moj stranka sprašuje za dokaze pri vprašalniku, kaj moram dostaviti

Dokazilo sodi k odgovoru, ne k vprašanju kot celoti

Ni fiksnega seznama "dokaz za odgovore o kibernetski varnosti" — dokaz je odvisen od tega, katero od desetih ukrepov iz člena 21(2) Direktive NIS2 stranka sprašuje. Če sprašuje o nadzoru dostopa, je primeren odlomek iz politike dostopa, ne celotna politika informacijske varnosti. Če sprašuje o odzivanju na incidente, je pogosto dovolj opis postopka s črto eskalacije, brez dnevnika incidentov s podrobnostmi. Pri razvrščanju razmisli o kategorijah, ki se pojavljajo tudi v politiki za analizo tveganja, postopku pri varnostnih incidentih in zahtevah za lastne dobavitelje vsaka zahteva drugačno vrsto utemeljitve.

Če dokazila nemaš — na primer ker politika obstaja, vendar ni nikoli zapisana — je "ne" s kratkim pojasnilom pošten odgovor, ne sklicevanje na dokument, ki ga ni. Potrdilo ISO 27001 pokriva več vprašanj hkrati, vendar le, če obseg tega potrdila dejansko zajema dele, po katerih sprašuje stranka; sicer ustvari lažno gotovost, ki se pojavi pri reviziji. Zato najprej preveri, ali je potrdilo veljavno za zahtevano področje, preden ga navedeš kot dokaz.

Od koder to sledi: člen 21(2) in Prilog A

Člen 21(2) Direktive NIS2 navaja deset ukrepov, po katerih stranka običajno sprašuje — od upravljanja tveganja do politike dostopa do varnosti dobaviteljev — in vsak ukrep ima svojo vrsto dokaza, ne en splošni dokument. ISO/IEC 27001 Annex A vsebuje nadzorne ukrepe, ki se pogosto uporabljajo kot kontrolni seznam za určitev, kateri dokaz sodi k kateremu vprašanju; potrdilo za to normo torej ni nadomestilo za temeljne dokumente, ampak potrdilo, da so bili preverjeni. Zakon o kibernetski varnosti, nizozemska prenos NIS2, začne veljati 15. avgusta 2026 in vsebuje enako razdelitev — za tiste, ki že zdaj zbirajo dokaze, je skladnost s to strukturo torej ne bo izgubljena napora.