pýtajú sa, v ktorej krajine sú naše údaje uložené

Umiestnenie cloudového úložiska spadá pod bezpečnosť dodávateľského reťazca, nie pod šifrovanie

Táto otázka spadá pod opatrenie bezpečnosti dodávateľského reťazca z článku 21 ods. 2 písm. d NIS2: požiadavky, ktoré podnik kladie na svojich vlastných dodávateľov vrátane poskytovatele cloudu. Krajina uloženia údajov teda nie je otázka o technike, ale o správe dodávateľov — aké dohody boli s týmto dodávateľom uzavreté a sú zdokumentované. Kto to považuje za samostatnú faktickú otázku a hneď vyplní „áno

bez podkladovej zmluvy, odpovedá technicky správne, ale chýba mu zdôvodnenie, ktoré chce zákazník. či podnik stanovuje požiadavky bezpečnosti svojim vlastným dodávateľomDôkazný dokument, ktorý k tomu patrí, je zvyčajne Dohoda o spracovaní údajov alebo prehľad subdodávateľov poskytovatela cloudu, v ktorom sa nachádza umiestnenie datacentier. Ak ho nemáš k dispozícii, potom je „zatiaľ určené politiku o kryptografii a šifrovaní.

tu správna odpoveď — nie preto, že by to bolo nutne neznáme, ale pretože pomenovať krajinu bez tohto dokumentu je predpoklad, nie fakt. Rovnaká dokumentácia je relevantná aj pre otázku

Kde sa to v smernici nachádza: články 21 ods. 2 písm. d Články 21 ods. 2 písm. d NIS2 výslovne uvádza "bezpečnosť dodávateľského reťazca vrátane bezpečnostných aspektov týkajúcich sa vzťahov medzi každou entitou a jej priamymi dodávateľmi alebo poskytovateľmi služieb" ako jedno z desiatich povinných opatrení. Poskytovateľ cloudu je takým priamym poskytovateľom služieb a umiestnenie údajov je bezpečnostným aspektom tohto vzťahu. ISO/IEC 27001 Príloha A to ďalej rozpracúva v rámci kontrolných opatrení pre vzťahy s dodávateľmi, čo vysvetľuje, prečo zákazníci to často spájajú s otázkami certifikácie — pozri tiežalebo či je podnik certifikovaný podľa ISO 27001