fiecare client trimite altă listă de întrebări cum rămân la curent cu asta

Un dosar de lanț, zece componente fixe

Soluția nu este menținerea mai multor formate, ci păstrarea unei singure structuri subiacente care rămâne aceeași sub fiecare format. Fiecare client vă-și empachează lista de întrebări diferit — unul o numește "supplier security assessment", celălalt "third party risk questionnaire" — dar conținutul revine aproape întotdeauna la cele zece măsuri din articolul 21 alineatul 2 NIS2, sau la măsurile de control din anexa A a ISO/IEC 27001 dacă clientul folosește acel standard drept șapcă. Politica de risc, răspunsul la incidente, continuitate, securitatea lanțului de aprovizionare, gestionarea vulnerabilităților: acele zece subiecte reapar sub titluri diferite, în ordine diferită, cu punctaje diferite (da/nu, 1-5, text liber). Cine și-a notat răspunsurile pe subiecte în loc de pe formate de client, trebuie doar să recunoască la o nouă listă care titlu corespunde cu care subiect — nu să reformuleze din nou răspunsul.

În practică, aceasta înseamnă că pentru fiecare componentă scrii o dată un răspuns bun, cu dovada anexată, și apoi reutilizezi acel răspuns. Pentru politica de acces și gestiunea activelor de afaceri este adesea un document de politică plus o captură de ecran a structurii drepturilor; pentru testarea procedurii măsurilor de securitate este raportul de audit intern cel mai recent. Odată ce acel dosar este complet, o nouă listă de întrebări de client este în principal recunoaștere și copiere, nu a descoperi din nou.

De ce cele zece măsuri sunt numitorul comun

Articolul 21 alineatul 2 din Directiva (UE) 2022/2555 enumeră zece categorii de măsuri pe care o entitate trebuie să le ia — de la politica de analiză a riscului la criptografie la comportamentul uman — și acea listă este în practică baza pe care sunt construite cele mai multe liste de întrebări de achiziții ale clienților, chiar dacă clientul însuși nu face referire la NIS2. ISO/IEC 27001 Annex A acoperă în mare măsură aceleași subiecte cu mai mult detaliu per măsură, ceea ce explică de ce un format care face referire la un cadru de referință se traduce fără prea mult efort la celălalt.