Kunde fordert Belege zu jeder Antwort im Fragebogen an, was schicke ich mit

Beweise sind meist Dokumente, die Sie bereits haben, keine neuen Unterlagen

Bei den meisten Fragen können Sie ein bestehendes Dokument einreichen, anstatt etwas Neues zu erstellen. Für Identitätsfragen ist dies ein Auszug aus dem Handelsregister; für eine Zertifizierungsfrage das Zertifikat selbst mit Geltungsbereich und Gültigkeitsdatum; für eine NIS2-Frage zu den zehn Maßnahmen von Artikel 21 Absatz 2 oft ein Richtliniendokument, eine Risikoanalyse oder der neueste Pentestbericht. Bei Nachhaltigkeitsfragen, die sich auf das VSME-Basismodul stützen, ist der Nachweis meist die zugrundeliegende Berechnung oder das Richtliniendokument, aus dem die Ziffer stammt — nicht die Antwort selbst, sondern das Dahinterstehende.

Der schwierige Punkt ist, wenn Sie das geforderte Beweismittel nicht haben, zum Beispiel ein ISO-27001-Zertifikat, während Sie zwar die zugehörigen Annex-A-Maßnahmen eingerichtet haben, diese aber nicht zertifizieren lassen. Antworten Sie dann sachlich: nennen Sie, was Sie haben (die Richtlinie, die Maßnahme, das Einführungsdatum) und was Sie nicht haben (das Zertifikat als formales Dokument). Ein Kunde kann damit weitermachen; eine geratene „Ja‟-Antwort mit einem Zertifikat, das nicht existiert, führt bei einer späteren Überprüfung zu mehr Schaden als ein ehrliches „Nein, aber die zugrundeliegende Maßnahme‟. Fragen Sie sich auch, ob das geforderte Beweismittel überhaupt anwendbar ist — oder ob das Unternehmen KI-Systeme bei der Erbringung seiner Dienstleistungen einsetzt ist beispielsweise eine Frage, bei der „nicht anwendbar‟ eine ebenso gültige Antwort ist wie ein Beweismittel, wenn dies sachlich zutrifft.

Woher die Anforderung des Nachweises kommt

Für die zehn Maßnahmen aus Artikel 21 Absatz 2 der NIS2-Richtlinie wird ein Implementierungsnachweis funktional erwartet, auch wenn die Richtlinie selbst keine feste Beweisform vorschreibt. ISO/IEC 27001 Annex A funktioniert anders herum: die Kontrollmaßnahmen sind erst dann Nachweis, wenn sie in ein zertifiziertes Managementsystem aufgenommen sind, daher sagt ein Zertifikat ohne Geltungsbereichsvermerk wenig aus. Für Identitätsdaten liegt die Grundlage im Handelsgesetzbuch 2007, das festlegt, welche Daten eines Unternehmens registriert sind — vergleichen Sie auch der Betriebsstätte des Unternehmens, das unmittelbar aus diesem Register kommt. Für Nachhaltigkeitskennzahlen ist das VSME-Basismodul der EFRAG der freiwillige Standard, auf den KMU-Unternehmen oft hingewiesen werden, wenn sie nicht unter die vollständige CSRD-Berichterstattungspflicht der Richtlinie (EU) 2022/2464 fallen.