mój klient prosi o dokumenty potwierdzające odpowiedzi z ankiety, co muszę dostarczyć

Dokument dowodowy przynależy do odpowiedzi, a nie do pytania jako całości

Nie ma ustalonej listy "dowód przy odpowiedziach cybernetycznych" — dowód zależy od tego, które z dziesięciu środków z artykułu 21 ust. 2 dyrektywy NIS2 klient pyta. Jeśli pyta o kontrolę dostępu, odpowiedni jest ekstrakt z polityki dostępu, a nie cała polityka bezpieczeństwa informacji. Jeśli pyta o reagowanie na incydenty, często wystarczy opis procesu z liniami eskalacji, a nie dziennik zdarzeń ze szczegółami. Rozważ przy podziale kategorie, które również w polityce analizy ryzyka, procedury postępowania w przypadku incydentów bezpieczeństwa i wymagania wobec własnych dostawców się pojawiają: każda wymaga innego rodzaju uzasadnienia.

Jeśli nie masz dokumentu potwierdzającego — na przykład dlatego, że polityka istnieje, ale nigdy nie została zapisana — wówczas "nie" wraz z krótkim wyjaśnieniem jest uczciwa odpowiedzią, a nie odwołaniem się do dokumentu, który nie istnieje. Certifikat ISO 27001 obejmuje kilka pytań jednocześnie, ale tylko wtedy, gdy zakres tego certyfikatu rzeczywiście dotyczy obszarów, o które pyta klient; w przeciwnym razie tworzy złudne poczucie pewności, które może powrócić podczas audytu. Przed przedłożeniem certyfikatu jako dowodu sprawdź zatem, czy certifikat ma zastosowanie do żądanego obszaru.

Gdzie to wynika: artykuł 21 ust. 2 i Załącznik A

Artykuł 21 ust. 2 dyrektywy NIS2 wymienia dziesięć środków, które zwykle mogą być kwestionowane przez klienta — od zarządzania ryzykiem po politykę dostępu aż do bezpieczeństwa łańcucha dostaw — a każdy środek ma własny typ dowodu, a nie jeden dokument ogólny. Załącznik A normy ISO/IEC 27001 zawiera środki kontroli, które są często używane jako lista kontrolna do określenia, jaki dokument potwierdzający pasuje do którego pytania; certifikat potwierdzający tę normę nie jest zatem zastąpieniem dokumentów źródłowych, ale potwierdzeniem, że zostały one zweryfikowane. Ustawa o cyberbezpieczeństwie, polski przekład dyrektywy NIS2, wchodzi w życie 15 sierpnia 2026 r. i zawiera tę samą strukturę — dla tych, którzy już teraz zbierają dowody, dostosowanie się do tej struktury nie jest więc zmarnowanym wysiłkiem.