jokaisella asiakkaalla on erilainen turvallisuuskyselylomake, onko minun aloitettava alusta joka kerta

Jokainen lista on eri järjestys samoista kymmenestä toimenpiteestä

Ei, useimmissa tapauksissa ei tarvitse aloittaa alusta — kysymykset eroavat sanamuodoltaan, mutta käsittelevät lähes jokaisen asiakkaan osalta samoja taustalla olevia seikkoja. Yksi pankki kysyy "incident response procedure" -menettelystä, toinen "kuinka turvallisuuspoikkeamia käsitellään" ja kolmas "kyberturvallisuuspoimintojen havaitseminen ja ilmoittaminen". Se on kolme kertaa turvallisuuspoikkeamien käsittelystä johtuvaan menettelyynkolme kertaa sama vastaus samasta dossieesta. Sama koskee pääsyä, varmuuskopioita, haavoittuvuuksien hallintaa ja toimittajien ketjuturvallisuutta: lähes jokainen kyselylomake supistuu NIS2:n 21 artiklan 2 kohdan kymmenen toimenpiteen osajoukkoon, vaikka asiakas ei itse viitaisi NIS2:een.

Työ ei siis ole siinä, että vastaukset muotoillaan joka kerta uudelleen, vaan siinä, että tunnistetaan, mikä kysymys liittyy mihin taustalla olevaan seikkaan. Kysymys "salasanakäytännöistä ja kaksivaiheisesta todentamisesta" on vain monivaiheinen tunnistautuminen muussa sanamuodossa. Kysymys "toimittajien riskistä" tai "kolmansien osapuolten riskistä" on tietoturvavaatimukset omille toimittajille. Kun tämä dossiere on kerran olemassa, jokainen seuraava lista on pääosin sovittamista ja vahvistamista, ei uudelleenkirjoittamista.

Mistä tämä johtuu: 21 artiklan 2 kohta ja Annex A

NIS2-direktiivin (2022/2555) 21 artiklan 2 kohta luettelee kymmenen toimenpidekategoriaa — riskianalyysi, poikkeamien käsittely, liiketoiminnan jatkuvuus, ketjuturvallisuus, haavoittuvuuksien hallinta, salaus, pääsyn hallinta, MFA, tietoisuus ja toimenpiteiden testaaminen. Lähes jokainen pankin, vakuutusyhtiön tai suuryrityksen turvallisuuskyselylomake on omia kääntöä (osasta) samoja kymmenen seikkaa, usein täydennettynä kysymyksillä, jotka on otettu kirjaimellisesti ISO/IEC 27001:n Annex A -liitteestä. Tämä selittää, miksi sanamuoto vaihtelee mutta taustalla oleva sisältö ei: nämä ovat kaksi kiinteää viitekehystä, ei tuhat erillistä asiakastoivetta.