kunden kräver bifogade bevis till svaren på enkäten

Bevisstycket hör till svarstypen

Vad du levererar beror på vad som exakt efterfrågas: ett faktiskt uppgift, ett policyval eller en påvisbar åtgärd. För identitets- och omfattningsfrågor — det lagfarma namnet, registreringsnumret eller antalet anställda — är bevisstycket enkelt: ett utdrag från Handelsregistret räcker, eftersom dessa uppgifter är juridiskt registrerade där. För en fråga om ISO 27001 är det annorlunda: där efterfrågas ofta inte hela ledningssystemet utan själva certifikatet eller ett utlåtande om vilka åtgärder från Annex A som är implementerade. För NIS2-frågor om artikel 21 stycke 2 är beviset vanligtvis en beskrivning per åtgärd — till exempel hur incidenthantering eller åtkomstkontroll är utformad — inte ett separat certifikat, eftersom NIS2 själv inte har något certifieringsschema.

För hållbarhetsfrågor som kommer från VSME-basmodulen eller från CSRD är "bevis" vanligtvis inte ett separat dokument utan den underliggande beräkningen eller källan till ett tal: energikontraktet bakom en förbrukningssiffra, leverantörlistan bakom ett påstående om kedjan. Om du inte har det efterfrågade bevisstycket är det mest ärligt att sätta ditt svar på "nej" eller "ej tillämpligt" istället för att leverera ett dokument som inte motsvarar vad som efterfrågas — systemet föreslår därför aldrig ett "ja" utan att det finns en källa i dossien kopplad till det.

Var bevisplikt per fråga kommer ifrån

Vilket bevisstycke som är logiskt följer av frågans ursprung: Handelsregisteret 2007 för basuppgifterna, EFRAG VSME och Direktiv (EU) 2022/2464 för hållbarhetssiffror, ISO/IEC 27001 Annex A för informationssäkerhetsmått, och artikel 21 stycke 2 i Direktiv (EU) 2022/2555 för de tio NIS2-åtgärderna. Varje källa fastställer sin egen typ av bevis; det finns ingen övergripande norm som säger vad "tillräckligt bevis" är för alla frågelistor tillsammans.