Stranka želi vedeti, ali je naša oblačna storitev dovolj varna, kaj odgovorim

Ponudnik oblačnih storitev spada pod politiko varnosti verige dobave, ne pod ločeno polje

To vprašanje je skoraj nikoli samostojni da/ne. Stranka se pravzaprav sprašuje, ali se vaše upravljanje dobaviteljev uporablja tudi za vašega ponudnika oblačnih storitev, in to spada pod varnostni pogoji za lastne dobavitelje — točka (d) desetih ukrepov v členu 21, odstavek 2 Direktive NIS2. Odgovor torej vsebuje dve plasti: ima podjetje politiko dobaviteljev in je bil ponudnik oblačnih storitev konkretno ocenjen v skladu z njo. »Da« le na prvi plasti brez tega, da bi bil ponudnik oblačnih storitev kdaj ocenjen, je polovična resnica, ki se pojavi pri reviziji.

Kaj šteje kot dokaz, se razlikuje glede na zrelost dossieja. Če ima ponudnik oblačnih storitev lastno certifikat ISO 27001 ali poročilo SOC 2, je to najmočnejši dokument — postavite ga ob vprašanje, ali je lastno podjetje certificirano za ISO 27001kajti to sta dva ločena certifikata, ki se v odgovoru ne smeta zamenjati. Če certifikat manjka, je pogodba za obdelavo z varnostnim prilogom ali lastna ocena dobavitelja s časovno oznako naslednji najboljši dokaz. Brez enega od obeh je »ne« ali »v obdelavi« pravilen odgovor, tudi če je ponudnik oblačnih storitev verjetno odlično zavarovan — verjetnost ni dokazni material.

Kjer to izhaja: člen 21, odstavek 2, točka d in Priloga A.15

Obveznost ocenjevanja dobaviteljev in ponudnikov storitev glede varnosti je z imenom navedena v členu 21, odstavek 2, točka d Direktive NIS2, kot ena izmed desetih ukrepov, ki jih mora sprejeti subjekt. ISO/IEC 27001 to naprej razvija v Prilogi A pod nadzorom ukrepov za odnose z dobavitelji. Na Nizozemskem bo to v prihodnosti potekalo prek Zakona o kibernetski varnosti, nacionalne transponacije NIS2, ki stopi v veljavo 15. avgusta 2026 — do takrat ostaja direktiva sama besedilo, na katero se nanašamo. Če dvomite, ali je to že obveznost za vaše lastno podjetje in ne le vprašanje stranke, potem preverite pri ali podjetje samo spada pod Direktivo NIS2.