nu înțeleg o întrebare tehnică din chestionar, cine poate răspunde la aceasta

Reduceți întrebarea la una dintre cele zece măsuri

O întrebare tehnică dintr-un chestionar este aproape întotdeauna o traducere a uneia dintre cele zece măsuri din articolul 21 alineatul 2 al NIS2, sau a unei măsuri de control din Anexa A a ISO/IEC 27001. Portalul clientului folosește adesea o formulare proprie — "cum este configurată segmentarea rețelei dumneavoastră" sau "ce standard de criptare utilizați pentru datele at rest" — dar întrebarea subiacentă este cunoscută. Merită să determinați mai întâi sub ce categorie se încadrează întrebarea: se referă la acces, la criptare, la vulnerabilități sau la lanț. Odată ce categoria este stabilită, întrebarea poate fi de obicei răspunsă cu documentația existentă, chiar dacă termenul exact este nou.

În caz de incertitudine cu privire la implementarea tehnică precisă — ce protocol, ce lungime de cheie, ce frecvență de scanare — departamentul IT sau administratorul extern este partea desemnată, nu persoana de contact comercială sau juridică care primește lista. Cine întâlnește în mod regulat aceleași întrebări tehnice cu privire la criptare, poate înregistra aceasta ca răspuns standard pentru subiect sau dacă există o politică privind criptografia și criptarea, astfel încât acea întrebare să nu fie investigată din nou de fiecare dată. Același lucru se aplică și pentru întrebări privind autentificarea multifactor sau controlul accesului: acestea sunt întrebări separate din listă, dar din punct de vedere conținut sunt același subiect reformulat din nou.

De unde provin cele zece măsuri

Articolul 21 alineatul 2 din Directiva (UE) 2022/2555 enumără zece categorii de măsuri, de la analiza riscurilor la criptografie la comportamentul uman din cadrul organizației. Anexa A din ISO/IEC 27001 dezvoltă mai departe subiecte similare în măsuri concrete de control, ceea ce explică de ce o întrebare de audit și o întrebare de client ajung adesea la același lucru, chiar dacă formulările diferă. Legea privind securitatea cibernetică transpune articolul 21 în dreptul intern al Olandei și se preconizează că va intra în vigoare pe 15 august 2026; până la acea dată, directiva însăși este punctul de plecare pentru cei care doresc să verifice sub care măsură se încadrează o întrebare.