kyselylomake kysyy pilvipalveluntarjoajamme turvallisuudesta

Pilvipalvelun tarjoaja kuuluu toimitusketjun turvaamiseen, ei omiin toimenpiteihin

Tämä kysymys ei koske omia järjestelmiäsi, vaan toimitusketjussa olevan toimittajan osalta käyttämääsi palvelua. NIS2-direktiivin 21 artiklan 2 kappaleen d kohta mainitsee nimenomaisesti "toimitusketjun turvaamisesta, mukaan lukien turvallisuuteen liittyvät näkökohtaisuudet kunkin yksikön ja sen välittömien toimittajien tai palveluntarjoajien välisissä suhteissa". Pilvipalveluntarjoajasi on sellainen välitön palveluntarjoaja. Asiakas haluaa siis tietää, onko pilvi sinänsä turvallinen — sitä kukaan ei voi taata — vaan oletko arvioineet toimittajana, että kyseisellä toimittajalla on riittävä turvallisuustaso, ja onko se dokumentoitu.

Todiste, jota tässä yleensä pyydetään, ei ole sinun oma ISO-todistus, vaan pilvipalveluntarjoajan itsensä todistus: ISO/IEC 27001 -ilmoitus, SOC 2 -raportti tai viittaus tietojen turvaukseen liittyvistä sopimusehtoista. Jos et ole sitä käytettävissä, "ei, ei vielä dokumentoitu" on rehellisempi vastaus kuin huolimaton lupaus — erityisesti koska turvallisuusvaatimukset omille toimittajille tulevat usein samassa kyselykaavakkeessa uudelleen laajemmin esille, ja ristiriitaisuus kahden vastauksen välillä huomataan. Tarkista myös, koskeeko kysymys itse asiassa datan salausta pilvipalvelussa — sitä kuuluu melko usein yhdessä "pilviturvallisuuden" kanssa mainituksi, mutta se on toinen taustalla oleva toimenpide.

Oikeusperusta: NIS2-direktiivin 21 artiklan 2 kappale d, täydennettynä ISO 27001:n liitteellä A

Toimittajien ja palveluntarjoajien arviointivelvollisuus on asetettu NIS2-direktiivin 21 artiklan 2 kappaleen d kohdassa ja se tulee uudelleen esille Alankomaiden kybertietoturvallisuuslaissa, kun se tulee voimaan 15. elokuuta 2026. ISO/IEC 27001:n liite A täsmentää tätä edelleen toimittajasuhteita koskevissa hallinnointitoimenpiteissä (kategoria A.5.19 – A.5.23), jotka koskevat erityisesti pilvi- ja IT-palveluntarjoajien arviointia ja valvontaa.