jeder Kunde hat eine andere Sicherheits-Fragensammlung, muss ich jedes Mal von vorne anfangen

Jede Liste hat eine andere Reihenfolge der gleichen zehn Maßnahmen

Nein, in den meisten Fällen nicht von vorne anfangen — die Fragen unterscheiden sich in der Formulierung, aber sie decken bei nahezu jedem Kunden die gleichen zugrunde liegenden Punkte ab. Die eine Bank fragt nach "incident response procedure", die andere nach "wie werden Sicherheitsvorfälle behandelt", und eine dritte nach "Erkennung und Meldung von Cybersicherheitsvorfällen". Das ist drei Mal dem Verfahren zur Behandlung von Sicherheitsvorfällendrei Mal die gleiche Antwort aus der gleichen Akte. Das Gleiche gilt für Zugang, Sicherungen, Schwachstellenmanagement und die Kettenbeveiliging bei Lieferanten: nahezu jede Frageliste läuft auf eine Teilmenge der zehn Maßnahmen aus Artikel 21 Absatz 2 NIS2 hinaus, auch wenn der Kunde selbst nicht auf NIS2 verweist.

Die Arbeit besteht also nicht darin, Antworten immer wieder neu zu formulieren, sondern darin, zu erkennen, welche Frage zu welchem zugrunde liegenden Punkt gehört. Eine Frage zu "Passwortrichtlinie und Zwei-Faktor-Authentifizierung" ist einfach Mehrstufenauthentifizierung anders formuliert. Eine Frage zu "Lieferantenrisiko" oder "third party risk" ist Sicherheitsanforderungen an die eigenen Lieferanten. Sobald diese Akte erst einmal vorhanden ist, geht es bei jeder nächsten Liste hauptsächlich darum, abzugleichen und zu bestätigen, nicht neu zu schreiben.

Worauf dies zurückgeht: Artikel 21 Absatz 2 und Annex A

Artikel 21 Absatz 2 der NIS2-Richtlinie (2022/2555) nennt zehn Kategorien von Maßnahmen — Risikoanalyse, Behandlung von Vorfällen, Geschäftskontinuität, Kettenbeveiliging, Schwachstellenrichtlinie, Kryptographie, Zugriffsrichtlinie, MFA, Sensibilisierung und Prüfung der Maßnahmen. Nahezu jede Sicherheits-Frageliste einer Bank, eines Versicherers oder eines großen Geschäftskunden ist eine eigene Interpretation (eines Teils) dieser gleichen zehn Punkte, oft ergänzt durch Fragen, die buchstäblich aus Annex A der ISO/IEC 27001 stammen. Das erklärt, warum die Formulierung wechselt, aber der zugrunde liegende Inhalt nicht: es sind zwei feste Rahmen, keine tausend einzelnen Kundenwünsche.