każdy klient wysyła inną listę pytań, jak za tym wszystkim nadążać

Jeden plik łańcucha dostaw, dziesięć stałych elementów

Rozwiązaniem nie jest obsługa większej liczby formatów, lecz utrzymanie jednej podstawowej struktury, która pozostaje taka sama pod każdym formatem. Każdy klient pakuje swoją listę pytań inaczej — jeden nazywa ją "supplier security assessment", inny "third party risk questionnaire" — ale treść prawie zawsze sprowadza się do dziesięciu środków z artykułu 21 ust. 2 dyrektywy NIS2, lub do środków kontroli załącznika A normy ISO/IEC 27001, jeśli klient wykorzystuje tę normę jako strukturę. Polityka ryzyka, reagowanie na incydenty, ciągłość, bezpieczeństwo łańcucha dostaw, zarządzanie lukami w zabezpieczeniach: te dziesięć tematów powracają pod różnymi nagłówkami, w różnej kolejności, z różnym punktowaniem (tak/nie, 1-5, pole tekstowe). Kto zapisuje swoje odpowiedzi według tematu zamiast według formatu klienta, musi tylko rozpoznać, jaki nagłówek odpowiada któremu tematowi — nie musi przeformułowywać odpowiedzi na nowo.

W praktyce oznacza to, że dla każdego elementu raz napiszesz dobrą odpowiedź wraz z dowodem, a następnie wielokrotnie ją wykorzystujesz. Dla polityki dostępu i zarządzania zasobami przedsiębiorstwa jest to często dokument polityki plus zrzut ekranu struktury uprawnień; dla oceny procedury środków bezpieczeństwa czy to jest ostatni raport z audytu wewnętrznego. Gdy tylko to dossier będzie kompletne, nowy kwestionariusz od klienta to głównie rozpoznanie i kopiowanie, a nie ponowne wyszukiwanie.

Dlaczego dziesięć środków to wspólny mianownik

Artykuł 21 ust. 2 Dyrektywy (UE) 2022/2555 wymienia dziesięć kategorii środków, które jednostka musi podjąć — od polityki analizy ryzyka do kryptografii po zachowanie człowieka — i ta lista stanowi w praktyce podstawę, na której zbudowana jest większość kwestionariuszy od klientów, nawet jeśli sam klient nie odwołuje się do NIS2. ISO/IEC 27001 Annex A obejmuje w dużej mierze te same zagadnienia z większą szczegółowością dla każdego środka, co wyjaśnia, dlaczego format odwołujący się do jednego ramy bez większych trudności można przetłumaczyć na drugi.