viņi jautā, kurā valstī mūsu dati atrodas

Mākoņa krātuves atrašanās vieta atrodas piegādes ķēdes drošības, nevis šifrēšanas jomā

Šis jautājums ietilpst piegādes ķēdes drošības pasākumā no NIS2 21. panta 2. punkta d apakšpunkta: prasības, ko uzņēmums izvirza saviem pašu piegādātājiem, tostarp mākoņa piegādātājam. Krātuves vieta tāpēc nav jautājums par tehniku, bet par piegādātāju vadību — kādi nolīgumi ir noslēgti ar šo piegādātāju, un vai tie ir dokumentēti. Ja kāds to uzskata par patstāvīgu faktisko jautājumu un uzreiz aizpilda "jā" bez pamatā esošā līguma, jautājumam atbild tehniski pareizi, bet trūkst pamatojuma, ko klients patiesībā grib.

Dokuments, kas šeit ir piemērots, parasti ir datu apstrādes nolīgums (Data Processing Agreement) vai mākoņa piegādātāja apakšuzņēmēju saraksts, kurā ir norādīta datu centru atrašanās vieta. Ja tā nav pieejama, tad "vēl jānosaka" ir pareizā atbilde — ne tāpēc, ka tas jāpaliek nezināms, bet tāpēc, ka valsts nosaukšana bez šī dokumenta ir pieņēmums, nevis fakts. Tāda pati dokumentācija ir būtiska arī jautājumam vai uzņēmums izvirza drošības prasības saviem piegādātājiem: politiku par kriptogrāfiju un šifrēšanu.

: ieraksts par NIS2 atrašanās vietu: 21. pants 2. punkts d apakšpunkts

21. panta 2. punkta d apakšpunkts NIS2 skaidri nosaka "piegādes ķēdes drošību, ieskaitant drošības aspektus, kas skar attiecības starp katru struktūru un tās tiešajiem piegādātājiem vai pakalpojumu sniedzējiem" kā vienu no desmit obligātajiem pasākumiem. Mākoņa piegādātājs ir tāds tiešais pakalpojumu sniedzējs, un datu krātuves vieta ir drošības aspekts šajās attiecībās. ISO/IEC 27001 A pielikums to tālāk izstrādā piegādātāju attiecību kontroles pasākumos, kas izskaidro, kāpēc klients to bieži apvieno ar sertificēšanas jautājumiem — skat. arī vai uzņēmums ir ISO 27001-sertificēts. Kiberbezdeļības likums šo pienākumu nemainīti pārņem no direktīvas.