vår kund har ändrat frågelistan, måste vi börja om från början

Nej, endast de nya eller ändrade frågorna är relevanta

Om en kund skickar en ny version av sitt frågeformulär mitt på året, börjar du inte om från början. De svar du redan hade — till exempel om registreringsnummer eller antal anställda — kommer från ditt kedjedossier och ändras inte automatiskt bara för att formatet förändras. Systemet känner igen per fråga om den redan har besvarats tidigare, även om formuleringen skiljer sig något. Endast frågor som verkligen är nya, eller som kräver en annan typ av bevis än tidigare, måste granskas på nytt.

Ändringar kommer vanligtvis från tre håll. Kunden kan byta från en egen frågeuppsättning till en standardiserad, som basmodulen för VSME — den frivilliga EFRAG-standarden för icke-börsnoterade små och medelstora företag. Eller så implementerar han en ny lagstiftningsreglering som vilar på honom själv, som de tio åtgärderna i artikel 21 punkten 2 i NIS2-direktivet, och lägger sedan dessa vidare i sitt eget frågeformulär till leverantörer. Eller så frågar han helt enkelt om mer detaljer, till exempel inte längre "har ni en informationssäkerhetspolicy" utan en referens till specifika kontrollåtgärder från bilaga A i ISO/IEC 27001. I alla tre fall gäller: dossieren är källan, frågeformuläret är endast det format i vilket denna källa presenteras.

Varför dossieren är skild från formatet

Detta följer av hur svarssidan är organiserad: ett kedjedossier med fakta, från vilket ett urval fylls in per frågeformulär. Ett ändrat format från kunden — oavsett om det följer av CSRD-direktivet (2022/2464) som skärper hans egna rapporteringskrav, eller från en intern anpassning av hans portal — ändrar ingenting i de underliggande fakta, såsom sektor eller de länder där företaget har etableringar. Det enda som ändras är vilka frågor från dossieren som hämtas och i vilken form.