ennek a biztonsági kérdőívnek a kitöltése mindig túl sok időt vesz igénybe

Mindig ugyanaz a tíz téma, más csomagolásban

Ez szinte mindig egy dolognak köszönhető: minden ügyfél a 2022/2555/EU irányelv 21. cikk (2) bekezdésének ugyanaz a tíz intézkedését fordítja le a saját szavaira és a saját sorrendjére. Az egyik portál azt kérdezi, hogy "van-e incidenskezelési folyamatotok", a másik pedig azt, hogy "írja le a biztonsági incidensek kezelésére vonatkozó eljárását" — ugyanez a kérdés, mint van-e eljárás a biztonsági incidensek kezelésére?. Központi dossié nélkül ezt a választ tehát évente tízszer kell újra megkeresned, tíz különböző megfogalmazásban.

Az idő nem a válaszolásban van, hanem a bizonyítékok megtalálásában. Melyik politikadokumentum, melyik verzió, melyik tanúsítvány — ezek megkeresése és a válasz átfogalmazása az adott ügyfél formátumára, ez az egész nap. Kérdések az többfaktoros hitelesítés-ről, a hozzáférési politika és az eszközkezelés és a a saját szállítókra vonatkozó biztonsági követelmények szinte minden listában visszatérnek, csak másként vannak besorolva. Aki egyszer kérdéstípusonként rögzíti, hogy mi a tényleges válasz és hol van a bizonyíték, annak utána csak fel kell ismernie, hogy a tíz téma közül melyikről van szó — és ez percek munkája, nem egy nap.

Ugyanazokra a tíz intézkedésekre redukálható

A 2022/2555/EU irányelv 21. cikk (2) bekezdése tíz intézkedést sorol fel, amelyekre szinte minden biztonsági kérdőív — legyen az banktól, biztosítótól vagy nagy ügyfélből — közvetlenül vagy közvetetten hivatkozik: a kockázatkezeléstől és az incidenskezeléstől a kriptográfiáig és a hozzáférés-kezelésig. Aki az ISO/IEC 27001 szabvány szerint jár el, felismeri ugyanezeket a témaköröket az A. melléklet ellenőrzési intézkedéseiben, amely megmagyarázza, hogy egy "információbiztonság" témájú kérdőív és egy "NIS2-megfelelőség" témájú kérdőív nagy részben ugyanazokat a tényeket kérdezi. A 2022/2555/EU irányelvet 2026. augusztus 15-én átültető holland Cyberbeveiligingswet ezt az alapvető besorolást nem változtatja meg — az ügyfelek által jelenleg már feltett kérdések tehát nagyrészt ugyanazok maradnak az adott dátum után.