klant vraagt om bewijsstukken bij elk antwoord in de vragenlijst wat stuur ik mee

Bewijs is meestal een document dat je al hebt, geen nieuw stuk

Bij de meeste vragen kun je een bestaand document aanleveren in plaats van iets nieuw op te stellen. Voor identiteitsvragen is dat een uittreksel uit het handelsregister; voor een certificeringsvraag het certificaat zelf, met scope en geldigheidsdatum; voor een NIS2-vraag over de tien maatregelen van artikel 21 lid 2 vaak een beleidsdocument, een risicoanalyse of het laatste pentestrapport. Bij duurzaamheidsvragen die op de VSME-basismodule leunen, is het bewijs meestal de onderliggende berekening of het beleidsdocument waaruit het cijfer komt — niet het antwoord zelf, maar wat erachter zit.

Het lastige punt is als je het gevraagde bewijsstuk niet hebt, bijvoorbeeld een ISO 27001-certificaat terwijl je wel de bijbehorende Annex A-maatregelen hebt ingericht maar niet laat certificeren. Antwoord dan feitelijk: benoem wat je wél hebt (het beleid, de maatregel, de datum van invoering) en wat je niet hebt (het certificaat als formeel stuk). Een klant kan daarmee verder; een gegist "ja" met een certificaat dat niet bestaat, levert bij een latere controle meer schade op dan een eerlijk "nee, wel de onderliggende maatregel". Vraag jezelf ook af of het gevraagde bewijs überhaupt van toepassing is — of de onderneming AI-systemen inzet binnen haar dienstverlening is bijvoorbeeld een vraag waar "niet van toepassing" een net zo geldig antwoord is als een bewijsstuk, als dat feitelijk klopt.

Waar de vraag om bewijs vandaan komt

Voor de tien maatregelen uit artikel 21 lid 2 van de NIS2-richtlijn wordt bewijs van implementatie functioneel verwacht, ook al schrijft de richtlijn zelf geen vaste bewijsvorm voor. ISO/IEC 27001 Annex A werkt andersom: de beheersmaatregelen zijn pas bewijs als ze zijn opgenomen in een gecertificeerd managementsysteem, vandaar dat een certificaat zonder scope-vermelding weinig zegt. Voor identiteitsgegevens ligt de basis in de Handelsregisterwet 2007, die vastlegt welke gegevens van een onderneming zijn geregistreerd — vergelijk ook het vestigingsadres van de onderneming, dat rechtstreeks uit dat register komt. Voor duurzaamheidscijfers is de VSME-basismodule van EFRAG de vrijwillige standaard waarnaar mkb-bedrijven vaak worden doorverwezen als ze niet onder de volledige CSRD-rapportageplicht van Richtlijn (EU) 2022/2464 vallen.