två kunder ställer nästan samma fråga men formulerad lite olika

Två formleringar kan hänvisa till samma svar

Oftast är svaret: samma källdata, två gånger en annan frågeformulering. Kund A frågar "Har ni ett ISMS i enlighet med ISO 27001?", kund B frågar "Är de tio åtgärderna från artikel 21 punkt 2 i NIS2-direktivet implementerade?" Det är inte två frågor som kräver två svar — det är två ingångar till samma underliggande faktum: har du informationssäkerhet i ordning, och med vilket bevis visar du det. Den ena portalen frågar efter certifikatet, den andra efter täckningen av åtgärderna själva. Om du har ett ISO/IEC 27001-certifikat täcker det vanligtvis de tio åtgärderna från artikel 21 punkt 2 i stor utsträckning, eftersom normens Annex A-kontrollåtgärder överlappar mycket med vad direktivet föreskriver. Det är ingen garanti för fullständig täckning punkt för punkt, så det är fortfarande användbart att kontrollera per åtgärd om det finns ett gap.

Där det faktiskt skiljer sig: vissa kunder vill ha källdokumentet (certifikatet, själva bevisstycket), andra vill bara ha ett ja/nej med förklaring. Det påverkar inte svaret, utan snarare den form i vilken du presenterar det. Samma mönster gäller för hållbarhetslistor: en kund frågar efter "VSME-indikatorer", en annan efter "CSRD-rapportering", och för ett icke-börsnoterat företag som inte är CSRD-skyldigt i sig själv är svaret ofta baserat på samma VSME-basmodulciffror, bara presenterat på ett annat sätt. Kontrollera vid osäkerhet om den underliggande frågan verkligen rör samma faktum — till exempel om företaget använder AI-system inom sin tjänsteleverans skild från hur en annan portal frågar om "automatiserat beslutsfattande" — innan du blindkopior samma svar.

Varifrån beviset kommer vid överlappande frågor

Överlappningen mellan ISO/IEC 27001 och NIS2 följer av normens Annex A-åtgärder och artikel 21 punkt 2 i Direktiv (EU) 2022/2555; överlappningen mellan VSME och CSRD följer av EFRAG VSME-basmodulen som frivillig standard vid sidan av rapporteringsskyldigheten enligt Direktiv (EU) 2022/2464. Basuppgifter som etableringsadressen eller registreringsnumret kommer i alla fall från en källa, Handelsregisterstadgan 2007, oavsett hur en portal frågar om det.