mag ik aan de een een ander antwoord geven dan aan de ander op dezelfde vraag

Verschillende antwoorden per klant, zolang ze allemaal klopen

Ja, dat mag, want het gaat niet om één vast antwoord maar om welke feiten elke klant vraagt en met welke precisie. De vraag "voldoet u aan ISO 27001" kan bij de ene klant vragen om een simpel ja of nee, en bij de andere klant om een uitsplitsing per beheersmaatregel uit Annex A. Zolang beide antwoorden op dezelfde onderliggende feiten uit het ketendossier berusten, is er geen tegenspraak — alleen een ander detailniveau of een andere formulering.

Waar het wél misgaat, is als de feiten zelf verschillen. Als het aantal medewerkers bij klant A hoger uitkomt dan bij klant B, zonder dat er een aanwijsbare reden is (andere peildatum, andere definitie van "medewerker"), dan is dat een risico. Datzelfde geldt voor een vraag als of de onderneming AI-systemen inzet: het antwoord mag per klant anders geformuleerd zijn, maar de onderliggende situatie is er maar één. Supplia herkent zulke vragen als "dezelfde vraag, ander format" en vult ze uit hetzelfde dossier, zodat het antwoord overal op dezelfde feiten teruggaat — ook als de zin er anders uitziet.

Geen wettelijke plicht tot identieke bewoording, wel tot juiste feiten

Geen van de aangehaalde regelingen — niet de Handelsregisterwet 2007, niet de CSRD (Richtlijn (EU) 2022/2464), niet de NIS2-richtlijn (Richtlijn (EU) 2022/2555) — schrijft voor dat een onderneming aan elke afnemer identiek geformuleerde antwoorden geeft. Wat wel telt, is dat de onderliggende gegevens correct zijn: de Handelsregisterwet 2007 legt vast welke basisgegevens van een onderneming officieel zijn geregistreerd, en dat zijn de gegevens waarop elk antwoord — in welk format dan ook — moet aansluiten. De EFRAG VSME-standaard en Annex A van ISO/IEC 27001 werken met vaste indicatoren en maatregelen; verschillende klanten kunnen daaruit een andere selectie vragen, maar de waarde achter elke indicator is er maar één.