kupac traži dokaze za odgovore na ljestvici

Dokaz ide uz vrstu odgovora

Ono što dostaviš ovisi o tome što se točno pita: činjenično stanje, izbor politike ili dokaziva mjera. Za pitanja o identitetu i opsegu — Zakonski naziv, registarski broj ili broj zaposlenih — dokaz je jednostavan: izvod iz Registra商 dovoljava, jer su ti podaci там zakonski zabilježeni. Za pitanje o ISO 27001 drugačije je: često se ne traži čitav sustav upravljanja, već samo certifikat ili izjava koje mjere iz Dodatka A su primijenjene. Za NIS2 pitanja o članku 21 stavku 2, dokaz je obično opis po mjeri — na primjer kako je organizirana obrada incidenata ili kontrola pristupa — ne samostalan certifikat, jer NIS2 sam nema shemu certificiranja.

Za pitanja o održivosti koja dolaze iz VSME-osnovnog modula ili iz CSRD, "dokaz" obično nije samostalan dokument već temeljna kalkulacija ili izvor broja: energetski ugovor iza broja potrošnje, popis dobavljača iza izjave o lancu. Ako nemaš traženi dokaz, najčešće je odgovor da odgovor postaviš na "ne" ili "nije primjenjivo" umjesto da dostavljaš dokument koji ne pokriva ono što se traži — sustav zato nikad ne predlaže "da" bez izvora u dosjeу.

Odakle dolazi tereta dokaza za svako pitanje

Koji je dokaz logičan slijedi iz izvora pitanja: Zakon o registru trgovačkih društava 2007 za osnovne podatke, EFRAG VSME i Direktiva (EU) 2022/2464 za brojeve održivosti, ISO/IEC 27001 Dodatak A za mjere informacijske sigurnosti, te članak 21 stavak 2 Direktive (EU) 2022/2555 za deset NIS2 mjera. Svaki izvor određuje vlastitu vrstu dokaza; nema nadređene norme koja bi rekla što je "dovoljan dokaz" za sve upitanike zajedno.