elke klant stuurt andere vragenlijst hoe blijf ik dit bijhouden

Eén ketendossier, tien vaste bouwstenen

De oplossing is niet meer formats bijhouden, maar één onderliggende structuur vasthouden die onder elk format hetzelfde blijft. Elke klant verpakt zijn vragenlijst anders — de een noemt het "supplier security assessment", de ander "third party risk questionnaire" — maar de inhoud valt bijna altijd terug op de tien maatregelen van artikel 21 lid 2 NIS2, of op de bijlage A-beheersmaatregelen van ISO/IEC 27001 als de klant die standaard als kapstok gebruikt. Risicobeleid, incidentrespons, continuïteit, ketenbeveiliging, kwetsbaarhedenbeheer: die tien onderwerpen komen terug onder wisselende kopjes, in wisselende volgorde, met wisselende scoring (ja/nee, 1-5, tekstvak). Wie zijn antwoorden per onderwerp vastlegt in plaats van per klantformat, hoeft bij een nieuwe lijst alleen te herkennen welk kopje bij welk onderwerp hoort — niet het antwoord opnieuw te formuleren.

In de praktijk betekent dit dat je per bouwsteen één keer een goed antwoord schrijft, met het bewijsstuk erbij, en dat antwoord dan hergebruikt. Voor het toegangsbeleid en het beheer van bedrijfsmiddelen is dat vaak een beleidsdocument plus een screenshot van de rechtenstructuur; voor de proceduretoetsing van beveiligingsmaatregelen is dat het laatste interne auditverslag. Zodra dat dossier compleet is, is een nieuwe klantvragenlijst vooral herkennen en kopiëren, niet opnieuw uitzoeken.

Waarom de tien maatregelen de gemene deler zijn

Artikel 21 lid 2 van Richtlijn (EU) 2022/2555 noemt tien categorieën maatregelen die een entiteit moet nemen — van risicoanalysebeleid tot cryptografie tot menselijk gedrag — en die lijst is in de praktijk de basis waarop de meeste inkoopvragenlijsten van klanten zijn gebouwd, ook als de klant zelf niet naar NIS2 verwijst. ISO/IEC 27001 Annex A dekt grotendeels dezelfde onderwerpen met meer detail per maatregel, wat verklaart waarom een format dat naar het ene raamwerk verwijst zonder veel moeite te vertalen is naar het andere.