je reçois sans cesse à peu près le même questionnaire de différents clients, cela doit-il être plus rapide

Cinq listes, une source : les dix mesures de l'article 21

Oui, c'est plus rapide, car ces cinq listes demandent presque certainement la même chose. Les clients qui vous contactent — banques, plus grands fournisseurs, assureurs — réécrivent tous les dix mesures du paragraphe 2 de l'article 21 de la directive NIS2 dans leur propre format de portail. L'un l'appelle « vulnerability management », l'autre « politique de gestion des vulnérabilités », un tiers demande des « procédures de gestion des correctifs » — il s'agit de le processus d'identification et de correction des vulnérabilités. Il en va de même pour la politique d'accès, la réponse aux incidents, la continuité et le reste : formulations différentes, même mesure sous-jacente.

Le travail qui reste consiste à trouver la réponse unique qui s'adapte aux cinq formulations, et à vérifier pour chaque liste si la réponse est toujours actuelle — plutôt que de redécouvrir cinq fois ce qui est exactement demandé. Un ensemble fixe de documents sources (politiques, procédures, preuves) associé à chacune des dix mesures fait que c'est une question de copier et d'adapter au format, au lieu de reformuler à chaque fois. Lorsque les clients demandent souvent séparément, et où il ne sert donc à rien de reconstruire constamment, c'est si l'entreprise elle-même relève de la directive NIS2 — cette réponse ne change pas selon le client.

Pourquoi ces dix mesures réapparaissent partout

Le paragraphe 2 de l'article 21 de la directive NIS2 énumère dix catégories de mesures que les entités relevant de la directive doivent prendre : allant de l'analyse des risques et à la gestion des incidents jusqu'à la cryptographie et au contrôle d'accès. Parce que les banques et les grands fournisseurs basent leurs propres questionnaires de diligence raisonnable sur cet article — parfois directement, parfois via les annexes A de l'ISO/IEC 27001, qui traduisent largement les mêmes sujets en mesures de contrôle — le contenu des questions réapparaît, même si l'ordre, le regroupement et la terminologie diffèrent selon le portail. La loi néerlandaise sur la cybersécurité transpose cette directive en législation nationale et entrera en vigueur le 15 août 2026 ; jusqu'à cette date, le cadre sous-jacent ne change pas, donc le chevauchement entre cette année et l'année prochaine reste en grande partie intact.