dwaj klienci zadają prawie to samo pytanie, ale sformułowane inaczej

Dwa sformułowania mogą odwoływać się do tej samej odpowiedzi

Zwykle odpowiedź brzmi: te same dane źródłowe, dwa razy inny formularz pytania. Klient A pyta "Czy posiadacie system zarządzania bezpieczeństwem informacji (ISMS) zgodny z ISO 27001?", klient B pyta "Czy zostały wdrożone dziesięć środków z artykułu 21 ust. 2 dyrektywy NIS2?" To nie są dwa pytania wymagające dwóch odpowiedzi — to dwa wejścia do tego samego faktu źródłowego: czy masz bezpieczeństwo informacji w porządku i jakim dokumentem to potwierdzasz. Jeden portal pyta o certyfikat, drugi o pokrycie samych środków. Jeśli posiadacie certyfikat ISO/IEC 27001, zwykle pokrywa on dziesięć środków z artykułu 21 ust. 2 w znacznej mierze, ponieważ środki kontrolne Załącznika A normy mają dużą zbieżność z tym, co dyrektywa nakazuje. To nie jest gwarancja pełnego pokrycia punkt po punkcie, dlatego wciąż warto sprawdzić dla każdego środka, czy istnieje luka.

Gdzie się jednak różni: niektórzy klienci chcą dokumentu źródłowego (samego certyfikatu, samego dowodu), inni chcą tylko tak/nie z wyjaśnieniem. To nie dotyczy odpowiedzi, ale formy, w której ją dostarczasz. Ten sam schemat pojawia się w przypadku list dotyczących zrównoważonego rozwoju: jeden klient pyta o "wskaźniki VSME", inny o "raportowanie CSRD", a dla przedsiębiorstwa nienotowanego na giełdzie, które nie podlega CSRD, odpowiedź często opiera się na tych samych cyfrach modułu podstawowego VSME, tylko inaczej przedstawionych. W przypadku wątpliwości sprawdź, czy pytanie podstawowe rzeczywiście dotyczy tego samego faktu — na przykład czy przedsiębiorstwo wykorzystuje systemy sztucznej inteligencji w ramach świadczenia swoich usług rozdzielnie od tego, jak inny portal pyta o "zautomatyzowane podejmowanie decyzji" — zanim bezmyślnie skopiujesz tę samą odpowiedź.

Skąd pochodzi dowód w przypadku pytań nakładających się

Nakładanie się między ISO/IEC 27001 a NIS2 wynika z miar Annex A normy i artykułu 21 ust. 2 Dyrektywy (UE) 2022/2555; nakładanie się między VSME a CSRD wynika z modułu podstawowego EFRAG VSME jako dobrowolnego standardu obok obowiązku sprawozdawczego Dyrektywy (UE) 2022/2464. Dane podstawowe takie jak adres siedziby lub numer rejestracyjny pochodzą w każdym razie z jednego źródła, Handelsregisterwet 2007, niezależnie od tego, jak portalu się o nich pyta.