zákazník žiada doklady pri každej odpovedi v zozname otázok čo poslem

Dôkaz je zvyčajne dokument, ktorý už máš, nie nový dokument

Väčšinu otázok môžeš zodpovedať existujúcim dokumentom namiesto vytvorenia nového. Pri otázkach na totožnosť ide o výpis z obchodného registra; pri otázke na certifikáciu samotný certifikát so špecifikáciou rozsahu a dátumom platnosti; pri NIS2 otázke o desiatich opatreniach z článku 21 odsek 2 často o politický dokument, analýzu rizík alebo najnovšiu správu z penetračného testovania. Pri otázkach na udržateľnosť vychádzajúcich z VSME základného modulu je dôkazom zvyčajne podkladová kalkulácia alebo politický dokument, z ktorého číslo pochádza — nie samotná odpoveď, ale to, čo za ňou stojí.

Zložitý bod nastáva, keď nemáš požadovaný doklad, napríklad certifikát ISO 27001, hoci si zaviedol relevantné opatrenia z prílohy A, ale nechávaš ich certifikovať. Odpovedz potom fakticky: pomenuj, čo máš (politiku, opatrenie, dátum zavedenia) a čo nemáš (certifikát ako formálny dokument). Klient s tým môže pokračovať; uhádnuté "áno" s certifikátom, ktorý neexistuje, pri neskoršej kontrole spôsobí viac škody ako čestné "nie, mám však podkladové opatrenie". Spýtaj sa tiež, či je požadovaný dôkaz vôbec relevantný — alebo či podnik využíva systémy AI v rámci svojej činnosti napríklad otázka, kde "nepoužiteľné" je rovnako platná odpoveď ako doklad, ak je to fakticky správne.

Odkiaľ pochádza požiadavka na dôkaz

Pri desiatich opatreniach z článku 21 odsek 2 smernice NIS2 sa dôkaz implementácie funkčne očakáva, aj keď samotná smernica nepredpisuje pevnú formu dôkazu. ISO/IEC 27001 príloha A funguje opačne: kontrolné opatrenia sú dôkazom len vtedy, ak sú zahrnuté v certifikovanom systéme riadenia, z tohto dôvodu certifikát bez špecifikácie rozsahu málo vypovedá. Pre údaje totožnosti je základom Zákon o obchodnom registri 2007, ktorý ustanovuje, ktoré údaje podniku sú zaregistrované — pozri tiež sídla spoločnostiktorý pochádza priamo z tohto registra. Pri číslach udržateľnosti je VSME základný modul EFRAG dobrovoľným štandardom, na ktorý sú mikropodniky a malé a stredné podniky často smerované, ak nepodliehajú úplnej povinnosti hlásitosti podľa Smernice (EÚ) 2022/2464.