der Kunde fordert auf, ein Zertifikat oder eine Anlage hochzuladen, geht das

Eine Anlage ist eine lose Datei, keine ausgefüllte Antwort

Ja, das geht: Neben Textfeldern erkennt das System auch Fragen, bei denen der Kunde um eine lose Datei bittet, wie z. B. ein ISO-27001-Zertifikat, eine Versicherungserklärung oder ein Organigramm. Das funktioniert anders als eine Textantwort. Bei einer Textfrage ruft das System einen Wert aus dem Lieferantendossier ab und bereitet ihn vor. Bei einer Anlage-Frage sucht das System, ob sich im Dossier eine Datei des richtigen Typs befindet, und verknüpft sie. Befindet sich das Zertifikat über ISO 9001 nicht darin, bleibt das Feld leer — es wird niemals ein Platzhalter oder eine alte Datei vorgeschlagen, wenn nicht sicher ist, dass es die richtige ist.

Die Erkennung des Dokumenttyps erfolgt auf Basis der Anweisung in der Frage selbst, nicht auf Grundlage des Inhalts: Wenn die Liste nach "Nachweis der ISO/IEC-27001-Zertifizierung" fragt, sucht das System nach einer Datei, die als solche im Dossier gekennzeichnet ist, nicht nach einer PDF, die zufällig das Wort ISO enthält. Bei einer Frage nach einem Kontinuitätsplan gilt das gleiche Prinzip: Das System passt das gekennzeichnete Dokument über die Fortführung der Geschäftstätigkeit bei einer schwerwiegenden Störung an, nicht auf textliche Ähnlichkeit. Wenn die Kennzeichnung fehlt, wird nichts automatisch verknüpft und das System meldet, dass keine Anlage gefunden wurde — der Kunde entscheidet dann selbst, ob er etwas hochlädt oder das Feld gegenüber dem Portal seines Abnehmers leer lässt.

Woher kommt dieser Unterschied

Dieses Unterscheidungsmerkmal ergibt sich nicht aus einer Norm, sondern davon, wie diese Normen selbst funktionieren: Annex A der ISO/IEC 27001 beschreibt Kontrollmaßnahmen, die nachweisbar sein müssen, und dieses "nachweisbar" ist in der Praxis oft ein Zertifikat oder eine Auditvermerk, kein freier Text. Dasselbe gilt für die zehn Maßnahmen gemäß Artikel 21 Absatz 2 der Richtlinie (EU) 2022/2555 (NIS2): Ein Kunde kann nach einer Beschreibung fragen, aber auch nach dem zugrunde liegenden Beweismittel selbst. Das System schließt sich an, indem es pro Frage erkennt, ob Text oder eine Datei verlangt wird, und das bestimmt, ob ein Wert oder eine Dokumentenverknüpfung bereitgestellt wird.