wypełnianie tej ankiety dotyczącej bezpieczeństwa zajmuje mi za dużo czasu

Zawsze te same dziesięć tematów, w innej szacie

To prawie zawsze wynika z jednego powodu: każdy klient tłumaczy te same dziesięć środków z artykułu 21 ust. 2 dyrektywy NIS2 na swoje własne słowa i w swoją własną kolejność. Jeden portal pyta "czy macie proces reagowania na incydenty", inny "opisz waszą procedurę w przypadku incydentów bezpieczeństwa" — to to samo pytanie co czy istnieje procedura obsługi incydentów bezpieczeństwa?. Bez jednego centralnego pliku więc szukasz tej odpowiedzi na nowo dziesięć razy w roku, w dziesięciu różnych sformułowaniach.

Czas nie siedzi w odpowiadaniu, siedzi w znalezieniu dowodu. Jaki dokument polityki, która wersja, jaki certyfikat — szukanie tego i przeformułowanie odpowiedzi do formatu tego konkretnego klienta, to cały dzień. Pytania o uwierzytelnianie wieloskładnikowe, o polityka dostępu i zarządzanie zasobami oraz wymagania bezpieczeństwa wobec własnych dostawców pojawiają się w niemal każdej liście, tylko w innym podziale. Jeśli ktoś raz dla każdego typu pytania określi, jaka jest faktyczna odpowiedź i gdzie znajduje się dowód, to następnie wystarczy tylko rozpoznać, które z dziesięciu tematów są brane pod uwagę — a to zajmuje kilka minut, nie cały dzień.

Sprowadzalne do tych samych dziesięciu środków

Artykuł 21 ust. 2 Dyrektywy (UE) 2022/2555 wymienia dziesięć środków, do których niemal każda lista pytań dotyczących bezpieczeństwa — niezależnie od tego, czy pochodzi od banku, ubezpieczyciela czy dużego klienta — bezpośrednio lub pośrednio odwołuje się: od zarządzania ryzykiem i obsługi incydentów do kryptografii i kontroli dostępu. Kto stosuje ISO/IEC 27001, rozpozna te same tematy w środkach zarządzania Załącznika A, co wyjaśnia, dlaczego lista pytań dotycząca "bezpieczeństwa informacji" i lista dotycząca "zgodności z NIS2" w zdecydowanej większości pytają o te same fakty. Holenderska Ustawa o cyberbezpieczeństwie, która implementuje tę dyrektywę od 15 sierpnia 2026 r., nie zmienia tego podziału zasadniczego — pytania, które klienci już teraz stawiają, pozostają w znacznej mierze tymi samymi pytaniami po tej dacie.