всеки клиент изпраща различен въпросник как да следя това

Един дозиер на веригата, десет фиксирани строителни блока

Решението не е да се поддържат повече формати, а да се запази една основна структура, която остава същата под всеки формат. Всеки клиент пакетира своя въпросник по различен начин — един го нарича "supplier security assessment", другия "third party risk questionnaire" — но съдържанието почти всегда се свежда до десетте мерки на член 21, параграф 2 на NIS2, или до контролните мерки от приложение А на ISO/IEC 27001, ако клиентът използва този стандарт като опора. Политика на риска, отговор на инцидентите, приемственост, верижна сигурност, управление на уязвимостите: тези десет теми се появяват под различни заглавия, в различен ред, с различна оценка (да/не, 1-5, текстово поле). Който записва своите отговори по тема вместо по клиентски формат, при нов въпросник трябва само да разпознае кое заглавие към коя тема — не трябва да преформулира отговора.

На практика това означава, че за всеки строителен блок пишеш един добър отговор веднъж, с доказателството към него, и след това преизползваш този отговор. За политиката за достъп и управлението на активите е често политически документ плюс екранна снимка на структурата на правата; за преглеждането на процедурата на контролните мерки това ли е последния вътрешен одитен доклад. Веднага щом този файл е пълен, новия списък с въпроси на клиента е главно да се разпознае и копира, а не да се намери отново.

Защо десетте мерки са общият знаменател

Член 21, параграф 2 на Директива (EU) 2022/2555 посочва десет категории мерки, които дадена организация трябва да предприеме — от политика за анализ на риска до криптография до човешко поведение — и този списък е на практика основата, върху която са изградени повечето списъци с въпроси за закупки на клиентите, дори ако самият клиент не се позовава на NIS2. ISO/IEC 27001 Приложение A покрива до голяма степен същите теми с повече детайли за всяка мярка, което обяснява защо формат, който се позовава на една рамка, може да се преведе без много труд към другата.