de inkoopafdeling van mijn klant stuurt een andere lijst dan duurzaamheid, hoort dat ook hier

Een tweede lijst is meestal een ander onderwerp, geen dubbele vraag

Ja, dat hoort hier ook. Een inkoopafdeling die iets anders vraagt dan duurzaamheid, stuurt meestal een vragenlijst over cyberveiligheid, continuïteit of contractvoorwaarden — en die trekt voor een deel uit een ander ketendossier dan de duurzaamheidslijst. De identiteitsvragen (naam, registratienummer, vestigingsadres) komen terug, maar de inhoudelijke vragen zijn nieuw: denk aan de tien maatregelen van artikel 21 lid 2 van de NIS2-richtlijn, aan de Annex A-beheersmaatregelen van ISO/IEC 27001, of aan een vraag over het continuïteitsplan. Het systeem herkent per vraag welk onderwerp erachter zit en pakt het bijbehorende antwoord uit het dossier, als dat er staat.

Zit het antwoord nog niet in het dossier — bijvoorbeeld omdat dit de eerste keer is dat iemand naar ISO 27001-maatregelen vraagt — dan blijft dat veld open staan. Er wordt dan niets ingevuld op basis van een vermoeden. Dat is een moment om het antwoord één keer goed vast te leggen, met het bewijsstuk erbij, zodat de volgende lijst van een andere klant — of van een andere afdeling van dezelfde klant — het automatisch terugvindt. Zo groeit het dossier per onderwerp, niet per klant.

Waarom hetzelfde dossier meerdere lijsten bedient

Vragenlijsten van verschillende afdelingen of klanten vallen vaak onder dezelfde onderliggende regelgeving, ook als de bewoording verschilt. Een vraag over "informatiebeveiliging" en een vraag over "cybermaatregelen" wijzen vaak naar dezelfde tien maatregelen uit artikel 21 lid 2 van Richtlijn (EU) 2022/2555 (NIS2), en een vraag over ISO/IEC 27001 verwijst naar de beheersmaatregelen in Annex A van die norm. Dat is de reden dat één antwoord, eenmaal vastgelegd met de juiste bron, voor meerdere lijsten en meerdere klanten kan worden gebruikt — het systeem legt de vraag naast het dossier, niet naast de klant die hem stelt.