primesc repetat aproape același chestionar de la diferiți clienți, ar trebui să merge mai repede

Cinci liste, o singură sursă: cele zece măsuri ale articolului 21

Da, se poate mai repede, pentru că acele cinci liste cer aproape sigur același cadru de bază. Clienții care te contactează — bănci, achiziționatori mai mari, asiguratori — rescriu toți aceleași zece măsuri din articolul 21 alineatul 2 din Directiva NIS2 în formatul propriului lor portal. Unul o numește "vulnerability management", altul "beleid voor kwetsbaarheden", al treilea întreabă despre "patch management procedures" — vorba este despre procesul de detectare și remediere a vulnerabilităților. Același lucru este valabil pentru politica de acces, răspunsul la incidente, continuitate și restul: formulare diferite, aceeași măsură de bază.

Munca care rămâne este găsirea unui singur răspuns care să se potrivească cu toate cinci formulări și verificarea per listă dacă răspunsul este încă actual — nu rezolvarea de cinci ori din nou a ceea ce exact se cere. Un set constant de documente sursă (politici, proceduri, dovezi) cuplat cu fiecare dintre cele zece măsuri face din asta o chestiune de copiere și adaptare la format, în loc de reformulare de fiecare dată. Acolo unde clienții întreabă adesea separat, și acolo unde prin urmare nu are rost să reconstruim mereu, este dacă întreprinderea în sine cade sub directiva NIS2 — acel răspuns nu se schimbă per client.

De ce acele zece măsuri apar peste tot

Articolul 21 alineatul 2 din Directiva NIS2 enumeră zece categorii de măsuri pe care entitățile care intră sub incidența directivei trebuie să le adopte: de la analiza riscurilor și gestionarea incidentelor până la criptografie și control al accesului. Deoarece băncile și achiziționatorii mari își bazează propriile chestionare de due diligence pe acest articol — uneori direct, uneori prin ISO/IEC 27001 Annex A, care traduce în mare măsură aceleași subiecte în controluri — conținutul întrebărilor reapare, chiar dacă ordinea, gruparea și terminologia diferă per portal. Legea olandeză de securitate cibernetică transpune această directivă în legislație națională și intră în vigoare la 15 august 2026; până la acea dată, cadrul de bază nu se schimbă, prin urmare suprapunerea dintre acest an și anul viitor rămâne în mare măsură intactă.