Постоянно получавам почти един и същи списък със въпроси от различни клиенти, трябва ли това да бъде по-бързо

Пет списъка, един източник: десетте мерки на член 21

Да, това може да е по-бързо, защото тези пет списъка почти сигурно питат за същата основна рамка. Клиентите, които се обръщат към теб — банки, по-големи получатели, застрахователи — преформулират всички същите десет мерки от член 21, параграф 2 на Директивата NIS2 в своя собствен портален формат. Единият го нарича "vulnerability management", другият "kwetsbaarhedenbeleid", трети питат за "patch management procedures" — въпросът е за процеса за идентифициране и отстраняване на уязвимостите. Същото важи за политиката за достъп, реагирането на инциденти, преемствеността и останалото: различна формулировка, същата основна мярка.

Работата, която остава, е да намериш един отговор, който подходи за всичките пет формулировки, и за всеки списък да проверишь дали отговорът е все още актуален — не пет пъти да преоткриваш какво точно се пита. Набор от постоянни изходни документи (политика, процедури, доказателства) свързани с всяка от десетте мерки прави това въпрос на копиране и адаптиране към формата, вместо всеки път да преформулираш. Когато клиентите често питат отделно, и където следователно няма смисъл постоянно да преконструираш, е дали предприятието само попада ли под директивата NIS2 — този отговор не се променя за всеки клиент.

Защо тези десет мерки се появяват навсякъде

Член 21, параграф 2 на Директивата NIS2 изброява десет категории мерки, които редовите обекти трябва да предприемат: от анализ на риска и управление на инциденти до криптография и контрол на достъпа. Тъй като банките и големите получатели основават своите собствени списъци с въпроси за проверка на поведението на този член — понякога преки, понякога чрез ISO/IEC 27001 Приложение A, което преобразува до голяма степен същите теми в контролни мерки — съдържанието на въпросите се повтаря, дори ако редът, групирането и терминологията се различават за всеки портал. Нидерландският закон за киберсигурност трансспозира тази директива в национално законодателство и влиза в сила на 15 август 2026 г.; до тази дата основната рамка не се променя, така че припокриването между тази година и следващата година остава до голяма степен непокътнато.