¿Qué exige este criterio?
Para cualquier componente cloud del servicio: certificaciones del proveedor (ENS, ISO 27001/27017/27018, SOC2), ubicación de datos exclusivamente en la UE, cláusulas RGPD (transferencias, encargo del tratamiento), derechos de auditoría y asistencia en auditoría CAR del TSP.

¿Qué hay que revisar al cliente?

• Inventario de componentes cloud del servicio.
• Certificaciones de cada proveedor (ENS, ISO).
• Ubicación de datos (UE).
• Cláusulas RGPD y eIDAS en el contrato.
• Asistencia en auditoría del CAB.

Preguntas clave para las entrevistas

• ¿Hay algún componente del servicio en cloud público?
• ¿Dónde están físicamente los datos?
• ¿El proveedor tiene certificación ENS?
• ¿Cómo respondería en una auditoría del CAB del servicio?

¿Por qué es esencial para QERDS y TSA?
Los datos del servicio cualificado tienen restricciones de ubicación y seguridad. Un cloud no certificado o con datos fuera de la UE invalida la cualificación. Es uno de los puntos más críticos en arquitecturas modernas.

Evidencia que demostraría conformidad

• Inventario cloud.
• Certificaciones del proveedor.
• Cláusulas contractuales.
• Documentación de ubicación de datos.