il questionario chiede informazioni sulla sicurezza del nostro provider cloud

Il provider cloud rientra nella sicurezza della catena di fornitura, non nelle tue stesse misure

Questa domanda non riguarda i tuoi sistemi, ma un fornitore nella tua catena. L'articolo 21 paragrafo 2 della NIS2 menziona esplicitamente al punto (d) "la sicurezza della catena di fornitura, compresi gli aspetti legati alla sicurezza delle relazioni tra ciascuna entità e i suoi fornitori diretti o fornitori di servizi." Il tuo provider cloud è uno di questi fornitori di servizi diretti. Il cliente quindi non vuole sapere se il cloud in sé è sicuro — nessuno può garantirlo — ma se tu come cliente hai valutato se quel fornitore ha un livello di sicurezza sufficiente e se questo è stato documentato da qualche parte.

La prova che qui solitamente viene richiesta non è il tuo certificato ISO, ma quello dello stesso provider cloud: una dichiarazione ISO/IEC 27001, un rapporto SOC 2, o un riferimento agli accordi contrattuali sulla protezione dei dati. Se non ce l'hai a portata di mano, allora "no, non ancora documentato" è una risposta più onesta di una promessa approssimativa — soprattutto perché requisiti di sicurezza per i fornitori propri spesso ritorna ancora una volta più in generale nello stesso questionario, e l'incoerenza tra due risposte viene notata. Verifica anche se la domanda riguarda effettivamente la crittografia dei dati nel cloud — questo viene piuttosto spesso associato alla "sicurezza del cloud", ma è una misura sottostante diversa.

Fondamento: articolo 21 paragrafo 2 lettera d, integrato dall'Allegato A della ISO 27001

L'obbligo di valutare fornitori e fornitori di servizi si trova nell'articolo 21 paragrafo 2 lettera d della NIS2 e ritorna nella Legge olandese sulla cibersicurezza non appena entrerà in vigore il 15 agosto 2026. L'Allegato A della ISO/IEC 27001 sviluppa ulteriormente questo nelle misure di controllo per le relazioni con i fornitori (categorie A.5.19 fino a A.5.23), che trattano specificamente della valutazione e del monitoraggio dei fornitori di cloud e servizi IT.