kas saan ühe jaoks anda pikema vastuse kui teise jaoks

Sama vastus, erinev detailsuse tase

Jah, see on lubatud. Aluseks olev asjaolu jääb ketendossiis üheks tõeks, kuid selle esitamine võib loendis erineda. Kui klient A küsib "kirjeldage lühidalt oma ISMS-i" ja klient B "milliseid ISO/IEC 27001 Lisas A olevaid kontrollmeetmeid olete rakendanud, kategooriakohta", siis on see sisuliselt sama teie teabekaitse seisund, kuid kaks vastust näevad välja erinevad. See ei ole vastuolu — see on täpsus: te vastasite esitatud küsimusele, mitte selle üldisele versioonile.

Mis on oluline: vastus kliendile B ei tohi sisaldada midagi, mis oleks vastuolus vastusega kliendile A. "Meil on rollipõhine juurdepääsukontroll" ja "meil puudub dokumenteeritud juurdepääsupoliitika" ei saa mõlemad olla tõesed sama perioodi jooksul. Detailsuse taseme erinevus on selles, kui palju te näitate, mitte selles, mis on sisuliselt kirjas. Sama kehtib ka küsimuse kohta nagu või kasutab ettevõte oma teenuste osutamisel tehisintellekti süsteeme: üks klient soovib lihtsat jah või ei vastust, teine aga iga rakenduse kohta ülevaate. Mõlemad vastused võivad olla õiged, kuni nad ei ole vastuolus.

Miks detailsuse erinevus ei ole vastuolu

See ei tulene ühestki konkreetsest artiklist, vaid sellest, kuidas allikad ise on üles ehitatud. NIS2-direktiivi artikli 21 lõike 2 kümme meetme (Direktiiv (EL) 2022/2555) kirjeldavad turvalisuspoliitika kohustuslikke osi, kuid jätavad detailsuse määra teatavate organisatsiooni otsustada. ISO/IEC 27001 Lisa A kasutab kontrollmeetmete kategooriaid, mida saab nii lühidalt kui ka üksikasjalikult selgitada — norm nõuab rakendamist, mitte fikseeritud tekstipikkust. Samuti on EFRAG VSME-standard, mis on mittebörsiettevõtete jaoks kehtiv baasmoodul CSRD-i (Direktiiv (EL) 2022/2464) raames, andmepunktide raamistik: kui üksikasjalikult te neid selgitate, määrab küsija, mitte standard. Kui soovite kindlaks määrata, milline detailsuse tase millise kliendiga seotud on, siis see on teie omaenda dossiis dokumenteerimise küsimus — täpselt nagu te dokumenteerite millisel sektoril ettevõte tegutseb, kui põhiandmed, mille puhul iga loend uuesti päritakse teisiti.