Es gibt eine Frage, für die überhaupt keine Antwort in meinem Dossier hinterlegt ist – was nun?

Keine Entsprechung im Dossier: drei Ursachen, drei Folgeschritte

Das kommt vor, und meist liegt es an einem von drei Dingen. Erstens: Die Frage liegt knapp außerhalb des Standardsatzes — etwa eine Frage zu einer bestimmten ISO 27001-Kontrolle aus Annex A, während das Dossier nur das Zertifikat selbst festhält und nicht die zugrundeliegenden Maßnahmen einzeln. Zweitens: Die Frage gehört zu einem Modul, das noch nicht ausgefüllt ist, etwa eine Frage aus dem VSME-Basismodul über Energieverbrauch, während das Kettendossier bislang nur die Identitäts- und Umfangsfelder enthält. Drittens: Die Frage ist kundenspezifisch formuliert — eine eigene Definition von "kritischem Lieferant" oder ein eigener Schwellenwert — und dies fällt definitionsgemäß außerhalb eines gemeinsamen Dossiers, denn dieses ist niemals auf einen einzelnen Kunden zugeschnitten.

Das System lässt dieses Feld dann offen, mit einer klaren Mitteilung, dass es keine Quelle gibt. Es wird niemals automatisch etwas eingefüllt, um die Reihe vollständig zu machen. Der Unternehmer entscheidet selbst: die Antwort für diese eine Einreichung manuell hinzufügen, oder zum Kunden zurückgehen und fragen, was genau gemeint ist. Letzteres ist häufiger berechtigt als es sich anfühlt — Fragelisten zitieren regelmäßig eine Richtlinie aus dem Kontext heraus, und eine Frage, die auf "die zehn Maßnahmen" verweist, ohne Artikel 21 Absatz 2 der Richtlinie (EU) 2022/2555 zu nennen, ist für den Lieferanten nicht auf eine konkrete Antwort zurückzuführen. Bei erkennbaren Lücken ist das Ausfüllen des Kettendossiers selbst der nachhaltigere Weg: denken Sie an ob das Unternehmen KI-Systeme einsetzt oder ob es einen Kontinuitätsplan gibt — zwei Felder, die in immer mehr Listen auftauchen und die, einmal erfasst, bei den nächsten zwanzig Fragelisten automatisch mitkommen.

Warum keine Suggestion ohne Quelle erscheint

Das System schlägt niemals eine Antwort vor, für die das Kettendossier keine zugrundeliegende Tatsache hat — das ist eine eingebaute Grenze, keine vorübergehende Einschränkung. Bei einer CSRD-Frage (Richtlinie (EU) 2022/2464), die über das hinausgeht, was das VSME-Basismodul leisten kann, oder bei einer NIS2-Frage, die eine bestimmte Annex A-Maßnahme aus ISO/IEC 27001 abfragt, während nur die Zertifikatnummer erfasst ist, bleibt das Feld daher leer, bis ein Fakt hinzugefügt wird.