to kunder spørger næsten det samme men lige lidt anderledes formuleret

To formuleringer kan henvise til det samme svar

Oftest er svaret: de samme kildedata, to gange en anden spørgsmålsformulering. Kunde A spørger "Har De et ISMS i overensstemmelse med ISO 27001?", kunde B spørger "Er de ti foranstaltninger fra artikel 21, stk. 2 i NIS2-direktivet implementeret?" Det er ikke to spørgsmål, der kræver to svar — det er to indgange til det samme underliggende faktum: har du informationssikkerhed i orden, og med hvilket bevis dokumenterer du det? Det ene portals spørger efter certificeringen, det andet efter dækningen af selve foranstaltningerne. Hvis du har et ISO/IEC 27001-certifikat, dækker det de ti foranstaltninger fra artikel 21, stk. 2 typisk i stort omfang, fordi normens Annex A-kontrolforanstaltninger har stor overlap med det, som direktivet foreskriver. Det er ingen garanti for fuldstændig dækning punkt for punkt, så det fortsætter med at være nyttigt at kontrollere for hver foranstaltning, om der er et hul.

Hvor det virkelig er forskelligt: nogle kunder ønsker killedokumentet (certificeringen, bevisstykket selv), andre ønsker kun et ja/nej med præcisering. Det påvirker ikke svaret, men den form, hvori du leverer det. Det samme mønster gælder også ved bæredygtighedslister: den ene kunde spørger efter "VSME-indikatorer", den anden efter "CSRD-rapportering", og for en ikke-børsnoteret virksomhed, der ikke selv er CSRD-pligtig, er svaret ofte baseret på de samme VSME-basismodulcifre, bare anderledes fremlagt. Kontroller ved tvivl, om det underliggende spørgsmål virkelig vedrører det samme faktum — for eksempel om virksomheden anvender AI-systemer inden for sin serviceydelse er uafhængigt af, hvordan et andet portals spørger efter "automatiseret beslutningstagning" — før du uforvarende kopierer det samme svar.

Hvor beviset kommer fra ved overlappende spørgsmål

Overlappen mellem ISO/IEC 27001 og NIS2 følger af normens Annex A-foranstaltninger og artikel 21, stk. 2 i Direktiv (EU) 2022/2555; overlappen mellem VSME og CSRD følger af EFRAG VSME-basismodulet som frivillig standard ved siden af rapporteringspligten i Direktiv (EU) 2022/2464. Basisdata som forretningens etableringsadresse eller registreringsnummeret kommer under alle omstændigheder fra én kilde, handelsregisterloven 2007, uanset hvordan et portals spørger efter det.