ο πελάτης ζητά αποδεικτικά στοιχεία για κάθε απάντηση στο ερωτηματολόγιο τι στέλνω μαζί

Η απόδειξη είναι συνήθως ένα έγγραφο που έχεις ήδη, όχι ένα νέο έγγραφο

Στις περισσότερες ερωτήσεις μπορείς να υποβάλεις ένα υπάρχον έγγραφο αντί να συντάξεις κάτι νέο. Για ερωτήσεις ταυτότητας αυτό είναι ένα απόσπασμα από το εμπορικό μητρώο· για ερωτήσεις πιστοποίησης το ίδιο το πιστοποιητικό, με το πεδίο εφαρμογής και την ημερομηνία ληξης· για ερώτηση NIS2 σχετικά με τα δέκα μέτρα του άρθρου 21 παράγραφος 2 συχνά ένα έγγραφο πολιτικής, μια ανάλυση κινδύνου ή την τελευταία έκθεση penetration test. Για ερωτήσεις βιωσιμότητας που βασίζονται στην ενότητα βάσης VSME, η απόδειξη είναι συνήθως ο υποκείμενος υπολογισμός ή το έγγραφο πολιτικής από το οποίο προέρχεται ο αριθμός — όχι η ίδια η απάντηση, αλλά αυτό που βρίσκεται πίσω της.

Το δύσκολο σημείο είναι όταν δεν έχεις το ζητούμενο έγγραφο απόδειξης, για παράδειγμα ένα πιστοποιητικό ISO 27001 ενώ έχεις εφαρμόσει τα σχετικά μέτρα του Παραρτήματος A αλλά δεν το κάνεις πιστοποιήσει. Απάντησε τότε ως γεγονός: αναφέρ τι έχεις πραγματικά (την πολιτική, το μέτρο, την ημερομηνία εφαρμογής) και τι δεν έχεις (το πιστοποιητικό ως επίσημο έγγραφο). Ένας πελάτης μπορεί να προχωρήσει με αυτό· ένα μαντεμένο "ναι" με ένα πιστοποιητικό που δεν υπάρχει, προκαλεί περισσότερη ζημιά σε μια μεταγενέστερη έλεγχο παρά ένα ειλικρινές "όχι, αλλά το υποκείμενο μέτρο". Ρώτησε τον εαυτό σου επίσης αν η ζητούμενη απόδειξη είναι καν εφαρμόσιμη — ή η επιχείρηση χρησιμοποιεί συστήματα AI στο πλαίσιο της παροχής υπηρεσιών της είναι για παράδειγμα μια ερώτηση όπου "δεν ισχύει" είναι εξίσου έγκυρη απάντηση όπως ένα έγγραφο απόδειξης, αν αυτό είναι ουσιαστικά σωστό.

Από πού προέρχεται η ζήτηση απόδειξης

Για τα δέκα μέτρα του άρθρου 21 παράγραφος 2 της Οδηγίας NIS2, η απόδειξη της εφαρμογής αναμένεται λειτουργικά, ακόμη και αν η ίδια η οδηγία δεν προβλέπει σταθερή μορφή απόδειξης. Το ISO/IEC 27001 Παράρτημα A λειτουργεί αντίθετα: τα μέτρα ελέγχου είναι απόδειξη μόνο όταν περιλαμβάνονται σε ένα πιστοποιημένο σύστημα διαχείρισης, γι' αυτό ένα πιστοποιητικό χωρίς αναφορά στο πεδίο εφαρμογής λέει λίγα. Για δεδομένα ταυτότητας, το θεμέλιο βρίσκεται στο Νόμο περί Εμπορικού Μητρώου 2007, ο οποίος καθορίζει ποια δεδομένα μιας επιχείρησης είναι εγγεγραμμένα — συγκρίνετε επίσης τη διεύθυνση εγκατάστασης της επιχείρησης», που προέρχεται απευθείας από αυτό το μητρώο. Για αριθμούς βιωσιμότητας, η ενότητα βάσης VSME του EFRAG είναι το εθελοντικό πρότυπο προς το οποίο τα ΜΜΕ συχνά κατευθύνονται όταν δεν εμπίπτουν στο πλήρες υποχρεωτικό δίκαιο δημοσίασης CSRD της Οδηγίας (ΕΕ) 2022/2464.