posso dar uma resposta mais detalhada para um do que para outro

A mesma resposta, diferentes níveis de detalhe

Sim, é permitido. O facto subjacente permanece uma verdade única no dossiê da cadeia, mas a sua apresentação pode variar por lista. Se o cliente A pergunta "descreva brevemente o seu ISMS" e o cliente B "quais das medidas de controlo do Anexo A da ISO/IEC 27001 implementou, por categoria", trata-se essencialmente do mesmo estado subjacente da sua segurança da informação, mas as duas respostas parecem diferentes. Isto não é uma inconsistência — é precisão: responde à pergunta que foi colocada, não a uma versão genérica da mesma.

O que realmente importa: a resposta ao cliente B não pode conter algo que contradiga a resposta ao cliente A. "Temos controlo de acesso baseado em funções" e "não temos uma política de acesso documentada" não podem ser ambas verdadeiras no mesmo período. A diferença no nível de detalhe está em quanto mostra, não no que realmente existe. O mesmo se aplica a uma pergunta como ou se a empresa utiliza sistemas de IA na sua prestação de serviços— um cliente quer um simples sim ou não, outro quer uma lista por aplicação. Ambas as respostas podem estar corretas desde que não se contradigam.

Por que a diferença de detalhe não é uma contradição

Isto não decorre de um artigo específico, mas de como as próprias fontes são estruturadas. As dez medidas do artigo 21.º, n.º 2, da Diretiva NIS2 (Diretiva (UE) 2022/2555) descrevem componentes obrigatórios da política de segurança, mas deixam o nível de detalhe à organização que comunica. O Anexo A da ISO/IEC 27001 trabalha com categorias de medidas de controlo que podem ser explicadas de forma breve ou detalhada — a norma exige implementação, não um comprimento de texto fixo. Também a norma EFRAG VSME, o módulo base para empresas de pequena e média dimensão não cotadas em bolsa sob a CSRD (Diretiva (UE) 2022/2464), é um conjunto de pontos de dados: o nível de detalhe com que os explica é determinado pelo que coloca a pergunta, não pela norma. Se deseja registar qual nível de detalhe se aplica a cada cliente, trata-se de uma questão de administração no seu próprio dossiê — tal como regista em que setor a empresa operacomo dado base que cada lista coloca questões de forma diferente.