ο πελάτης θέλει να γνωρίζει εάν η υπηρεσία cloud μας είναι επαρκώς ασφαλής τι απαντάω

Ο πάροχος cloud services εμπίπτει στην πολιτική ασφάλειας της αλυσίδας παρά όχι σε ξεχωριστό πεδίο

Αυτή η ερώτηση είναι σχεδόν ποτέ μια ανεξάρτητη ερώτηση ναι/όχι. Ο πελάτης στην πραγματικότητα ρωτά εάν η διαχείρισή σας των προμηθευτών ισχύει επίσης για τον πάροχο cloud services σας, και αυτό εμπίπτει στο απαιτήσεις ασφάλειας για δικούς προμηθευτές — σημείο (d) των δέκα μέτρων του άρθρου 21 παράγραφος 2 της Οδηγίας NIS2. Η απάντηση αποτελείται λοιπόν από δύο επίπεδα: διαθέτει ο οργανισμός πολιτική προμηθευτών, και έχει ο πάροχος cloud services αξιολογηθεί συγκεκριμένα σε αυτήν. Ένα «ναι» μόνο στο πρώτο επίπεδο χωρίς να έχει ποτέ αξιολογηθεί ο πάροχος cloud services, είναι μια μερική αλήθεια που θα επανεμφανιστεί σε έναν έλεγχο.

Το τι λογίζεται ως απόδειξη διαφέρει ανάλογα με την ωριμότητα του φακέλου. Εάν ο πάροχος cloud services έχει δικό του πιστοποιητικό ISO 27001 ή έκθεση SOC 2, τότε αυτό είναι το ισχυρότερο στοιχείο — τοποθετήστε το δίπλα στην ερώτηση εάν ο δικός σας οργανισμός έχει πιστοποίηση ISO 27001, γιατί αυτά είναι δύο ξεχωριστά πιστοποιητικά που δεν πρέπει να συγχέονται στην απάντηση. Εάν λείπει ένα πιστοποιητικό, τότε μια συμφωνία επεξεργασίας με παράρτημα ασφάλειας, ή μια δική μας αξιολόγηση προμηθευτή με χρονολογία, είναι η δεύτερη καλύτερη απόδειξη. Χωρίς κάποιο από τα δύο, το «όχι» ή «υπό επεξεργασία» είναι η σωστή απάντηση, ακόμη και αν ο πάροχος cloud services είναι ενδεχομένως πολύ καλά προστατευμένος — η πιθανότητα δεν είναι στοιχείο απόδειξης.

Όπου αυτό προκύπτει: άρθρο 21 παράγραφος 2 υποπεριόδου d και Παράρτημα A.15

Η υποχρέωση αξιολόγησης προμηθευτών και παρόχων υπηρεσιών για ασφάλεια αναφέρεται ονοματιστί στο άρθρο 21 παράγραφος 2 υποπεριόδου d της Οδηγίας NIS2, ως ένα από τα δέκα μέτρα που πρέπει να λάβει ένας φορέας. Το ISO/IEC 27001 το αναπτύσσει περαιτέρω στο Παράρτημα A στις μεθόδους ελέγχου για τις σχέσεις προμηθευτών. Στην Ολλανδία, αυτό περνάει μέσα από το Νόμο περί Κυβερνοασφάλειας, την εθνική εναρμόνιση της NIS2 που τίθεται σε ισχύ στις 15 Αυγούστου 2026 — έως τότε η ίδια η Οδηγία παραμένει το κείμενο προς το οποίο πρέπει να αναφερθείτε. Εάν αμφιβάλλετε για το εάν αυτό είναι ήδη υποχρέωση για τον δικό σας οργανισμό και όχι μόνο ερώτηση ενός πελάτη, δείτε το μέρος εάν ο οργανισμός εμπίπτει αυτοτελώς στην Οδηγία NIS2.