clientul cere documente justificative la fiecare răspuns din lista de întrebări ce trimit

Dovada este de obicei un document pe care îl ai deja, nu un nou document

La majoritatea întrebărilor poți furniza un document existent în loc să elaborezi ceva nou. Pentru întrebări de identitate, aceasta este un extras din registrul comercial; pentru o întrebare de certificare, certificatul în sine, cu domeniu de aplicare și data expirării; pentru o întrebare NIS2 privind cele zece măsuri din articolul 21 alineatul 2, adesea un document de politică, o analiză de risc sau cel mai recent raport de test de penetrare. Pentru întrebări de durabilitate care se bazează pe modulul de bază VSME, dovada este de obicei calculul subiacent sau documentul de politică din care provine cifra — nu răspunsul în sine, ci ceea ce stă în spatele acestuia.

Punctul dificil este atunci când nu deții documentul justificativ solicitat, de exemplu un certificat ISO 27001, în timp ce ai implementat măsurile corespunzătoare din Anexa A, dar nu le-ai certificat. Răspunde atunci faptual: precizează ce ai (politica, măsura, data implementării) și ce nu ai (certificatul ca document oficial). Un client poate continua cu aceasta; un răspuns ghicit de "da" cu un certificat care nu există, va provoca mai mult prejudiciu într-un control ulterior decât un cinstit "nu, dar măsura subiacentă există". Întreabă-te și dacă dovada solicitată se aplică în general — sau dacă întreprinderea utilizează sisteme de inteligență artificială în cadrul prestării serviciilor este de exemplu o întrebare în care "nu se aplică" este un răspuns la fel de valabil ca și un document justificativ, dacă aceasta este faptual corectă.

Unde provine dovada pentru întrebare

Pentru cele zece măsuri din articolul 21 alineatul 2 din Directiva NIS2 se așteaptă funcțional dovada de implementare, deși Directiva în sine nu prescrie o formă fixă a dovezii. ISO/IEC 27001 Annex A funcționează invers: măsurile de control sunt dovadă doar dacă sunt incluse într-un sistem de management certificat, motiv pentru care un certificat fără indicarea domeniului de aplicare spune puțin. Pentru datele de identitate, baza se află în Legea Registrului Comerțului 2007, care stabilește ce date ale unei întreprinderi sunt înregistrate — comparați și adresa de stabilire a întreprinderii, care provin direct din acel registru. Pentru cifrele de durabilitate, modulul de bază VSME al EFRAG este standardul voluntar către care sunt de obicei direcționatele întreprinderile mici și mijlocii atunci când nu se supun obligației complete de raportare conform CSRD din Directiva (UE) 2022/2464.