wie binnen ons bedrijf moet de antwoorden goedkeuren voordat we indienen

Wie er tekent, bepaalt zelf het bedrijf, niet het systeem

Ons systeem stelt alleen antwoorden voor uit het ketendossier; het bevestigen per antwoord is een keuze van de klant, en wij schrijven niet voor wie dat intern moet doen. Bij de ene onderneming zet de kwaliteitsmanager het vinkje bij een ISO-vraag en tekent de CISO bij een vraag over informatiebeveiliging; bij een kleiner bedrijf doet één persoon alles. Wat je klant vraagt gaat namelijk zelden over één domein: een vragenlijst mengt vaak feitelijke bedrijfsgegevens met inhoudelijke beoordelingen, en dat vraagt niet altijd om dezelfde bevestiger.

Het onderscheid dat wél relevant is: bij een feit als het registratienummer waaronder de onderneming staat ingeschreven is bevestigen vooral controleren of het dossier klopt. Bij een vraag die teruggrijpt op de tien maatregelen van artikel 21 lid 2 van de NIS2-richtlijn, of op de beheersmaatregelen uit Annex A van ISO/IEC 27001, bevestigt degene die tekent feitelijk dat de onderliggende maatregel ook echt is genomen — dat is een andere verantwoordelijkheid dan het overtypen van een adres. Wie dat intern mandaat heeft, regelt de onderneming zelf; het systeem registreert alleen wie op welk moment welk antwoord heeft bevestigd.

Waar die scheiding tussen voorstellen en bevestigen vandaan komt

Dat wij voorstellen en de klant bevestigt, volgt uit het uitgangspunt dat er bij ons geen beoordeling, score of goedkeuring plaatsvindt: elk antwoord dat het portaal van de klant bereikt, is door de klant zelf akkoord bevonden. Voor vragen die uit de EFRAG VSME-basismodule komen — zoals die rond medewerkersaantallen of vestigingslanden — ligt de brongegevens vaak al vast in het ketendossier, bijvoorbeeld bij het aantal medewerkers van de onderneming of de landen waarin de onderneming vestigingen heeft; bevestigen betekent daar vooral verifiëren dat het dossier actueel is. Voor vragen die raken aan verplichtingen uit de CSRD-richtlijn (2022/2464) of aan de NIS2-maatregelen ligt de bevestiging inhoudelijk zwaarder, en dat is precies waarom het platform geen rol voorschrijft: die afweging hoort bij de onderneming, niet bij de tool die het antwoord aandraagt.