il cliente chiede documenti di supporto per ogni risposta nel questionario cosa allego

La prova è solitamente un documento che hai già, non un nuovo documento

Per la maggior parte delle domande puoi fornire un documento esistente invece di crearne uno nuovo. Per le domande di identità si tratta di un estratto dal registro commerciale; per una domanda di certificazione il certificato stesso, con ambito e data di scadenza; per una domanda NIS2 sulle dieci misure dell'articolo 21 paragrafo 2 spesso un documento di politica, un'analisi dei rischi o l'ultimo rapporto di penetration test. Per le domande sulla sostenibilità che si basano sul modulo di base VSME, la prova è solitamente il calcolo sottostante o il documento di politica da cui proviene il dato — non la risposta stessa, ma ciò che sta dietro.

Il punto difficile è quando non hai il documento giustificativo richiesto, ad esempio un certificato ISO 27001 mentre hai implementato le corrispondenti misure dell'Allegato A ma non le fai certificare. Rispondi allora fattualmente: nomina ciò che hai (la politica, la misura, la data di implementazione) e ciò che non hai (il certificato come documento formale). Un cliente può continuare da lì; un "sì" indovinato con un certificato che non esiste causa più danno in un controllo successivo rispetto a un onesto "no, ma la misura sottostante sì". Chiediti anche se la prova richiesta è effettivamente applicabile — o se l'impresa utilizza sistemi di IA nell'ambito della sua prestazione di servizi è ad esempio una domanda dove "non applicabile" è una risposta altrettanto valida quanto un documento giustificativo, se è fattualmente corretto.

Da dove proviene la richiesta di prova

Per le dieci misure dell'articolo 21 paragrafo 2 della direttiva NIS2 la prova di implementazione è funzionalmente attesa, anche se la direttiva stessa non prescrive una forma di prova fissa. ISO/IEC 27001 Allegato A funziona al contrario: le misure di controllo sono prova solo se incluse in un sistema di gestione certificato, ecco perché un certificato senza indicazione dell'ambito dice poco. Per i dati di identità la base è nella Handelsregisterwet 2007, che stabilisce quali dati di un'impresa sono registrati — vedi anche l'indirizzo della sede dell'impresa, che proviene direttamente da quel registro. Per i dati sulla sostenibilità il modulo di base VSME di EFRAG è lo standard volontario a cui le PMI sono spesso indirizzate quando non rientrano nell'obbligo completo di rendicontazione CSRD della Direttiva (UE) 2022/2464.