eles perguntam em qual país nossos dados estão armazenados

Localização do armazenamento em nuvem está sob segurança da cadeia de fornecedores, não sob encriptação

Esta pergunta cai sob a medida de segurança da cadeia de fornecedores do artigo 21.º, n.º 2, alínea d) da NIS2: os requisitos que a empresa estabelece aos seus próprios fornecedores, incluindo o fornecedor de nuvem. O país de armazenamento não é, portanto, uma pergunta sobre técnica, mas sobre gestão de fornecedores — que acordos foram celebrados com esse fornecedor e foram registados. Quem tratar isto como uma pergunta factual isolada e preencher imediatamente "sim" sem contrato subjacente responde à pergunta tecnicamente de forma correcta mas perde o fundamento que o cliente na verdade pretende.

O documento comprovativel que acompanha isto é geralmente o Data Processing Agreement ou a lista de subprocessadores do fornecedor de nuvem, onde consta a localização dos datacenters. Se não o tiveres à mão, então "ainda a determinar" é a resposta correcta aqui — não porque tenha de permanecer desconhecida, mas porque nomear um país sem esse documento é uma presunção, não um facto. A mesma documentação também é relevante para a pergunta se a empresa estabelece requisitos de segurança aos seus próprios fornecedores: um DPA com localização fixa é frequentemente a prova de que esse requisito foi imposto. Alguns clientes, no entanto, não fazem esta pergunta pela própria localização, mas para verificar se a encriptação em repouso foi aplicada — verifica então se a pergunta não se alinha na verdade com a política sobre criptografia e encriptação.

Onde isto consta na directiva: artigo 21.º, n.º 2, alínea d)

O artigo 21.º, n.º 2, alínea d) da NIS2 menciona explicitamente "a segurança da cadeia de fornecedores, incluindo aspectos de segurança relativos às relações entre cada entidade e os seus fornecedores ou prestadores de serviços directos" como uma das dez medidas obrigatórias. Um fornecedor de nuvem é um desses prestadores de serviços directos, e a localização do armazenamento de dados é um aspecto de segurança dessa relação. A norma ISO/IEC 27001 Anexo A desenvolve isto ainda mais sob as medidas de controlo para relações de fornecedores, o que explica por que razão os clientes frequentemente o fazem em conjunto com perguntas de certificação — ver também se a empresa é certificada ISO 27001. A Lei de Cibersegurança retoma este requisito sem alterações a partir da directiva.