klient tahab teada, kas meie pilveteen on piisavalt turvaline, mida ma vastaksin

Pilvelahenduse pakkuja kuulub tarneahelate turvapoliitika alla, mitte eraldiseisva kasti alla

See küsimus pole peaaegu kunagi eraldiseisev jah/ei. Klient küsib tegelikult, kas teie tarneahela haldamine kehtib ka teie pilvelahenduse pakkujale, ja see kuulub alla turvalisuse nõudeid enda tarnijatele — punkt (d) kümme meetmest artiklis 21 lõikes 2 NIS2-direktiivist. Vastus koosneb seega kahest tasandist: kas ettevõttel on tarnejuhendaja poliitika, ja kas pilvelahenduse pakkuja on konkreetselt selle alusel hinnatud. "Jah" ainult esimesele tasandile ilma selleta, et pilvelahenduse pakkujat oleks kunagi hinnatud, on pooletõde, mis auditi ajal välja tuleb.

Millest loetakse tõendiks, varieerub dokumendi küpsuse järgi. Kui pilvelahenduse pakkujal endal on ISO 27001-sertifikaat või SOC 2-aruanne, siis see on kõige tugevam dokument — aseta see kõrvale küsimusega, kas oma ettevõte on ISO 27001-sertifitseeritudsest need on kaks eraldi sertifikaati, mida ei tohi vastuses segamini ajada. Kui sertifikaat puudub, siis andmetöötlemise leping turvalisuse lisaga või oma kuupäeva näidikuga tarnejuhendaja hindamine on järgmine parim tõend. Ilma ühe neist "ei" või "käimasolev" on õige vastus, isegi kui pilvelahenduse pakkuja on tõenäoliselt hästi kaitstud — tõenäolisus ei ole tõendusmaterjalideks.

Alates sellest, mis tuleb välja: artikkel 21 lõige 2 punkt d ja Lisa A.15

Kohustus tarnejuhendajaid ja teenusepakkujaid turvalisuses hinnata on nimetatud artiklis 21 lõikes 2 punktis d NIS2-direktiivist ühe kümne meetmena, mida üksus peab võtma. ISO/IEC 27001 arendab seda edasi Lisas A tarneahela suhete kontrolli meetmete all. Hollandis käib see edaspidi Küberneetilise turvalisuse seaduse kaudu, NIS2 rahvuslik rakendamine, mis jõustub 15. augustil 2026 — kuni selleni jääb direktiiv ise tekstiks, millele viitata. Kui kahtled, kas see on juba sinu ettevõtte jaoks kohustus ja mitte ainult kliendi küsimus, vaata siis või ettevõte ise ei kuulu NIS2-direktiivi alla.