az ügyfél tudni szeretné, a felhőszolgáltatás megfelelően biztosított-e, mit válaszoljak

A felhőszolgáltató az ellátási lánc biztonsági politikája alá tartozik, nem külön rubrikához

Ez a kérdés szinte soha nem egy önálló igen/nem. Az ügyfél valójában azt kérdezi, hogy a szállítókezelési politikátok vonatkozik-e a felhőszolgáltatóra is, és ez a következőhöz tartozik: a saját szállítókra vonatkozó biztonsági követelmények — a NIS2-irányelv 21. cikk 2. bekezdésének tíz intézkedésének (d) pontja. A válasz tehát két rétegből áll: van-e a szervezetnek szállítói politikája, és konkrétan megfelelt-e ennek a felhőszolgáltató. Az első rétegre adott "igen" válasz anélkül, hogy a felhőszolgáltatót valaha értékelték volna, egy fél igazság, amely a könyvvizsgálatnál visszatér.

Az, hogy mi számít bizonyítéknak, a dosszie érettségétől függően eltérő. Ha a felhőszolgáltatónak saját ISO 27001-tanúsítványa vagy SOC 2-jelentése van, az a legerősebb dokumentum — helyezd mellé az kérdést, hogy a saját szervezet ISO 27001-tanúsított-e, mivel ezek két külön tanúsítvány, amely nem keverhető össze a válaszban. Ha hiányzik a tanúsítvány, akkor az adatfeldolgozási szerződés biztonsági melléklettel, vagy egy saját szállítóértékelés dátumbélyeggel, a második legerősebb bizonyíték. Ezen egyik nélkül a "nem" vagy az "folyamatban van" a helyes válasz, még akkor is, ha a felhőszolgáltató valószínűleg remekül védett — a valószínűség nem bizonyíték.

Ahol ez következik: a NIS2-irányelv 21. cikk 2. bekezdésének d pontja és az A.15 melléklet

A szállítók és szolgáltatók biztonsági szempontból történő értékelésének feladata név szerint megjelenik a NIS2-irányelv 21. cikk 2. bekezdésének d pontjában, mint az egyik tíz intézkedés közül, amelyet egy entitásnak meg kell tennie. Az ISO/IEC 27001 ezt tovább részletezi a Melléklet A-ban a szállítóviszonyok kezeléséhez szükséges felügyeleti intézkedések között. Hollandiában ez ezután a Cyberbeveiligingswet keretében valósul meg, amely a NIS2 nemzeti átültetése és 2026. augusztus 15-én lép hatályba — addig a direktíva maga marad a szöveg, amelyre hivatkozni lehet. Ha kétségeid vannak azzal kapcsolatban, hogy ez már kötelezettség-e a saját szervezeted számára, és nem csak egy ügyfélkérdés, nézz meg vagy a vállalkozás maga az NIS2-irányelv hatálya alá tartozik-e.