klient żąda załączników do każdej odpowiedzi w ankiecie co powiniem wysłać

Dowód to zwykle dokument, który już posiadasz, a nie nowy dokument

W większości pytań możesz dostarczyć istniejący dokument zamiast przygotowywać coś nowego. W przypadku pytań tożsamościowych jest to wypis z rejestru handlowego; w przypadku pytania certyfikacyjnego — sam certyfikat z zakresem i datą ważności; w przypadku pytania NIS2 dotyczącego dziesięciu środków z artykułu 21 ust. 2 — często dokument polityki, analiza ryzyka lub najnowszy raport z testu penetracyjnego. W przypadku pytań dotyczących zrównoważonego rozwoju odwołujących się do modułu podstawowego VSME, dowodem jest zwykle underlying calculation lub dokument polityki, z którego pochodzi liczba — nie sama odpowiedź, ale to, co za nią stoi.

Trudnym punktem jest sytuacja, gdy nie posiadasz żądanego dokumentu potwierdzającego, na przykład certyfikatu ISO 27001, podczas gdy wdrożyłeś powiązane środki Załącznika A, ale nie poddajesz ich certyfikacji. Odpowiedz wtedy faktycznie: wymień to, co posiadasz (politykę, środek, datę wdrożenia) i co nie posiadasz (certyfikat jako dokument formalny). Klient może się tym posługiwać; zgadywana odpowiedź "tak" z certyfikatem, który nie istnieje, powoduje większą szkodę w przypadku późniejszej kontroli niż uczciwe "nie, ale mam underlying maatregel". Zastanów się również, czy żądany dowód w ogóle ma zastosowanie — czy przedsiębiorstwo stosuje systemy AI w ramach swojej działalności na przykład pytanie, w którym "nie dotyczy" jest odpowiedzią równie ważną jak dokument potwierdzający, jeśli faktycznie się to zgadza.

Gdzie pochodzi wymóg dowodu

W przypadku dziesięciu środków zawartych w artykule 21 ust. 2 dyrektywy NIS2 dowód wdrożenia oczekiwany jest funkcjonalnie, chociaż sama dyrektywa nie prescribe ustalonej formy dowodu. ISO/IEC 27001 Annex A działa inaczej: środki kontroli stanowią dowód dopiero po uwzględnieniu ich w certyfikowanym systemie zarządzania, dlatego certyfikat bez określenia zakresu mówi niewiele. W przypadku danych tożsamości podstawa znajduje się w Handelsregisterwet 2007, która określa, jakie dane przedsiębiorstwa są zarejestrowane — por. również adres siedziby przedsiębiorstwa, które pochodzą bezpośrednio z tego rejestru. W przypadku wskaźników zrównoważonego rozwoju moduł podstawowy VSME EFRAG jest dobrowolnym standardem, do którego małe i średnie przedsiębiorstwa są często kierowane, gdy nie podlegają pełnemu obowiązkowi sprawozdawczości CSRD na mocy Dyrektywy (UE) 2022/2464.