czy mogę dla jednego klienta udzielić bardziej szczegółowej odpowiedzi niż dla drugiego
Ta sama odpowiedź, inny poziom szczegółowości
Tak, to jest dozwolone. Podstawowy fakt pozostaje jedną prawdą w łańcuchowym dossier, ale jego przedstawienie może różnić się w zależności od listy. Jeśli klient A pyta "opisz krótko swój ISMS", a klient B "które środki kontroli z Załącznika A normy ISO/IEC 27001 wdrożyłeś, w podziale na kategorie", to faktycznie jest to ten sam stan bezpieczeństwa informacji, ale te dwie odpowiedzi wyglądają inaczej. To nie jest sprzeczność — to precyzja: udzielasz odpowiedzi na zadane pytanie, a nie na jego wersję ogólną.
O co rzeczywiście chodzi: odpowiedź dla klienta B nie może zawierać czegoś, co byłoby sprzeczne z odpowiedzią dla klienta A. "Mamy kontrolę dostępu opartą na rolach" i "nie mamy udokumentowanej polityki dostępu" nie mogą być jednocześnie prawdziwe dla tego samego okresu. Różnica w poziomie szczegółowości polega na tym, ile pokazujesz, a nie na tym, co faktycznie istnieje. To samo dotyczy pytania w rodzaju czy przedsiębiorstwo stosuje systemy AI w ramach swojej działalności: jeden klient chce proste tak lub nie, inny — opis dla każdej aplikacji. Obie odpowiedzi mogą być poprawne, dopóki się nie sprzeczają.
Dlaczego różnica w szczegółach nie jest sprzeczką
Nie wynika to z jednego konkretnego artykułu, lecz z tego, jak skonstruowane są same źródła. Dziesięć środków z artykułu 21 ust. 2 dyrektywy NIS2 (Dyrektywa (UE) 2022/2555) opisują obowiązkowe elementy polityki bezpieczeństwa, ale pozostawiają poziom szczegółowości organizacji sprawozdawczej. Załącznik A normy ISO/IEC 27001 pracuje z kategoriami środków kontroli, które mogą być wyjaśniane zarówno krótko, jak i rozszerzone — norma wymaga wdrożenia, a nie ustalonej długości tekstu. Również standard EFRAG VSME, moduł bazowy dla małych i średnich przedsiębiorstw niebędących spółkami publicznymi objętych CSRD (Dyrektywa (UE) 2022/2464), jest ramy punktów danych: sposób, w jaki je szczegółowo wyjaśnisz, określa pytający, a nie standard. Jeśli chcesz ustalić, jaki poziom szczegółowości dotyczy którego klienta, jest to kwestia administracyjna w twoim własnym dossier — podobnie jak określasz w jakim sektorze działa przedsiębiorstwojako dane bazowe, że każda lista ponownie pyta inaczej.
Ta odpowiedź dotyczy każdego rodzaju kwestionariusza, nie tylko pytań dotyczących cyberbezpieczeństwa od twojego klienta, odpowiedź udzielona. Pełne wyjaśnienie — ze źródłami, specyficznymi dla kraju szczegółami i powiązanymi tematami — znajduje się na portalu.
To nie jest porada prawna. Ta strona zawiera ogólne informacje o przepisach, których dotyczy ta platforma. Nie znamy Twojej sytuacji. W razie wątpliwości co do Twojego konkretnego przypadku skonsultuj się z prawnikiem lub właściwym organem nadzoru.
Napisane za pomocą AI na podstawie powyższych źródeł, sprawdzane przez człowieka w dniu 2026-09-05. Coś się nie zgadza? Daj nam znać — poprawki mają priorytet.