klient küsib iga vastuse juures tõendeid, mida ma kaasa saadan

Tõendus on tavaliselt dokument, mis sul juba on, mitte uus materjal

Enamiku küsimuste puhul saad olemasoleva dokumendi esitada uue koostamise asemel. Identiteeditküsimuste puhul on see kaubandusregistri väljajäte; sertifitseerimisküsimuse puhul sertifikaat ise, koos reguleerimisalaga ja kehtivusperioodiga; NIS2-küsimuse puhul artikli 21 lõike 2 kümne meetme kohta sageli poliitikadokument, riskianalüüs või viimane pentesti aruanne. Jätkusuutlikkusküsimuste puhul, mis toetuvad VSME baasmoodulile, on tõendus tavaliselt aluskalkulatsioon või poliitikadokument, millest joonis pärit – mitte vastus ise, vaid selle taga olev materjal.

Keeruline on juhul, kui sul ei ole nõutavat tõendusmaterjali, näiteks ISO 27001 sertifikaati, kuigi oled rakendanud vastavad Annex A meetmed, kuid pole sertifitseerimist taotlenud. Vasta siis faktiliselt: nimeta, mis sul on (poliitika, meede, rakendamise kuupäev) ja mis sul ei ole (sertifikaat formaalse dokumendina). Klient saab sellega edasi; arvatud "jah" sertifikaadiga, mis ei ole olemas, tekitab hilisema kontrolli käigus rohkem kahju kui aus "ei, kuid alusmeede on olemas". Küsi ka endalt, kas nõutav tõendus üldse kehtib – või kasutab ettevõte oma teenuste osutamisel tehisintellekti süsteeme on näiteks küsimus, kus "ei ole kohaldatav" on sama kehtiv vastus kui tõendusmaterjal, kui see faktiliselt vastab tõele.

Kust pärit on tõenduse nõue

Artikli 21 lõike 2 kümne meetme puhul eeldatakse rakendamise tõendusmaterjali funktsionaalselt, ehkki NIS2-direktiiv ise ei kirjuta ette fikseeritud tõendusvormi. ISO/IEC 27001 Annex A toimib vastupidiselt: kontrollimeetmed on tõendus alles siis, kui need on kaasatud sertifitseeritud juhtsüsteemi, mistõttu sertifikaat ilma reguleerimisala märkuseta ei ütle kuigi palju. Identiteeditandmete puhul on aluseks Kaubandusregistri seadus 2007, mis määrab kindlaks, millised andmed on ettevõtte kohta registreeritud – vaata ka ettevõtte asukohtamis tuleb otse sellest registrist. Jätkusuutlikkuse numbrite puhul on EFRAG VSME baasmoodul vabatahtlik standard, millele sageli osutavad väikeettevõtted, kui nad ei kuulu Direktiivi (EL) 2022/2464 täielikku CSRD-aruandluskaitsealasse.