hver kunde sender et anderledes spørgeskema, hvordan holder jeg styr på det

Ét kædearkiv, ti faste byggesten

Løsningen er ikke at vedligeholde flere formater, men at fastholde én underliggende struktur, der forbliver den samme under hvert format. Hver kunde pakker sin spørgeskema anderledes — den ene kalder det "supplier security assessment", den anden "third party risk questionnaire" — men indholdet falder næsten altid tilbage på de ti foranstaltninger i artikel 21, stk. 2 i NIS2, eller på kontroller i bilag A i ISO/IEC 27001, hvis kunden bruger denne standard som ramme. Risikopolitik, hændelsesrespons, kontinuitet, kædesikkerhed, sårbarhedsstyring: disse ti emner dukker op under varierende overskrifter, i varierende rækkefølge, med varierende scoring (ja/nej, 1-5, tekstfelt). Hvis du fastlægger dine svar pr. byggesten i stedet for pr. kundeformat, skal du ved en ny liste blot genkende, hvilket overskrift der hører til hvilket emne — du behøver ikke formulere svaret på ny.

I praksis betyder det, at du pr. byggesten skriver ét godt svar én gang, med dokumentationen ved siden af, og genbringer derefter dette svar. For adgangspolitikken og styringen af virksomhedsressourcer er det ofte et politikdokument plus et skærmbillede af rettighedsstrukturen; for kontroltestning af sikkerhedsforanstaltninger er det den seneste interne revisionsrapport. Når først dette arkiv er fuldstændigt, drejer det sig primært om at genkende og kopiere en ny kundespørgeskema, ikke at finde ud af det på ny.

Hvorfor de ti foranstaltninger er fællesnevneren

Artikel 21, stk. 2 i direktiv (EU) 2022/2555 nævner ti kategorier af foranstaltninger, som en enhed skal træffe — fra risikoanalsepolitik til kryptografi til menneskelig adfærd — og denne liste er i praksis grundlaget for de fleste kunders indkøbsspørgeskemaer, selvom kunden selv ikke refererer til NIS2. ISO/IEC 27001 Annex A dækker stort set de samme emner med mere detalje pr. foranstaltning, hvilket forklarer, hvorfor et format, der refererer til det ene rammework, uden større besvær kan oversættes til det andet.