Клиентът иска доказателства към всеки отговор в списъка със въпроси, какво изпращам

Доказателството обикновено е документ, който вече имаш, а не ново

При повечето въпроси можеш да предоставиш съществуващ документ вместо да съставяш ново. За въпроси относно идентичност това е извлечение от търговския регистър; за въпрос относно сертификация самия сертификат с неговия обхват и период на валидност; за въпрос относно NIS2 относно десетте мерки на член 21, параграф 2 често е политически документ, анализ на риска или последния отчет от тест на проникване. За въпроси относно устойчивост, които се основават на основния модул VSME, доказателството обикновено е основната калкулация или политическия документ, от който произхожда цифрата — не самия отговор, а това което стои зад него.

Трудното е когато нямаш поисания доказателствен документ, например сертификат ISO 27001, докато си внедрил съответните мерки от Приложение A, но не си ги сертифицирал. Отговори тогава фактически: назови какво имаш (политиката, мярката, датата на внедряване) и какво нямаш (сертификатът като официално документ). Клиентът може да продължи напред с това; един отговор "да" с произволен сертификат, който не съществува, причинява повече щета при последваща проверка, отколкото един честен "не, но с основната мярка". Попитай се също дали поисаното доказателство е във въобще приложимо — или дали предприятието използва системи с изкуствен интелект при своята дейност е например въпрос, където "не е приложимо" е точно толкова валиден отговор колкото и доказателството, ако това фактически отговаря на истината.

Където доказателството за въпроса произхожда

За десетте мерки от член 21, параграф 2 на Директива NIS2 се очаква функционално доказателство на внедряването, макар че самата директива не предвижда фиксирана форма на доказателство. ISO/IEC 27001 Приложение A работи по друг начин: контролните мерки са доказателство само ако са включени в сертифицирана система за управление, поради което сертификат без указание на обхват казва малко. За данните за самоличност основата е в Закона за търговския регистър 2007 г., който определя кои данни на предприятие са регистрирани — вижте също адреса на седалището на предприятието, което идва директно от този регистър. За цифрите за устойчивост основният модул VSME на EFRAG е доброволния стандарт, към който малки и средни предприятия често се препращат, когато не подлежат на пълното задължение за докладване на CSRD по Директива (EU) 2022/2464.