naročnik zahteva dokazila pri vsakem odgovoru v vprašalniku kaj priložim

Dokaz je običajno dokument, ki ga že imaš, ne nov

Pri večini vprašanj lahko predložiš obstoječi dokument namesto da bi kaj novega pripravil. Za vprašanja o identiteti je to izvleček iz trgovinskega registra; za vprašanje o certificiranju samo certifikat z obsegom in datumom veljavnosti; za vprašanje o NIS2 o desetih ukrepih iz člena 21(2) pogosto politični dokument, analiza tveganja ali zadnje poročilo o testu penetracije. Pri vprašanjih o trajnosti, ki se opirajo na osnovni model VSME, je dokaz običajno osnovna izračun ali politični dokument, iz katerega izhaja številka — ne sam odgovor, ampak to, kar stoji za njim.

Težko mesto je, če nemaš zahtevanega dokazila, na primer certifikata ISO 27001, čeprav si sicer uvedel ukrepe Priloge A, vendar jih nisi dal certificirati. Torej odgovori stvarno: imenuj, kaj imaš (politiko, ukrep, datum uvedbe) in kaj nemaš (certifikat kot formalni dokument). Odjemalec se lahko s tem poslužuje; ugibanje »da« s certifikatom, ki ne obstaja, povzroči pri poznejši reviziji več škode kot pošten »ne, ampak sem uvedel spodnji ukrep«. Vprašaj se tudi, ali je zahtevano dokazilo sploh veljavno — ali podjetje uporablja sisteme umetne inteligence v svojem zagotavljanju storitev na primer vprašanje, kjer je »ne velja« enako veljaven odgovor kot dokazilo, če je to dejansko res.

Od koder izvirajo zahteve po dokazilih

Za deset ukrepov iz člena 21(2) Direktive NIS2 se dokaz o izvajanju funkcionalno pričakuje, čeprav sama direktiva ne predpisuje določene oblike dokaza. ISO/IEC 27001 Annex A deluje drugače: zaščitni ukrepi so dokaz šele, ko so vključeni v certificirani sistem upravljanja, zato ima certifikat brez navedbe obsega malo vrednosti. Za podatke o identiteti je osnova v zakonu o trgovinskem registru iz leta 2007, ki določa, kateri podatki podjetja so registrirani — primerjaj tudi naslov sedeža podjetjaki izhaja neposredno iz tega registra. Za številke trajnosti je osnovni model VSME družbe EFRAG prostovoljna norma, na katero se srednje velika in majhna podjetja pogosto napotijo, če ne spadajo pod polno obveznost poročanja po Direktivi (EU) 2022/2464.