az ügyfeleim bizonylat nyújtását kéri a kérdőívhez, mit kell benyújtanom

A bizonyíték a válaszhoz tartozik, nem az egész kérdéshez

Nincsen rögzített "cyber-válaszok bizonyítéka" lista — a bizonyíték attól függ, hogy az ügyfél a NIS2-irányelv 21. cikkének 2. bekezdésében szereplő tíz intézkedés közül melyiket vizsgálja. Ha hozzáférés-kezelésre kérdez rá, akkor a hozzáférési szabályzat kivonata megfelelő, nem az egész információbiztonságpolitika. Ha incidensmegválaszolásra kérdez rá, akkor gyakran elegendő egy eljárásleírás eskalációs vonalakkal, nincs szükség részleteket tartalmazó incidensnaplóra. A besorolás meggondolásakor gondoljon az olyan kategóriákra, amelyek a kockázatelemzési politika, biztonsági incidensek kezeléséről szóló eljárásról és saját szállítókra vonatkozó követelmények között is szerepelnek: mindegyik másféle indokolást igényel.

Ha nincs meg a bizonyítéka — például azért, mert a szabályzat ugyan létezik, de soha nem rögzítették — akkor az "nem" rövid magyarázattal az őszinte válasz, nem pedig egy olyan dokumentumra való hivatkozás, amely nem létezik. Az ISO 27001-tanúsítvány több kérdésre is vonatkozhat egyszerre, de csak akkor, ha a tanúsítvány hatálya valóban érinti azt az összetevőt, amelyre az ügyfél rákérdez; egyébként álbiztonságot teremt, amely a felülésnél visszatér. Ezért először ellenőrizze, hogy a tanúsítvány vonatkozik-e az igényelt összetevőre, mielőtt bizonyítékként hivatkozna rá.

Ennek alapja: 21. cikk 2. bekezdés és A melléklet

A NIS2-irányelv 21. cikkének 2. bekezdése tíz intézkedést említ, amelyekre az ügyfél általában rákérdez — a kockázatkezeléstől a hozzáférési szabályzaton át a szállítói biztonságig — és mindegyik intézkedésnek saját bizonyíték-típusa van, nem egy átfogó dokumentum. Az ISO/IEC 27001 Annex A tartalmazza azokat az ellenőrzési intézkedéseket, amelyeket gyakran ellenőrzőlistaként használnak annak meghatározásához, hogy mely bizonyíték mely kérdéshez tartozik; a norma szerinti tanúsítvány tehát nem helyettesítése az alapul fekvő dokumentumoknak, hanem annak megerősítése, hogy azokat ellenőrizték. A Cyberbeveiligingswet, a NIS2 holland átültetése 2026. augusztus 15-én lép hatályba és ugyanazt a besorolást tartalmazza — akik már most gyűjtenek bizonyítékot, azok számára az erre a szerkezetre való igazodás tehát nem elvesztegetett fáradság.