posso allegare un certificato o un documento di policy come allegato a una risposta

Di solito è possibile aggiungere documenti di prova

Sì, in quasi ogni portale puoi caricare un allegato con una risposta: un certificato, un documento di politica o uno screenshot di un'impostazione di sistema. Per una domanda su ISO/IEC 27001 è spesso lo stesso certificato, eventualmente con la dichiarazione di campo allegata, in modo che il cliente veda quali parti dell'organizzazione vi rientrano. Per una domanda che si basa sulle dieci misure dell'articolo 21 paragrafo 2 della direttiva NIS2, di solito non c'è un certificato — lì il cliente chiede piuttosto un documento di politica, come un piano di risposta agli incidenti o una politica di accesso. Il nostro dossier di filiera collega il documento di prova alla risposta, ma non validiamo se quel documento specifico soddisfa ciò che il cliente vuole vedere.

Se non hai il documento richiesto, di solito ci sono due strade: illustrare la risposta in testo libero ("la politica è in fase di sviluppo, pronta nel terzo trimestre") oppure lasciare la risposta come "no" o "n.a.". Quale strada è appropriata dipende da ciò che il cliente fa con la domanda — lo leggi solo nel portale del cliente stesso, non da noi. Per domande relative alla continuità, ad esempio se esiste un piano per le operazioni aziendali in caso di grave interruzione, vale la stessa logica: un allegato è una forte base di prova, ma non è una parte obbligatoria della risposta stessa.

Da dove viene: EFRAG VSME e articolo 21 NIS2

Il modulo base VSME di EFRAG è stato concepito come standard di rendicontazione volontario per le piccole e medie imprese non quotate e specifica per ogni sezione quale documentazione è comune, senza rendere obbligatorio un allegato. L'articolo 21 paragrafo 2 della Direttiva (UE) 2022/2555 (NIS2) menziona le dieci misure su cui il cliente può fare domande aggiuntive, ma non prescrive una forma di prova — ogni cliente decide da solo nel suo portale. Per una domanda sulla sicurezza delle informazioni, la risposta può inoltre dipendere da in quali paesi l'impresa ha sedi, perché alcuni clienti si aspettano un documento di prova separato per ciascuna sede. Il nostro sistema conserva il documento nel dossier in modo che possa essere riutilizzato quando arriva la prossima lista; ciò che esattamente deve accadere nel portale del cliente rimane a carico di quel cliente.