varje kund skickar annan frågelista hur håller jag reda på det här

En leverantörsakt, tio fasta byggstenar

Lösningen är inte att upprätthålla fler format, utan att upprätthålla en gemensam underliggande struktur som förblir densamma under varje format. Varje kund paketerar sin frågelist annorlunda — den ena kallar det "supplier security assessment", den andra "third party risk questionnaire" — men innehållet faller nästan alltid tillbaka på de tio åtgärder som anges i artikel 21 punkt 2 i Direktiv (EU) 2022/2555, eller på kontrollmåtten i bilaga A till ISO/IEC 27001 om kunden använder denna standard som grund. Riskpolicy, incidenthantering, kontinuitet, leverantörsbevakning, sårbarhetshantering: dessa tio områden återkommer under olika rubriker, i olika ordning, med olika poäng (ja/nej, 1–5, textfält). Den som dokumenterar sina svar per område i stället för per kundformat behöver vid en ny lista bara identifiera vilken rubrik som motsvarar vilket område — inte formulera om svaret på nytt.

I praktiken innebär detta att du per byggsten skriver ett välformulerat svar en gång, tillsammans med beviset, och återanvänder sedan det svaret. För åtkomstpolicy och hantering av företagstillgångar är det ofta ett policydokument plus en skärmbild av rättigheetsstrukturen; för testning av säkerhetskontroller är det senaste interna revisionsprotokollet. När dossén väl är fullständig handlar det främst om att identifiera och kopiera en ny kundfrågelista, inte att utreda på nytt.

Varför de tio åtgärderna är gemensam nämnare

Artikel 21 punkt 2 i Direktiv (EU) 2022/2555 angav tio kategorier av åtgärder som en enhet måste vidta — från riskanalysepolicy till kryptering till mänskligt beteende — och denna lista är i praktiken grunden för de flesta av kundernas inköpsfråglistor, även om kunden själv inte hänvisar till NIS2. ISO/IEC 27001 Annex A täcker i stort sett samma områden med mer detaljer per åtgärd, vilket förklarar varför ett format som hänvisar till det ena ramverket utan större ansträngning kan översättas till det andra.