nende turbevastuste küsimustiku täitmine võtab minult iga kord liiga palju aega

Alati samad kümme teemat, erinevate sõnadega

See on peaaegu alati tingitud ühest asiast: iga klient tõlgib sama kümme artikli 21 lõike 2 NIS2 meetmet oma sõnadesse ja oma järjestusse. Üks portaal küsib "kas teil on intsidendijuhtimine", teine "kirjeldage oma korda turvalahenduse intsidentide korral" — see on sama küsimus nagu kas teil on protseduur turvalisuse intsidentide käsitlemiseks?. Ilma ühe keskse failita otsite seda vastust seega kümme korda aastas, kümnes erinevas formuleeringus.

Aeg ei kuulu vastuste andmisele, see kuulub tõendi otsimisele. Milline poliitikadokument, milline versioon, milline sertifikaat — selle otsimine ja vastuse ümbersõnastamine selle konkreetse kliendi vormingusse, see on terve päev. Küsimused mitmefaktoriga autentimine, juurdepääsu- ja varahaldustegevuste poliitika ja turvalisuse nõuded enda tarnijatele esinevad peaaegu igas loendis, vaid teistmoodi kategoriseeritud. Kes korra küsitüübi kohta määrab kindlaks, mis on tegelik vastus ja kus on tõend, ei pea seejärel tegema muud, kui ära tundma, milline kümne teemast on tegemist — ja see on minutite töö, mitte terve päev.

Jäljendatav samade kümme meetmeni

Direktiivi (EL) 2022/2555 artikli 21 lõige 2 nimetab kümme meetmet, millele peaaegu iga turbemustri küsitlus — kas ta tuleb pangalt, kindlustusettevõttelt või suurelt kliendilt — otseselt või kaudselt viitab: riskijuhtimine ja intsidendi käsitlemine kuni krüptograafiafini ja juurdepääsukontrollini. Kes rakendab ISO/IEC 27001-i, tunneb samad teemad ära Lisas A sisalduva kaitse-meetmete juures, mis selgitab, miks küsitlus "infobezopastnosti" ja "NIS2 nõuetele vastavuse" kohta küsivad suurem osa selle kohta samadest faktidest. Hollandi küberturvalisuse seadus, mis selle direktiivi rakendab 15. augustil 2026, ei muuda seda südamikjaotust — küsimused, mida kliendid praegu esitavad, jäävad suuresti samadeks küsimusteks pärast seda kuupäeva.