každý zákazník posiela svoj vlastný zoznam otázok na kybernetickú bezpečnosť, ako to riešim inteligentne

Jeden reťazový spis, desať pevných kategórií

Chytrý prístup nie je: vyplniť každý zoznam zvlášť. Je to: usporiadať svoje odpovede raz pozdĺž desiatich opatrení článku 21 bod 2 NIS2 a znovu ich použiť pre každého zákazníka. Banka, poisťovňa a priemyselný zákazník sa pýtajú takmer doslova na to isté — len v inom poradí a s inými označeniami. Banka to nazýva "kontrola prístupu", priemyselný zákazník to nazýva "identity & access management", ale odpoveď pochádza z tej istej časti spisu: je politika prístupu dokumentovaná vrátane správy firemného majetku.

Akonáhle je váš spis kompletný pre desať kategórií — politika rizík, spracovanie incidentov, kontinuita, riadenie zraniteľností, bezpečnosť reťazca, testovanie, povedomie, kryptografia, prístup/MFA a váš vlastný stav NIS2 — je každý nový zoznam hlavne o rozpoznaní, ktorá otázka patrí do ktorej kategórie. Niektoré otázky pokrývajú dve kategórie v jednej vete, napríklad politika prístupu spolu s viacfaktorové overovanie. Potom ich v spise rozdeľte, nie v hlave pri každom zozname znovu.

Prečo sú tieto desať kategórií vešiakom

Článok 21 bod 2 smernice NIS2 uvádza desať opatrení, ktoré musí subjekt prijať: od politiky analýzy rizík po kryptografiu až po kontrolu prístupu. Takmer každý zoznam otázok zákazníka — kybernetický formulár banky, bezpečnostný dotazník dodávateľa technológií, časť ESG v oblasti kybernetickej bezpečnosti poisťovne — je vlastným prekladom tých istých desiatich bodov, niekedy doplnených terminológiou ISO/IEC 27001 Annex A, pretože autor tejto normy použil ako rámec. Kto si postaví spis podľa článku 21 bod 2, rýchlo rozpozná, ktoré Annex A kontrolné číslo alebo ktorá otázka zákazníka patrí do ktorej časti spisu. Holandský zákon o kybernetickej bezpečnosti počnúc 15. augustom 2026 transponuje tieto desať opatrení do národného zákonodarstva, takže vešiak sa nemení — mení sa len právny názov, na ktorý zákazník odkazuje.