ze vragen om ons complete securitybeleid als document

Het volledige beleiddocument delen is meestal niet nodig

Nee, in de meeste gevallen hoeft dat niet, en is het ook niet wat de klant eigenlijk wil weten. Een vraag als "stuur uw beveiligingsbeleid" is bijna altijd een vertaling van iets specifieker: de klant wil weten of er beleid bestaat voor risicoanalyse, of er een incidentprocedure is, of toegang goed geregeld is. Dat zijn de tien maatregelen uit artikel 21 lid 2 van NIS2, en dezelfde onderverdeling zie je terug in de beheersmaatregelen van Annex A van ISO/IEC 27001. Een vragenlijst die "volledig beleid" vraagt, splitst dat meestal alsnog op in deelvragen — kijk dus eerst of dat het geval is voordat je een compleet document uploadt.

Het risico van een heel beleidsdocument opsturen is niet juridisch maar praktisch: het bevat vaak meer dan de klant nodig heeft — namen van tools, interne procedures, contactgegevens van personeel. Wie liever per vraag antwoordt in plaats van een document deelt, kan dat met de vertrouwelijkheidsknop beperken tot wat er echt gevraagd wordt. Zit de vraag toch specifiek op een deelonderwerp, dan is het antwoord vaak al ergens anders te vinden: of het toegangsbeleid is vastgelegd, of er een procedure is voor incidenten, of er periodiek getoetst wordt. Dat is doorgaans concreter te beantwoorden dan met een volledig document.

Waar dit uit volgt: artikel 21 lid 2 en Annex A

Artikel 21 lid 2 van NIS2 noemt tien concrete maatregelen — risicoanalyse, incidentafhandeling, bedrijfscontinuïteit, kwetsbaarheidsbeheer, toegangsbeleid en meer — zonder te eisen dat een derde partij het onderliggende document zelf inziet. ISO/IEC 27001 Annex A werkt met dezelfde logica: de beheersmaatregelen zijn auditeerbaar per onderdeel, niet als één ongedeeld beleidsdocument. Bedenk ook dat de vraag of de eigen onderneming onder NIS2 of de nationale omzetting valt los staat van wat een klant in een vragenlijst opvraagt — die twee dingen worden nogal eens verward.