klient chce wiedzieć, czy nasza usługa w chmurze jest wystarczająco zabezpieczona, co powinienem odpowiedzieć

Dostawca usług w chmurze podlega polityce bezpieczeństwa łańcucha dostaw, a nie oddzielnej rubryce

To pytanie prawie nigdy nie jest prostym tak/nie. Klient właściwie pyta, czy Wasze zarządzanie dostawcami obejmuje również dostawcę usług w chmurze, a to podlega wymagania dotyczące bezpieczeństwa własnych dostawców — punkt (d) dziesięciu środków zawartych w artykule 21 ust. 2 dyrektywy NIS2. Odpowiedź składa się zatem z dwóch warstw: czy jednostka posiada politykę wobec dostawców, oraz czy dostawca usług w chmurze został w stosunku do niej konkretnie oceniony. "Tak" wyłącznie na pierwszą warstwę bez faktycznej oceny dostawcy usług w chmurze stanowi połowę prawdy, która powróci podczas audytu.

Rodzaj dowodu zależy od dojrzałości pliku. Jeśli dostawca usług w chmurze posiada własny certyfikat ISO 27001 lub raport SOC 2, to jest to najmocniejszy dokument — porównaj go z pytaniem, czy sama jednostka jest certyfikowana ISO 27001, bowiem to dwa oddzielne certyfikaty, które nie mogą być mylone w odpowiedzi. Jeśli brakuje certyfikatu, umowa przetwarzania z załącznikiem bezpieczeństwa lub własna ocena dostawcy z datą są dowodem drugorzędnym. Bez jednego z nich "nie" lub "w trakcie" to prawidłowa odpowiedź, nawet jeśli dostawca usług w chmurze jest prawdopodobnie dobrze zabezpieczony — prawdopodobieństwo nie jest dowodem.

W zależności od tego: artykuł 21 ust. 2 lit. d i Załącznik A.15

Obowiązek oceny dostawców i usługodawców pod względem bezpieczeństwa wymieniono z nazwy w artykule 21 ust. 2 lit. d dyrektywy NIS2, jako jeden z dziesięciu środków, które jednostka musi wdrożyć. ISO/IEC 27001 rozwija to dalej w Załączniku A w ramach środków kontroli dotyczących relacji z dostawcami. W Holandii będzie to przebiegać za pośrednictwem Ustawy o cyberbezpieczeństwie, krajowego wdrożenia NIS2, która wejdzie w życie 15 sierpnia 2026 r. — do tego czasu sama dyrektywa pozostaje tekst do cytowania. Jeśli wątpisz, czy to już obowiązek dla Twojej własnej jednostki, a nie tylko pytanie od klienta, sprawdź u czy przedsiębiorstwo samo podlega dyrektywie NIS2.