kunden kräver bifogade bevis till varje svar i enkäten vad skickar jag med

Bevis är vanligtvis ett dokument som du redan har, inte ett nytt dokument

Vid de flesta frågor kan du tillhandahålla ett befintligt dokument i stället för att upprätta något nytt. För identitetsfrågor är det ett utdrag från handelsregistret; för en certifieringsfråga själva certifikatet, med omfattning och giltighetsperiod; för en NIS2-fråga om de tio åtgärderna i artikel 21 stycke 2 ofta ett policydokument, en riskanalys eller den senaste pentestrapporten. För hållbarhetsfrågor som bygger på VSME-basmodellen är beviset vanligtvis den underliggande beräkningen eller policydokumentet som siffran kommer från — inte själva svaret, utan vad som ligger bakom det.

Den svåra punkten är när du inte har det begärda bevisstycket, till exempel ett ISO 27001-certifikat när du väl har implementerat de motsvarande Annex A-åtgärderna men inte låtit dem certifiera. Svara då faktiskt: ange vad du väl har (policyn, åtgärden, genomförandedatumet) och vad du inte har (certifikatet som formellt dokument). En kund kan fortsätta med det; ett gissat "ja" med ett certifikat som inte finns orsakar mer skada vid en senare granskning än ett ärligt "nej, men väl den underliggande åtgärden". Fråga dig själv också om det begärda bevisstycket över huvud taget är tillämpligt — eller om företaget använder AI-system inom sin tjänsteleverans är till exempel en fråga där "inte tillämpligt" är ett lika giltigt svar som ett bevisstycke, om det är faktiskt korrekt.

Var beviset kommer från för frågan

För de tio åtgärderna i artikel 21 stycke 2 i NIS2-direktivet förväntas bevis på implementering funktionellt, även om direktivet själv inte föreskriver någon fast bevisform. ISO/IEC 27001 Annex A fungerar omvänt: kontrollåtgärderna är bara bevis om de ingår i ett certifierat ledningssystem, därför säger ett certifikat utan omfattningsangivelse inte mycket. För identitetsuppgifter ligger grunden i Handelsregisterstadgan 2007, som fastslår vilka uppgifter om ett företag som är registrerade — jämför också företagets etableringsadresssom kommer direkt från det registret. För hållbarhetssiffror är VSME-basmodellen från EFRAG den frivilliga standarden som små och medelstora företag ofta hänvisas till om de inte omfattas av hela rapporteringsplikten enligt direktiv (EU) 2022/2464.