tämän turvallisuuskyselylomakkeen täyttäminen vie minulta liian paljon aikaa

Aina samat kymmenen aihetta, eri pukussa

Tämä johtuu lähes aina yhdestä asiasta: jokainen asiakas kääntää saman kymmenen toimenpiteen artiklan 21 kohdan 2 NIS2-direktiivistä omiksi sanoikseen ja omaan järjestykseensä. Yksi portaali kysyy "onko teillä poikkeamien hallintaprosessi", toinen "kuvaile turvallisuuspoikkeamien menettelytapanne" — se on sama kysymys kuin onko sinulla menettelytapa turvallisuuspoikkeamien käsittelyyn?. Ilman yhtä keskitettyä dossieta etsit siis vastauksen kymmenen kertaa vuodessa, kymmenen eri muotoilussa.

Aika ei mene vastaamiseen, vaan todisteen etsimiseen. Mikä päätösdokumentti, mikä versio, mikä sertifikaatti — sen etsiminen ja vastauksen uudelleenmuotoilu kyseisen asiakkaan muotoon, se vie koko päivän. Kysymykset monivaiheinen tunnistautuminen, siitä pääsynoikeuksien ja omaisuuden hallinnasta sekä omien toimittajien turvallisuusvaatimuksista ilmestyvät lähes jokaiselle listalle, vain eri tavalla järjestetty. Jokainen, joka ottaa kerran kysymystyyppiä kohden käyttöön mitä todellinen vastaus on ja missä todiste sijaitsee, tarvitsee sen jälkeen vain tunnistaa mitkä kymmenestä aiheesta on tarkoitettu — ja se on minuuttien työtä, ei päivää.

Jäljitettävissä samaan kymmeneen toimenpiteeseen

Direktiivin (EU) 2022/2555 artiklan 21 kohdan 2 mainitsee kymmenen toimenpidettä, joihin lähes jokainen turvallisuuskyselylista — olipa se sitten pankilta, vakuutusyhtiöltä tai suurelta asiakkaalta — suoraan tai välillisesti viittaa: riskienhallinnasta poikkeamien käsittelyyn, kryptografiasta ja pääsynoikeuuksien hallintaan. Jokainen, joka soveltaa ISO/IEC 27001 -standardia, tunnistaa samat aiheet Liitteen A valvontatoimenpiteistä, mikä selittää, miksi "tietoturvallisuus"-kysymyslista ja "NIS2-vaatimustenmukaisuus"-kysymyslista kysyvät suurelta osin samoista tosiasioista. Hollantilainen kybertietoturvallisuuslaki, joka muuntaa tämän direktiivin 15. elokuuta 2026 mennessä, ei muuta tätä ydinrakennetta — kysymykset, joita asiakkaat jo nyt esittävät, pysyvät siis pääosin samoina kysymyksinä kyseisen päivämäärän jälkeen.