a kérdőív az felhőszolgáltatónk biztonságára kérdez rá

A felhőszolgáltató az ellátási lánc biztonsága alá tartozik, nem a saját intézkedéseid alá

Ez a kérdés nem a saját rendszereidről szól, hanem az ellátási láncod egy szállítójáról. A NIS2 21. cikk 2. bekezdésének (d) pontja kifejezetten említi az "ellátási lánc biztonsága, ideértve a biztonsággal kapcsolatos aspektusokat az egyes szervezetek és közvetlenül szállítóik vagy szolgáltatóik közötti kapcsolatok tekintetében." A felhőszolgáltatód egy ilyen közvetlen szolgáltató. Az ügyfél tehát nem azt akarja tudni, hogy maga a felhő biztonságos-e — ezt senki sem garantálhatja — hanem azt, hogy te mint megrendelő értékeltél-e, hogy ez a szállító megfelelő biztonsági szintet nyújt-e, és hogy ezt valahol rögzítette-e.

Az itt általában kért bizonyíték nem a saját ISO-tanúsítványod, hanem magának a felhőszolgáltatónak az ISO/IEC 27001-nyilatkozata, egy SOC 2-jelentés, vagy a biztonsági szerződéses megállapodásokra való hivatkozás. Ha ezek nincsenek kéznél, akkor az "igen, még nem rögzítve" őszintebb válasz, mint egy gondatlan ígéret — különösen mivel a saját szállítókra vonatkozó biztonsági követelmények gyakran ugyanabban a kérdőívben még egyszer, szélesebb körben visszakerül, és a két válasz közötti következetlenség feltűnik. Ellenőrizd azt is, hogy a kérdés valójában az adat-titkosításról a felhőben szól-e — ezt gyakran "felhőbiztonsággal" azonos lélekzetben állítják elő, de ez egy másik alapvető intézkedés.

Alap: az NIS2 21. cikk 2. bekezdése (d) pontja, kiegészítve az ISO 27001 Annex A-val

A szállítók és szolgáltatók értékelésének kötelezettségét a NIS2 21. cikk 2. bekezdésének (d) pontja rögzíti, és az 2026. augusztus 15-én hatályba lépő holland Cyberbeveiligingswetben ismét megjelenik. Az ISO/IEC 27001 Annex A ezt a felhő- és IT-szolgáltatók szállítói kapcsolatainak felügyeletét szabályozó intézkedésekben (A.5.19–A.5.23. kategória) dolgozza ki, amelyek kifejezetten a szállítók és felhőszolgáltatók értékelésére és monitorozására vonatkoznak.