jag får nästan samma enkät från olika kunder varje gång, bör detta kunna gå snabbare

Fem listor, en källa: de tio åtgärderna i artikel 21

Ja, det kan gå snabbare, för dessa fem listor frågar nästan helt säkert om samma underliggande ramverk. De kunder som kontaktar dig — banker, större köpare, försäkringsbolag — formulerar om alla samma tio åtgärder från artikel 21 stycke 2 i NIS2-direktivet i sitt eget portalformat. Den ena kallar det "vulnerability management", den andra "säkerhetspolicy för sårbarheter", en tredje frågar om "patch management procedures" — det handlar om processen för att upptäcka och åtgärda sårbarheterDetsamma gäller för åtkomstpolicy, incidenthantering, kontinuitet och resten: olika ordalydelse, samma underliggande åtgärd.

Det arbete som återstår är att hitta det ena svaret som passar alla fem formuleringarna, och per lista kontrollera om svaret fortfarande är aktuellt — inte att fem gånger på nytt ta reda på vad som exakt efterfrågas. En fast uppsättning källdokument (policyer, procedurer, bevis) kopplad till varje av de tio åtgärderna gör det till en fråga om att kopiera och anpassa till formatet, istället för att varje gång formulera på nytt. Där kunder ofta frågar separat, och där det därför inte är meningsfullt att ständigt rekonstruera, är det om företaget själv omfattas av NIS2-direktivet — det svaret ändras inte per kund.

Varför dessa tio åtgärder återkommer överallt

Artikel 21 stycke 2 i NIS2-direktivet nämner tio kategorier åtgärder som enheter som omfattas av direktivet måste vidta: från riskanalys och incidenthantering till kryptografi och åtkomstkontroll. Eftersom banker och stora avnämare baserar sina egna due-diligence-frågelistor på denna artikel — ibland direkt, ibland via ISO/IEC 27001 Annex A, som i stor utsträckning översätter samma ämnen i kontrollåtgärder — återkommer innehållet i frågorna, även om ordningen, grupperingen och terminologin skiljer sig åt per portal. Den nederländska cyberlagstiftningen implementerar detta direktiv i nationell lagstiftning och träder i kraft den 15 augusti 2026; fram till dess datum ändras inte den underliggande ramen, därför förblir överlapningen mellan detta år och nästa år i stor utsträckning intakt.