Ich erhalte immer wieder fast denselben Fragebogen von verschiedenen Kunden, muss das schneller gehen

Fünf Listen, eine Quelle: die zehn Maßnahmen des Artikels 21

Ja, das geht schneller, denn diese fünf Listen fragen sehr wahrscheinlich nach demselben zugrunde liegenden Rahmenwerk. Die Kunden, die dich kontaktieren — Banken, größere Abnehmer, Versicherer — schreiben alle dieselben zehn Maßnahmen aus Artikel 21 Absatz 2 der NIS2-Richtlinie in ihr eigenes Portalformat um. Der eine nennt es "vulnerability management", der andere "Schwachstellenmanagement", ein dritter fragt nach "patch management procedures" — es geht um dem Prozess zur Erkennung und Behebung von Schwachstellendasselbe. Dasselbe gilt für Zugriffsrichtlinie, Incident Response, Kontinuität und den Rest: unterschiedliche Formulierung, zugrunde liegende Maßnahme.

Die Arbeit, die bleibt, ist es, die eine Antwort zu finden, die zu allen fünf Formulierungen passt, und bei jeder Liste zu überprüfen, ob die Antwort noch aktuell ist — nicht fünfmal von neuem herauszufinden, was genau gefragt wird. Ein fester Satz von Quelldokumenten (Richtlinien, Verfahren, Nachweise), die mit jeder der zehn Maßnahmen verknüpft sind, macht das zu einer Frage des Kopierens und Anpassens an das Format, anstatt jedes Mal neu zu formulieren. Wo Kunden oft separat fragen, und wo es daher keinen Sinn hat, jedes Mal von neuem zu rekonstruieren, ist, ob das Unternehmen selbst unter die NIS2-Richtlinie fällt — diese Antwort ändert sich nicht pro Kunde.

Warum diese zehn Maßnahmen überall auftauchen

Artikel 21 Absatz 2 der NIS2-Richtlinie nennt zehn Kategorien von Maßnahmen, die von unter die Richtlinie fallenden Einrichtungen zu ergreifen sind: von Risikoanalyse und Incident Handling bis zu Kryptografie und Zugriffskontrolle. Weil Banken und große Abnehmer ihre eigenen Due-Diligence-Fragenkataloge auf diesem Artikel stützen — teilweise direkt, teilweise über ISO/IEC 27001 Annex A, die ähnliche Themen in Beheersmaßnahmen umsetzt — kehrt der Inhalt der Fragen wieder, auch wenn Reihenfolge, Gruppierung und Terminologie pro Portal unterschiedlich sind. Das niederländische Cybersicherheitsgesetz setzt diese Richtlinie in nationale Rechtsvorschriften um und tritt am 15. August 2026 in Kraft; bis zu diesem Datum ändert sich das zugrunde liegende Rahmenwerk nicht, daher bleibt die Überlappung zwischen diesem Jahr und dem nächsten Jahr weitgehend erhalten.