kunde anmoder om dokumentation til hvert svar i spørgeskemaet hvad sender jeg med

Bevis er som regel et dokument, du allerede har, ikke et nyt stykke

Ved de fleste spørgsmål kan du levere et eksisterende dokument i stedet for at udarbejde noget nyt. For identitetsspørgsmål er det et uddrag fra handelsregisteret; for et certificeringsspørgsmål certificatet selv med dets omfang og gyldighedsdato; for et NIS2-spørgsmål om de ti foranstaltninger i artikel 21, stk. 2 ofte et politikdokument, en risikoanalyse eller den seneste penetrationstestrapport. For bæredygtighedsspørgsmål, der bygger på VSME-grundmodulet, er beviset som regel den underliggende beregning eller det politikdokument, som tallet stammer fra – ikke selve svaret, men det, der ligger bag ved.

Det vanskelige punkt er, når du ikke har det ønskede bevisstuk, for eksempel et ISO 27001-certificat, mens du godt har implementeret de tilhørende Annex A-foranstaltninger, men ikke får dem certificeret. Svar så faktisk: navngiv det, du godt har (politikken, foranstaltningen, implementeringsdatoen) og det, du ikke har (certificatet som et formelt dokument). En kunde kan arbejde videre med det; et gættet "ja" med et certificat, der ikke eksisterer, medfører større skade ved en senere kontrol end et ærligt "nej, men wel den underliggende foranstaltning". Spørg dig selv også, om det ønskede bevis overhovedet er relevant – eller om virksomheden anvender AI-systemer inden for sin serviceydelse er for eksempel et spørgsmål, hvor "ikke relevant" er et ligeså gyldigt svar som et bevisstuk, hvis det faktisk er tilfældet.

Hvor beviset for spørgsmålet kommer fra

For de ti foranstaltninger i artikel 21, stk. 2 i NIS2-direktivet forventes der funktionelt bevis for implementering, selvom direktivet selv ikke foreskriver en fast bevisform. ISO/IEC 27001 Annex A fungerer anderledes: kontrolforanstaltningerne er kun bevis, hvis de er inkluderet i et certificeret styringssystem, hvorfor et certifikat udenScope-angivelse siger meget lidt. For identitetsoplysninger ligger grundlaget i Handelsregisterwet 2007, som fastsætter, hvilke oplysninger om en virksomhed, der er registreret — sammenlign også virksomhedens forretningsadresse, som kommer direkte fra det register. For bæredygtighedstal er VSME-basismodulet fra EFRAG den frivillige standard, som små og mellemstore virksomheder ofte bliver henvist til, hvis de ikke falder under den fulde rapporteringspligt i direktiv (EU) 2022/2464.