cada cliente envia uma lista de questões diferente como acompanho isto

Um dossiê de cadeia, dez componentes fixos

A solução não é manter mais formatos, mas manter uma estrutura subjacente única que permaneça a mesma em cada formato. Cada cliente empacota sua lista de perguntas de forma diferente — um chama de "supplier security assessment", outro de "third party risk questionnaire" — mas o conteúdo quase sempre recai nas dez medidas do artigo 21.º, n.º 2 da NIS2, ou nas medidas de controlo do Anexo A da ISO/IEC 27001 se o cliente usar esse padrão como estrutura. Política de risco, resposta a incidentes, continuidade, segurança da cadeia, gestão de vulnerabilidades: esses dez tópicos reaparecem sob títulos variáveis, em ordem variável, com pontuação variável (sim/não, 1-5, caixa de texto). Quem registar suas respostas por tópico em vez de por formato de cliente só precisa reconhecer qual título corresponde a qual tópico quando uma nova lista chegar — não precisa reformular a resposta.

Na prática, isso significa que você escreve uma boa resposta uma vez por componente, com o comprovante anexado, e reutiliza essa resposta. Para a política de acesso e a gestão de ativos frequentemente é um documento de política mais uma captura de tela da estrutura de permissões; para a avaliação de procedimentos de medidas de segurança é o relatório de auditoria interna mais recente. Uma vez que esse dossiê está completo, uma nova lista de perguntas do cliente é principalmente reconhecer e copiar, não descobrir novamente.

Por que as dez medidas são o denominador comum

O artigo 21.º, n.º 2 da Diretiva (UE) 2022/2555 enumera dez categorias de medidas que uma entidade deve adotar — desde política de análise de risco até criptografia até comportamento humano — e essa lista é na prática a base sobre a qual a maioria das listas de perguntas de compra dos clientes é construída, mesmo que o cliente não se refira à NIS2. A ISO/IEC 27001 Anexo A abrange amplamente os mesmos tópicos com mais detalhes por medida, o que explica por que um formato que se refere a um framework pode ser facilmente traduzido para o outro.