inköpsavdelningen på min kund skickar en annan lista än hållbarhet, hör det också hit

En andra lista är vanligtvis ett annat ämne, inte en duplicerad fråga

Ja, det hör också hit. En inköpsavdelning som ställer en annan fråga än hållbarhet skickar vanligtvis en frågelista om cybersäkerhet, kontinuitet eller avtalsvillkor – och den hämtar delvis från en annan kedjedossier än hållbarhetslistorna. Identitetsfrågorna (namn, registreringsnummer, etableringsadress) återkommer, men innehållsfrågorna är nya: tänk på de tio åtgärderna i artikel 21 punkt 2 i NIS2-direktivet, på kontrollåtgärderna i bilaga A i ISO/IEC 27001, eller på en fråga om kontinuitetsplanen. Systemet känner igen vad som ligger bakom varje fråga och hämtar motsvarande svar från dossieren, om det finns där.

Om svaret inte redan finns i dossieren – till exempel för att det är första gången någon frågar om ISO 27001-åtgärder – så lämnas fältet tomt. Inget fylls i baserat på gissning. Det är ett tillfälle att lagra svaret korrekt en gång för gången, tillsammans med beviset, så att nästa lista från en annan kund – eller från en annan avdelning på samma kund – hittar det automatiskt. På detta sätt växer dossieren per ämne, inte per kund.

Varför samma dossier betjänar flera listor

Fråglistor från olika avdelningar eller kunder faller ofta under samma underliggande lagstiftning, även om formuleringen skiljer sig. En fråga om "informationssäkerhet" och en fråga om "cyberåtgärder" pekar ofta på samma tio åtgärder från artikel 21 punkt 2 i direktiv (EU) 2022/2555 (NIS2), och en fråga om ISO/IEC 27001 hänvisar till kontrollåtgärderna i bilaga A i denna standard. Det är anledningen till att ett svar, när det väl är fastställt med rätt källa, kan användas för flera listor och flera kunder – systemet kopplar frågan till dossieren, inte till kunden som ställer den.