moj klijen pita za dokaze uz upitnik, što trebam dostaviti

Dokaz spada uz odgovor, ne uz pitanje u cjelini

Nema fiksnog popisa "dokaz uz odgovore o kibernetskoj sigurnosti" — dokaz ovisi o tome koju od deset mjera iz članka 21(2) NIS2 direktive klijent pita. Ako pita o kontroli pristupa, tada je odgovarajući izvadak iz politike kontrole pristupa, a ne cijela politika informacijske sigurnosti. Ako pita o reagiranju na incidente, tada često dovoljava opis procesa s linijama eskalacije, a ne dnevnik incidenata s detaljima. Pri razvrstavanju razmotri kategorije koje se pojavljuju i u politici za analizu rizika, postupku pri incidentima sigurnosti i zahtjevima prema vlastitim dobavljačima natrag: svaki traži drugu vrstu obrazloženja.

Ako nemam dokaz — na primjer jer politika postoji, ali nikad nije napisana — tada je "ne" s kratkim objašnjenjem pošten odgovor, a ne uputa na dokument koji ne postoji. Certifikat ISO 27001 pokriva više pitanja istovremeno, ali samo ako se opseg tog certifikata doista odnosi i na dijelove koje klijent pita; inače stvara privid sigurnosti koji se kasnije pokazuje pri reviziji. Zato prvo provjeri je li certifikat primjenjiv na traženi dio, prije nego što ga navodiš kao dokaz.

Gdje iz toga slijedi: članak 21 stavak 2 i Prilog A

Članak 21(2) NIS2 direktive navodi deset mjera na koje klijent obično dalje pita — od upravljanja rizicima do politike kontrole pristupa do sigurnosti dobavljača — i svaka mjera ima svoju vrstu dokaza, ne jedan sveobuhvatni dokument. ISO/IEC 27001 Annex A sadrži kontrolne mjere koje se često koriste kao checklist za određivanje kojeg dokumenta kao dokaza spada uz koje pitanje; certifikat prema toj normi nije dakle zamjena za temeljna dokumenta, već potvrda da su testirani. Zakon o kibernetskoj sigurnosti, hrvatsko preoblikovanje NIS2 direktive, stupa na snagu 15. kolovoza 2026. i sadrži istu razdiobe — za one koji sada skupljaju dokaze, preusmjeravanje u tu strukturu je dakle ulaganje koje se ne gubi.