enkäten vill veta vilka molntjänster vi använder för vår data

Molnleverantörer är en del av kedjefrågorna

Frågan om vilka molntjänster som används ingår i de flesta frågeformulär under det bredare temat leverantörshantering, inte under en separat "moln"-del. Kunden vill veta om ditt företag har kontroll över var affärsdata lagras och vem som kan få tillgång till den. Konkret svar: nämn de leverantörer som behandlar personuppgifter eller affärskritiska data (tänk på de stora hyperskaleoperatörerna, men även ett bokföringsprogram eller CRM i molnet räknas), och ange om det finns avtalade säkerhetsbeslut för dessa.

Ett fullständigt svar består av två delar: leverantörens namn och beviset på att du hanterar den relationen. Den andra delen är där de flesta företagare fastnar – inte för att de inte använder molntjänster, utan för att de inte har överblick över vilka avtal som är dokumenterade. Om denna överblick saknas är "återstår att bestämma" ett mer ärligt svar än att räkna upp en lista utan underlag. Det här ämnet rör direkt frågan om företaget ställer säkerhetskrav på sina egna leverantörer: en molnleverantör är i den meningen bara en leverantör, och de krav som gäller där – kontrakt, servicenivåavtal, incidentöverenskommelser – är precis vad som efterfrågas här.

Där det står i direktivet: artikel 21 punkt 2

Artikel 21 punkt 2 i NIS2-direktivet nämner säkerhet i leveranskedjan, inklusive relationen mellan varje enhet och dess direkta leverantörer, som en av tio obligatoriska åtgärder. Molnleverantörer ingår i den kedjan. ISO/IEC 27001 utvecklar detta vidare i Annex A, där leverantörsrelationer och hantering av tillgångar – inklusive data hos tredje part – är uttryckligen nämnda; den som redan har en process för åtkomstpolicy och hantering av tillgångarhar vanligtvis redan dokumenterat vilka molntjänster som ingår däri. Cybersäkerhetslagen övertar denna förpliktelse när den träder i kraft.