må vores eksterne rådgiver udfylde spørgeskemaerne på vores vegne

Kan en rådgiver udfylde listen

Ja, det må de. Der er ingen lovbestemmelse, der foreskriver, hvem der betjener inputskærmen. Det, som bliver spurgt om i en spørgeskema fra en kunde eller aftager, er fakta om virksomheden: antal medarbejdere, ISO-certificering, eksistensen af en kontinuitetsplan. Hvem der indtaster disse fakta er ikke relevant for deres rigtighed — den person, der indtaster dem, er ikke den person, der underskriver for dem.

Det, som virkelig betyder noget: svarene går altid på vegne af virksomheden til kunden, ikke på vegne af revisoren eller rådgiveren. Ved en CSRD-rapportering ifølge EFRAG's VSME-grundmodul eller ved et sæt kontrolforanstaltninger fra Bilag A til ISO/IEC 27001 er der ofte en erklæring om, at opgørelsen er korrekt. Denne erklæring hører til virksomheden, også selvom en tredjepart har udfyldt felterne. Praktisk betyder det, at rådgiveren kan udfylde, men at nogen fra virksomheden selv bekræfter svaret, før det sendes til kundens portal. Det er også sådan, platformen er indrettet: udfyldelse og bekræftelse er to separate trin, og bekræftelsen ligger hos virksomheden.

Det, som virkelig følger af en kilde

Det samme gælder for de ti foranstaltninger i artikel 21, stk. 2 i NIS2-direktivet: direktivet forpligter enheden, ikke en specifik funktionær inden for eller uden for denne enhed, til at træffe og påvise foranstaltninger. Hvem der indsamler beviserne — for eksempel om der løber en ansvarsforsikring eller om virksomhedens drift er sikret ved en forstyrrelse — er frit valgt. Også Handelsregisterloven 2007 knytter en virksomheds basisdata til virksomheden som indskrevet, ikke til den person, der udfylder en formular. Hvor bevis mangler, forbliver svaret åbent, indtil virksomheden selv har leveret det; det ændrer sig ikke, fordi en rådgiver kigger med.