de frågar i vilket land vår data lagras

Platsen för molnlagring ligger under försörjningskedjesäkerhet, inte under kryptering

Denna fråga faller under åtgärden försörjningskedjesäkerhet från artikel 21 stycke 2 punkt d NIS2: de krav som företaget ställer på sina egna leverantörer, inklusive molnleverantören. Datalagringens land är alltså inte en fråga om teknik utan om leverantörshantering — vilka avtal har gjorts med denna leverantör, och är de dokumenterade. Den som behandlar detta som en isolerad faktisk fråga och omedelbar fyller i "ja" utan underliggande avtal, besvarar frågan tekniskt korrekt men saknar det stöd som kunden egentligen vill ha.

Dokumentet som hör till detta är oftast ett Data Processing Agreement eller underleverantörsöversikt från molnleverantören, där platsen för datacentren framgår. Har du inte detta tillgängligt är "ännu att fastställa" här rätt svar — inte för att det behöver förbli okänt, utan för att nämna ett land utan dokumentet är ett antagande, inte ett faktum. Samma dokumentation är också relevant för frågan huruvida företaget ställer säkerhetskrav på sina egna leverantörer: ett DPA med en fast plats är ofta beviset på att detta krav har upprätthållits. Vissa kunder frågar detta dock inte för platsen i sig, utan för att kontrollera om kryptering i vila har tillämpats — kontrollera då om frågan egentligen inte ansluter till policyn om kryptering och krypteringsalgoritmer.

Där det framgår i förordningen: artikel 21 stycke 2 punkt d

Artikel 21 stycke 2 punkt d NIS2 nämner uttryckligen "säkerheten för försörjningskedjan, inklusive säkerhetsaspekter avseende relationen mellan varje enhet och dess direkta leverantörer eller tjänsteleverantörer" som en av de tio obligatoriska åtgärderna. En molnleverantör är en sådan direktleverantör, och platsen för datalagring är en säkerhetaspekt av denna relation. ISO/IEC 27001 Annex A utvecklar detta vidare under kontrollåtgärder för leverantörsrelationer, vilket förklarar varför kunder ofta ställer detta tillsammans med certifieringsfrågor — se också eller huruvida företaget är ISO 27001-certifierat. Cybersäkerhetskänsligheten övertar detta krav oförändrat från förordningen.