cada cliente tiene un cuestionario de seguridad diferente, ¿debo empezar de nuevo cada vez

Cada lista es un orden diferente de las mismas diez medidas

No, en la mayoría de los casos no volver a empezar — las preguntas difieren en redacción, pero cubren en prácticamente cada cliente los mismos puntos subyacentes. Un banco pregunta por "incident response procedure", otro por "cómo se gestionan los incidentes de seguridad", y un tercero por "detección y notificación de incidentes cibernéticos". Eso es tres veces el procedimiento para el tratamiento de incidentes de seguridad, tres veces la misma respuesta del mismo expediente. Lo mismo aplica para acceso, copias de seguridad, gestión de vulnerabilidades y seguridad de la cadena en proveedores: prácticamente cada cuestionario se reduce a un subconjunto de las diez medidas del artículo 21 apartado 2 NIS2, incluso si el cliente mismo no hace referencia a NIS2.

El trabajo no consiste entonces en formular respuestas una y otra vez de nuevo, sino en reconocer qué pregunta corresponde a qué punto subyacente. Una pregunta sobre "política de contraseñas y verificación de dos pasos" es simplemente autenticación multifactor con otras palabras. Una pregunta sobre "riesgo de proveedores" o "third party risk" es requisitos de seguridad para los propios proveedores. Una vez que ese expediente existe, cada siguiente lista es principalmente coincidir y confirmar, no reescribir.

Lo que está detrás: artículo 21 apartado 2 y Anexo A

El artículo 21 apartado 2 de la Directiva NIS2 (2022/2555) menciona diez categorías de medidas — análisis de riesgo, gestión de incidentes, continuidad de negocio, seguridad de la cadena, política de vulnerabilidades, criptografía, política de acceso, MFA, concienciación y pruebas de las medidas. Prácticamente cada cuestionario de seguridad de un banco, asegurador o cliente de gran negocio es una traducción propia de (parte de) esos mismos diez puntos, a menudo complementados con preguntas que literalmente provienen del Anexo A de ISO/IEC 27001. Eso explica por qué la redacción varía pero el contenido subyacente no: son dos marcos fijos, no mil deseos de clientes diferentes.