cada cliente tem uma lista de questões de segurança diferente tenho de começar do zero sempre

Cada lista tem uma ordem diferente das mesmas dez medidas

Não, na maioria dos casos não é necessário começar do zero — as perguntas diferem na redação, mas cobrem praticamente em cada cliente os mesmos pontos subjacentes. Um banco pergunta sobre "procedimento de resposta a incidentes", outro sobre "como são tratados os incidentes de segurança", e um terceiro sobre "detecção e notificação de incidentes cibernéticos". Isso é três vezes o procedimento para o tratamento de incidentes de segurançatrês vezes a mesma resposta do mesmo dossier. O mesmo aplica-se ao acesso, cópias de segurança, gestão de vulnerabilidades e segurança da cadeia de fornecedores: praticamente cada questionário reduz-se a um subconjunto das dez medidas do artigo 21.º, n.º 2 da NIS2, mesmo que o cliente não se refira à NIS2.

O trabalho não está em reformular respostas repetidamente, mas em reconhecer qual pergunta corresponde a qual ponto subjacente. Uma pergunta sobre "política de senhas e verificação em dois passos" é simplesmente autenticação multifator em outras palavras. Uma pergunta sobre "risco do fornecedor" ou "third party risk" é requisitos de segurança aos fornecedores próprios. Assim que esse dossier estiver pronto, cada próxima lista é principalmente verificação e confirmação, não reescrever.

O que está por trás disso: artigo 21.º, n.º 2 e Anexo A

O artigo 21.º, n.º 2 da Diretiva NIS2 (2022/2555) menciona dez categorias de medidas — análise de risco, tratamento de incidentes, continuidade de negócios, segurança da cadeia de fornecedores, política de vulnerabilidades, criptografia, política de acesso, MFA, consciencialização e teste das medidas. Praticamente cada questionário de segurança de um banco, segurador ou cliente empresarial é uma tradução própria de (uma parte de) esses mesmos dez pontos, frequentemente complementado com perguntas que vêm literalmente do Anexo A da ISO/IEC 27001. Isso explica por que a redação varia mas o conteúdo subjacente não: são dois frameworks fixos, não mil desejos de clientes diferentes.