klant vraagt om bewijsstukken bij de antwoorden op de vragenlijst

Bewijsstuk hoort bij het soort antwoord

Wat je aanlevert, hangt af van wat er precies gevraagd wordt: een feitelijk gegeven, een beleidskeuze of een aantoonbare maatregel. Voor identiteits- en omvangvragen — de statutaire naam, het registratienummer of het aantal medewerkers — is het bewijsstuk simpel: een uittreksel uit het Handelsregister volstaat, want die gegevens zijn daar wettelijk vastgelegd. Voor een vraag over ISO 27001 ligt dat anders: daar wordt vaak niet om het hele managementsysteem gevraagd, maar om het certificaat zelf of om een verklaring welke maatregelen uit Annex A zijn geïmplementeerd. Bij NIS2-vragen over artikel 21 lid 2 is het bewijs meestal een beschrijving per maatregel — bijvoorbeeld hoe incidentafhandeling of toegangsbeheer is ingericht — niet een los certificaat, want NIS2 kent zelf geen certificeringsschema.

Bij duurzaamheidsvragen die uit de VSME-basismodule of uit de CSRD komen, is "bewijs" meestal geen los document maar de onderliggende berekening of bron van een cijfer: het energiecontract achter een verbruiksgetal, de leverancierslijst achter een ketenuitspraak. Heb je het gevraagde bewijsstuk niet, dan is het eerlijkste antwoord dat je het antwoord op "nee" of "niet van toepassing" zet in plaats van een stuk aan te leveren dat niet dekt wat er gevraagd wordt — het systeem stelt daarom nooit een "ja" voor zonder dat er een bron in het dossier aan hangt.

Waar de bewijsplicht per vraag vandaan komt

Welk bewijsstuk logisch is, volgt uit de herkomst van de vraag: Handelsregisterwet 2007 voor de basisgegevens, EFRAG VSME en Richtlijn (EU) 2022/2464 voor duurzaamheidscijfers, ISO/IEC 27001 Annex A voor informatiebeveiligingsmaatregelen, en artikel 21 lid 2 van Richtlijn (EU) 2022/2555 voor de tien NIS2-maatregelen. Elke bron bepaalt zijn eigen soort bewijs; er is geen overkoepelende norm die zegt wat "voldoende bewijs" is voor alle vragenlijsten samen.