¿puedo dar una respuesta más completa para un cliente que para otro?

La misma respuesta, diferente nivel de detalle

Sí, eso está permitido. El hecho subyacente sigue siendo una única verdad en el dossier de la cadena, pero su presentación puede variar según la lista. Si el cliente A pregunta «describa brevemente su ISMS» y el cliente B pregunta «cuáles de las medidas de control del Anexo A de ISO/IEC 27001 ha implementado, por categoría», entonces ese es de hecho el mismo estado subyacente de su seguridad de la información, pero las dos respuestas se ven diferentes. Eso no es una inconsistencia — es precisión: responde la pregunta que se hace, no una versión genérica de ella.

Lo que importa es esto: la respuesta al cliente B no puede contener algo que contradiga la respuesta al cliente A. «Tenemos control de acceso basado en roles» y «no tenemos una política de acceso documentada» no pueden ser ambas ciertas para el mismo período. La diferencia en el nivel de detalle radica en cuánto muestras, no en lo que realmente está ahí. Lo mismo aplica a una pregunta como o si la empresa utiliza sistemas de IA en la prestación de sus servicios: un cliente quiere un simple sí o no, otro quiere un listado por aplicación. Ambas respuestas pueden ser correctas siempre que no se contradigan.

Por qué la diferencia de detalle no es contradicción

Esto no se deriva de un artículo específico único, sino de cómo están estructuradas las propias fuentes. Las diez medidas del artículo 21, apartado 2, de la Directiva NIS2 (Directiva (UE) 2022/2555) describen componentes obligatorios de la política de seguridad, pero dejan el nivel de detalle a la organización que reporta. El Anexo A de ISO/IEC 27001 funciona con categorías de medidas de control que pueden explicarse tanto brevemente como con detalle — la norma exige la implementación, no una longitud de texto fija. Además, el estándar EFRAG VSME, el módulo básico para las pymes no cotizadas bajo la CSRD (Directiva (UE) 2022/2464), es un marco de puntos de datos: cuánto detalle des a esos puntos lo determina quien pregunta, no la norma. Si quieres registrar qué nivel de detalle corresponde a cada cliente, eso es una cuestión de administración en tu propio dossier — igual que registras en qué sector opera la empresa, como dato base que cada lista vuelve a interrogar de forma diferente.