saan jatkuvasti samanlaisen kyselylomakkeen eri asiakkailta, pitääkö tämän olla nopeampaa

Viisi luetteloa, yksi lähde: kymmenen toimenpidettä artiklan 21 mukaisesti

Kyllä, se onnistuu nopeammin, koska nuo viisi luetteloa kysyvät lähes varmasti samasta taustalla olevasta kehikosta. Asiakkaat, jotka ottavat sinuun yhteyttä — pankit, suuremmat toimittajat, vakuutusyhtiöt — kirjoittavat uudelleen samat kymmenen toimenpidettä NIS2-direktiivin 21. artiklan 2. kohdan mukaisesti omassa portaaliformaatissaan. Yksi kutsuu sitä "vulnerability management"-nimellä, toinen "kwetsbaarhedenbeleid"-nimellä, kolmas kysyy "patch management procedures" -menettelyistä — kyse on haavoittuvuuksien havaitsemista ja korjaamista koskevan prosessin kanssasamasta. Sama pätee käyttöoikeusperiaatteisiin, tapahtumiin reagointiin, jatkuvuuteen ja muihin: eri sanamuoto, sama taustalla oleva toimenpide.

Jäljellä oleva työ on löytää yksi vastaus, joka sopii kaikkiin viiteen muotoiluun, ja tarkistaa luetteloa kohden, onko vastaus vielä ajankohtainen — ei tutkia viisi kertaa uudelleen, mitä tarkalleen ottaen pyydetään. Kiinteä joukko lähdeasiakirjoja (politiikkaa, menettelyjä, todistusaineistoa), jotka on liitetty kuhunkin kymmenestä toimenpiteestä, tekee siitä kopioinnin ja mukauttamisen muotoon sijaan siitä, että jokaisen kerran uudelleen muotoilemisen sijaan. Kun asiakkaat usein kysyvät erikseen, eikä sillä ole näin ollen mitään järkeä aina uudelleen rekonstruoida, onko yritys itse NIS2-direktiivin piirissä — tämä vastaus ei muutu asiakaskohtaisesti.

Miksi nämä kymmenen toimenpidettä esiintyvät kaikkialla

NIS2-direktiivin 21. artiklan 2. kohdan mukaan on kymmenen toimenpidekategoriaa, joita direktiivin soveltamisalaan kuuluvien entiteettien on toteutettava: riskianalyysista ja tapahtumien käsittelemisestä salauksen ja käyttöoikeuksien hallintaan. Koska pankit ja suuret toimittajat perustavat omat due-diligence-kyselynsä tähän artiklaan — joskus suoraan, joskus ISO/IEC 27001 Annex A:n kautta, joka muuttaa suurelta osin samat aiheet hallintotoimenpiteiksi — kysymysten sisältö toistuu, vaikka järjestys, ryhmittely ja terminologia eroavat portaalittain. Hollantilainen Cyberbeveiligingswet ottaa tämän direktiivin kansalliseen lainsäädäntöön ja astuu voimaan 15. elokuuta 2026; siihen päivämäärään asti taustalla oleva kehikko ei muutu, joten päällekkäisyys tämän vuoden ja ensi vuoden välillä pysyy suurelta osin ennallaan.