ze vragen in welk land onze data staat opgeslagen

Locatie van cloudopslag zit onder ketenbeveiliging, niet onder encryptie

Deze vraag valt onder de maatregel ketenveiligheid uit artikel 21 lid 2 sub d NIS2: de eisen die de onderneming aan haar eigen leveranciers stelt, waaronder de cloudleverancier. Het land van opslag is dus geen vraag over techniek, maar over leveranciersbeheer — welke afspraken zijn er met die leverancier gemaakt, en zijn die vastgelegd. Wie dit als losse feitelijke vraag behandelt en meteen "ja" invult zonder onderliggend contract, beantwoordt de vraag technisch juist maar mist de onderbouwing die de klant er eigenlijk bij wil.

Het bewijsstuk dat hierbij hoort is meestal de Data Processing Agreement of het subprocessorenoverzicht van de cloudleverancier, waarin de locatie van de datacenters staat. Heb je dat niet paraat, dan is "nog te bepalen" hier het juiste antwoord — niet omdat het onbekend hoeft te blijven, maar omdat een land noemen zonder dat document een aanname is, geen feit. Dezelfde documentatie is ook relevant voor de vraag of de onderneming beveiligingseisen stelt aan haar eigen leveranciers: een DPA met een vaste locatie is vaak het bewijs dat die eis is afgedwongen. Sommige klanten vragen dit overigens niet om de locatie zelf, maar om te toetsen of er versleuteling in rust is toegepast — check dan of de vraag niet eigenlijk aansluit bij het beleid over cryptografie en versleuteling.

Waar dat in de richtlijn staat: artikel 21 lid 2 sub d

Artikel 21 lid 2 sub d NIS2 noemt expliciet "de beveiliging van de toeleveringsketen, met inbegrip van beveiligingsaspecten betreffende de relaties tussen elke entiteit en haar directe leveranciers of dienstverleners" als een van de tien verplichte maatregelen. Een cloudleverancier is zo'n directe dienstverlener, en de locatie van dataopslag is een beveiligingsaspect van die relatie. ISO/IEC 27001 Annex A werkt dit verder uit onder de beheersmaatregelen voor leveranciersrelaties, wat verklaart waarom klanten dit vaak samen met certificeringsvragen stellen — zie ook of de onderneming ISO 27001-gecertificeerd is. De Cyberbeveiligingswet neemt deze verplichting ongewijzigd over uit de richtlijn.