klijent pita o zaštiti našeg oblačnog pružatelja usluge što trebam odgovoriti

Davatelj usluge u oblaku spada pod članak 21 stavak 2 točku d

Odgovorite s onim što možete stvarno dokazati: ugovorne dogovore sa svojim davateljem usluge u oblaku o zaštiti te eventualno certifikat ili izvještaj revizije koji vam je dao davatelj. Pitanje o zaštiti vašeg davatelja usluge u oblaku spada u kategoriju bezvrijednosti dobavljača: članak 21 stavak 2 točka d NIS2 izričito spominje zaštitu opskrbnog lanca, uključujući odnos s dobavljačima usluga u oblaku. Vaš dossier dakle ne mora dokazati zaštitu samog davatelja usluge u oblaku — to čini sam taj davatelj, preko vlastitog certifikata ili izvještaja o transparentnosti. Ono što trebate moći pokazati jest da ste tu zaštitu provjerili prije nego što ste preuzeli uslugu i da to redovito ponavljate.

Ako nemate taj dokaz — bez kopije ISO 27001 certifikata davatelja, bez SOC 2 izvještaja, bez klauzule u ugovoru o dužnosti obavijesti o incidentima — tada je "ne" ili "nije dokazano" ispravan odgovor, čak i ako ste sigurni u davatelja. Povjerenje nije dokument. Praktično: zatražite taj dokaz od davatelja (veći oblačni partneri obično ga imaju standardno dostupan u centru povjerenja ili slično portalu) i stavite ga u svoj dossier lanca čim ga imate. Isto pitanje često je povezano sa sigurnosnim zahtjevima koje postavljate dobavljačima — ako ste već utvrdili politiku za to, davatelj usluge u oblaku je konkretan primjer toga.

Gdje se ovo nalazi u deset mjera

Članak 21 stavak 2 NIS2 navodi deset mjera koje entitet mora poduzeti; točka d se posebno bavi zaštitom opskrbnog lanca, s izričitom referencijom na sigurnosne aspekte odnosa s dobavljačima. ISO/IEC 27001 to razrađuje u Dodatku A pod kontrolama za odnose s dobavljačima, što uključuje i zahtjeve za oblačne i ICT pružatelje usluga. Ako je vaša vlastita tvrtka sama entitet prema Zakonu o kibernetskoj sigurnosti, onda ovo nije odvojeno pitanje već dio obveze — provjerite to po potrebi sa pitanjem je li vaša tvrtka obuhvaćena NIS2.