az ügyfél a felhőszolgáltatónk biztonságáról kérdez, mit válaszoljak

A felhőszolgáltató a 21. cikk (2) bekezdés d) pontja alá tartozik

Azzal válaszolj, amit ténylegesen alá tudsz támasztani: a felhőszolgáltatóddal kötött szerződéses megállapodások a biztonsággal kapcsolatban, és esetleg egy tanúsítvány vagy auditjelentés, amelyet a szolgáltató adott neked. A felhőszolgáltató biztonságára irányuló kérdés a szállítói biztonság kategóriájába tartozik: az NIS2 21. cikk (2) bekezdés d) pontja kifejezetten megemlíti az ellátási lánc biztonságát, beleértve a felhőszolgáltatások szállítóival való kapcsolatot. Az értékindexednek tehát nem kell bizonyítania a felhőszolgáltató biztonsági intézkedéseit — ezt a szolgáltató maga teszi meg, saját tanúsítványával vagy transzparenciavizsgálatával. Amit te be kell, hogy tudj mutatni, az az, hogy a szolgáltatás igénybevétele előtt megvizsgáltad ezt a biztonságot, és azt időszakosan megismételed.

Ha nincs meg ez a bizonyíték — nincs másolata a szállító ISO 27001-tanúsítványáról, nincs SOC 2-jelentése, nincs szerződési kitétele az incidensmeldésre vonatkozó kötelezettségről — akkor az "nem" vagy "nem igazolt" a helyes válasz, még akkor is, ha jól megbízol a szállítóban. A bizalom nem bizonyíték. Gyakorlatban: kérj meg ezt a bizonyítékot még a szállítótól (a nagyobb felhőszolgáltatók ezt általában szabványosan elérhetővé teszik egy trust centerben vagy hasonló portálon) és helyezd be az értékindexedbe, amint megkapod. Ugyanez a kérdés gyakran összefügg a biztonsági követelményekkel, amelyeket szállítóidnak támasztasz — ha már van erre irányuló szakmádat, a felhőszolgáltató egy konkrét példája lehet.

Ahol ez a tíz intézkedés között szerepel

Az NIS2 21. cikk (2) bekezdése tíz intézkedést sorol fel, amelyeket egy entitásnak meg kell tennie; a d) pont kifejezetten az ellátási lánc biztonságára vonatkozik, és kifejezetten utal a szállítóval való kapcsolatok biztonsági aspektusaira. Az ISO/IEC 27001 ezt az A mellékletben fejti ki a szállítói kapcsolatokra vonatkozó kontrollintézkedések között, amely magában foglalja a felhő- és IKT-szolgáltatást nyújtóra vonatkozó követelményeket is. Ha az ön vállalkozása maga is az entitás a Cyberbeveiligési törvény szerinti értelemben, akkor ez nem egy önálló kérdés, hanem egy kötelezettség része — szükség esetén ellenőrizze ezt a tekintetben, vajon a vállalkozásod az NIS2 hatálya alá tartozik-e.