Моят клиент пита за доказателствени материали със списъка с въпроси, какво трябва да представя

Доказателството е свързано с отговора, а не със съответния въпрос като цяло

Няма фиксиран списък "доказателства към киберпасажи" — доказателството зависи от кои от десетте мерки от член 21(2) на Директива NIS2 заявява клиентът. Ако запита за контрол на достъпа, подходящо е извлечение от политиката на достъп, а не цялата политика за информационна сигурност. Ако запита за реагиране на инциденти, често е достатъчно описание на процеса с линии на ескалацията, а не дневник на инцидентите с подробности. При организиране помислете върху категориите, които също се появяват в политиката за анализ на риска, процедурата при инциденти с киберсигурност и изискванията към собствени доставчици наново: всяка изисква различен вид обоснование.

Ако нямате доказателството — например защото политиката съществува, но никога не е била писана — тогава "не" с кратко пояснение е честният отговор, а не препратка към документ, който не съществува. Сертификат ISO 27001 покрива няколко въпроса едновременно, но само ако обхватът на този сертификат действително засягат частите, за които клиентът запитва; в противен случай това създава привидна сигурност, която се връща при одит. Проверете първо дали сертификатът е приложим към запитваната част, преди да го предоставите като доказателство.

Откъде произтича това: член 21, параграф 2 и Приложение A

Член 21(2) на Директива NIS2 посочва десетте мерки, които клиентът обикновено深dive — от управление на риска до политика на достъп до сигурност на доставчиците — и всяка мярка има свой собствен вид доказателства, а не един всеобхватен документ. ISO/IEC 27001 Приложение А съдържа управляващите мерки, които често се използват като контролен списък, за да се определи кое доказателство към кой въпрос подходи; сертификат според този стандарт е следователно не замяна на основните документи, а потвърждение, че те са преглеждани. Законът за киберсигурност, холандската преработка на NIS2, влиза в сила на 15 август 2026 г. и съдържа същата организация — за тези, които вече събират доказателства, съответствието с тази структура не е загубена енергия.