Každý zákazník má iný bezpečnostný dotazník, musím zakaždým začať od začiatku

Každý zoznam je v inou poradí tých istých desiatich opatrení

Nie, vo väčšine prípadov nie je potrebné začínať znova — otázky sa líšia formuláciou, ale pokrývajú u takmer každého zákazníka tie isté základné body. Jedna banka sa pýta na "incident response procedure", druhá na "ako sa riešia incidenty bezpečnosti" a tretia na "detekcia a hlásenie incidentov kybernetickej bezpečnosti". To sú tri razy postupom na spracovanie bezpečnostných incidentovtri razy tá istá odpoveď z toho istého dossier. To isté platí pre prístup, zálohy, riadenie zraniteľností a bezpečnosť reťazca u dodávateľov: takmer každý zoznam otázok sa redukuje na podmnožinu desiatich opatrení z článku 21 bod 2 NIS2, aj keď samotný zákazník na NIS2 neukazuje.

Práca teda nespočíva v tom, že sa opäť a opäť formulujú odpovede, ale v tom, aby sa zistilo, ktorá otázka patrí k akému základnému bodu. Otázka o "zásadách hesiel a dvojstupňovom overení" je jednoducho viacfaktorové overovanie inými slovami. Otázka o "riziku dodávateľa" alebo "third party risk" je požiadavky bezpečnosti voči vlastným dodávateľom. Akonáhle je tento súbor umiestnený, každý nasledujúci zoznam je predovšetkým o zhode a potvrdení, nie o opätovnom napísaní.

Na čo sa to vzťahuje: článok 21 odsek 2 a príloha A

Článok 21 odsek 2 smernice NIS2 (2022/2555) uvádza desať kategórií opatrení — analýza rizík, spracovanie incidentov, kontinuita podnikania, bezpečnosť v dodávateľskom reťazci, politika zraniteľností, kryptografia, politika prístupu, MFA, povedomie a testovanie opatrení. Takmer každý zoznam otázok o bezpečnosti od banky, poisťovne alebo veľkého obchodného klienta je vlastným prekladom (časti) tých istých desiatich bodov, často doplnený otázkami, ktoré sú doslova z prílohy A normy ISO/IEC 27001. To vysvetľuje, prečo sa formulácia líši, ale základný obsah nie: ide o dva pevné rámce, nie tisíc voľných požiadaviek zákazníkov.