziell auf die Bewertung und Überwachung von Cloud- und IT-Dienstleistern beziehen.