dva klijenta postavljaju gotovo isto pitanje ali malo drugačije formulirano

Dvije formulacije mogu upućivati na isti odgovor

Najčešće je odgovor: isti izvorni podaci, dva puta drugačija formulacija pitanja. Klijent A pita "Posjedujete li ISMS u skladu s ISO 27001?", klijent B pita "Jesu li implementirane deset mjera iz članka 21. stavka 2. Direktive NIS2?" To nisu dva pitanja koja traže dva odgovora — to su dva pristupa istoj temeljnoj činjenici: imaš li informacijsku sigurnost urednu, i s kojim dokazom to dokazuješ. Jedan portal pita za certifikat, drugi pita za pokrivanje samih mjera. Ako imaš ISO/IEC 27001 certifikat, to pokriva deset mjera iz članka 21. stavka 2. obično u većoj mjeri, jer kontrolne mjere iz Priloga A norme imaju veliku preklapanje s onim što direktiva zahtijeva. To nije jamstvo za potpunu pokrivnost točka po točka, pa je i dalje korisno provjeriti po svakoj mjeri postoji li propust.

Gdje se doista razlikuje: neki klijenti žele izvorni dokument (certifikat, sam dokaz), drugi žele samo da/ne s obrazloženjem. To ne dotiče odgovor, već oblik u kojem ga dostaviš. Isti obrazac se javlja u popisima održivosti: jedan klijent pita za "VSME indikatore", drugi za "CSRD izvještavanje", a za poduzeće koje nije kotirано na burzi i koje samo po sebi nije obveznik CSRD-a, odgovor se često temelji na istim VSME osnovnim modulom brojevima, samo drugačije prezentirano. Provjeri u slučaju sumnje jesu li temeljna pitanja doista istog činjeničnog stanja — primjerice jesu li poduzeće primjenjuje AI-sustave u okviru svoje usluge odvojeno od toga kako drugi portal pita o "automatiziranome odlučivanju" — prije nego što nekritički kopiraš isti odgovor.

Gdje dolazi dokaz pri pitanjima s preklapanjem

Preklapanje između ISO/IEC 27001 i NIS2 proizlazi iz kontrolnih mjera Priloga A norme i članka 21. stavka 2. Direktive (EU) 2022/2555; preklapanje između VSME i CSRD proizlazi iz EFRAG VSME osnovnog modula kao dobrovoljnog standarda pored obveze izvještavanja prema Direktivi (EU) 2022/2464. Osnovni podaci poput adresu sjedišta poduzeća ili registarski broj ionako dolaze iz jednog izvora, Zakona o trgovačkom registru 2007., bez obzira kako portal pita za njih.