klant vraagt naar beveiliging van onze cloudleverancier wat moet ik antwoorden

Cloudleverancier valt onder artikel 21 lid 2 sub d

Antwoord met wat je daadwerkelijk kunt onderbouwen: de contractuele afspraken met je cloudleverancier over beveiliging, en eventueel een certificaat of auditverslag dat de leverancier je heeft gegeven. De vraag naar de beveiliging van je cloudleverancier valt onder de categorie leveranciersbeveiliging: artikel 21 lid 2 sub d NIS2 noemt expliciet de beveiliging van de toeleveringsketen, inclusief de relatie met leveranciers van clouddiensten. Je dossier hoeft dus niet de beveiliging van de cloudleverancier zelf te bewijzen — dat doet die leverancier zelf, via zijn eigen certificaat of transparantierapport. Wat jij moet kunnen laten zien, is dat je die beveiliging bent nagegaan voordat je de dienst afnam en dat je dat periodiek herhaalt.

Heb je dat bewijs niet — geen kopie van een ISO 27001-certificaat van de leverancier, geen SOC 2-rapport, geen clausule in het contract over meldplicht bij incidenten — dan is "nee" of "niet aangetoond" het juiste antwoord, ook als je best vertrouwen hebt in de leverancier. Vertrouwen is geen bewijsstuk. Praktisch: vraag dit bewijs alsnog op bij de leverancier (de grotere cloudpartijen hebben dit meestal standaard beschikbaar in een trust center of vergelijkbaar portaal) en zet het in je ketendossier zodra je het hebt. Dezelfde vraag hangt vaak samen met beveiligingseisen die je zelf aan leveranciers stelt — als je daar al beleid voor hebt vastgelegd, is de cloudleverancier daar een concreet voorbeeld van.

Waar dit in de tien maatregelen staat

Artikel 21 lid 2 NIS2 somt tien maatregelen op die een entiteit moet nemen; sub d gaat specifiek over de beveiliging van de toeleveringsketen, met een uitdrukkelijke verwijzing naar de beveiligingsaspecten van de relaties met leveranciers. ISO/IEC 27001 werkt dit uit in Annex A onder de beheersmaatregelen voor leveranciersrelaties, waar ook eisen aan cloud- en ICT-dienstverleners onder vallen. Is je eigen onderneming zelf een entiteit onder de Cyberbeveiligingswet, dan is dit geen losse vraag maar onderdeel van een verplichting — check dat desnoods bij de vraag of je onderneming onder NIS2 valt.