darf ich für den einen eine ausführlichere Antwort geben als für den anderen

Dieselbe Antwort, unterschiedliche Detaillierungsgrad

Ja, das ist zulässig. Die zugrunde liegende Tatsache bleibt eine Wahrheit in der Lieferkettendatei, aber ihre Darstellung darf pro Liste unterschiedlich sein. Fragt Kunde A "beschreiben Sie kurz Ihr ISMS" und Kunde B "welche Kontrolltechniken aus Annex A der ISO/IEC 27001 haben Sie implementiert, pro Kategorie", dann ist das faktisch derselbe zugrunde liegende Status Ihrer Informationssicherheit, aber die beiden Antworten sehen anders aus. Das ist keine Inkonsistenz — es ist Präzision: Sie beantworten die gestellte Frage, nicht eine generische Version davon.

Worauf es ankommt: die Antwort an Kunde B darf nichts enthalten, das der Antwort an Kunde A widerspricht. "Wir verfügen über rollenbasierte Zugriffskontrolle" und "wir haben keine dokumentierte Zugriffskontrollrichtlinie" können für denselben Zeitraum nicht beide wahr sein. Der Unterschied im Detaillierungsgrad liegt darin, wie viel Sie zeigen, nicht in dem, was faktisch vorliegt. Dasselbe gilt für eine Frage wie oder ob das Unternehmen KI-Systeme bei der Erbringung seiner Dienstleistungen einsetzt: Der eine Kunde wünscht sich ein einfaches Ja oder Nein, der andere eine Aufzählung pro Anwendung. Beide Antworten können korrekt sein, solange sie nicht miteinander kollidieren.

Warum Detailunterschiede keine Widersprüche sind

Dies folgt nicht aus einem einzelnen spezifischen Artikel, sondern aus der Weise, wie die Quellen selbst aufgebaut sind. Die zehn Maßnahmen des Artikels 21 Absatz 2 der NIS2-Richtlinie (Richtlinie (EU) 2022/2555) beschreiben verbindliche Bestandteile der Sicherheitspolitik, überlassen die Detaillierungsstufe aber der berichtenden Organisation. Annex A der ISO/IEC 27001 arbeitet mit Kategorien von Kontrolltechniken, die sowohl kurz als auch ausführlich erläutert werden können — der Standard verlangt Implementierung, nicht eine feste Textlänge. Auch der EFRAG VSME-Standard, das Basismodul für nicht börsennotierte KMU gemäß CSRD (Richtlinie (EU) 2022/2464), ist ein Rahmen von Datenpunkten: Wie ausführlich Sie diese erläutern, bestimmt der Fragensteller, nicht der Standard. Wenn Sie festhalten möchten, welcher Detaillierungsgrad zu welchem Kunden gehört, ist das eine Frage der Verwaltung in Ihrer eigenen Datei — genauso wie Sie festhalten, in welchem Sektor das Unternehmen tätig ist, als Basisdatum, dass jede Liste wiederum anders abfragt.