küsimustik küsib meie pilveteenuse pakkuja turvalisuse kohta

Pilvehaldusteenuse pakkuja kuulub tarneahela turvalisuse alla, mitte sinu enda meetmete alla

See küsimus ei käsitle sinu enda süsteeme, vaid tarneahelas olevat hankijat. NIS2 artikli 21 lõige 2 punkt (d) nimetab selgesõnaliselt "tarneahela turvalisust, sealhulgas turvalisusega seotud aspekte, mis puudutavad seoseid iga üksuse ja tema otseste hankijate või teenusepakkujate vahel". Sinu pilvehaldusteenuse pakkuja on selline otsene teenusepakkuja. Klient ei taha seega teada, kas pilveteenus otseselt turvaline on — seda keegi garanteerida ei saa — vaid kas sina kui ostja oled hinnanud, kas sellel hankijal on piisav turbealase nõustamise tase, ja kas see on kusagil dokumenteeritud.

Tõend, mida siin tavaliselt küsitakse, ei ole sinu enda ISO-sertifikaadi, vaid pilvehaldusteenuse pakkuja enda oma: ISO/IEC 27001 kinnitus, SOC 2 aruanne või viide andmekaitse kohta käivatele lepingu tingimustele. Kui sul seda käepärast pole, siis "ei, veel dokumenteerimata" on aus vastus kui segane lubadus — eriti seetõttu, et turvalisuse nõudeid enda tarnijatele sageli ilmub sama küsimustik hiljem laiemalt uuesti, ja vastuolude märkamine kahe vastuse vahel on märgatav. Kontrolli ka, kas küsimus tegelikult käib andmete krüpteerimisest pilves — seda väidetakse üsna sageli "pilveturvalisusega" ühe ja sama asjana, kuid tegemist on teistsuguse aluseks oleva meetmega.

Alus: NIS2 artikli 21 lõige 2 punkt d, täiendatud ISO 27001 lisa A-ga

Kohustus hankijaid ja teenusepakkujaid hinnata on sätestatud NIS2 artikli 21 lõike 2 punktis d ja esineb Hollandi küberneetilise turvalisuse seaduses niipea, kui see jõustub 15. augustil 2026. ISO/IEC 27001 lisa A detailiseerib seda edasi juhtimismeetmetes hankijasuhteid käsitlevate valdkondade kohta (kategooriad A.5.19 kuni A.5.23), mis käsitlevad erijuhtumina pilveteenuste ja IT-teenuste pakkujate hindamist ja jälgimist.