cliente solicita documentos que prueben cada respuesta en el cuestionario qué envío

La prueba suele ser un documento que ya tienes, no es un documento nuevo

En la mayoría de las preguntas puedes presentar un documento existente en lugar de elaborar uno nuevo. Para preguntas de identidad, se trata de un extracto del registro mercantil; para una pregunta de certificación, el certificado en sí, con alcance y fecha de validez; para una pregunta sobre NIS2 relativa a las diez medidas del artículo 21, apartado 2, a menudo un documento de política, un análisis de riesgos o el último informe de prueba de penetración. En las preguntas sobre sostenibilidad que se basan en el módulo básico de la PYME, la prueba suele ser el cálculo subyacente o el documento de política del que proviene la cifra —no la respuesta en sí, sino lo que hay detrás.

El punto complicado es cuando no tienes el documento de prueba solicitado, por ejemplo un certificado ISO 27001 mientras que tienes implementadas las medidas correspondientes del Anexo A pero no las has certificado. Entonces responde con hechos: menciona lo que sí tienes (la política, la medida, la fecha de implementación) y lo que no tienes (el certificado como documento formal). Un cliente puede continuar con eso; un "sí" adivinado con un certificado que no existe causa más daño en una auditoría posterior que un "no honesto, pero sí la medida subyacente". También pregúntate si la prueba solicitada es aplicable en absoluto — o si la empresa utiliza sistemas de IA en la prestación de sus servicios es por ejemplo una pregunta donde "no aplicable" es una respuesta tan válida como un documento de apoyo, siempre que sea fácticamente correcto.

De dónde procede la solicitud de prueba

Para las diez medidas del artículo 21, apartado 2, de la Directiva NIS2, se espera funcionalmente la prueba de implementación, aunque la directiva en sí no prescribe una forma de prueba fija. ISO/IEC 27001 Anexo A funciona al revés: las medidas de control solo son prueba si se incluyen en un sistema de gestión certificado, de ahí que un certificado sin mención de alcance diga poco. Para los datos de identidad, la base está en la Ley de Registro Mercantil 2007, que establece qué datos de una empresa están registrados — véase también el domicilio de la empresa, que proviene directamente de ese registro. Para las cifras de sostenibilidad, el módulo básico de la PYME de EFRAG es el estándar voluntario al que a menudo se remite a las pequeñas y medianas empresas cuando no están sujetas a la obligación completa de información de la Directiva (UE) 2022/2464.