azt kérdezik, mely országban tárolódnak az adataink

A felhőtárolás helye a ketenbiztonsági intézkedésekbe tartozik, nem a titkosításba

Ez a kérdés a NIS2 21. cikk 2. bekezdés d) pontjában szereplő ketenbiztonsági intézkedés alá esik: azok a követelmények, amelyeket a vállalkozás saját szállítóira, köztük a felhőszolgáltatóra támaszt. A tárolás helye tehát nem technikai kérdés, hanem szállítókezelési kérdés — milyen megállapodások jöttek létre az adott szállítóval, és ezek rögzítésre kerültek-e. Aki ezt önálló tényszerű kérdésként kezeli és azonnal „igen

Az ehhez tartozó bizonyíték általában az adatfeldolgozási megállapodás vagy a felhőszolgáltató alvállalkozottainak áttekintése, amely tartalmazza az adatközpontok helyét. Ha nem áll rendelkezésedre, akkor az "még meghatározandó" itt a helyes válasz — nem azért, mert ismeretlennek kell maradnia, hanem mert egy ország megnevezése e dokumentum nélkül feltételezés, nem tény. Ugyanez a dokumentáció releváns a kérdéshez is vagy a vállalkozás biztonsági követelményeket írja elő saját beszállítóinak: egy rögzített hellyel rendelkező adatfeldolgozási megállapodás gyakran bizonyítja ennek a követelménynek a betartatását. Egyes ügyfelek ezt azonban nem a hely miatt kérdezik, hanem annak tesztelésére, hogy titkosítást alkalmaztak-e — ellenőrizze akkor, hogy a kérdés valóban nem kapcsolódik-e a titkosítás és enciphering szabályzatát.

Ahol ez az irányelvben megtalálható: a 21. cikk (2) bekezdés d) pontja

Az NIS2 21. cikk 2. bekezdésének d) pontja kifejezetten nevesíti "az ellátási lánc biztonsága, beleértve az ellátási lánc biztonsági aspektusait az egyes szervezetek és közvetlen beszállítóik vagy szolgáltatóik közötti kapcsolatok tekintetében" mint az egyik tíz kötelező intézkedés. A felhőszolgáltató olyan közvetlen szolgáltató, és az adattárolás helye az adott kapcsolat biztonsági aspektusa. Az ISO/IEC 27001 A. függelékének szállítói kapcsolatok kezelésére vonatkozó biztonsági intézkedésein keresztül ezt tovább kifejti, ami magyarázza, hogy az ügyfelek ezt gyakran a tanúsítási kérdésekkel együtt teszik fel — lásd még hogy a szervezet ISO 27001-es tanúsítvánnyal rendelkezik-e. A Kiberbiztonsági törvény ezt a kötelezettséget az irányelvből változatlanul átveszi.