mijn klant vraagt om bewijsstukken bij de vragenlijst, wat moet ik aanleveren

Bewijsstuk hoort bij het antwoord, niet bij de vraag als geheel

Er is geen vast lijstje "bewijs bij cyberantwoorden" — het bewijs hangt af van welke van de tien maatregelen uit artikel 21 lid 2 van de NIS2-richtlijn de klant navraagt. Vraagt hij naar toegangsbeheer, dan is een uittreksel uit het toegangsbeleid passend, niet het hele informatiebeveiligingsbeleid. Vraagt hij naar incidentrespons, dan volstaat vaak een procesbeschrijving met escalatielijnen, geen incidentenlog met details. Denk bij de indeling aan de categorieën die ook in het beleid voor risicoanalyse, de procedure bij beveiligingsincidenten en de eisen aan eigen leveranciers terugkomen: elk vraagt een ander soort onderbouwing.

Heb je het bewijsstuk niet — bijvoorbeeld omdat het beleid wel bestaat maar nooit is opgeschreven — dan is "nee" met een korte toelichting het eerlijke antwoord, niet een verwijzing naar een document dat er niet is. Een ISO 27001-certificaat dekt meerdere vragen tegelijk, maar alleen als de scope van dat certificaat de onderdelen waar de klant naar vraagt ook echt raakt; anders creëert het schijnzekerheid die bij een audit terugkomt. Check daarom eerst of het certificaat van toepassing is op het gevraagde onderdeel, voordat je het als bewijs aandraagt.

Waar dit uit volgt: artikel 21 lid 2 en Annex A

Artikel 21 lid 2 van de NIS2-richtlijn noemt de tien maatregelen waarop een klant meestal doorvraagt — van risicobeheer tot toegangsbeleid tot leveranciersbeveiliging — en elke maatregel heeft zijn eigen soort bewijs, niet één overkoepelend document. ISO/IEC 27001 Annex A bevat de beheersmaatregelen die vaak als checklist worden gebruikt om te bepalen welk bewijsstuk bij welke vraag past; een certificaat tegen die norm is dus geen vervanging van de onderliggende documenten, maar een bevestiging dat ze zijn getoetst. De Cyberbeveiligingswet, de Nederlandse omzetting van NIS2, treedt op 15 augustus 2026 in werking en bevat dezelfde indeling — voor wie nu al bewijs verzamelt, is aansluiten bij die structuur dus geen verloren moeite.