cada cliente envía un cuestionario diferente, ¿cómo mantengo el control de esto

Un expediente de cadena, diez componentes fijos

La solución no es mantener más formatos, sino mantener una estructura subyacente única que permanezca igual bajo cada formato. Cada cliente empaqueta su cuestionario de forma diferente — uno lo llama "supplier security assessment", otro "third party risk questionnaire" — pero el contenido casi siempre se reduce a las diez medidas del artículo 21 apartado 2 de la Directiva (UE) 2022/2555, o a las medidas de control del Anexo A de ISO/IEC 27001 si el cliente utiliza ese estándar como marco. Política de riesgos, respuesta ante incidentes, continuidad, seguridad de la cadena, gestión de vulnerabilidades: esos diez temas reaparecen bajo encabezados variables, en orden variable, con puntuación variable (sí/no, 1-5, cuadro de texto). Quien registre sus respuestas por tema en lugar de por formato de cliente, solo necesita reconocer qué encabezado corresponde a qué tema cuando aparezca una nueva lista — no necesita reformular la respuesta.

En la práctica, esto significa que por cada componente escribes una buena respuesta una sola vez, con la evidencia correspondiente, y luego reutilizas esa respuesta. Para la política de acceso y la gestión de activos es a menudo un documento de política más una captura de pantalla de la estructura de derechos; para la evaluación de procedimientos de medidas de seguridad es el último informe de auditoría interna. Una vez que ese expediente está completo, un nuevo cuestionario de cliente es principalmente reconocer y copiar, no volver a investigar.

Por qué las diez medidas son el denominador común

El artículo 21 apartado 2 de la Directiva (UE) 2022/2555 menciona diez categorías de medidas que debe tomar una entidad — desde política de análisis de riesgos hasta criptografía hasta comportamiento humano — y esa lista es en la práctica la base sobre la que se construyen la mayoría de los cuestionarios de compra de los clientes, incluso si el cliente en sí no se refiere a NIS2. ISO/IEC 27001 Anexo A cubre en gran medida los mismos temas con más detalle por medida, lo que explica por qué un formato que se refiere a un marco se puede traducir sin mucha dificultad al otro.