asiakkaani ostoyksikkö lähettää eri listan kuin kestävyys, kuuluuko sekin tähän

Toinen lista on yleensä eri aihe, ei kaksinkertainen kysymys

Kyllä, sekin kuuluu tähän. Ostoosasto, joka kysyy jotain muuta kuin kestävyyttä, lähettää yleensä kyselylistan kyberturvallisuudesta, jatkuvuudesta tai sopimusehdoista – ja se poimii osittain toisesta ketjudossierin osasta kuin kestävyyslista. Identiteettikysymykset (nimi, rekisteröintinumero, toimipaikka) tulevat takaisin, mutta sisältökysymykset ovat uusia: ajattele kymmenen NIS2-direktiivin 21 artiklan 2 kohdan säännösten mukaista toimenpidettä, ISO/IEC 27001:n Annex A -valvontatoimenpiteitä tai kysymystä jatkuvuussuunnitelmasta. Järjestelmä tunnistaa jokaisen kysymyksen takaa olevan aiheen ja hakee asiaan liittyvän vastauksen dossiosta, jos se on siellä.

Jos vastaus ei ole vielä dossiossa – esimerkiksi koska tämä on ensimmäinen kerta, kun joku kysyy ISO 27001 -toimenpiteistä – kenttä jää avoimeksi. Mitään ei täytetä oletuksen perusteella. Tämä on hetki, jolloin vastaus kannattaa kirjata oikein kerran ja liittää todiste siihen, jotta toisen asiakkaan seuraava lista – tai saman asiakkaan toinen osasto – löytää sen automaattisesti. Näin dossier kasvaa aiheen mukaan, ei asiakkaan mukaan.

Miksi sama dossier palvelee useita listoja

Eri osastojen tai asiakkaiden kyselylistan ovat usein saman taustalla olevan sääntelyn alaisia, vaikka sanamuoto poikkeaakin. Kysymys "tietoturvasta" ja kysymys "kyberturvatoimenpiteistä" osoittavat usein samoihin kymmeneen toimenpiteeseen direktiivin (EU) 2022/2555 (NIS2) 21 artiklan 2 kohdasta, ja kysymys ISO/IEC 27001:stä viittaa kyseisen normin Annex A:n valvontatoimenpiteisiin. Siksi yksi vastaus, kun se on kerran kirjattu oikean lähteen kanssa, voidaan käyttää useissa listoissa ja useille asiakkaille – järjestelmä sijoittaa kysymyksen dossieerin viereen, ei asiakkaan viereen, joka sen esittää.