clientul meu cere documente justificative la chestionar, ce trebuie să furnizez

Dovada aparține răspunsului, nu întrebării în ansamblu

Nu există o listă fixă de "dovezi pentru răspunsurile privind securitatea cibernetică" — dovada depinde de care dintre cele zece măsuri din articolul 21 alineatul (2) al Directivei NIS2 navighează clientul. Dacă întreabă despre controlul accesului, atunci un extras din politica de control al accesului este corespunzător, nu întreaga politică de securitate a informațiilor. Dacă întreabă despre răspunsul la incidente, atunci adesea este suficientă o descriere de proces cu liniile de escaladare, fără o evidență a incidentelor cu detalii. Gândind la clasificare, luați în considerare categoriile care se află și în politica de analiză a riscurilor, procedura în caz de incidente de securitate și cerințele privind furnizorii proprii reveni: fiecare cere un tip diferit de justificare.

Dacă nu ai dovada — de exemplu, pentru că politica există, dar nu a fost niciodată documentată — atunci "nu" cu o scurtă explicație este răspunsul onest, nu o trimitere la un document care nu există. Un certificat ISO 27001 acoperă mai multe întrebări simultan, dar numai dacă domeniul de aplicare al acelui certificat acoperă efectiv componentele pe care clientul le întreabă; în caz contrar, creează o falsă siguranță care va fi descoperită la o audit. Verifică deci mai întâi dacă certificatul se aplică componentei solicitate, înainte de a-l prezenta ca dovadă.

De unde rezultă aceasta: articolul 21 alineat 2 și Anexa A

Articolul 21 alineatele 2 ale Directivei NIS2 enumeră cele zece măsuri pe care un client de obicei le investighează în continuare — de la managementul riscurilor la politica de acces până la securitatea furnizorilor — și fiecare măsură are propriul tip de dovadă, nu un singur document cuprinzător. ISO/IEC 27001 Annex A conține măsurile de control care sunt adesea folosite ca o listă de verificare pentru a determina ce tip de dovadă corespunde fiecărei întrebări; prin urmare, un certificat conform acestei norme nu este o substituție a documentelor de bază, ci o confirmare că au fost evaluate. Legea de securitate cibernetică, transpunerea olandeză a NIS2, intră în vigoare pe 15 august 2026 și conține aceeași structură — pentru cei care strâng deja dovezi acum, alinierea la acea structură nu este un efort riscat.