darf ich einem eine andere Antwort geben als einem anderen auf dieselbe Frage

Unterschiedliche Antworten pro Kunde, solange sie alle korrekt sind

Ja, das darf ich, denn es geht nicht um eine einzige feste Antwort, sondern darum, welche Fakten jeder Kunde abfragt und mit welcher Genauigkeit. Die Frage "erfüllen Sie ISO 27001" kann bei dem einen Kunden ein einfaches Ja oder Nein erfordern und bei dem anderen Kunden eine Aufschlüsselung pro Kontrolltätigkeit aus Anlage A. Solange beide Antworten auf denselben zugrunde liegenden Fakten aus dem Kettendossier beruhen, gibt es keinen Widerspruch — nur ein anderes Detaillierungsniveau oder eine andere Formulierung.

Das Problem entsteht, wenn sich die Fakten selbst unterscheiden. Wenn die Anzahl der Mitarbeiter bei Kunde A höher ausfällt als bei Kunde B, ohne dass es einen nachweisbaren Grund gibt (anderes Stichtag, andere Definition von "Arbeitnehmer"), dann ist das ein Risiko. Dasselbe gilt für eine Frage wie ob das Unternehmen KI-Systeme einsetzt: die Antwort darf pro Kunde anders formuliert sein, aber die zugrunde liegende Situation gibt es nur einmal. Supplia erkennt solche Fragen als "dieselbe Frage, anderes Format" und füllt sie aus demselben Dossier, sodass die Antwort überall auf denselben Fakten beruht — auch wenn der Satz anders aussieht.

Keine gesetzliche Pflicht zur identischen Formulierung, wohl aber zu korrekten Fakten

Keine der angeführten Regelungen — weder das Handelsregistergeset 2007, noch die CSRD (Richtlinie (EU) 2022/2464), noch die NIS2-Richtlinie (Richtlinie (EU) 2022/2555) — schreibt vor, dass ein Unternehmen jedem Abnehmer identisch formulierte Antworten gibt. Was zählt, ist, dass die zugrunde liegenden Daten korrekt sind: das Handelsregistergeset 2007 legt fest, welche Basisdaten eines Unternehmens offiziell registriert sind, und das sind die Daten, auf die sich jede Antwort — in welchem Format auch immer — abstützen muss. Der EFRAG-VSME-Standard und Anlage A von ISO/IEC 27001 arbeiten mit festen Indikatoren und Maßnahmen; verschiedene Kunden können daraus eine andere Auswahl abfragen, aber der Wert hinter jedem Indikator ist es nur einer.