klient chce doklady ke každé odpovědi v seznamu otázek, co si vezmu

Důkaz je obvykle dokument, který již máte, ne nový materiál

U většiny otázek si můžete obstarat stávající dokument místo vytváření něčeho nového. U otázek týkajících se identity je to výpis z obchodního rejstříku; u otázky certifikace samotný certifikát s rozsahem a datem vypršení; u otázky NIS2 o deseti opatřeních z článku 21 odst. 2 často politický dokument, analýza rizik nebo poslední zpráva z penetračního testování. U otázek týkajících se udržitelnosti, které se opírají o modul VSME, je důkazem obvykle základní výpočet nebo politický dokument, ze kterého číslo pochází — ne samotná odpověď, ale to, co stojí za ní.

Složitý bod nastane, když nemáte požadovaný důkazní dokument, například certifikát ISO 27001, zatímco jste sice zavedly opatření podle přílohy A, ale necháte si je formálně certifikovat. Odpovězte pak fakticky: pojmenujte, co máte (politiku, opatření, datum zavedení) a co nemáte (certifikát jako formální dokument). Zákazník si s tím poradí; hádané "ano" s certifikátem, který neexistuje, při pozdější kontrole způsobí více škody než čestné "ne, ale máme základní opatření". Zeptejte se také sami sebe, zda je požadovaný důkaz vůbec relevantní — nebo zda podnik využívá systémy AI v rámci své služby je například otázka, kde "není relevantní" je stejně platnou odpovědí jako důkaz, pokud je to fakticky správné.

Odkud pochází požadavek na důkaz

Pro deseti opatření z článku 21 odst. 2 směrnice NIS2 se důkaz implementace funkčně očekává, i když samotná směrnice nestanovenou pevnou formu důkazu. ISO/IEC 27001 Annex A funguje obráceně: opatření jsou důkazem teprve tehdy, jsou-li zahrnuta v certifikovaném systému řízení, odkud certifikát bez uvedení rozsahu málo vypovídá. U údajů o identitě je základem Zákon o obchodním rejstříku 2007, který stanovuje, která data podniku jsou registrována — porovnejte také adresy místa podnikání podniku, který pochází přímo z tohoto rejstříku. U čísel udržitelnosti je modul VSME od EFRAG dobrovolným standardem, na který jsou často odkazovány malé a střední podniky, které nespadají pod úplné povinnosti hlášení CSRD ze směrnice (EU) 2022/2464.