varje kund har en annan säkerhetsfrågelista måste jag börja om varje gång

Varje lista är en annan ordning av samma tio åtgärder

Nej, i de flesta fall behöver du inte börja om — frågorna skiljer sig i ordalydelse, men täcker hos nästan varje kund samma underliggande punkter. En bank frågar efter "incident response procedure", en annan efter "hur hanteras säkerincidenter" och en tredje efter "identifiering och rapportering av cyberincidenter". Det är tre gånger förfarandet för hantering av säkerhetstillbud, tre gånger samma svar från samma dokumentation. Detsamma gäller för åtkomst, säkerhetskopior, sårbarhetshantering och leverantörskedjans säkerhet: nästan varje frågelista återgår till en delmängd av de tio åtgärderna i artikel 21 stycke 2 i NIS2, även om kunden själv inte hänvisar till NIS2.

Arbetet ligger därför inte i att formulera om svar om och om igen, utan i att identifiera vilken fråga som motsvarar vilken underliggande punkt. En fråga om "lösenordsprincip och tvåfaktorsverifiering" är helt enkelt flerfaktorsautentisering med andra ord. En fråga om "leverantörsrisk" eller "third party risk" är säkerhetskrav på egna leverantörer. När den dokumentationen väl är på plats är varje nya lista främst en matchning och bekräftelse, inte omskrivning.

Var det grundar sig på: artikel 21 stycke 2 och Annex A

Artikel 21 stycke 2 i NIS2-direktivet (2022/2555) nämner tio kategorier av åtgärder — riskanalys, incidenthantering, affärskontinuitet, leverantörskedjans säkerhet, sårbarhetshantering, kryptering, åtkomstprincip, MFA, medvetenhet och testning av åtgärder. Nästan varje säkerhetsfrågelista från en bank, försäkringsgivare eller större kommersiell kund är en egen tolkning av (en del av) dessa samma tio punkter, ofta kompletterad med frågor som bokstavligen kommer från Annex A i ISO/IEC 27001. Det förklarar varför ordalydelsen varierar men det underliggande innehållet inte: det är två fasta ramverk, inte tusen skilda kundönskemål.