každý zákazník posílá jiný seznam otázek, jak si to ponechám přehledné

Jeden řetězový soubor, deset pevných stavebních bloků

Řešení není udržovat další formáty, ale držet jednu základní strukturu, která zůstává stejná pod každým formátem. Každý zákazník si svůj dotazník balí jinak — jeden jej nazývá "supplier security assessment", druhý "third party risk questionnaire" — ale obsah se téměř vždy vrací na deset opatření článku 21 odstavec 2 NIS2, nebo na opatření přílohy A normy ISO/IEC 27001, pokud zákazník používá tento standard jako osnovu. Politika rizik, reakce na incidenty, kontinuita, bezpečnost řetězce, řízení zranitelností: těchto deset témat se vrací pod různými nadpisy, v různém pořadí, s různým bodováním (ano/ne, 1–5, textové pole). Kdo si zaznamenává své odpovědi podle tématu místo podle formátu zákazníka, musí při novém dotazníku pouze rozpoznat, který nadpis patří kterému tématu — nemusí odpověď formulovat znovu.

V praxi to znamená, že pro každý stavební blok jednou napíšete dobrou odpověď se skutečným důkazem a tu odpověď pak znovu použijete. Pro zásad přístupu a správy podnikových prostředků je to často politický dokument plus snímek obrazovky struktury práv; pro ověření postupů bezpečnostních opatření je to poslední zpráva z interního auditu. Jakmile je tento soubor kompletní, je nový dotazník od zákazníka především o rozpoznání a kopírování, ne o novém zjišťování.

Proč jsou deset opatření společným jmenovatelem

Článek 21 odstavec 2 Směrnice (EU) 2022/2555 jmenuje deset kategorií opatření, která musí entita přijmout — od politiky analýzy rizik až po kryptografii až po lidské chování — a tento seznam je v praxi základem, na kterém je postaven většina nákupních dotazníků zákazníků, i když se zákazník sám na NIS2 neodvolává. ISO/IEC 27001 Příloha A pokrývá do značné míry stejná témata s větším podrobem na opatření, což vysvětluje, proč je formát odkazující na jeden rámec bez velkých obtíží přeložitelný na druhý.