svaki klijent ima drugačiji popis sigurnosnih pitanja trebam li svaki put iznova početi

Svaki popis je drugačiji redoslijed istih deset mjera

Ne, u većini slučajeva ne trebam ponovno počinjati — pitanja se razlikuju u formulaciji, ali pokrivaju praktički kod svakog klijenta iste temeljne točke. Jedna banka pita o "procedure odgovora na incident", druga o "kako se rukuje sigurnosnim incidentima", a treća o "otkrivanju i prijavi kibernetskih incidenata". To je tri puta postupkom rukovanja incidentima sigurnostitri puta isti odgovor iz istog dosjea. Isto vrijedi za pristup, sigurnosne kopije, upravljanje ranjivostima i sigurnost lanca opskrbe kod dobavljača: praktički svaki popis upitnika svodi se na podskup od deset mjera iz članka 21. stavka 2. NIS2, čak i ako sam klijent ne poziva se na NIS2.

Rad se dakle ne nalazi u ponovno formuliranju odgovora, već u prepoznavanju kojeg pitanja pripada kojem temeljnom bodu. Pitanje o "politici lozinki i dvostruko ovjerenoj zaštiti" je jednostavno autentifikacija s više čimbenika drugim riječima. Pitanje o "riziku dobavljača" ili "riziku treće strane" je zahtjevi sigurnosti prema vlastitim dobavljačima. Čim taj dosije bude postavljen, svaki sljedeći popis je uglavnom usklađivanje i potvrda, ne ponovno pisanje.

Gdje se to temelji: članak 21 stavak 2 i Prilog A

Članak 21 stavak 2 Direktive o NIS2 (2022/2555) navodi deset kategorija mjera — analiza rizika, rukovanje incidentima, kontinuitet poslovanja, sigurnost lanca opskrbe, politika ranjivosti, kriptografija, politika pristupa, MFA, svjesnost i testiranje mjera. Gotovo svaka sigurnosna upitnica banke, osiguratelja ili velikog klijenta vlastiti je prijevod (dijela) tih istih deset točaka, često dopunjen pitanjima koja doslovno dolaze iz Priloga A norme ISO/IEC 27001. To objašnjava zašto se formulacija razlikuje, ali osnovni sadržaj nije: to su dva fiksna okvira, ne tisuću slobodnih želja klijenta.