kund frågar om säkerheten hos vår molnleverantör vad ska jag svara

Molnleverantör faller under artikel 21 punkt 2 d

Svara med vad du faktiskt kan underbygga: de avtalsenliga överenskommelser med din molnleverantör om säkerhet, och eventuellt ett certifikat eller revisionsrapport som leverantören har tillhandahållit dig. Frågan om säkerheten för din molnleverantör faller under kategorin leverantörssäkerhet: artikel 21 punkt 2 d NIS2 nämner uttryckligen säkerheten i leverantörskedjan, inklusive förhållandet till leverantörer av molntjänster. Ditt dossier behöver således inte bevisa säkerheten för molnleverantören själv — det gör leverantören själv, via sitt eget certifikat eller transparensrapport. Det du måste kunna visa är att du har granskat den säkerheten innan du tog tjänsten i bruk och att du upprepar det regelbundet.

Om du inte har det beviset — ingen kopia av ett ISO 27001-certifikat från leverantören, ingen SOC 2-rapport, ingen klausul i avtalet om anmälningsplikt vid incidenter — då är "nej" eller "inte påvisat" det korrekta svaret, även om du gärna litar på leverantören. Förtroende är inte ett bevis. Praktiskt: begär detta bevis från leverantören (de större molnaktörerna har vanligtvis detta tillgängligt enligt standard i ett trust center eller liknande portal) och placera det i ditt ketendossier så snart du har det. Samma fråga är ofta kopplad till säkerhetskrav som du själv ställer på leverantörer — om du redan har fastlagt policy för det är molnleverantören ett konkret exempel på det.

Var detta finns i de tio åtgärderna

Artikel 21 punkt 2 NIS2 räknar upp tio åtgärder som en enhet måste vidta; punkt d gäller specifikt säkerheten i leverantörskedjan, med en uttrycklig hänvisning till säkerhetsbaspekterna i förhållandet till leverantörer. ISO/IEC 27001 utvecklar detta i Annex A under kontrollåtgärder för leverantörsrelationer, där krav på moln- och ICT-tjänsteleverantörer också ingår. Om ditt eget företag själv är en enhet enligt Cybersäkerhetlagen måste du kontrollera detta vid behov tillsammans med frågan om ditt företag faller under NIS2.