svaki klijen šalje svoj upitnik o kibernetičkoj sigurnosti, kako to pametno riješim

Jedan dosije u lancu, deset stalnih kategorija

Pametan pristup nije: popuniti svaki popis odvojeno. To je: jednom ordenati svoje odgovore prema deset mjera iz članka 21. stavka 2. NIS2, i ponovno ih koristiti po klijentu. Banka, osiguravač i industrijski klijent postavljaju gotovo doslovno ista pitanja — samo u drugačijem redoslijedu i s različitim oznakama. Banka je naziva "zaštitom pristupa", industrijski klijent je naziva "upravljanjem identitetom i pristupom", ali odgovor dolazi iz istog dijela dossiera: je li politika pristupa uspostavljena, uključujući upravljanje imovinom poduzeća.

Čim je tvoj dosije potpun za deset kategorija — politika rizika, rukovanje incidentima, kontinuitet, upravljanje ranjivostima, zaštita lanca, testiranje, svijest, kriptografija, pristup/MFA, i tvoj vlastiti NIS2-status — svaki novi popis je uglavnom prepoznavanje koje pitanje pripada kojoj kategoriji. Neka pitanja pokrivaju dvije kategorije u jednoj rečenici, na primjer politika pristupa zajedno s autentifikacija s više čimbenika. Dijeli to tada u svom dossieju, a ne u glavi sa svakim popisom iznova.

Zašto su te deset kategorija vješalica

Članak 21. stavak 2. NIS2-direktive navodi deset mjera koje entitet mora provesti: od politike analize rizika do kriptografije do kontrole pristupa. Gotovo svaki popis klijentskih pitanja — cyber-obrazac banke, security-upitnik tehnološkog dobavljača, cyber-dio ESG-a osiguratelja — je vlastiti prijevod istih deset točaka, ponekad dopunjenih terminologijom ISO/IEC 27001 Annex A jer je tvorac te norme koristio kao okvir. Tko gradi svoj dosije prema članku 21. stavak 2., brzo prepoznaje koje Annex A-kontrolno broj ili koje klijentsko pitanje pripada kojem dijelu dossiera. Nizozemski Zakon o kibernetskoj sigurnosti provodi te deset mjera od 15. kolovoza 2026. kao nacionalno zakonodavstvo, tako da se vješalica ne mijenja — samo pravna naslova na koju klijent kasnije upućuje.