warum muss ich immer wieder dieselben Fragen für verschiedene Kunden ausfüllen

Gleiche Felder, anderes Gewand

Das liegt daran, dass die Mehrheit der Fragen nicht von diesem Kunden stammt, sondern aus einer gemeinsamen Quelle: ein Gesetz, eine Norm oder ein Standardformular, das jeder Abnehmer mehr oder weniger übernimmt. Die Frage nach der Anzahl der Mitarbeiter, dem Umsatz, den Niederlassungsländern oder einem ISO-Zertifikat kommt wieder vor, weil diese Daten anderswo bereits verpflichtend oder standardisiert festgelegt sind — nicht weil jeder Kunde einzeln entschieden hat, dass er das wissen möchte. Ein Basismodul wie die VSME von EFRAG wurde sogar genau dafür entwickelt: ein fester Satz von Feldern, den mehrere Abnehmer übernehmen können, damit ein KMU-Lieferant nicht für jeden Kunden eine neue Frageliste erfinden muss.

Der Unterschied zwischen Portalen liegt oft in der Verpackung, nicht im Inhalt. Der eine Kunde fragt "Was ist Ihr Hauptsitz", der andere "Wo befindet sich Ihr registered office" — zwei Formulierungen für der Betriebsstätte des UnternehmensKontinuität: die eine Liste nennt es "business continuity plan", die andere "Notfallplan bei Ausfällen", aber es geht um einen Plan zur Fortsetzung des Geschäftsbetriebs bei einer schwerwiegenden Störung. Wer die zugrunde liegende Frage erkennt, muss nicht jedes Mal neu überlegen, was genau gemeint ist.

Drei Quellen, die überall wirken

Drei Regelungen erklären den größten Teil der Überschneidungen. Das Handelsregisternetz 2007 legt fest, welche Basisdaten jedes Unternehmens registriert sind — Name, Nummer, Adresse, Branche — und diese Felder erscheinen daher in fast jedem Portal wieder. Richtlinie (EU) 2022/2464, die CSRD, verpflichtet zur Berichterstattung über Nachhaltigkeit für eine ständig wachsende Gruppe von Unternehmen, und diese Verpflichtung wirkt auf ihre Zulieferer durch, denen das VSME-Basismodul von EFRAG als vereinfachte Alternative vorgelegt wird. Und Artikel 21 Absatz 2 der Richtlinie (EU) 2022/2555, die NIS2, nennt zehn konkrete Sicherheitsmaßnahmen, die Organisationen in bestimmten Sektoren treffen müssen — dieselben zehn, die in Cybersicherheitsfragebögen immer wieder auftauchen, oft erkennbar an der Struktur von ISO/IEC 27001 Annex A, die in der Praxis daran anschließt.