asiakkaani pyytää todisteita kyselylomakkeeseen, mitä minun on toimitettava

Todiste kuuluu vastaukseen, ei kysymykseen kokonaisuudessaan

NIS2-direktiivin 21 artiklan 2 kappaleen mukaisesti ei ole kiinteää "kyberturvallisuusvastauksien todiste" -luetteloa — todiste riippuu siitä, mitä kymmenestä toimenpiteestä asiakas kysyy. Jos hän kysyy pääsynhallinnasta, sopii pääsynhallinnan politiikan ote, ei koko tietoturvapolitiikka. Jos hän kysyy häiriöihin vastaamisesta, riittää usein prosessin kuvaus eskalaatiolinjoineen, ei häiriölokia yksityiskohtineen. Ota huomioon myös luokat, jotka esiintyvät riskianalyysin politiikassa, turvallisuuspoikkeamien käsittelymenettelystä ja omille toimittajille asetettuissa vaatimuksissa jne: jokainen vaatii omantyyppistä perustelua.

Jos sinulla ei ole todistetta — esimerkiksi siksi, että politiikka on olemassa, mutta sitä ei ole koskaan dokumentoitu — on "ei" lyhyen perustelun kera rehellinen vastaus, ei viittaus dokumenttiin, jota ei ole. ISO 27001 -sertifikaatti kattaa useita kysymyksiä kerralla, mutta vain, jos sen soveltamisala todella koskee asioita, joista asiakas kysyy; muussa tapauksessa se luo näennäisen varmuuden, joka ilmenee auditoinnissa. Varmista siis ensin, että sertifikaatti koskee kysyttyä aihetta, ennen kuin esität sen todisteena.

Mistä tämä johtuu: artiklat 21 kohta 2 ja liite A

NIS2-direktiivin 21 artiklan 2 kappale mainitsee kymmenen toimenpidettä, joista asiakas yleensä kysyy — riskienhallinnasta pääsynhallintaan toimittajien turvallisuuteen — ja jokaisella toimenpiteellä on oma todistustyyppi, ei yksi kaikkea kattava asiakirja. ISO/IEC 27001:n Liite A sisältää hallintokeinot, joita käytetään usein tarkistuslistana määritettäessä, mikä todiste kuuluu mihin kysymykseen; sertifikaatti tuota normin mukaista ei siis korvaa pohjalla olevia asiakirjoja, vaan se vahvistaa, että ne on tarkastettu. Cybersecurity Act, joka on Alankomaiden NIS2-direktiivin täytäntöönpano, tulee voimaan 15. elokuuta 2026 ja sisältää saman jaottelun — niille, jotka jo nyt keräävät todisteita, tämän rakenteen noudattaminen ei siis ole hukkaan heitettyä vaivaa.