cliente solicita documentos de apoio para cada resposta no questionário o que envio

O comprovativo é geralmente um documento que já possui, não um novo

Na maioria das perguntas, pode fornecer um documento existente em vez de elaborar algo novo. Para perguntas de identidade, trata-se de um extrato do registo comercial; para uma pergunta de certificação, o próprio certificado, com âmbito e data de validade; para uma pergunta NIS2 sobre as dez medidas do artigo 21.º, n.º 2, muitas vezes um documento político, uma análise de riscos ou o relatório de teste de penetração mais recente. Para perguntas de sustentabilidade que se baseiam no módulo base VSME, o comprovativo é geralmente o cálculo subjacente ou o documento político de onde vem o número — não a própria resposta, mas o que está por trás dela.

O ponto difícil é quando não tem o comprovativo solicitado, por exemplo um certificado ISO 27001 enquanto tem implementadas as medidas correspondentes do Anexo A mas não as faz certificar. Responda então factualmente: descreva o que tem (a política, a medida, a data de implementação) e o que não tem (o certificado como documento formal). Um cliente pode prosseguir com isso; um "sim" adivinhado com um certificado que não existe causa mais danos numa inspeção posterior do que um honesto "não, mas com a medida subjacente implementada". Pergunte-se também se o comprovativo solicitado é de todo aplicável — ou se a empresa utiliza sistemas de IA na sua prestação de serviços é por exemplo uma pergunta onde "não aplicável" é uma resposta tão válida como um comprovativo, se isso for factualmente correto.

De onde vem o pedido de comprovativo

Para as dez medidas do artigo 21.º, n.º 2 da Diretiva NIS2, espera-se funcionalmente a prova de implementação, mesmo que a própria diretiva não especifique uma forma de comprovativo fixa. ISO/IEC 27001 Anexo A funciona de forma inversa: as medidas de controlo são comprovativo apenas se estiverem incluídas num sistema de gestão certificado, razão pela qual um certificado sem menção de âmbito diz pouco. Para dados de identidade, a base encontra-se na Lei do Registo Comercial de 2007, que estabelece quais os dados da empresa que são registados — veja também o endereço de estabelecimento da empresa, que vem diretamente desse registo. Para números de sustentabilidade, o módulo base VSME da EFRAG é a norma voluntária para a qual as PME são frequentemente orientadas quando não estão abrangidas pela obrigação completa de reporte CSRD da Diretiva (UE) 2022/2464.