ricevo continuamente questionari quasi identici da diversi clienti, dovrebbe essere più veloce

Cinque elenchi, una fonte: le dieci misure dell'articolo 21

Sì, può essere più veloce, perché questi cinque elenchi chiedono quasi certamente lo stesso quadro sottostante. I clienti che ti contattano — banche, grandi fornitori, assicuratori — riscrivono tutti le stesse dieci misure dell'articolo 21 paragrafo 2 della direttiva NIS2 nel loro formato di portale proprietario. Uno lo chiama "vulnerability management", un altro "kwetsbaarhedenbeleid", un terzo chiede "patch management procedures" — si tratta di il processo di identificazione e correzione delle vulnerabilitàLo stesso vale per la politica di accesso, la risposta agli incidenti, la continuità e il resto: formulazioni diverse, stessa misura sottostante.

Il lavoro che rimane è trovare l'unica risposta che si adatta a tutte e cinque le formulazioni e controllare per ogni elenco se la risposta è ancora attuale — non ricercare da capo cinque volte cosa viene chiesto esattamente. Una serie fissa di documenti di origine (politiche, procedure, prove) collegati a ciascuna delle dieci misure rende questo una questione di copiare e adattare al formato, invece di formulare di nuovo ogni volta. Dove i clienti chiedono spesso, e dove quindi non ha senso ricostituire di nuovo ogni volta, è se l'impresa stessa rientra nella direttiva NIS2 — quella risposta non cambia per cliente.

Perché queste dieci misure compaiono ovunque

L'articolo 21 paragrafo 2 della direttiva NIS2 elenca dieci categorie di misure che le entità soggette alla direttiva devono adottare: dall'analisi dei rischi alla gestione degli incidenti, dalla crittografia al controllo degli accessi. Poiché banche e grandi fornitori basano i loro elenchi di domande per la due diligence propri su questo articolo — talvolta direttamente, talvolta tramite ISO/IEC 27001 Allegato A, che traduce in gran parte gli stessi argomenti in misure di controllo — il contenuto delle domande si ripete, anche se l'ordine, il raggruppamento e la terminologia variano per portale. La legge olandese sulla sicurezza informatica recepisce questa direttiva nella legislazione nazionale ed entra in vigore il 15 agosto 2026; fino a quella data il quadro sottostante non cambia, quindi la sovrapposizione tra quest'anno e l'anno prossimo rimane in gran parte intatta.