dve stranki se sprašujeta skoraj isto, a malo drugače oblikovano

Dve formulaciji se lahko nanašata na isti odgovor

Navadno je odgovor: isti izvorni podatki, dvakrat drugačna formulacija vprašanja. Stranka A sprašuje »Ali imate ISMS v skladu z ISO 27001?", stranka B pa sprašuje »Ali ste implementirali deset ukrepov iz člena 21 odstavka 2 Direktive NIS2?« To nista dve vprašanji, ki zahtevata dva odgovora — to sta dva dostopa do istega temeljnega dejstva: ali imaš informacijsko varnost v redu in s katerim dokazilom to dokažeš. En portal sprašuje po certifikatu, drugi po pokritosti samih ukrepov. Če imaš certifikat ISO/IEC 27001, ta pokriva deset ukrepov člena 21 odstavka 2 običajno v večjem obsegu, ker imajo kontrolni ukrepi Dodatka A norme veliko prekrivanja s tem, kar direktiva zahteva. To ni jamstvo za popolno pokritost točka za točko, zato ostaja koristno, da preveríš po vsakem ukrepu, ali obstaja vrzal.

Kjer se razlikuje: nekateri stranki želijo izvirni dokument (certifikat, dokazilo samo), drugi pa samo da/ne z razlago. To ne zadeva odgovor, ampak obliko, v kateri ga predam. Ista shema velja tudi pri seznamih trajnostnosti: en stranko sprašuje o »indikatorjih VSME«, drugi o »poročanju CSRD«, in za podjetje, ki ni vpisano na borzi in samo ni zavezano CSRD, je odgovor pogosto osnovan na enakih podatkih osnovnega modula VSME, le drugače predstavljenih. Preveri v primeru dvoma, ali temeljna vprašanja res zadevajo isto dejstvo — na primer, ali podjetje uporablja sisteme umetne inteligence pri svojem poslovanju je ločeno od tega, kako drugo portale sprašuje o »avtomatizirani odločitvi« — preden brezskrbno kopiiraš isti odgovor.

Od kje izvira dokazilo pri prekrivajočih se vprašanjih

Prekrivanje med ISO/IEC 27001 in NIS2 izhaja iz kontrolnih ukrepov Dodatka A norme in člena 21 odstavka 2 Direktive (EU) 2022/2555; prekrivanje med VSME in CSRD izhaja iz osnovnega modula EFRAG VSME kot prostovoljna standarda ob poročevalski obveznosti Direktive (EU) 2022/2464. Osnovni podatki kot što so naslovom sedeža podjetja ali številka registracije vsekakor izhajajo iz enega vira, Zakona o trgovinskem registru 2007, ne glede na to, kako portale sprašuje po njih.