всеки клиент има различен въпросник за сигурност, трябва ли всеки път да почвам от нула

Всеки списък е в различен ред на същите десет мерки

Не, в повечето случаи не е необходимо да започвате отначало — въпросите се различават по формулировка, но обхващат практически еднакви основни точки при почти всеки клиент. Една банка пита за "процедура за реагиране на инциденти", друга за "как се обработват инцидентите в сигурността", а трета за "открива и докладване на кибер-инциденти". Това е три пъти процедурата за обработка на инциденти в областта на сигурносттатри пъти един и същ отговор от един и същ дossier. Същото важи и за достъпа, резервните копия, управлението на уязвимостите и верижната сигурност при доставчиците: почти всеки въпросник се свежда до подмножество от десетте мерки от член 21, параграф 2 на NIS2, дори и когато клиентът сам не се позовава на NIS2.

Работата не е в постоянното преформулиране на отговорите, а в разпознаването кой въпрос принадлежи към коя основна точка. Въпрос за "политика на паролите и двустепенна проверка" е просто многофакторната аутентификация на други думи. Въпрос за "риск от доставчици" или "риск на трети страни" е изисквания за киберсигурност към собствените доставчици. След като този dossier е готов, всеки следващ списък е преди всичко съпоставяне и потвърждаване, а не преписване.

Откъдето идва всичко това: член 21, параграф 2 и Приложение A

Член 21, параграф 2 от Директива NIS2 (2022/2555) посочва десет категории мерки — анализ на риска, управление на инциденти, непрекъснатост на дейността, верижна сигурност, политика за уязвимостите, криптография, политика за достъп, MFA, осъзнаване и тестване на мерките. Почти всеки въпросник за сигурност от банка, застраховател или голям бизнес клиент е собствен превод на (част от) същите десет точки, често допълнени с въпроси, взети буквално от Приложение A на ISO/IEC 27001. Това обяснява защо формулировката варира, но основното съдържание не: те са две фиксирани рамки, не хиляда отделни клиентски желания.