det tar mig alltför lång tid att fylla i denna säkerhetsenk varje gång

Alltid samma tio ämnen, bara i olika format

Det beror nästan alltid på en sak: varje kund översätter samma tio åtgärder från artikel 21 stycke 2 NIS2 till sina egna ord och sin egen ordning. En portal frågar "har ni en incidenthanteringprocess", en annan "beskriv er procedur vid säkerhetsincidenter" — det är samma fråga som finns det en procedur för hantering av säkerhetsincidenter?. Utan ett centralt dossier letar du alltså efter det svaret tio gånger per år, i tio olika formueringar.

Tiden ligger inte i att svara, den ligger i att hitta bevis. Vilken policydokument, vilken version, vilket certifikat — att leta upp det och omformulera svaret till det format som den specifika kunden använder, det är hela dagen. Frågor om flerfaktorsautentisering, om åtkomstpolicy och tillgångshantering och om säkerhetskraven för egna leverantörer återkommer i praktiskt taget varje lista, bara ordnad olika. Den som en gång per frågtyp fastställer vad det faktiska svaret är och var beviset finns, behöver sedan bara känna igen vilket av de tio ämnena som avses — och det är några minuters arbete, inte en dag.

Kan härledas till samma tio åtgärder

Artikel 21 stycke 2 i Europaparlamentets och rådets direktiv (EU) 2022/2555 nämner de tio åtgärder som praktiskt taget varje säkerhetsfrågeformulär — oavsett om den kommer från en bank, en försäkringsgivare eller en stor kund — direkt eller indirekt bygger på: från riskhantering och incidenthantering till kryptografi och åtkomstkontroll. Den som tillämpar ISO/IEC 27001 känner igen samma ämnen i kontrollåtgärderna i Bilaga A, vilket förklarar varför en frågeformulär om "informationssäkerhet" och en om "NIS2-efterlevnad" för det övervägande delen ställer samma faktafrågor. Den nederländska Cyberbeveiligingswet, som omvandlar detta direktiv senast den 15 augusti 2026, ändrar inte denna grundläggande indelning — de frågor som kunder redan ställer nu kommer alltså i stort sett att förbli desamma efter det datumet.