każdy klient ma inną listę pytań o bezpieczeństwo, czy muszę za każdym razem zaczynać od nowa

Każda lista to inna kolejność tych samych dziesięciu środków

Nie, w większości przypadków nie trzeba zaczynać od nowa — pytania różnią się sformułowaniem, ale dotyczą u prawie każdego klienta tych samych zagadnień. Jeden bank pyta o "procedurę reagowania na incydenty", drugi o "jak są obsługiwane incydenty bezpieczeństwa", a trzeci o "wykrywanie i zgłaszanie incydentów cybernetycznych". To trzy razy procedurą obsługi incydentów bezpieczeństwatrzy razy ta sama odpowiedź z tego samego dossier. To samo dotyczy dostępu, kopii zapasowych, zarządzania podatnościami i bezpieczeństwa łańcucha dostaw u dostawców: prawie każda lista pytań sprowadza się do podzbioru dziesięciu środków z artykułu 21 ust. 2 NIS2, nawet jeśli sam klient nie powołuje się na NIS2.

Praca zatem nie polega na stałym reformułowaniu odpowiedzi, ale na rozpoznaniu, które pytanie odnosi się do którego zagadnienia. Pytanie o "politykę haseł i weryfikację dwuetapową" to po prostu uwierzytelnianie wieloskładnikowe innymi słowy. Pytanie o "ryzyko dostawcy" lub "ryzyko stron trzecich" to wymagania bezpieczeństwa dla własnych dostawców. Gdy dossier raz stanie — każda kolejna lista to głównie dopasowywanie i potwierdzanie, nie przepisywanie od nowa.

Gdzie się to bierze: artykuł 21 ust. 2 i Załącznik A

Artykuł 21 ust. 2 dyrektywy NIS2 (2022/2555) wymienia dziesięć kategorii środków — analiza ryzyka, obsługa incydentów, ciągłość biznesu, bezpieczeństwo łańcucha dostaw, polityka podatności, kryptografia, polityka dostępu, MFA, świadomość i testowanie środków. Prawie każda lista pytań dotyczących bezpieczeństwa od banku, ubezpieczyciela lub dużego klienta to własne tłumaczenie (części) tych samych dziesięciu punktów, często uzupełnione pytaniami dosłownie zaczerpniętymi z Załącznika A normy ISO/IEC 27001. To wyjaśnia, dlaczego sformułowanie się zmienia, ale treść nie: to dwa stałe ramy, a nie tysiąc oddzielnych życzliwości klientów.