het invullen van deze securityvragenlijst kost me steeds veel te veel tijd

Steeds dezelfde tien onderwerpen, in een ander jasje

Dat komt vrijwel altijd door één ding: elke klant vertaalt dezelfde tien maatregelen uit artikel 21 lid 2 NIS2 naar zijn eigen woorden en zijn eigen volgorde. De ene portal vraagt "hebben jullie een incident response proces", de andere "beschrijf uw procedure bij security incidenten" — het is dezelfde vraag als is er een procedure voor het behandelen van beveiligingsincidenten?. Zonder één centraal dossier zoek je dat antwoord dus tien keer per jaar opnieuw op, in tien verschillende formuleringen.

De tijd zit niet in het beantwoorden, die zit in het terugvinden van bewijs. Welk beleidsdocument, welke versie, welk certificaat — dat opzoeken en het antwoord herformuleren naar het format van die specifieke klant, dat is de hele dag. Vragen over meerfactorauthenticatie, over toegangsbeleid en assetbeheer en over de beveiligingseisen aan eigen leveranciers komen in vrijwel elke lijst terug, alleen anders ingedeeld. Wie eenmaal per vraagtype vastlegt wat het feitelijke antwoord is en waar het bewijs staat, hoeft daarna alleen nog te herkennen welke van de tien onderwerpen er wordt bedoeld — en dat is minuten werk, geen dag.

Herleidbaar tot dezelfde tien maatregelen

Artikel 21 lid 2 van Richtlijn (EU) 2022/2555 noemt de tien maatregelen waar vrijwel elke securityvragenlijst — of hij nu van een bank, een verzekeraar of een grote klant komt — direct of indirect naar teruggrijpt: van risicobeheer en incidentafhandeling tot cryptografie en toegangsbeheer. Wie ISO/IEC 27001 toepast, herkent diezelfde onderwerpen terug in de beheersmaatregelen van Annex A, wat verklaart waarom een vragenlijst over "informatiebeveiliging" en een over "NIS2-compliance" voor het overgrote deel om dezelfde feiten vragen. De Nederlandse Cyberbeveiligingswet, die deze richtlijn per 15 augustus 2026 omzet, verandert die kernindeling niet — de vragen die klanten nu al stellen, blijven dus grotendeels dezelfde vragen na die datum.