jokainen asiakas lähettää erilaisen kyselylomakkeen, kuinka pidän kirjaa siitä

Yksi toimitusketjun tiedosto, kymmenen kiinteää rakennusosaa

Ratkaisu ei ole hallita enemmän muotoja, vaan pitää kiinni yhdestä taustalla olevasta rakenteesta, joka pysyy samana jokaisen muodon alla. Jokainen asiakas pakkaa kyselynsä eri tavalla — toinen kutsuu sitä "supplier security assessmentiksi", toinen "third party risk questionnaireksi" — mutta sisältö palautuu lähes aina kymmenen toimenpiteeseen artiklan 21 kohdan 2 NIS2-direktiivistä, tai ISO/IEC 27001:n liitteen A hallintotoimenpiteisiin, jos asiakas käyttää kyseistä standardia viitekehyksenä. Riskinhallinnan politiikka, poikkeamien käsittely, jatkuvuus, toimitusketjun turvallisuus, haavoittuvuuksien hallinta: nuo kymmenen aihepiiriä esiintyvät vaihtelevien otsikoiden alla, vaihtelevassa järjestyksessä, vaihtelevalla pisteityksellä (kyllä/ei, 1-5, tekstiruutu). Kenen vastaukset on dokumentoitu aihepiirin mukaan asiakkaan muodon sijaan, hänen tarvitsee uuden listan kohdalla vain tunnistaa, mikä otsikko kuuluu mihin aihepiiriin — ei tarvitse muotoilla vastausta uudelleen.

Käytännössä tämä tarkoittaa sitä, että kirjoitat jokaisen rakennusosan kohdalla kerran hyvän vastauksen, liitteen kanssa, ja käytät kyseistä vastausta uudelleen. Sitä varten pääsynhallintaan ja yritysvarojen hallintaan on usein hallintoasiakirja sekä kuvakaappaus käyttöoikeuksien rakenteesta; sitä varten hallintotoimenpiteiden menettelyn tarkastus on viimeisin sisäinen auditointiraportti. Kun tuo tiedosto on valmis, uusi asiakkaan kyselylista on pääosin tunnistusta ja kopiointia, ei uutta selvittelyä.

Miksi kymmenen toimenpidettä ovat yhteinen nimittäjä

Direktiivin (EU) 2022/2555 artiklan 21 kohdan 2 luetteloi kymmenen toimenpidekategoriaa, jotka entiteetin on toteutettava — riskinhallinnan politiikasta salaukseen ja inhimilliseen käyttäytymiseen — ja kyseinen luettelo on käytännössä perusta, jolle useimmat asiakkaiden ostokyselyn listat on rakennettu, vaikka asiakas ei itse viitaisi NIS2:een. ISO/IEC 27001 Annex A kattaa suurelta osin samat aihepiirit yksityiskohtaisemmalla tasolla jokaisen toimenpiteen osalta, mikä selittää, miksi muoto, joka viittaa yhteen raamityöhön, voidaan helposti kääntää toiseen ilman suurempia vaikeuksia.