varje kund skickar sin egen cybersäkerhetsenquête, hur hanterar jag detta smart

Ett kedjedossier, tio fasta kategorier

Det smarta tillvagagångssättet är inte: fylla i varje lista separat. Det är: ordna dina svar en gång enligt de tio åtgärderna i artikel 21 punkt 2 NIS2, och återanvenda dem per kund. Bank, försäkringsgivare och industrikund ställer nästan ordagrant samma frågor — bara i en annan ordning och med andra etiketter. Banken kallar det "åtkomstskydd", industrikunden kallar det "identity & access management", men svaret kommer från samma dossierdel: är åtkomstpolicyn fastställd, inklusive hanteringen av företagstillgångar.

Så snart dossieern är fullständig för de tio kategorierna — riskpolicy, incidenthantering, kontinuitet, sårbarhetshantering, kedjeskydd, testning, medvetenhet, kryptografi, åtkomst/MFA, och din egen NIS2-status — är varje ny lista i huvudsak att känna igen vilken fråga som hör till vilken kategori. Vissa frågor täcker två kategorier i en mening, till exempel åtkomstpolicy tillsammans med flerfaktorsautentisering. Dela då upp det i dossieern, inte i huvudet vid varje ny lista.

Varför dessa tio kategorier är kapstocken

Artikel 21 punkt 2 i NIS2-direktivet nämner tio åtgärder som en enhet måste vidta: från riskanalysepolicy till kryptografi till åtkomstkontroll. Nästan varje kundfrågelista — cyberformulär från en bank, säkerhetsfrågor från en tekikleverantör, ESG-cyberdel från en försäkringsgivare — är en egen tolkning av samma tio punkter, ibland komplett med ISO/IEC 27001 Annex A-terminologi eftersom uppgiftsförfattaren har använt denna norm som ramverk. Den som bygger sitt dossier enligt artikel 21 punkt 2 känner därför raskt igen vilket Annex A-kontrollnummer eller vilken kundfråga som hör till vilken dossierdel. Den nederländska cybersäkerhetslag implementerar dessa tio åtgärder från och med 15 augusti 2026 i nationell lagstiftning, så kapstocken ändras inte — endast den juridiska titel som en kund sedan hänvisar till.