fiecare client are o altă listă de întrebări de securitate trebuie să încep din nou de fiecare dată

Fiecare listă este o altă ordine a acelorași zece măsuri

Nu, în majoritatea cazurilor nu trebuie să reiau de la zero — întrebările diferă în formulare, dar acoperă la aproape fiecare client aceleași puncte subiacente. O bancă întreabă despre "procedura de răspuns la incidente", alta despre "cum sunt gestionate incidentele de securitate", iar o a treia despre "detectarea și raportarea incidentelor cibernetice". Asta sunt trei întrebări, procedura de gestionare a incidentelor de securitatetrei ori același răspuns din același dosar. La fel se întâmplă cu accesul, copiile de siguranță, gestiunea vulnerabilităților și securitatea lanțului la furnizori: aproape fiecare chestionar se reduce la o submulțime a zece măsuri din articolul 21 alineatul 2 NIS2, chiar dacă clientul însuși nu face referire la NIS2.

Munca nu constă deci în reformularea constant a răspunsurilor, ci în recunoașterea cărui punct subiacent aparține fiecare întrebare. O întrebare despre "politica parolelor și verificarea în doi pași" este pur și simplu autentificare multifactor în alte cuvinte. O întrebare despre "riscul furnizorilor" sau "third party risk" este cerințe de securitate pentru propriii furnizori. Odată ce dosarul acela este completat, fiecare următoare listă înseamnă în principal potrivire și confirmare, nu rescrierea de la capăt.

De unde se deduce: articolul 21 alineatul 2 și Anexa A

Articolul 21 alineatul 2 al Directivei NIS2 (2022/2555) enumeră zece categorii de măsuri — analiza riscului, gestionarea incidentelor, continuitatea activității, securitatea lanțului, politica vulnerabilităților, criptografia, politica de acces, MFA, conștientizare și testarea măsurilor. Aproape fiecare chestionar de securitate de la o bancă, asigurator sau client din mediul de afaceri larg este o interpretare proprie a (o parte din) aceleași zece puncte, adesea completată cu întrebări preluate textual din Anexa A a ISO/IEC 27001. Asta explică de ce se schimbă formularea dar conținutul subiacent rămâne același: sunt două cadre fixe, nu o mie de cerințe diferite ale clienților.