la nostra consulente esterna può compilare i questionari per nostro conto

Un consulente può compilare la lista

Sì, è consentito. Non esiste un articolo di legge che prescriva chi debba operare lo schermo di compilazione. Ciò che viene richiesto in una lista di controllo di un cliente o fornitore sono fatti relativi all'impresa: numero di dipendenti, certificazione ISO, disponibilità di un piano di continuità. Chi immette questi fatti non è rilevante per la loro correttezza — colui che li immette non è colui che li sottoscrive.

Ciò che conta davvero: le risposte vanno sempre all'indirizzo del cliente in nome dell'impresa, non in nome del commercialista o del consulente. In una relazione CSRD secondo il modulo base VSME di EFRAG, o in un insieme di misure di controllo dell'Allegato A di ISO/IEC 27001, spesso figura una dichiarazione che l'informazione è corretta. Tale dichiarazione deve appartenere all'impresa, anche se un terzo ha compilato i campi. In pratica, ciò significa che il consulente può compilare, ma qualcuno dell'impresa stessa deve confermare la risposta prima che essa venga inviata al portale del cliente. È anche il modo in cui la piattaforma è strutturata: la compilazione e la conferma sono due fasi separate, e la conferma compete all'impresa.

Ciò che discende effettivamente da una fonte

Per le dieci misure di cui all'articolo 21, paragrafo 2, della direttiva NIS2 vale lo stesso: la direttiva obbliga l'entità, non uno specifico funzionario all'interno o al di fuori di essa, ad adottare e provare l'attuazione delle misure. Chi raccoglie la prova — ad esempio se sia una polizza di responsabilità civile in vigore oppure se la continuità operativa in caso di disturbo è garantita — è libero di farlo. Anche la Handelsregisterwet 2007 collega i dati di base di un'impresa all'impresa come iscritta, non alla persona che compila un modulo. Ove manchino prove, la risposta rimane aperta finché l'impresa stessa non le ha fornite; ciò non cambia perché un consulente sia presente.