cliente pergunta sobre a proteção do nosso fornecedor de cloud o que devo responder

O fornecedor de nuvem está abrangido pelo artigo 21.º, n.º 2, alínea d)

Responda com o que pode realmente fundamentar: os acordos contratuais com seu fornecedor de nuvem sobre segurança e, eventualmente, um certificado ou relatório de auditoria que o fornecedor lhe forneceu. A pergunta sobre a segurança de seu fornecedor de nuvem enquadra-se na categoria de segurança do fornecedor: o artigo 21.º, n.º 2, alínea d) da NIS2 menciona explicitamente a segurança da cadeia de abastecimento, incluindo a relação com fornecedores de serviços em nuvem. Seu dossiê não precisa, portanto, provar a segurança do próprio fornecedor de nuvem — isso é feito pelo próprio fornecedor, através de seu próprio certificado ou relatório de transparência. O que você deve ser capaz de demonstrar é que investigou essa segurança antes de contratar o serviço e que o faz periodicamente.

Se não tem essa comprovação — nenhuma cópia de certificado ISO 27001 do fornecedor, nenhum relatório SOC 2, nenhuma cláusula no contrato sobre obrigação de notificação de incidentes — então "não" ou "não demonstrado" é a resposta correta, mesmo que tenha confiança no fornecedor. Confiança não é comprovação. Na prática: solicite essa comprovação ao fornecedor (os maiores parceiros de nuvem geralmente têm isso disponível como padrão num centro de confiança ou portal semelhante) e coloque-a em seu dossiê assim que a tiver. A mesma pergunta está frequentemente ligada a requisitos de segurança que estabelece para fornecedores — se já tiver definido uma política para isso, o fornecedor de nuvem é um exemplo concreto dela.

Onde isto se encontra nas dez medidas

O artigo 21.º, n.º 2 da NIS2 enumera dez medidas que uma entidade deve tomar; a alínea d) refere-se especificamente à segurança da cadeia de abastecimento, com uma referência explícita aos aspetos de segurança das relações com fornecedores. A ISO/IEC 27001 desenvolve isto no Anexo A sob as medidas de controlo para relações com fornecedores, que também incluem requisitos para fornecedores de serviços em nuvem e TIC. Se sua própria empresa é herself uma entidade sob a Lei de Cibersegurança, então esta não é uma pergunta isolada mas parte de uma obrigação — verifique isso conforme necessário em a questão de se sua empresa está abrangida pela NIS2.