asiakas pyytää todisteita jokaisen vastauksen tueksi kysymyslistalla mitä lähetän

Todiste on yleensä dokumentti, joka sinulla jo on, ei uusi asiakirja

Useimpiin kysymyksiin voit toimittaa olemassa olevan asiakirjan uuden valmistamisen sijaan. Henkilöllisyyskysymyksiä varten se on kaupparekisterin ote; sertifiointikysymykselle itse sertifikaatti, jossa on soveltamisala ja voimassaoloaika; NIS2-kysymykselle, joka koskee artiklan 21 kohdan 2 kymmenen toimenpidettä, usein politiikkaasiakirja, riskianalyysi tai uusin pentestiraportti. Kestävyyttä koskeviin kysymyksiin, jotka perustuvat VSME-perusmoduuliin, todiste on yleensä taustalla oleva laskenta tai politiikkaasiakirja, josta luku tulee — ei itse vastaus, vaan sen takana oleva asia.

Hankalampi kohta on silloin, kun sinulla ei ole pyydettyä todistusasiakirjaa, esimerkiksi ISO 27001 -sertifikaattia, vaikka olet ottanut käyttöön siihen liittyvät Liite A:n toimenpiteet mutta et ole sertifioinut niitä. Vastaa siis tosiasiana: nimeä se, mitä sinulla on (politiikka, toimenpide, käyttöönottopäivä) ja mitä sinulla ei ole (sertifikaatti muodollisena asiakirjana). Asiakas voi edetä sen kanssa; arvailtu "kyllä" sertifikaatilla, jota ei ole olemassa, aiheuttaa myöhemmän tarkastuksen yhteydessä enemmän vahinkoa kuin rehellinen "ei, mutta olemassa oleva toimenpide". Kysy itseltäsi myös, onko pyydetty todiste ylipäänsä soveltuvaa — tai käyttääkö yritys tekoälyjärjestelmiä palveluntarjoannassaan on esimerkiksi kysymys, jossa "ei soveltuvaa" on yhtä pätevä vastaus kuin todiste, jos se tosiasioiden kannalta on oikein.

Mistä todistepyyntö tulee

NIS2-direktiivin artiklan 21 kohdan 2 kymmenelle toimenpiteelle toteutumisen todiste odotetaan funktionaalisesti, vaikka direktiivi itsessään ei vaadi kiinteää todisteen muotoa. ISO/IEC 27001 Liite A toimii toisella tavalla: hallintotoimenpiteet ovat todiste vasta, kun ne on sisällytetty sertifioituun hallintajärjestelmään, minkä vuoksi sertifikaatti ilman soveltamisalan mainintaa kertoo vähän. Henkilöllisyystiedoille perusta on vuoden 2007 kaupparekisterilaissa, joka määrittää, mitkä yritystiedot on rekisteröity — vertaa myös yrityksen sijainnistajoka tulee suoraan siitä rekisteristä. Kestävyysluvuille EFRAG:n VSME-perusmoduuli on vapaaehtoinen standardi, johon pienyrityksiä ohjataan usein, kun ne eivät kuulu direktiivin (EU) 2022/2464 täyden CSRD-raportointivelvollisuuden piiriin.