zwei Kunden fragen fast dasselbe, aber nur leicht anders formuliert

Zwei Formulierungen können auf dieselbe Antwort verweisen

Meist ist die Antwort: dieselben Quelldaten, zweimal anders formuliert. Kunde A fragt "Verfügen Sie über ein ISMS gemäß ISO 27001?", Kunde B fragt "Sind die zehn Maßnahmen aus Artikel 21 Absatz 2 der NIS2-Richtlinie implementiert?" Das sind nicht zwei Fragen, die zwei Antworten erfordern — es sind zwei Zugänge zu demselben zugrundeliegenden Sachverhalt: Hast du die Informationssicherheit in Ordnung, und mit welchem Beweisdokument weist du das nach. Das eine Portal fragt nach dem Zertifikat, das andere nach der Erfüllung der Maßnahmen selbst. Wenn du ein ISO/IEC 27001-Zertifikat hast, deckt dieses die zehn Maßnahmen aus Artikel 21 Absatz 2 in der Regel großenteils ab, da die Kontrollmaßnahmen von Anlage A der Norm große Überschneidungen mit den Anforderungen der Richtlinie aufweisen. Das ist keine Garantie für vollständige punktuelle Übereinstimmung, daher lohnt sich eine Überprüfung pro Maßnahme, ob es eine Lücke gibt.

Wo es tatsächlich unterschiedlich ist: Einige Kunden möchten das Ursprungsdokument (das Zertifikat, den Beweisbeleg selbst), andere wünschen sich nur ein Ja/Nein mit Erläuterung. Das betrifft nicht die Antwort, sondern die Form, in der du sie lieferst. Das gleiche Muster gilt bei Nachhaltigkeitslisten: Der eine Kunde fragt nach "VSME-Indikatoren", der andere nach "CSRD-Berichterstattung", und für ein nicht börsennotiertes Unternehmen, das selbst nicht CSRD-pflichtig ist, basiert die Antwort oft auf denselben VSME-Basismoduldaten, nur anders dargelegt. Überprüfe im Zweifelsfall, ob die zugrundeliegende Frage wirklich denselben Sachverhalt betrifft — beispielsweise ob das Unternehmen KI-Systeme bei ihrer Dienstleistung einsetzt unabhängig davon ist, wie ein anderes Portal nach "automatisierter Entscheidungsfindung" fragt — bevor du einfach dieselbe Antwort kopierst.

Woher der Beleg bei überlappenden Fragen kommt

Die Überschneidung zwischen ISO/IEC 27001 und NIS2 ergibt sich aus den Maßnahmen von Anlage A der Norm und Artikel 21 Absatz 2 der Richtlinie (EU) 2022/2555; die Überschneidung zwischen VSME und CSRD ergibt sich aus dem EFRAG VSME-Basismodul als freiwilliger Standard neben der Berichtspflicht der Richtlinie (EU) 2022/2464. Basisdaten wie die Betriebsstätte oder die Registrierungsnummer stammen ohnehin aus einer Quelle, dem Handelsregisterwet 2007, unabhängig davon, wie ein Portal danach fragt.