Môžem jednému poskytnúť rozsiahlejšiu odpoveď ako druhému

Rovnaká odpoveď, iný stupeň podrobnosti

Áno, je to povolené. Základná skutočnosť zostáva jedinou pravdou v reťazcovom spise, ale jej zobrazenie sa môže líšiť v závislosti od zoznamu. Ak zákazník A pýta "popíšte stručne vašu ISMS" a zákazník B "ktoré zo správnych opatrení z prílohy A normy ISO/IEC 27001 ste implementovali, podľa kategórií", ide v skutočnosti o rovnaký základný stav vašej bezpečnosti informácií, ale obe odpovede vyzerajú inak. To nie je nekonzistentnosť — je to presnosť: odpovedáte na otázku, ktorá bola položená, nie na jej generickú verziu.

Ide jde o to: odpoveď pre klienta B nesmie obsahovať niečo, čo by popieralo odpoveď pre klienta A. "Máme kontrolu prístupu založenú na úlohách" a "nemáme zdokumentovanú politiku prístupu" nemôžu byť obe pravdivé za rovnaké obdobie. Rozdiel v úrovni podrobnosti spočíva v tom, koľko ukážeš, nie v tom, čo tam fakticky stojí. To isté platí pre otázku ako alebo či podnik využíva systémy AI v rámci svojej činnosti: jeden klient chce jednoduchú áno alebo nie, druhý zoznam podľa aplikácie. Obe odpovede môžu byť správne, pokiaľ si neodporujú.

Prečo detailný rozdiel nie je rozpor

To nevyplýva z jedného špecifického článku, ale zo spôsobu, akým sú samotné zdroje štruktúrované. Desať opatrení z článku 21 odsek 2 smernice NIS2 (Smernica (EÚ) 2022/2555) opisujú povinné časti bezpečnostnej politiky, ale detailnosť prepúšťajú na subjekt hlásiacich údajov. Príloha A normy ISO/IEC 27001 pracuje s kategóriami kontrolných opatrení, ktoré môžu byť vysvetlené stručne aj rozsiahle — norma vyžaduje implementáciu, nie pevnú dĺžku textu. Aj štandard EFRAG VSME, základný modul pre nezaregistrované malé a stredné podniky v rámci CSRD (Smernica (EÚ) 2022/2464), je rámcom údajových bodov: ako podrobne ich vysvetlíš, to určuje tázajúci sa subjekt, nie štandard. Chceš-li zaznamenať, aká úroveň detailov patrí ku ktorému klientovi, je to záležitosť administratívy vo svojom vlastnom dossier — presne ako zaznamenávaš v ktorom odvetví je podnik aktívny, ako základný údaj, že každý zoznam znova sa pýta inak.