ogni cliente ha una diversa lista di controllo sulla sicurezza devo ricominciare ogni volta

Ogni lista è un ordine diverso delle stesse dieci misure

No, nella maggior parte dei casi non è necessario ricominciare da capo — le domande differiscono nella formulazione, ma affrontano presso quasi ogni cliente gli stessi punti sottostanti. Una banca chiede della "procedura di risposta agli incidenti", un'altra di "come vengono gestiti gli incidenti di sicurezza", e una terza della "rilevazione e notifica degli incidenti informatici". Sono tre volte la procedura per la gestione degli incidenti di sicurezza, tre volte la stessa risposta dello stesso dossier. Lo stesso vale per l'accesso, i backup, la gestione delle vulnerabilità e la sicurezza della catena presso i fornitori: praticamente ogni questionario si riduce a un sottoinsieme delle dieci misure dell'articolo 21 paragrafo 2 della direttiva NIS2, anche se il cliente stesso non fa riferimento alla NIS2.

Il lavoro non consiste quindi nella continua riformulazione delle risposte, ma nel riconoscere quale domanda corrisponde a quale punto sottostante. Una domanda su "politica delle password e autenticazione a due fattori" è semplicemente autenticazione multifattore in altre parole. Una domanda su "rischio fornitori" o "third party risk" è requisiti di cybersicurezza da applicare ai propri fornitori. Una volta che quel dossier è compilato, ogni successiva lista è principalmente una corrispondenza e una conferma, non una riscrittura.

Da dove deriva: articolo 21 paragrafo 2 e Allegato A

L'articolo 21 paragrafo 2 della direttiva NIS2 (2022/2555) elenca dieci categorie di misure — analisi dei rischi, gestione degli incidenti, continuità aziendale, sicurezza della catena, politica sulle vulnerabilità, crittografia, politica di accesso, MFA, consapevolezza e test delle misure. Praticamente ogni questionario sulla sicurezza di una banca, di un assicuratore o di un cliente aziendale di grandi dimensioni è una propria traduzione di (una parte di) questi stessi dieci punti, spesso integrata con domande che derivano letteralmente dall'Allegato A della norma ISO/IEC 27001. Questo spiega perché la formulazione varia ma il contenuto sottostante no: si tratta di due framework fissi, non di mille desideri clienti distinti.