vyplňování tohoto dotazníku zabezpečení mě stojí pokaždé příliš mnoho času

Pořád stejných deset témat, v jiném kabátu

To téměř vždy pochází z jedné věci: každý zákazník překládá stejných deset opatření z článku 21 odst. 2 NIS2 do svých vlastních slov a svého vlastního pořadí. Jeden portál se ptá "máte proces řešení incidentů", druhý "popište svůj postup při bezpečnostních incidentech" — je to stejná otázka jako existuje postup pro řešení bezpečnostních incidentů?. Bez jediného centrálního spisu tedy hledáte tuto odpověď desetkrát ročně, v deseti různých formulacích.

Čas není v odpovídání, je v nalézání důkazů. Který dokument zásad, která verze, který certifikát — to hledání a přeformulování odpovědi na formát tohoto konkrétního zákazníka, to je celý den. Otázky o vícefaktorové ověřování, o zásadách přístupu a správě aktiv a bezpečnostních požadavcích na vlastní dodavatele se vyskytují v téměř každém seznamu, jen jinak rozděleny. Kdo jednou pro každý typ otázky stanoví, jaká je skutečná odpověď a kde je důkaz, pak už jen musí poznat, která z deseti témat se myslí — a to je minutová práce, ne den.

Redukovalné na stejných deset opatření

Článek 21 odst. 2 Směrnice (EU) 2022/2555 uvádí deset opatření, na která se zaměřuje téměř každý bezpečnostní dotazník — ať už pochází z banky, pojišťovny nebo velkého zákazníka — přímo nebo nepřímo: od řízení rizik a řešení incidentů až po kryptografii a správu přístupu. Kdo uplatňuje ISO/IEC 27001, pozná stejná témata v kontrolních opatřeních Přílohy A, což vysvětluje, proč se dotazník o "bezpečnosti informací" a dotazník o "souladu s NIS2" z velké části ptají na stejné skutečnosti. Nový holandský zákon o kybernetické bezpečnosti, který tuto směrnici do 15. srpna 2026 přepracuje, toto základní rozdělení nemění — otázky, které zákazníci již nyní kladou, zůstávají tedy z velké části stejnými otázkami po tomto datu.