popis pitanja traži podatke o zaštiti naše pružatelja usluga u oblaku

Davatelj usluge u oblaku spada pod sigurnost opskrbnog lanca, a ne pod vaše vlastite mjere

Ovo pitanje se ne tiče vaših vlastitih sustava, već o dobavljaču u vašem lancu opskrbe. Članak 21. stavak 2. NIS2 direktive izričito nabraja pod točkom (d) "sigurnost opskrbnog lanca, uključujući sigurnosti vezane aspekte odnosa između svake entitete i njezinih izravnih dobavljača ili pružatelja usluga." Vaš davatelj usluge u oblaku je takav izravni pružatelj usluga. Klijen dakle ne želi znati je li oblak kao takav siguran — to nitko ne može jamčiti — već je li vama kao kupcu poznat status procjene je li taj dobavljač dostigao dovoljan nivo sigurnosti, i je li to negdje dokumentirano.

Dokaz koji se obično traži ovdje nije vaš vlastiti ISO certifikat, već certifikat samog davatlja usluge u oblaku: izjava ISO/IEC 27001, izvještaj SOC 2, ili pozivanje na ugovorne sporazume o zaštiti podataka. Ako to nemate pri ruci, onda je "ne, još nije dokumentirano" iskrenitiji odgovor od neurednog obećanja — osobito jer sigurnosni zahtjevi za vlastite dobavljače često se ponovno pojavljuju malo dalje u istoj anketnoj listi, a neusklađenost između dva odgovora je lako vidljiva. Provjerite je li pitanje zapravo o šifriranju podataka u oblaku — to se često spominje u istoj retorika kao "sigurnost oblaka", ali je drugačija temeljna mjera.

Pravna osnova: članak 21. stavak 2. pod d, dopunjen Prilogom A ISO 27001

Obveza procjene dobavljača i pružatelja usluga navedena je u članku 21. stavak 2. pod d NIS2 direktive i ponovno se pojavljuje u nizozemskom Zakonu o kibernetskoj sigurnosti čim taj zakon stupa na snagu 15. kolovoza 2026. ISO/IEC 27001 Prilog A dalje je razrađuje u mjerama upravljanja za odnose s dobavljačima (kategorije A.5.19 do A.5.23), koje se posebno odnose na procjenu i praćenje dobavljača oblaka i IT usluga.