kiekvienas klientas siunčia kitokį klausimyną, kaip aš tai sekiau

Vienas tiekėjo dossierietas, dešimt pastovių modulių

Sprendimas - ne daugiau formatų prižiūrėti, bet vieną pagrindinę struktūrą išlaikyti, kuri kiekviename formate lieka ta pati. Kiekvienas klienatas savo klausimyną pakuoja kitaip — vienas vadina jį "supplier security assessment", kitas — "third party risk questionnaire" — tačiau turinys beveik visada grįžta į dešimt Article 21 straipsnio 2 dalyje NIS2 nurodytų priemonių, arba į ISO/IEC 27001 A priedą, jei klienatas tą standartą naudoja pagrindu. Rizikos politika, incidentų reagavimas, tęstinumas, tiekimo grandinės saugumas, pažeidžiamumo valdymas: tie dešimt temų pasikartoja po skirtingais pavadinimais, skirtinga tvarka, su skirtingu vertinimu (taip/ne, 1-5, tekstinis laukas). Kas savo atsakymus fiksuoja pagal temą, o ne pagal kliento formatą, naujame klausimyne tik turi atpažinti, kuris pavadinimas atitinka kurią temą — nereikia atsakymo iš naujo formuluoti.

Praktikoje tai reiškia, kad kiekvienam moduliui tu vieną kartą parašai gerą atsakymą su įrodymu, ir tą atsakymą tada pakartotinai naudoji. Dėl Zugriffskontrollrichtlinie und Verwaltung von Unternehmensressourcen tai dažnai yra politikos dokumentas ir priešpriešos jungčių struktūros ekrano kopija; dėl saugumo priemonių procedūrinio patikrinimo - tai paskiausias vidinis audito ataskaita. Kai tik tas dossierietas baigtas, naujas kliento klausimynas - tai visų pirma atpažinti ir kopijuoti, o ne iš naujo paieškoti.

Kodėl dešimt priemonių yra bendrasis pagrindas

Direktyvos (ES) 2022/2555 Article 21 straipsnio 2 dalyje išvardytos dešimt priemonių kategorijų, kurias subjektas turi priimti — nuo rizikos analizės politikos iki kriptografijos iki žmogaus elgesio — ir praktikoje tas sąrašas yra pagrindas, ant kurio dauguma kliento pirkimo klausimynų sudaryta, net jei klientas pats į NIS2 nenurodo. ISO/IEC 27001 A priedas iš esmės apima tas pačias sritis su daugiau detalių kiekvienai priemonei, o tai paaiškina, kodėl formatą, nurodantį į vieną sistemą, nesunkiai galima pritaikyti kitai.