el cuestionario quiere saber qué servicios en la nube utilizamos para nuestros datos

Los proveedores de nube son parte de la pregunta de la cadena

La pregunta sobre los servicios en la nube utilizados se incluye en la mayoría de los cuestionarios bajo el tema más amplio de la gestión de proveedores, no bajo una sección separada de "nube". El cliente quiere saber si tu empresa tiene visibilidad sobre dónde se almacenan los datos empresariales y quién puede acceder a ellos. Respuesta concreta: menciona los proveedores que procesan datos personales o datos críticos para el negocio (piensa en los grandes hiperscalers, pero también un paquete de contabilidad o CRM en la nube cuentan), e indica si hay acuerdos contractuales sobre seguridad asociados.

Una respuesta completa consta de dos partes: el nombre del proveedor y la prueba de que controlas esa relación. La segunda parte es donde la mayoría de los empresarios se atascan — no porque no utilicen servicios en la nube, sino porque no tienen un panorama de qué acuerdos se han documentado al respecto. Si falta ese panorama, "por determinar" es una respuesta más honesta que enumerar una lista sin fundamentación. Este tema toca directamente la cuestión de la empresa establece requisitos de seguridad con sus propios proveedores: un proveedor de nube es en ese sentido simplemente un proveedor, y los requisitos que se aplican — contratos, acuerdos de nivel de servicio, acuerdos sobre incidentes — son exactamente lo que aquí se solicita.

Dónde aparece en la directiva: artículo 21, apartado 2

El artículo 21, apartado 2 de la Directiva NIS2 menciona la seguridad de la cadena de suministro, incluyendo la relación entre cada entidad y sus proveedores directos, como una de las diez medidas obligatorias. Los proveedores de nube forman parte de esa cadena. ISO/IEC 27001 desarrolla esto más en el Anexo A, donde las relaciones con proveedores y la gestión de activos — incluyendo datos en terceros — se mencionan explícitamente; quien ya tiene un proceso para la política de acceso y la gestión de activos, generalmente también ha documentado ya qué servicios en la nube se incluyen dentro de esto. La Ley de Ciberseguridad asume esta obligación una vez que la ley entre en vigor.