Ali smem eni stranki dati bolj podroben odgovor kot drugi?

Isti odgovor, drugačna stopnja podrobnosti

Ja, to je dovoljeno. Dejstvo, ki leži v ozadju, ostane ena resnica v datoteki verige, vendar se lahko njena predstavitev razlikuje od seznama do seznama. Če naročnik A vprašuje »na kratko opišite svoj ISMS« in naročnik B »katere kontrolne ukrepe iz Dodatka A standarda ISO/IEC 27001 ste izvajali, po kategorijah«, je to dejansko ista temeljna stanja vaše varnosti informacij, vendar se dva odgovora razlikujeta po izgledu. To ni nedoslednost — to je natančnost: odgovorite na vprašanje, ki je bilo postavljeno, ne na splošno različico tega vprašanja.

Pomembno je: odgovor naročniku B ne sme vsebovati ničesar, kar bi bilo v nasprotju z odgovorom naročniku A. »Imamo nadzor dostopa na osnovi vlog« in »nimamo dokumentiranega pravilnika dostopa« ne moreta biti oba resnična za isto obdobje. Razlika v stopnji podrobnosti je v tem, koliko pokažete, ne v tem, kaj je dejansko napisano. Enako velja za vprašanje kot ali podjetje uporablja sisteme umetne inteligence v svojem zagotavljanju storitev: en naročnik želi preprost da ali ne, drugi pa seznam po aplikaciji. Oba odgovora sta lahko pravilna, dokler se ne nasprotujeta.

Zakaj podrobna razlika ni protisl

To ne izhaja iz enega specifičnega člena, ampak iz načina, kako so izvori sami strukturirani. Deset ukrepov iz člena 21(2) Direktive NIS2 (Direktiva (EU) 2022/2555) opisujejo obvezne dele varnostne politike, vendar prepuščajo stopnjo podrobnosti poročevalski organizaciji. Prilog A standarda ISO/IEC 27001 deluje s kategorijami varnostnih kontrol, ki jih je mogoče razlagati tako na kratko kot podrobno — standard zahteva izvajanje, ne fiksne dolžine besedila. Tudi standard EFRAG VSME, osnovni modul za neboržne male in srednje podjetja po CSRD (Direktiva (EU) 2022/2464), je okvir podatkovnih točk: kako podrobno jih razloženoš, določi spraševalec, ne standard. Če želiš določiti, katero stopnjo podrobnosti pripada kateremu strankumati, je to vprašanje upravnega reda v tvojem lastnem dosjeju — točno tako, kot določiš v katerem sektorju je podjetje dejavno, kot osnovni podatek, da vsak seznam spet drugače vprašuje.