šīs drošības anketas aizpildīšana man vienmēr prasa pārāk daudz laika

Vienmēr tās pašas desmit tēmas, citā formā

Tas gandrīz vienmēr ir tikai viena iemesla dēļ: katrs klients tulko tās pašas desmit pasākumus no Direktīvas (ES) 2022/2555 21. panta 2. punkta savos vārdos un savā secībā. Viens portāls prasa "vai jums ir notikuma reagēšanas process", otrs "aprakstiet savu procedūru drošības incidentu gadījumā" — tā ir tā pati jautājuma redakcija kā vai ir procedūra drošības incidentu apstrādei?. Bez viena centralizēta dossiera šo atbildi meklējat desmit reizes gadā, desmit dažādās formulējumos.

Laiks ir ne atbildžu sniegšanā, bet pierādījumu meklēšanā. Kāds politikas dokuments, kāda versija, kāds sertifikāts — to meklēt un atbildi pārveidot pēc konkrētā klenta formāta, tas ir viss. Jautājumi par vairāku faktoru autentifikācija, par piekļuves politiku un aktīvu pārvaldību un par drošības prasības pašu piegādātājiem parādās gandrīz katrā sarakstā, tikai savādi iedalīti. Kas vienu reizi par jautājuma tipu nosaka faktisko atbildi un kur atrodas pierādījums, tam pēc tam tikai jāatpazīst kura no desmit tēmām ir domāta — un tas ir dažu minūšu darbs, nevis vesela diena.

Atvedināms uz tiem pašiem desmit pasākumiem

Direktīvas (ES) 2022/2555 21. panta 2. punkts nosaka desmit pasākumus, uz kuriem gandrīz katrs drošības jautājumu saraksts — neatkarīgi no tā, vai tas ir no bankas, apdrošinātāja vai lielā klenta — tiešo vai netiešo atsauci: no riska pārvaldības un incidentu apstrādes līdz kriptogrāfijai un piekļuves kontrolei. Kas piemēro ISO/IEC 27001, atkārtoti atpazīst šīs pašas tēmas A pielikuma vadības pasākumos, kas izskaidro, kāpēc jautājumu saraksts par "informācijas drošību" un par "NIS2 atbilstību" lielāko daļu laika uzdod jautājumus par tiem pašiem faktiem. Nīderlandes Kiberndrošības likums, kas pārnes šo direktīvu 2026. gada 15. augustā, nemaina šo galveno sadalījumu — jautājumi, kurus klenti jau tagad uzdod, pēc šī datuma lielākā daļā paliek tādi paši jautājumi.