saanko antaa yhdelle yksityiskohtaisemman vastauksen kuin toiselle

Sama vastaus, eri yksityiskohtaisuuden taso

Kyllä, se on sallittua. Taustalla oleva tosiasia on yksi totuus toimitusketjun tiedostossa, mutta sen esittäminen voi vaihdella lista kerrallaan. Jos asiakas A kysyy "kuvaile lyhyesti ISMS-järjestelmääsi" ja asiakas B "mitkä hallintotoimenpiteistä ISO/IEC 27001:n liitteestä A olet ottanut käyttöön, luokittain", se on tosiasiallisesti sama tietoturvan tila taustalla, mutta nämä kaksi vastausta näyttävät erilaisilta. Se ei ole ristiriita — se on tarkkuus: vastaat kysyttyyn kysymykseen, et yleiseen versioon siitä.

Oleellista on seuraava: asiakas B:n antama vastaus ei saa sisältää mitään, joka on ristiriidassa asiakkaan A:n vastauksen kanssa. "Meillä on roolipohjainen pääsynvalvonta" ja "meillä ei ole dokumentoitua pääsykäytäntöä" eivät voi molemmat olla totta samalla ajanjaksolla. Yksityiskohtaisuuden ero on siinä, kuinka paljon näytät, ei siinä, mitä todellisuudessa on. Sama pätee kysymyksiin, kuten tai käyttääkö yritys tekoälyjärjestelmiä palveluntarjoannassaan— toinen asiakas haluaa yksinkertaisen kyllä tai ei, toinen haluaa luettelon sovelluksittain. Molemmat vastaukset voivat olla oikein niin kauan kuin ne eivät ole ristiriidassa.

Miksi yksityiskohtaisuusero ei ole ristiriita

Tämä ei perustu yhteen tiettyyn artikkeliin, vaan siihen, kuinka lähteet itsessään on rakennettu. NIS2-direktiivin (Direktiivi (EU) 2022/2555) 21 artiklan 2 kohdan kymmenen toimenpidettä kuvaavat pakollisia tietoturvapolitiikan osia, mutta jättävät raportoivan organisaation vastuulle, kuinka yksityiskohtainen esitys on. ISO/IEC 27001:n liite A toimii hallintotoimenpiteiden luokkien kanssa, joita voidaan selittää sekä lyhyesti että yksityiskohtaisesti — standardi edellyttää toteutusta, ei kiinteää tekstin pituutta. EFRAG VSME -standardi, CSRD:n (Direktiivi (EU) 2022/2464) perusmoduuli pörssiin listaamattomille pienille ja keskisuurille yrityksille, on myös datapisteiden kehys: kuinka yksityiskohtaisesti ne selität, sen määrittää kysymysten esittäjä, ei standardi. Jos haluat dokumentoida, mikä yksityiskohtaisuustaso kuuluu mille asiakkaalle, se on hallintokysymys omassa tiedostossasi — samoin kuin dokumentoit missä sektorilla yritys toimiiperusaineistona, jota jokainen lista kysyy uudella tavalla.