due clienti chiedono quasi la stessa cosa ma formulata leggermente diversamente

Due formulazioni possono rimandare alla stessa risposta

Nella maggior parte dei casi la risposta è: gli stessi dati di base, due volte una formulazione di domanda diversa. Il cliente A chiede "Disponete di un ISMS conforme a ISO 27001?", il cliente B chiede "Sono implementate le dieci misure di cui all'articolo 21, paragrafo 2, della direttiva NIS2?" Non si tratta di due domande che richiedono due risposte — sono due punti di accesso allo stesso fatto sottostante: hai l'information security in ordine, e con quale prova lo dimostri. Un portale chiede il certificato, l'altro chiede la copertura delle misure stesse. Se hai un certificato ISO/IEC 27001, questo copre di solito in larga misura le dieci misure dell'articolo 21, paragrafo 2, perché le misure di controllo dell'Annex A della norma hanno una grande sovrapposizione con quanto richiesto dalla direttiva. Questo non è una garanzia di copertura completa punto per punto, quindi rimane utile verificare per ogni misura se c'è un vuoto.

Dove differisce davvero: alcuni clienti vogliono il documento di base (il certificato, la prova stessa), altri vogliono solo un sì/no con una spiegazione. Questo non riguarda la risposta, ma la forma in cui la comunichi. Lo stesso schema si applica agli elenchi di sostenibilità: un cliente chiede "indicatori VSME", un altro chiede "reporting CSRD", e per un'impresa non quotata che non è direttamente soggetta ai requisiti CSRD, la risposta è spesso basata sugli stessi dati del modulo base VSME, solo presentati diversamente. Verifica in caso di dubbio se la domanda sottostante riguarda veramente lo stesso fatto — per esempio se l'impresa impiega sistemi di IA nell'ambito della sua fornitura di servizi è indipendente da come un altro portale chiede riguardo al "processo decisionale automatizzato" — prima di copiare ciecamente la stessa risposta.

Da dove proviene la prova in caso di domande sovrapposte

La sovrapposizione tra ISO/IEC 27001 e NIS2 deriva dalle misure dell'Annex A della norma e dall'articolo 21, paragrafo 2, della Direttiva (UE) 2022/2555; la sovrapposizione tra VSME e CSRD deriva dal modulo base EFRAG VSME come standard volontario accanto all'obbligo di rendicontazione della Direttiva (UE) 2022/2464. I dati di base come l'indirizzo della sede o il numero di registrazione provengono comunque da un'unica fonte, il Handelsregisterwet 2007, indipendentemente da come un portale chiede al riguardo.