client întreabă despre protecția furnizorului nostru de servicii cloud ce trebuie să răspund

Furnizorul de cloud se încadrează sub articolul 21 alineatul 2 litera d

Răspunde cu ceea ce poți dovedi efectiv: acordurile contractuale cu furnizorul tău de cloud privind securitatea și eventual un certificat sau un raport de audit pe care ți l-a furnizat. Întrebarea privind securitatea furnizorului tău de cloud se încadrează în categoria securității furnizorilor: articolul 21 alineatul 2 litera d NIS2 menționează în mod explicit securitatea lanțului de aprovizionare, inclusiv relația cu furnizorii de servicii cloud. Dossierul tău nu trebuie deci să dovedească securitatea furnizorului de cloud însuși — aceasta o face furnizorul însuși, prin propriul certificat sau raport de transparență. Ceea ce trebuie să poți demonstra este că ai examinat acea securitate înainte de a adopta serviciul și că o repeti periodic.

Dacă nu ai acel dovezi — nicio copie a unui certificat ISO 27001 al furnizorului, niciun raport SOC 2, nicio clauză în contract privind notificarea incidentelor — atunci "nu" sau "nedemonstrat" este răspunsul corect, chiar dacă ai destulă încredere în furnizor. Încrederea nu este un document justificativ. Practic: solicită totuși acest dovezi furnizorului (marile companii de cloud au de obicei aceasta disponibilă în mod standard într-un trust center sau portal similar) și introduc-o în dossierul tău lanț de aprovizionare îndată ce o ai. Aceeași întrebare este adesea legată de cerințe de securitate pe care le stabilești singur față de furnizori — dacă ai deja o politică stabilită în acest sens, furnizorul de cloud este un exemplu concret pentru aceasta.

Unde se află aceasta în cele zece măsuri

Articolul 21 alineatul 2 NIS2 enumeră zece măsuri pe care trebuie să le ia o entitate; litera d se referă în mod specific la securitatea lanțului de aprovizionare, cu o referință explicită la aspectele de securitate ale relațiilor cu furnizorii. ISO/IEC 27001 detaliază acest lucru în Anexa A sub măsurile de control pentru relații cu furnizorii, unde intră și cerințele pentru furnizori de servicii cloud și ICT. Dacă propria ta întreprindere este ea însăși o entitate în cadrul Legii privind securitatea cibernetică, atunci aceasta nu este o întrebare separată, ci parte a unei obligații — verifică acest lucru dacă este necesar la întrebarea dacă întreprinderea ta cade sub incidența NIS2.