kaksi asiakasta kysyy lähes samaa mutta hieman eri tavalla muotoiltua

Kaksi muotoilua voi viitata samaan vastaukseen

Useimmiten vastaus on: samat lähdetiedot, kaksi kertaa erilainen kysymyksen muotoilu. Asiakas A kysyy "Onko sinulla ISMS, joka noudattaa ISO 27001:tä?", asiakas B kysyy "Ovatko kymmenen toimenpidettä artiklan 21 kohdan 2 NIS2-direktiivistä toteutettu?" Nämä eivät ole kaksi kysymystä, jotka vaativat kahta vastausta — ne ovat kaksi porttia samaan taustalla olevaan tosiseikkaan: onko tietoturvallisuus kunnossa, ja millä todisteella osoitat sen. Yksi portaali kysyy sertifikaatista, toinen kysyy itse toimenpiteiden kattavuudesta. Jos sinulla on ISO/IEC 27001 -sertifikaatti, se kattaa kymmenen toimenpidettä artiklan 21 kohdasta 2 yleensä suurelta osin, koska normin Annex A -hallintotoimenpiteillä on suuri päällekkäisyys sen kanssa, mitä direktiivi velvoittaa. Tämä ei ole täydellisen kattavuuden takuu kohta kohdalta, joten on edelleen hyödyllistä tarkistaa jokaisesta toimenpiteestä, onko siinä aukko.

Missä se todella eroaa: jotkut asiakkaat haluavat lähdeasiakirjan (sertifikaatin, todisteen itsensä), toiset haluavat vain kyllä/ei-vastauksen perustelulla. Tämä ei vaikuta vastaukseen, vaan siihen muotoon, jossa toimitat sen. Sama malli esiintyy kestävyyden listoissa: yksi asiakas kysyy "VSME-indikaattoreista", toinen "CSRD-raportoinnista", ja pörssiin listatulle yritykselle, joka ei itse ole CSRD-velvollinen, vastaus perustuu usein samoihin VSME-perusmoduuli-lukuihin, vain eri tavalla pakattu. Tarkista epävarmuuden tapauksessa, koskeeko taustalla oleva kysymys todella samaa tosiseikkaa — esimerkiksi sitä, kuinka yritys ottanut tekoäly-järjestelmiä käyttöön palveluksensa puitteissa poikkeaa siitä, kuinka toinen portaali kysyy "automatisoituun päätöksentekoon" — ennen kuin kopiot samaa vastausta harkitsematta.

Mistä todiste tulee päällekkäisissä kysymyksissä

ISO/IEC 27001:n ja NIS2:n välinen päällekkäisyys johtuu normin Annex A -toimenpiteistä ja Direktiivin (EU) 2022/2555 artiklan 21 kohdasta 2; VSME:n ja CSRD:n välinen päällekkäisyys johtuu EFRAG VSME -perusmoduulista vapaaehtoisena standardina raportointi­velvoitteen ohella Direktiivin (EU) 2022/2464 mukaisesti. Perustiedot kuten yrityksen sijainnin osoite tai rekisteröintinumero tulevat joka tapauksessa yhdestä lähteestä, kaupparekisterilain 2007 mukaisesti, riippumatta siitä, kuinka portaali niihin viittaa.