ik krijg steeds bijna dezelfde vragenlijst van verschillende klanten, moet dit sneller kunnen

Vijf lijsten, één bron: de tien maatregelen van artikel 21

Ja, dat kan sneller, want die vijf lijsten vragen vrijwel zeker naar hetzelfde onderliggende raamwerk. De klanten die jou benaderen — banken, grotere afnemers, verzekeraars — herschrijven allemaal dezelfde tien maatregelen uit artikel 21 lid 2 van de NIS2-richtlijn in hun eigen portaalformat. De ene noemt het "vulnerability management", de andere "kwetsbaarhedenbeleid", een derde vraagt naar "patch management procedures" — het gaat om het proces voor het opsporen en verhelpen van kwetsbaarheden. Hetzelfde geldt voor toegangsbeleid, incidentrespons, continuïteit en de rest: verschillende bewoording, dezelfde onderliggende maatregel.

Het werk dat blijft, is het ene antwoord vinden dat bij alle vijf de formuleringen past, en per lijst controleren of het antwoord nog actueel is — niet vijf keer opnieuw uitzoeken wat er precies gevraagd wordt. Een vaste set brondocumenten (beleid, procedures, bewijsstukken) gekoppeld aan elke van de tien maatregelen maakt dat een kwestie van kopiëren en aanpassen aan het format, in plaats van elke keer opnieuw formuleren. Waar klanten vaak los naar vragen, en waar het dus geen zin heeft om steeds opnieuw te reconstrueren, is of de onderneming zelf onder de NIS2-richtlijn valt — dat antwoord verandert niet per klant.

Waarom die tien maatregelen overal terugkomen

Artikel 21 lid 2 van de NIS2-richtlijn noemt tien categorieën maatregelen die onder de richtlijn vallende entiteiten moeten nemen: van risicoanalyse en incidentafhandeling tot cryptografie en toegangsbeheer. Omdat banken en grote afnemers hun eigen due-diligence-vragenlijsten op dit artikel baseren — soms direct, soms via ISO/IEC 27001 Annex A, die grotendeels dezelfde onderwerpen in beheersmaatregelen vertaalt — komt de inhoud van de vragen terug, ook als de volgorde, groepering en terminologie per portaal verschillen. De Nederlandse Cyberbeveiligingswet zet deze richtlijn om in nationale wetgeving en treedt op 15 augustus 2026 in werking; tot die datum verandert het onderliggende raamwerk niet, dus de overlap tussen dit jaar en volgend jaar blijft grotendeels intact.