tenho de enviar o nosso plano de resposta como documento ao cliente

Na maioria das vezes, não o documento completo, mas sim os dados essenciais

Não, na maioria dos casos, o plano completo de resposta a incidentes não precisa ser anexado. Portais que fazem perguntas sobre resposta a incidentes — parte de o procedimento para o tratamento de incidentes de segurança — geralmente desejam saber ou se existe um procedimento, quem é responsável e em quanto tempo um incidente é escalado e comunicado. Estas são perguntas que você responde com um sim/não e uma breve explicação, não com o manual completo incluindo árvores de contactos e nomes de sistemas.

Há duas situações em que um anexo é realmente solicitado: se o cliente tiver explicitamente "faça upload do seu plano de resposta a incidentes" como tipo de pergunta, ou se for um questionário de auditoria que exige documentos comprovativos. Nesse caso, uma versão de resumo — uma página com escopo, papéis, prazos de notificação e caminhos de escalação, sem detalhes técnicos sensíveis — muitas vezes é suficiente. Se é necessário um plano completo ou um resumo fica claro no próprio texto da pergunta; se lá diz "descreva" em vez de "faça upload", uma resposta textual é mais apropriada do que um anexo.

Por que esta distinção existe: artigo 21.º n.º 2 NIS2

O artigo 21.º n.º 2 da Diretiva NIS2 menciona o tratamento de incidentes como uma das dez medidas obrigatórias, mas não prescreve qualquer forma de documentação — a diretiva exige um processo, não um formato de upload específico. A norma ISO/IEC 27001 Anexo A desenvolve isto em medidas de controlo em torno da resposta e recuperação, e aí vê-se o mesmo padrão: a norma avalia se o processo existe e funciona, não se existe um documento bem definido designado "plano de resposta a incidentes". Isto explica por que razão a maioria dos portais fica satisfeita com uma descrição no campo de resposta, e por que razão um anexo só é necessário se a pergunta o exigir explicitamente. Se ainda não documentou o processo, muitas vezes é mais fácil começar por a política para análise de risco e segurança da informação colocar em ordem — a resposta a incidentes geralmente baseia-se nisto.