meu cliente pede comprovantes relacionados ao questionário, o que devo fornecer

O documento de prova pertence à resposta, não à questão como um todo

Não existe uma lista fixa "prova nas respostas de cibersegurança" — a prova depende de qual das dez medidas do artigo 21.º, n.º 2 da Diretiva NIS2 o cliente está a questionar. Se está a questionar o controlo de acesso, então um extrato da política de controlo de acesso é apropriado, não a política de segurança da informação inteira. Se está a questionar a resposta a incidentes, muitas vezes é suficiente uma descrição do processo com linhas de escalada, não um registo de incidentes com detalhes. Ao fazer a classificação, pense nas categorias que também aparecem em a política de análise de risco, o procedimento em caso de incidente de segurança e os requisitos para fornecedores próprios voltam: cada uma pede um tipo diferente de comprovação.

Se não tem o documento de prova — por exemplo, porque a política existe, mas nunca foi colocada por escrito — então "não" com uma breve explicação é a resposta honesta, não uma referência a um documento que não existe. Um certificado ISO 27001 cobre várias questões ao mesmo tempo, mas apenas se o escopo desse certificado realmente abranger as áreas sobre as quais o cliente está a questionar; caso contrário, cria uma falsa sensação de segurança que reaparece numa auditoria. Verifique primeiro se o certificado é aplicável à parte questionada, antes de o apresentar como prova.

Onde isto decorre: artigo 21.º n.º 2 e Anexo A

O artigo 21.º, n.º 2 da Diretiva NIS2 menciona as dez medidas sobre as quais um cliente geralmente faz perguntas — desde gestão de riscos até política de controlo de acesso até segurança de fornecedores — e cada medida tem o seu próprio tipo de prova, não um único documento geral. O Anexo A da ISO/IEC 27001 contém as medidas de controlo que são frequentemente usadas como lista de verificação para determinar qual documento de prova se encaixa em qual questão; um certificado de conformidade com essa norma não é, portanto, uma substituição dos documentos subjacentes, mas uma confirmação de que foram avaliados. A Lei de Cibersegurança, a transposição holandesa da NIS2, entra em vigor em 15 de agosto de 2026 e contém a mesma classificação — para quem já está a recolher provas agora, a conformidade com essa estrutura não é, portanto, uma perda de esforço.