puis-je donner une réponse plus détaillée à l'un qu'à l'autre

La même réponse, un niveau de détail différent

Oui, c'est autorisé. Le fait sous-jacent reste une seule vérité dans le dossier de chaîne, mais sa présentation peut varier selon la liste. Si le client A demande « décrivez brièvement votre SMSI » et le client B « quels contrôles de l'annexe A de l'ISO/IEC 27001 avez-vous mis en œuvre, par catégorie », c'est en fait le même statut sous-jacent de votre sécurité de l'information, mais les deux réponses se présentent différemment. Ce n'est pas une incohérence — c'est de la précision : vous répondez à la question qui est posée, pas à une version générique de celle-ci.

Ce qui compte vraiment : la réponse au client B ne doit rien contenir qui contredit la réponse au client A. « Nous avons un contrôle d'accès basé sur les rôles » et « nous n'avons pas de politique d'accès documentée » ne peuvent pas être tous deux vrais pour la même période. La différence de niveau de détail réside dans la quantité que vous montrez, non dans ce qui est réellement le cas. Il en va de même pour une question comme ou si l'entreprise déploie des systèmes d'IA dans le cadre de sa prestation de services» : un client veut un simple oui ou non, l'autre une énumération par application. Les deux réponses peuvent être correctes tant qu'elles ne se contredisent pas.

Pourquoi la différence de détail n'est pas une contradiction

Cela ne découle pas d'un seul article spécifique, mais de la façon dont les sources elles-mêmes sont structurées. Les dix mesures de l'article 21, paragraphe 2, de la directive NIS2 (Directive (UE) 2022/2555) décrivent les éléments obligatoires de la politique de sécurité, mais laissent le niveau de détail à l'organisation déclarante. L'annexe A de l'ISO/IEC 27001 fonctionne avec des catégories de mesures de contrôle qui peuvent être expliquées de manière brève ou détaillée — la norme exige la mise en œuvre, non une longueur de texte fixe. La norme EFRAG VSME, le module de base pour les petites et moyennes entreprises non cotées en bourse selon la CSRD (Directive (UE) 2022/2464), est également un cadre de points de données : le niveau de détail avec lequel vous les expliquez est déterminé par le demandeur, non par la norme. Si vous souhaitez documenter quel niveau de détail correspond à quel client, c'est une question de gestion administrative dans votre propre dossier — tout comme vous documentez dans quel secteur l'entreprise opère» en tant que données de base que chaque liste interroge différemment.