hver kunde har et andet cybersikkerhedsspørgeskema, skal jeg starte forfra hver gang

Hver liste er en anden rækkefølge af de samme ti foranstaltninger

Nej, i de fleste tilfælde ikke begynde forfra — spørgsmålene adskiller sig i ordlyden, men dækker hos næsten hver kunde de samme underliggende punkter. Den ene bank spørger om "incident response procedure", den anden om "hvordan håndteres sikkerhedshændelser", og en tredje om "opdagelse og rapportering af cyberhændelser". Det er tre gange proceduren for håndtering af sikkerhedshændelser, tre gange det samme svar fra samme dossier. Det samme gælder for adgang, sikkerhedskopier, sårbarhedsstyring og kædesikkerhed hos leverandører: næsten hver spørgeskema reduceres til en delmængde af de ti foranstaltninger fra artikel 21, stk. 2 i NIS2, selv hvis kunden selv ikke henviser til NIS2.

Arbejdet ligger således ikke i at formulere svarene igen og igen, men i at genkende hvilket spørgsmål der hører til hvilket underliggende punkt. Et spørgsmål om "adgangskodelseog totrinsbekræftelse" er bare multifaktor-godkendelse med andre ord. Et spørgsmål om "leverandørrisiko" eller "third party risk" er sikkerhedskrav til egne leverandører. Når først dossiet er på plads, handler hver efterfølgende liste primært om matching og bekræftelse, ikke om at skrive forfra.

Hvor det stammer fra: artikel 21, stk. 2 og Bilag A

Artikel 21, stk. 2 i NIS2-direktivet (2022/2555) nævner ti kategorier foranstaltninger — risikovurdering, hændelseshåndtering, forretningskontinuitet, kædesikkerhed, sårbarhedspolitik, kryptering, adgangspolitik, MFA, bevidsthed og kontrol af foranstaltningerne. Næsten hver sikkerhedsspørgeskema fra en bank, forsikringsgiver eller stor erhvervskunde er en egen oversættelse af (en del af) disse samme ti punkter, ofte suppleret med spørgsmål, der bogstaveligt kommer fra Bilag A i ISO/IEC 27001. Det forklarer, hvorfor ordlyden skifter, men det underliggende indhold ikke: det er to faste rammer, ikke tusinde løse kundebehov.