Vsaka stranka pošlje drugačen seznam vprašanj, kako sledim temu

Ena veriga dokumentov, deset stalnih gradnikov

Rešitev ni vzdrževanje več formatov, ampak ohranjanje ene temeljne strukture, ki ostane enaka pri vsakem formatu. Vsaka stranka svojevrsti pakiranja svojega vprašalnika — ena ga imenuje »ocena varnosti dobavitelja«, druga »vprašalnik tveganja tretje stranke« — vendar se vsebina skoraj vedno vrne k deseti ukrepom člena 21(2) Direktive (EU) 2022/2555, ali na ukrepe v Dodatku A standarda ISO/IEC 27001, če stranka ta standard uporablja kot okvir. Politika tveganja, odziv na incidente, kontinuiteta, varnost verige, upravljanje ranljivosti: ta deset tem se pojavlja pod različnimi naslovi, v različnem vrstnem redu, z različnim ocenjevanjem (da/ne, 1-5, besedilno polje). Kdor svoje odgovore zabeleži po gradniku namesto po formatu stranke, mora pri novem vprašalniku le prepoznati, kateri naslov pripada kateremu gradniku — ne pa oblikovati odgovora ponovno.

V praksi to pomeni, da za vsak gradnik enkrat napišeš dober odgovor, z dokaznim gradivom ob njem, in ta odgovor nato ponovno uporabiš. Za politiko dostopa in upravljanje sredstev podjetja je to pogosto politični dokument plus zaslonska fotografija strukture pravic; za preverjanje postopkov varnostnih ukrepov je to zadnje interno revizijsko poročilo. Čim je ta dossier v celoti zgoščen, je nov vprašalnik stranke predvsem prepoznavanje in kopiranje, ne ponovno iskanje.

Zakaj so deset ukrepov skupni imenovalec

Člen 21(2) Direktive (EU) 2022/2555 našteva deset kategorij ukrepov, ki jih mora sprejeti subjekt — od politike analize tveganja do kriptografije do človekovega vedenja — in ta seznam je v praksi osnova, na kateri so zgrajeni večina nabavnih vprašalnikov strank, tudi če stranka sama ne sklicuje se na NIS2. ISO/IEC 27001 Dodatek A v veliki meri pokriva iste predmete z več podrobnostmi na ukrep, kar pojasnjuje, zakaj je format, ki se sklicuje na en okvir, brez večjih težav prevajati na drugega.