két ügyfél majdnem ugyanazt kérdezi, de kicsit másképp fogalmazva

Két megfogalmazás ugyanarra a válaszra utalhat

Általában az a válasz: ugyanazok a forrásdatok, csak kétszer másként megfogalmazott kérdés. Az A ügyfél azt kérdezi: "Rendelkezik ISO 27001 szerinti ISMS-sel?", a B ügyfél pedig azt kérdezi: "Megvalósította-e az NIS2-irányelv 21. cikk 2. bekezdésében szereplő tíz intézkedést?" Ezek nem két olyan kérdés, amely két válaszra szólít fel — ezek ugyanazon az alapvető tényen keresztüli két megközelítés: rendezettük-e az információbiztonsága, és milyen bizonyítékkal mutatod ezt ki. Az egyik portál a tanúsítványra kérdez rá, a másik magukra az intézkedésekre. Ha van ISO/IEC 27001-tanúsítványod, az általában nagymértékben lefedi az irányelv 21. cikk 2. bekezdésében szereplő tíz intézkedést, mivel a norma Annex A-ellenőrzési intézkedései jelentős átfedésben vannak azzal, amit az irányelv előír. Ez nem garantálja a teljes pont szerinti megfelelést, ezért az intézkedésenként való ellenőrzés továbbra is hasznos annak eldöntésére, hogy van-e hézag.

Ahol ténylegesen különbözik: egyes ügyfelek a forrásdokumentumot kérik (a tanúsítványt, magát a bizonyítékot), mások csak igen/nem választ kívánnak indoklással. Ez nem érinti a választ, hanem azt a formát, amelyben azt beadod. Ugyanez a minta érvényes a fenntarthatósági listáknál: az egyik ügyfél a "VSME-mutatók" után kérdez, a másik a "CSRD-jelentést" követeli meg, és egy olyan nem tőzsdei társaság számára, amely nem tartozik CSRD-be, a válasz gyakran ugyanazon VSME-alapmodul-számokra épül, csak másképp bemutatva. Kétség esetén ellenőrizze, hogy az alapul fekvő kérdés ténylegesen ugyanarra a tényre vonatkozik-e — például arra, hogy AI-rendszereket alkalmaz-e a vállalkozás a szolgáltatásnyújtásán belül nem független attól, ahogy egy másik portál az "automatizált döntéshozatalra" kérdez rá — mielőtt gond nélkül ugyanazt a választ másolnád.

Honnan származik a bizonyíték az átfedő kérdések esetén

Az ISO/IEC 27001 és az NIS2 közötti átfedés a norma Annex A-intézkedéseiből és az (EU) 2022/2555 irányelv 21. cikk 2. bekezdéséből fakad; a VSME és a CSRD közötti átfedés az EFRAG VSME-alapmodulból ered, mint önkéntes szabvány az (EU) 2022/2464 irányelv szerinti jelentési kötelezettség mellett. Az olyan alapadatok, mint a a cég telephelye vagy a regisztrációs szám mindenesetre egy forrásból származnak, a 2007. évi Kereskedelmi Regiszterről szóló törvényből, függetlenül attól, hogy egy portál hogyan kérdez utána.