hver kunde sender sit eget cyberspørgeskema, hvordan håndterer jeg dette smartt

Ét kædearkiv, ti faste kategorier

Den smarte tilgang er ikke: udfylde hver liste separat. Det er: organisere dine svar én gang langs ti foranstaltninger i artikel 21 stk. 2 NIS2, og genbrug dem pr. kunde. Bank, forsikringsselskab og industriel kunde stiller næsten ordret samme spørgsmål — bare i anden rækkefølge og med andre betegnelser. Banken kalder det "adgangskontrol", den industrielle kunde kalder det "identity & access management", men svaret kommer fra samme arkivdel: er tilgangspolitikken fastlagt, herunder styring af virksomhedens ressourcer.

Når dit arkiv er fuldstændigt for de ti kategorier — risikopolitik, hændelseshåndtering, forretningskontinuitet, sårbarhedsstyring, kædesikkerhed, test, bevidsthed, kryptografi, adgang/MFA og din egen NIS2-status — er hver ny liste hovedsagelig om at genkende hvilket spørgsmål der hører til hvilken kategori. Nogle spørgsmål dækker to kategorier i én sætning, for eksempel adgangspolitik sammen med multifaktor-godkendelse. Opdel det så i dit arkiv, ikke i dit hoved ved hver liste igen.

Hvorfor disse ti kategorier er kapstokken

Artikel 21 stk. 2 i NIS2-direktivet nævner ti foranstaltninger, som en enhed skal træffe: fra risikostyringspolitik til kryptografi til adgangskontrol. Næsten hver kundeliste — cyberformular fra en bank, sikkerhedsspørgeskema fra en teknologileverandør, ESG-cyberdel fra en forsikringsgiver — er en egen fortolkning af de samme ti punkter, nogle gange suppleret med ISO/IEC 27001 Annex A-terminologi, fordi forfatteren har brugt denne norm som ramme. Den, der opbygger sit arkiv på artikel 21 stk. 2, genkender således hurtigt hvilket Annex A-kontrolnummer eller hvilken kundespørgsmål der hører til hvilken arkivdel. Den danske Cybersikkerhedslov implementerer disse ti foranstaltninger fra 15. august 2026 i dansk lovgivning, så kapstokken ændres ikke — kun den juridiske titel, som en kunde fremover henviser til.