kunde anmoder om dokumentation til svarene på spørgeskemaet

Bevisstykket hører til svartypen

Hvad du leverer, afhænger af, hvad der præcis spørges om: et faktisk forhold, et politisk valg eller en påviselig foranstaltning. For identitets- og omfangsspørgsmål — det statutariske navn, registreringsnummeret eller antallet af medarbeidere — er bevisstykket enkelt: et uddrag fra Handelsregisteret er tilstrækkeligt, fordi disse oplysninger er lovmæssigt registreret der. For et spørgsmål om ISO 27001 er det anderledes: der spørges ofte ikke om hele styringssystemet, men om selve certificatet eller en erklæring om, hvilke foranstaltninger fra Annex A der er implementeret. For NIS2-spørgsmål om artikel 21, stk. 2 er beviset sædvanligvis en beskrivelse pr. foranstaltning — for eksempel hvordan hændelseshåndtering eller adgangskontrol er organiseret — ikke et løst certificat, fordi NIS2 selv ikke har et certificeringsskema.

For bæredygtighedsspørgsmål fra VSME-grundmodulet eller fra CSRD er "bevis" sædvanligvis ikke et løst dokument, men den underliggende beregning eller kilde til et tal: energikontrakten bag et forbrug, leverandørlisten bag en kædeudtalelse. Hvis du ikke har det anmodede bevisstykke, er det mest ærligt svar at sætte dit svar til "nej" eller "ikke relevant" i stedet for at levere et dokument, der ikke dækker det, der spørges om — systemet foreslår derfor aldrig et "ja" uden at der er en kilde i mappingen til det.

Hvor bevisbyrdenen for hvert spørgsmål stammer fra

Hvilket bevisstykke der er logisk, følger af spørgsmålets oprindelse: Handelsregisterloven af 2007 for grundoplysninger, EFRAG VSME og Direktiv (EU) 2022/2464 for bæredygtighedstal, ISO/IEC 27001 Annex A for informationssikkerhedsforanstaltninger og artikel 21, stk. 2 i Direktiv (EU) 2022/2555 for de ti NIS2-foranstaltninger. Hver kilde bestemmer sin egen type bevis; der er ingen overordnet norm, der siger, hvad "tilstrækkeligt bevis" er for alle spørgsmålister tilsammen.