kiekvienas klausimynas yra skirtingas, kaip suvaldyti šią situaciją

Vienas grandinės dosjeris, dešimt pastoviųjų kategorijų

Sumanus požiūris nėra toks: kiekvieną sąrašą užpildyti atskirai. Tai yra: vieną kartą sutvarkytus atsakymus pagal dešimt NIS2 direktyvos 21 straipsnio 2 dalies priemonių, ir juos pakartotinai naudoti kiekvienam klientui. Bankas, draudimo įmonė ir pramonės klientas klausia beveik identiškus klausimus — tik skirtinga tvarka ir su skirtingais žymėjimais. Bankas jį vadina "prieigos apsauga", pramonės klientas vadina jį "tapatybės ir prieigos valdymu", bet atsakymas gaunamas iš to paties dosjerio dalies: ar prieigos politika nustatyta, įskaitant verslo turto valdymą.

Kai tik tavo dosjeris yra išsamus dešimčiai kategorijų — rizikos politika, incidentų tvarkymas, tęstinumas, pažeidžiamumo valdymas, grandinės saugumas, testavimas, sąmoningumas, kriptografija, prieiga/MFA ir tavo paties NIS2 būsena — kiekvienas naujas sąrašas daugiausia yra atpažinti, kuris klausimas priklauso kuriai kategorijai. Kai kurie klausimai apima dvi kategorijas vienoje frazėje, pavyzdžiui, prieigos politika kartu su daugiaaspektė autentifikacija. Padalink tai savo dosjeriu, ne savo galvoje kiekvienam sąrašui iš naujo.

Kodėl tos dešimt kategorijų yra kabykla

NIS2 direktyvos 21 straipsnio 2 dalis nurodo dešimt priemonių, kurias turi imtis subjektas: nuo rizikos analizės politikos iki kriptografijos iki prieigos kontrolės. Beveik kiekvienam kliento klausimuose esančiam sąrašui — banko kibernetinio saugumo formoje, technikos tiekėjo saugumo klausimyne, draudimo įmonės ESG kibernetinio saugumo dalyje — yra savitarpi tų pačių dešimt punktų vertimas, kartais papildyta ISO/IEC 27001 Annex A terminologija, nes kūrėjas naudojo tą normą kaip pagrindą. Kas savo dosjerį sudaro pagal 21 straipsnio 2 dalį, greitai atpažįsta, kurie Annex A kontrolės numeriai arba kurie kliento klausimai priklauso kuriai dosjerio daliai. Nyderlandų Kibernetinio saugumo įstatymas šias dešimt priemonių nuo 2026 m. rugpjūčio 15 d. transponuoja į nacionalinį teisės aktą, todėl kabykla nesikeičia — keičiasi tik juridinis pavadinimas, į kurį klientas toliau nusižymi.