kann ich dieselben Antworten für den nächsten Fragebogen eines anderen Kunden verwenden

Ja, bei Identitätsfragen fast immer

Ja, bei einem großen Teil jeder Frageliste kann dieselbe Antwort zurück. Das gilt insbesondere für die festen Basisdaten: Eingetragener Name, Handelsregisternummer, Betriebsstätte, Branche, Anzahl der Mitarbeiter und Umsatz. Diese Daten sind im Handelsregister festgehalten und ändern sich nicht pro Kunde. Ob die Frage nun von einer Bank kommt, von einem Versicherer oder von einer Einkaufsabteilung, die Nachhaltigkeit abfragt: der Registrierungsnummer des Unternehmens ist überall dieselbe Antwort. Dasselbe gilt für eine Frage zur Haftpflichtversicherung oder zu ISO 9001: Das ist keine Momentaufnahme, das ist ein Status, den du einmal festlegst und danach wiederverwenden, bis er sich ändert.

Bei inhaltlichen Fragen liegt das differenzierter. Eine Frage zu ISO/IEC 27001 fragt in der einen Liste nur, ob das Zertifikat vorhanden ist, in der anderen nach spezifischen Kontrollmaßnahmen aus Anlage A — beispielsweise Zugriffskontrolle oder Incident Response. Eine Frage, die auf die zehn Maßnahmen von Artikel 21 Absatz 2 der NIS2-Richtlinie verweist, ist präziser als eine allgemeine Frage zu "Cybersicherheit", und die Antwort muss dieser Präzision entsprechen. Bei Nachhaltigkeitslisten ist es genauso: Das VSME-Basismodul von EFRAG fragt etwas anderes ab als ein Kunde, der selbst eine Auswahl aus den CSRD-Indikatoren getroffen hat. Der zugrundeliegende Sachverhalt — hast du die Richtlinie, hast du die Maßnahme — bleibt derselbe, aber die Frage, auf die die Antwort passen muss, ist unterschiedlich. Darum ist Wiederverwendung die Basis, und ist pro Frage zu prüfen, ob die Frage genau dasselbe misst wie die dazugehörige Kontrolle.

Warum dies je nach Quelle unterscheidet

Für Identitätsdaten ist dies der Fall, weil das Handelsregistergesetz 2007 diese Daten als einen festen Satz festlegt, unabhängig davon, wer danach fragt. Für die inhaltlichen Fragen ergibt sich der Unterschied durch die Quelle, auf die der Fragebogen selbst verweist: Die zehn Maßnahmen des Artikels 21 Absatz 2 der Richtlinie (EU) 2022/2555 sind etwas anders formuliert als die Managementmaßnahmen des Anhangs A der ISO/IEC 27001, und die Indikatoren des EFRAG-VSME-Moduls folgen wiederum einer anderen Gliederung als die Richtlinie (EU) 2022/2464. Die gleiche zugrunde liegende Praxis kann also in verschiedenen Fragen wiederkehren, mit einer etwas anderen Antwort als Folge.