waarom krijg ik vragen die niet relevant zijn voor mijn bedrijf

Eén format voor alle klanten in de keten

Dat komt bijna altijd door de bron van de vragenlijst, niet door een verkeerde inschatting van jouw bedrijf. De meeste klanten kopen hun vragenlijst in bij één leverancier, of baseren hem op één standaard, en zetten die dan voor de hele keten in — van de eenmansfirma tot de multinational. De VSME van EFRAG is daar een goed voorbeeld van: die basismodule is gebouwd voor niet-beursgenoteerde mkb-ondernemingen in het algemeen, met als achtergrond de CSRD (Richtlijn 2022/2464), die de grotere klant zelf moet rapporteren en die vraagt om gegevens uit de hele keten, inclusief kleine leveranciers waarvoor delen van die vragenlijst niet spelen.

Hetzelfde patroon zie je bij NIS2 en ISO 27001. Een klant die onder Richtlijn 2022/2555 valt, moet bij zijn leveranciers nagaan of de tien maatregelen van artikel 21 lid 2 zijn geborgd — ook als jouw bedrijf zelf niet onder die richtlijn valt en die vragen dus strikt genomen niet voor jou verplicht zijn. Iets soortgelijks geldt voor de vragen die letterlijk uit Annex A van ISO/IEC 27001 komen: een inkoopafdeling neemt vaak de hele bijlage over, ook de maatregelen die bij jouw bedrijfsgrootte of dienst niet aan de orde zijn. Dat is geen fout van de klant, het is een afweging tussen precisie en beheersbaarheid: één lijst voor iedereen is voor de klant makkelijker te onderhouden dan honderd varianten.

Waarom dat format zo breed is opgezet

De achterliggende regelingen — de CSRD, NIS2, de VSME en ISO 27001 — zijn zelf geschreven voor een brede groep ondernemingen en organisaties, niet toegesneden op één klein bedrijf. Als een vraag echt niet van toepassing is, is dat meestal met een korte toelichting op te lossen; het antwoordendossier bewaart die toelichting net zo goed als een positief antwoord, samen met basisgegevens zoals de sector waarin de onderneming actief is en het aantal medewerkers, die vaak juist verklaren waarom een vraag wel of niet relevant is.