ik begrijp een technische vraag uit de vragenlijst niet, wie kan dit beantwoorden

Herleid de vraag naar één van de tien maatregelen

Een technische vraag uit een vragenlijst is bijna altijd een vertaling van één van de tien maatregelen uit artikel 21 lid 2 van NIS2, of van een beheersmaatregel uit Annex A van ISO/IEC 27001. Het portaal van de klant gebruikt vaak een eigen formulering — "hoe is uw netwerksegmentatie ingericht" of "welke encryptiestandaard gebruikt u voor data at rest" — maar de onderliggende vraag is bekend. Het loont om eerst te bepalen onder welke categorie de vraag valt: gaat het om toegang, om versleuteling, om kwetsbaarheden, of om de keten. Zodra die categorie vaststaat, is de vraag meestal met bestaande documentatie te beantwoorden, ook als de exacte term nieuw is.

Bij twijfel over de precieze technische invulling — welk protocol, welke sleutellengte, welke scanfrequentie — is de IT-afdeling of de externe beheerder de aangewezen partij, niet de commerciële of juridische contactpersoon die de lijst ontvangt. Wie regelmatig dezelfde technische vragen tegenkomt over versleuteling, kan dat vastleggen als vast antwoord voor het onderwerp of er beleid is over cryptografie en versleuteling, zodat die vraag niet elke keer opnieuw wordt uitgezocht. Hetzelfde geldt voor vragen over meerfactorauthenticatie of toegangsbeheer: dat zijn losse vragen in de lijst, maar inhoudelijk hetzelfde onderwerp telkens opnieuw geformuleerd.

Waar de tien maatregelen vandaan komen

Artikel 21 lid 2 van Richtlijn (EU) 2022/2555 noemt tien categorieën maatregelen, van risicoanalyse tot cryptografie tot menselijk gedrag binnen de organisatie. Annex A van ISO/IEC 27001 werkt vergelijkbare onderwerpen verder uit in concrete beheersmaatregelen, wat verklaart waarom een auditvraag en een klantvraag vaak op hetzelfde neerkomen, ook al lopen de bewoordingen uiteen. De Cyberbeveiligingswet zet artikel 21 om in Nederlands recht en treedt naar verwachting op 15 augustus 2026 in werking; tot die datum is de richtlijn zelf het uitgangspunt voor wie wil nagaan onder welke maatregel een vraag valt.