twee klanten vragen bijna hetzelfde maar net anders geformuleerd

Twee formuleringen kunnen naar hetzelfde antwoord verwijzen

Meestal is het antwoord: dezelfde brondata, twee keer een andere vraagformulering. Klant A vraagt "Beschikt u over een ISMS conform ISO 27001?", klant B vraagt "Zijn de tien maatregelen uit artikel 21 lid 2 van de NIS2-richtlijn geïmplementeerd?" Dat zijn niet twee vragen die om twee antwoorden vragen — het zijn twee ingangen tot hetzelfde onderliggende feit: heb je informatiebeveiliging op orde, en met welk bewijsstuk toon je dat aan. Het ene portaal vraagt naar het certificaat, het andere naar de dekking van de maatregelen zelf. Als je een ISO/IEC 27001-certificaat hebt, dekt dat de tien maatregelen van artikel 21 lid 2 doorgaans grotendeels af, omdat de Annex A-beheersmaatregelen van de norm grote overlap hebben met wat de richtlijn verplicht. Dat is geen garantie voor volledige dekking punt voor punt, dus het blijft nuttig om per maatregel te checken of er een gat zit.

Waar het wél verschilt: sommige klanten willen het brondocument (het certificaat, het bewijsstuk zelf), andere willen alleen een ja/nee met toelichting. Dat raakt niet het antwoord, maar de vorm waarin je het aanlevert. Hetzelfde patroon speelt bij duurzaamheidslijsten: de ene klant vraagt naar "VSME-indicatoren", de andere naar "CSRD-rapportage", en voor een niet-beursgenoteerde onderneming die niet zelf CSRD-plichtig is, is het antwoord vaak gebaseerd op dezelfde VSME-basismodule-cijfers, alleen anders ingekleed. Check bij twijfel of de onderliggende vraag echt hetzelfde feit raakt — bijvoorbeeld of de onderneming AI-systemen inzet binnen haar dienstverlening los staat van hoe een ander portaal naar "geautomatiseerde besluitvorming" vraagt — voordat je klakkeloos hetzelfde antwoord kopieert.

Waar het bewijs vandaan komt bij overlappende vragen

De overlap tussen ISO/IEC 27001 en NIS2 volgt uit de Annex A-maatregelen van de norm en artikel 21 lid 2 van Richtlijn (EU) 2022/2555; de overlap tussen VSME en CSRD volgt uit de EFRAG VSME-basismodule als vrijwillige standaard naast de rapportageverplichting van Richtlijn (EU) 2022/2464. Basisgegevens zoals het vestigingsadres of het registratienummer komen sowieso uit één bron, de Handelsregisterwet 2007, ongeacht hoe een portaal ernaar vraagt.