recebo repetidamente quase o mesmo questionário de diferentes clientes, isso não poderia ser mais rápido

Cinco listas, uma fonte: as dez medidas do artigo 21º

Sim, isso pode ser mais rápido, porque essas cinco listas pedem praticamente de certeza o mesmo enquadramento subjacente. Os clientes que te contactam — bancos, compradores maiores, seguradoras — reescrevem todos as mesmas dez medidas do artigo 21º, n.º 2 da Diretiva NIS2 no seu próprio formato de portal. Um chama "vulnerability management", outro "políticas de vulnerabilidades", um terceiro pergunta por "procedimentos de patch management" — trata-se de o processo de deteção e correção de vulnerabilidades. O mesmo se aplica à política de acesso, resposta a incidentes, continuidade e o resto: formulações diferentes, a mesma medida subjacente.

O trabalho que permanece é encontrar a única resposta que se adequa a todas as cinco formulações e, por cada lista, verificar se a resposta ainda é atual — não descobrir cinco vezes o que é exatamente pedido. Um conjunto fixo de documentos de origem (políticas, procedimentos, comprovativos) associado a cada uma das dez medidas torna isso uma questão de copiar e adaptar ao formato, em vez de formular de novo todas as vezes. Quando os clientes frequentemente perguntam em separado, e portanto não faz sentido reconstruir constantemente, é se a empresa se enquadra sob a diretiva NIS2 — essa resposta não muda por cliente.

Porque é que essas dez medidas aparecem em toda a parte

O artigo 21º, n.º 2 da Diretiva NIS2 menciona dez categorias de medidas que as entidades abrangidas pela diretiva devem tomar: desde análise de riscos e tratamento de incidentes até criptografia e controlo de acesso. Porque bancos e grandes compradores baseiam as suas próprias listas de perguntas de due diligence neste artigo — por vezes diretamente, por vezes através da ISO/IEC 27001 Anexo A, que traduz em grande medida os mesmos assuntos em medidas de controlo — o conteúdo das perguntas repete-se, mesmo que a ordem, agrupamento e terminologia variem por portal. A Lei Holandesa de Cibersegurança transpõe essa diretiva em legislação nacional e entra em vigor em 15 de agosto de 2026; até essa data, o enquadramento subjacente não muda, portanto a sobreposição entre este ano e o próximo ano permanece em grande medida intacta.