får jag ge ett mer omfattande svar för den ena än för den andra

Samma svar, annan detaljnivå

Ja, det är tillåtet. Det underliggande faktum förblir en sanning i kedjedokumentationen, men presentationen av det får skilja sig åt per lista. Om kund A frågar "beskriv kort ditt ISMS" och kund B "vilka av kontrollåtgärderna i Bilaga A till ISO/IEC 27001 har du implementerat, per kategori", så är det faktiskt samma underliggande status för din informationssäkerhet, men de två svaren ser olika ut. Det är ingen motsägelse — det är precision: du svarar på den fråga som ställs, inte på en generisk version av den.

Vad som spelar roll: svaret till kund B får inte innehålla något som motsäger svaret till kund A. "Vi har rollbaserad åtkomstkontroll" och "vi har ingen dokumenterad åtkomstpolicy" kan inte båda vara sanna för samma period. Skillnaden i detaljnivå ligger i hur mycket du visar, inte i vad som faktiskt finns. Detsamma gäller en fråga som: eller om företaget använder AI-system inom sin tjänsteleverans": den ena kunden vill ha ett enkelt ja eller nej, den andra en uppräkning per tillämpning. Båda svaren kan vara korrekta så länge de inte motsäger varandra.

Varför skillnad i detaljeringsgrad inte är en motsägelse

Det följer inte från en enda specifik artikel, utan från hur själva källorna är utformade. De tio åtgärderna i artikel 21 punkt 2 i NIS2-direktivet (Direktiv (EU) 2022/2555) beskriver obligatoriska delar av säkerhetspolicy, men lämnar detaljnivån till den rapporterande organisationen. Bilaga A till ISO/IEC 27001 arbetar med kategorier av kontrollåtgärder som kan förklaras både kort och utförligt — standarden kräver implementering, inte en fast textlängd. Även EFRAG VSME-standarden, basmodulen för icke-börsnoterade små och medelstora företag enligt CSRD (Direktiv (EU) 2022/2464), är ett ramverk av datapunkter: hur utförligt du förklarar dem bestäms av den som ställer frågan, inte av standarden. Om du vill dokumentera vilken detaljnivå som hör till vilken kund, är det en fråga om administration i ditt eget dossier — på samma sätt som du dokumenterar i vilken sektor företaget är verksamt, som grundläggande data som varje lista frågar olika om.