posso dare una risposta più dettagliata per uno e meno per un altro

La stessa risposta, diverso livello di dettaglio

Sì, è consentito. Il fatto sottostante rimane una verità unica nel fascicolo della catena, ma la sua presentazione può variare per ogni lista. Se il cliente A chiede "descrivi brevemente il tuo ISMS" e il cliente B chiede "quali misure di controllo dell'Allegato A della ISO/IEC 27001 hai implementato, per categoria", si tratta di fatto dello stesso stato sottostante della tua sicurezza delle informazioni, ma le due risposte hanno un aspetto diverso. Non è incoerenza — è precisione: rispondi alla domanda che è stata posta, non a una versione generica di essa.

Ciò che conta: la risposta al cliente B non deve contenere nulla che contraddica la risposta al cliente A. "Abbiamo il controllo degli accessi basato su ruoli" e "non abbiamo una politica di accesso documentata" non possono essere entrambe vere per lo stesso periodo. La differenza nel livello di dettaglio sta in quanto mostri, non in ciò che effettivamente sussiste. Lo stesso vale per una domanda come o se l'impresa utilizza sistemi di IA nell'ambito della sua prestazione di servizicon il cliente A che vuole un semplice sì o no, l'altro un elenco per applicazione. Entrambe le risposte possono essere corrette purché non si contraddicano.

Perché la differenza di dettaglio non è una contraddizione

Non deriva da un articolo specifico, ma da come le fonti stesse sono strutturate. Le dieci misure di cui all'articolo 21, paragrafo 2, della direttiva NIS2 (Direttiva (UE) 2022/2555) descrivono componenti obbligatori della politica di sicurezza, ma lasciano l'entità della dettagliatura all'organizzazione che riferisce. L'Allegato A della ISO/IEC 27001 funziona con categorie di misure di controllo che possono essere illustrate sia brevemente che in modo ampio — la norma richiede l'implementazione, non una lunghezza di testo fissa. Anche lo standard EFRAG VSME, il modulo di base per le imprese non quotate in borsa ai sensi della CSRD (Direttiva (UE) 2022/2464), è un quadro di punti dati: il livello di dettaglio con cui li illustri è determinato da chi pone le domande, non dalla norma. Se vuoi registrare quale livello di dettaglio si applica a quale cliente, è una questione di amministrazione nel tuo fascicolo personale — proprio come registri in quale settore opera l'aziendacome dato di base che ogni lista interroga nuovamente in modo diverso.