il cliente chiede documenti di supporto alle risposte nel questionario

La prova è collegata al tipo di risposta

Ciò che fornisci dipende da ciò che viene esattamente chiesto: un dato di fatto, una scelta di politica o una misura dimostrabile. Per le domande su identità e portata — la denominazione statutaria, il numero di registrazione o il numero di dipendenti — la prova è semplice: un estratto dal Registro del commercio è sufficiente, perché questi dati sono legalmente registrati lì. Per una domanda su ISO 27001 è diverso: spesso non viene chiesto l'intero sistema di gestione, ma il certificato stesso o una dichiarazione di quali misure dell'Allegato A sono implementate. Per le domande NIS2 sull'articolo 21 paragrafo 2, la prova è solitamente una descrizione per misura — ad esempio come è organizzata la gestione degli incidenti o il controllo degli accessi — non un certificato separato, perché NIS2 stesso non dispone di uno schema di certificazione.

Per le domande di sostenibilità che provengono dal modulo di base VSME o dalla CSRD, la "prova" di solito non è un documento separato ma il calcolo sottostante o la fonte di una cifra: il contratto energetico dietro un dato di consumo, l'elenco dei fornitori dietro un'affermazione sulla catena. Se non disponi della prova richiesta, la risposta più onesta è impostare la risposta su "no" o "non applicabile" invece di fornire un documento che non copre ciò che viene chiesto — il sistema pertanto non suggerisce mai un "sì" senza che sia presente una fonte nel fascicolo.

Dove ha origine l'onere della prova per ogni domanda

Quale prova è logica segue dall'origine della domanda: Handelsregisterwet 2007 per i dati di base, EFRAG VSME e Direttiva (UE) 2022/2464 per i dati di sostenibilità, ISO/IEC 27001 Allegato A per le misure di sicurezza delle informazioni, e articolo 21 paragrafo 2 della Direttiva (UE) 2022/2555 per le dieci misure NIS2. Ogni fonte determina il proprio tipo di prova; non esiste una norma generale che definisca cosa costituisce "prova sufficiente" per tutti i questionari considerati insieme.