min kund frågar om dokumentation till enkäten, vad måste jag tillhandahålla

Bevismaterial hör till svaret, inte till frågan i sin helhet

Det finns ingen fast lista över "bevis för cybersvar" — beviset beror på vilken av de tio åtgärderna i artikel 21 punkt 2 i NIS2-direktivet som kunden frågar om. Frågar han om åtkomstkontroll, är ett utdrag ur åtkomstpolicyn lämpligt, inte hela informationssäkerhetspolicyn. Frågar han om incidenthantering, räcker ofta en procesbeskrivning med eskaleringsvägar, ingen incidentlogg med detaljer. Tänk på indelningen när du kategoriserar enligt policyn för riskanalys, proceduren vid säkerhetshändelser och kraven på egna leverantörer som återkommer: var och en kräver en annan typ av underbyggnad.

Har du inte bevismaterialet — till exempel för att policyn finns men aldrig har skrivits ned — då är "nej" med en kort förklaring det ärliga svaret, inte en hänvisning till ett dokument som inte finns. Ett ISO 27001-certifikat täcker flera frågor samtidigt, men endast om certifikatets omfattning verkligen täcker de delar som kunden frågar om; annars skapas en skenbara säkerhet som dyker upp vid en revision. Kontrollera därför först om certifikatet är tillämpligt på den del som efterfrågas, innan du presenterar det som bevis.

Var detta följer från: artikel 21 punkt 2 och Annex A

Artikel 21 punkt 2 i NIS2-direktivet nämner de tio åtgärderna som en kund vanligtvis frågar om — från riskhantering till åtkomstkontroll till leverantörsäkerhet — och varje åtgärd har sin egen typ av bevis, inte ett överordnat dokument. ISO/IEC 27001 Annex A innehåller de kontrollåtgärder som ofta används som en checklista för att avgöra vilket bevismaterial som passar till vilken fråga; ett certifikat enligt denna norm är därför ingen ersättning för de underliggande dokumenten, utan en bekräftelse på att de har granskats. Cyberlag, den nederländska genomförandet av NIS2, träder i kraft den 15 augusti 2026 och innehåller samma indelning — för den som redan samlar in bevis nu är anpassning till denna struktur därför ingen bortkastad ansträngning.