svaki klijent šalje drugačiji popis pitanja kako mogu to pratiti

Jedan datoteka za lanac opskrbe, deset stalnih sastavnih dijelova

Rješenje nije praćenje još više formata, već održavanje jedne temeljne strukture koja ostaje ista ispod svakog formata. Svaki klijent pakira svoju popis pitanja drugačije — jedan je naziva "supplier security assessment", drugi "third party risk questionnaire" — ali sadržaj se gotovo uvijek svodi na deset mjera iz članka 21 stavka 2 NIS2, ili na mjere za upravljanje u Prilogu A standarda ISO/IEC 27001 ako klijent koristi taj standard kao okvir. Politika rizika, reagiranje na incidente, kontinuitet, sigurnost lanca opskrbe, upravljanje ranjivostima: ta deset tema se ponavljaju ispod različitih naslova, u različitom redoslijedu, s različitim bodovanjem (da/ne, 1-5, tekstni okvir). Onaj tko svoje odgovore po temi bilježi umjesto po formatu klijenta, kod nove liste trebao bi samo prepoznati koji naslov odgovara kojoj temi — ne trebao bi ponovno formulirati odgovor.

U praksi to znači da za svaki sastavni dio jednom napišeš dobar odgovor, uz dokaz, i taj odgovor ponovno koristiš. Za politiku pristupa i upravljanje poslovnom imovinom je to često dokument o politici plus snimak strukture dozvola; za postupnu provjeru mjera sigurnosti je to zadnje interno izvješće o reviziji. Čim je taj datoteka dovršen, nova lista pitanja klijenta je uglavnom prepoznavanje i kopiranje, a ne ponovno istraživanje.

Zašto su deset mjera zajednički nazivnik

Članak 21 stavak 2 Direktive (EU) 2022/2555 navodi deset kategorija mjera koje entitet mora poduzeti — od politike analize rizika do kriptografije do ljudskog ponašanja — i ta je lista u praksi temelj na kojem su izgrađene većine lista pitanja pri nabavi klijenata, čak i ako sam klijent ne poziva se na NIS2. ISO/IEC 27001 Prilog A u velikoj mjeri pokriva ista pitanja s više detalja po mjeri, što objašnjava zašto se format koji se poziva na jedan okvir bez većih poteškoća može prevesti na drugi.