elke klant stuurt zijn eigen cybervragenlijst, hoe pak ik dit slim aan

Eén ketendossier, tien vaste categorieën

De slimme aanpak is niet: elke lijst apart invullen. Het is: één keer je antwoorden ordenen langs de tien maatregelen van artikel 21 lid 2 NIS2, en die per klant hergebruiken. Bank, verzekeraar en industriële klant vragen bijna letterlijk hetzelfde — alleen in andere volgorde en met andere labels. De bank noemt het "toegangsbeveiliging", de industriële klant noemt het "identity & access management", maar het antwoord komt uit hetzelfde dossieronderdeel: is het toegangsbeleid vastgelegd, inclusief het beheer van bedrijfsmiddelen.

Zodra je dossier compleet is voor de tien categorieën — risicobeleid, incidentafhandeling, continuïteit, kwetsbaarhedenbeheer, ketenbeveiliging, toetsing, bewustwording, cryptografie, toegang/MFA, en de eigen NIS2-status — is elke nieuwe lijst vooral herkennen welke vraag bij welke categorie hoort. Sommige vragen dekken twee categorieën in één zin, bijvoorbeeld toegangsbeleid samen met meerfactorauthenticatie. Splits die dan in je dossier, niet in je hoofd bij elke lijst opnieuw.

Waarom die tien categorieën de kapstok zijn

Artikel 21 lid 2 van de NIS2-richtlijn noemt tien maatregelen die een entiteit moet nemen: van risicoanalysebeleid tot cryptografie tot toegangscontrole. Vrijwel elke klantvragenlijst — cyberformulier van een bank, security-questionnaire van een tech-leverancier, ESG-cyberdeel van een verzekeraar — is een eigen vertaling van diezelfde tien punten, soms aangevuld met ISO/IEC 27001 Annex A-terminologie omdat de opsteller die norm als raamwerk heeft gebruikt. Wie zijn dossier op artikel 21 lid 2 bouwt, herkent daardoor razendsnel welk Annex A-controlnummer of welke klantvraag bij welk dossierdeel hoort. De Nederlandse Cyberbeveiligingswet zet deze tien maatregelen vanaf 15 augustus 2026 om in nationale wetgeving, dus de kapstok verandert niet — alleen de juridische titel waarnaar een klant straks verwijst.