mag ik voor de een een uitgebreider antwoord geven dan voor de ander

Hetzelfde antwoord, andere mate van detail

Ja, dat mag. Het onderliggende feit blijft één waarheid in het ketendossier, maar de weergave ervan mag per lijst verschillen. Vraagt klant A "beschrijft u kort uw ISMS" en klant B "welke van de beheersmaatregelen uit Annex A van ISO/IEC 27001 heeft u geïmplementeerd, per categorie", dan is dat feitelijk dezelfde onderliggende status van je informatiebeveiliging, maar de twee antwoorden zien er anders uit. Dat is geen inconsistentie — het is precisie: je antwoordt op de vraag die gesteld is, niet op een generieke versie ervan.

Waar het wel om gaat: het antwoord aan klant B mag niet iets bevatten wat het antwoord aan klant A tegenspreekt. "Wij hebben toegangsbeheer op basis van rollen" en "wij hebben geen gedocumenteerd toegangsbeleid" kunnen niet allebei waar zijn voor dezelfde periode. Het verschil in detailniveau zit in hoeveel je toont, niet in wat er feitelijk staat. Datzelfde geldt voor een vraag als of de onderneming AI-systemen inzet binnen haar dienstverlening: de ene klant wil een simpel ja of nee, de andere een opsomming per toepassing. Beide antwoorden kunnen correct zijn zolang ze niet botsen.

Waarom detailverschil geen tegenspraak is

Dit volgt niet uit één specifiek artikel, maar uit hoe de bronnen zelf zijn opgebouwd. De tien maatregelen van artikel 21 lid 2 van de NIS2-richtlijn (Richtlijn (EU) 2022/2555) beschrijven verplichte onderdelen van beveiligingsbeleid, maar laten de mate van detaillering aan de rapporterende organisatie over. Annex A van ISO/IEC 27001 werkt met categorieën van beheersmaatregelen die zowel kort als uitgebreid toegelicht kunnen worden — de norm eist implementatie, niet een vaste tekstlengte. Ook de EFRAG VSME-standaard, de basismodule voor niet-beursgenoteerde mkb-ondernemingen onder de CSRD (Richtlijn (EU) 2022/2464), is een raamwerk van datapunten: hoe uitgebreid je die toelicht, bepaalt de vraagsteller, niet de standaard. Wil je vastleggen welk detailniveau bij welke klant hoort, dan is dat een kwestie van administratie in je eigen dossier — net zoals je vastlegt in welke sector de onderneming actief is, als basisgegeven dat elke lijst weer anders uitvraagt.