må jeg give et mere udførligt svar til den ene end til den anden

Det samme svar, anden detaljeringsgrad

Ja, det må det gerne. Det underliggende faktum forbliver én sandhed i kædefilmen, men dets gengivelse må variere pr. liste. Hvis kunde A spørger "beskriver du kort dit ISMS" og kunde B "hvilke af kontrolforanstaltningerne i bilag A til ISO/IEC 27001 har du implementeret, pr. kategori", så er det faktisk den samme underliggende status for dit informationssikkerhed, men de to svar ser forskellige ud. Det er ikke inkonsistens — det er præcision: du svarer på det spørgsmål, der stilles, ikke på en generisk version af det.

Hvad der betyder noget: svaret til kunde B må ikke indeholde noget, der modsiger svaret til kunde A. "Vi har adgangskontrol baseret på roller" og "vi har ingen dokumenteret adgangspolitik" kan ikke begge være sande for samme periode. Forskellen i detaljeringsgrad ligger i, hvor meget du viser, ikke i hvad der faktisk står. Det samme gælder for et spørgsmål som eller om virksomheden anvender AI-systemer inden for sin serviceydelse": den ene kunde vil have et simpelt ja eller nej, den anden en opgørelse pr. anvendelse. Begge svar kan være korrekte, så længe de ikke kolliderer.

Hvorfor detaljeforskel ikke er modsigelse

Dette følger ikke af én specifik artikel, men af hvordan kilderne selv er opbygget. De ti foranstaltninger i artikel 21, stk. 2 i NIS2-direktivet (Direktiv (EU) 2022/2555) beskriver obligatoriske elementer i sikkerhedspolitikken, men overlader graden af detaljering til den rapporterende organisation. Bilag A til ISO/IEC 27001 arbejder med kategorier af kontrolforanstaltninger, der både kan forklares kort og udførligt — standarden kræver implementering, ikke en fast tekstlængde. EFRAG VSME-standarden, basismodulet for ikke-børsnoterede små og mellemstore virksomheder under CSRD (Direktiv (EU) 2022/2464), er også et rammer af datapunkter: hvor udførligt du forklarer disse, bestemmes af spørger, ikke standarden. Hvis du vil dokumentere, hvilken detaljeringsgrad, der hører til hvilken kunde, er det et spørgsmål om administration i dit eget dossier — ligesom du dokumenterer hvilken sektor virksomheden er aktiv i, som basisoplysning, som hver liste stiller forskelligt.