elke klant heeft een andere securityvragenlijst moet ik steeds opnieuw beginnen

Elke lijst is een andere volgorde van dezelfde tien maatregelen

Nee, in de meeste gevallen niet opnieuw beginnen — de vragen verschillen in bewoording, maar dekken bij vrijwel elke klant dezelfde onderliggende punten. De ene bank vraagt naar "incident response procedure", de andere naar "hoe worden security-incidenten afgehandeld", en een derde naar "detectie en melding van cyberincidenten". Dat is drie keer de procedure voor het behandelen van beveiligingsincidenten, drie keer hetzelfde antwoord uit hetzelfde dossier. Hetzelfde geldt voor toegang, back-ups, kwetsbaarheidsmanagement en de ketenbeveiliging bij leveranciers: vrijwel elke vragenlijst herleidt zich tot een subset van de tien maatregelen uit artikel 21 lid 2 NIS2, ook als de klant zelf niet naar NIS2 verwijst.

Het werk zit dus niet in het steeds opnieuw formuleren van antwoorden, maar in het herkennen welke vraag bij welk onderliggend punt hoort. Een vraag over "wachtwoordbeleid en tweestapsverificatie" is gewoon meerfactorauthenticatie in andere woorden. Een vraag over "leveranciersrisico" of "third party risk" is beveiligingseisen aan de eigen leveranciers. Zodra dat dossier er eenmaal staat, is elke volgende lijst vooral matchen en bevestigen, niet opnieuw opschrijven.

Waar dat op teruggaat: artikel 21 lid 2 en Annex A

Artikel 21 lid 2 van de NIS2-richtlijn (2022/2555) noemt tien categorieën maatregelen — risicoanalyse, incidentafhandeling, bedrijfscontinuïteit, ketenbeveiliging, kwetsbaarhedenbeleid, cryptografie, toegangsbeleid, MFA, bewustwording en toetsing van de maatregelen. Vrijwel elke securityvragenlijst van een bank, verzekeraar of grootzakelijke klant is een eigen vertaling van (een deel van) diezelfde tien punten, vaak aangevuld met vragen die letterlijk uit Annex A van ISO/IEC 27001 komen. Dat verklaart waarom de bewoording wisselt maar de onderliggende inhoud niet: het zijn twee vaste kaders, geen duizend losse klantwensen.