jeg får stadig næsten det samme spørgeskema fra forskellige kunder, skal det gå hurtigere

Fem lister, én kilde: de ti foranstaltninger i artikel 21

Ja, det kan gøres hurtigere, for disse fem lister spørger næsten helt sikkert om den samme underliggende ramme. De kunder, der henvender sig til dig — banker, større aftagere, forsikringsselskaber — omskriver alle de samme ti foranstaltninger fra artikel 21, stk. 2 i NIS2-direktivet i deres eget portalformat. Den ene kalder det "vulnerability management", den anden "kwetsbaarhedenbeleid", en tredje spørger om "patch management procedures" — det handler om processen for identificering og udbedring af sårbarheder. Det samme gælder for adgangskontrol, hændelseshåndtering, kontinuitet og resten: forskellige formuleringer, samme underliggende foranstaltning.

Det arbejde, der tilbage, er at finde det ene svar, der passer til alle fem formuleringer, og for hver liste kontrollere, om svaret stadig er aktuelt — ikke fem gange at skulle gennemgå på ny, hvad der præcis bliver spurgt om. Et fast sæt kildedokumenter (politik, procedurer, bevis) knyttet til hver af de ti foranstaltninger gør det til et spørgsmål om at kopiere og tilpasse til formatet, i stedet for hver gang at skulle omformulere på ny. Hvor kunder ofte spørger enkeltvis, og hvor det derfor ikke giver mening at rekonstruere på ny hver gang, er det om virksomheden selv falder under NIS2-direktivet — det svar ændres ikke pr. kunde.

Hvorfor disse ti foranstaltninger dukker op overalt

Artikel 21, stk. 2 i NIS2-direktivet nævner ti kategorier foranstaltninger, som enheder omfattet af direktivet skal træffe: fra risikovurdering og hændelseshåndtering til kryptografi og adgangskontrol. Fordi banker og store aftagere baserer deres egne due diligence-spørgeskemaer på denne artikel — nogle gange direkte, nogle gange via ISO/IEC 27001 Annex A, som i høj grad oversætter de samme emner til kontrolforanstaltninger — kommer indholdet af spørgsmålene igen, selv hvis rækkefølgen, gruppering og terminologi varierer pr. portal. Den danske Cybersikkerhedsloven implementerer dette direktiv i national lovgivning og træder i kraft den 15. august 2026; indtil da ændres den underliggende ramme ikke, så overlapningen mellem i år og næste år forbliver stort set intakt.