ispunjavanje ovog sigurnosnog upitnika stalno me stoji previše vremena

Stalno ista deset tema, u drugom ruhu

Do toga dolazi gotovo uvijek iz jednog razloga: svaki klijent prevodi iste deset mjera iz članka 21 stavak 2 NIS2 u svoje vlastite riječi i redoslijed. Jedan portal pita "imate li proces za odgovor na incidente", drugi "opišite vašu proceduru za incidente vezane uz sigurnost" — to je isto pitanje kao postoji li procedura za rukovanje incidentima vezanim uz sigurnost?. Bez jedne centralne dokumentacije tražite taj odgovor deset puta godišnje, u deset različitih formulacija.

Vrijeme se ne troši na odgovaranje, već se troši na pronalaženje dokaza. Koji dokument o politici, koja verzija, koji certifikat — pronalaženje toga i reformuliranje odgovora prema formatu tog određenog klijenta, to je cijeli dan. Pitanja o autentifikacija s više čimbenika, o politici pristupa i upravljanju imovinom i o zahtjevima za sigurnost prema vlastitim dobavljačima ponavljaju se u gotovo svakom popisu, samo drugačije organizirani. Tko jednom po vrsti pitanja utvrdi koji je stvarni odgovor i gdje je dokaz, nakon toga trebao bi samo prepoznati koja od deset tema je navedena — a to je rad od nekoliko minuta, ne dan.

Svedivo na iste deset mjera

Član 21 stavak 2 Direktive (EU) 2022/2555 navodi deset mjera na koje se gotovo svaki popis pitanja o sigurnosti — dolazi li od banke, osiguravatelja ili velikog klijenta — izravno ili neizravno poziva: od upravljanja rizicima i rukovanja incidentima do kriptografije i upravljanja pristupom. Tko primjenjuje ISO/IEC 27001 prepoznaje iste teme u kontrolama iz Dodatka A, što objašnjava zašto popis pitanja o "zaštiti informacija" i popis o "NIS2 sukladnosti" pitaju za gotovo iste činjenice. Nizozemski Zakon o kibernetskoj sigurnosti, koji transpozira ovu direktivu do 15. kolovoza 2026., ne mijenja tu temeljnu strukturu — pitanja koja klijenti već sad postavljaju ostaju dakle uvelike ista pitanja nakon tog datuma.