de klant vraagt om een certificaat of bijlage mee te uploaden, kan dat

Een bijlage is een los bestand, geen ingevuld antwoord

Ja, dat kan: naast tekstvelden herkent het systeem ook vragen waarbij de klant om een los bestand vraagt, zoals een ISO 27001-certificaat, een verklaring van de verzekeraar of een organogram. Dat werkt anders dan een tekstantwoord. Bij een tekstvraag haalt het systeem een waarde uit het ketendossier en zet die klaar. Bij een bijlage-vraag zoekt het systeem of er in het dossier een bestand van het juiste type ligt, en koppelt dat. Staat het certificaat over ISO 9001 er niet in, dan blijft het veld open — er wordt nooit een placeholder of oud bestand voorgesteld als het niet zeker het juiste is.

Herkenning van het type document gaat op instructie in de vraag zelf, niet op basis van wat erin staat: vraagt de lijst om "bewijs van ISO/IEC 27001-certificering", dan zoekt het systeem naar een bestand dat als zodanig in het dossier is gelabeld, niet naar een PDF die toevallig het woord ISO bevat. Bij een vraag naar een continuïteitsplan geldt hetzelfde principe: het systeem matcht op het gelabelde document over de voortzetting van de bedrijfsvoering bij een ernstige verstoring, niet op tekstuele gelijkenis. Ontbreekt het label, dan wordt niets automatisch gekoppeld en meldt het systeem dat er geen bijlage gevonden is — de klant kiest dan zelf of hij iets uploadt of het veld openlaat richting het portaal van zijn afnemer.

Waar dit verschil vandaan komt

Dit onderscheid volgt niet uit een norm, maar uit hoe die normen zelf werken: Annex A van ISO/IEC 27001 beschrijft beheersmaatregelen die aantoonbaar moeten zijn, en dat "aantoonbaar" is in de praktijk vaak een certificaat of auditverklaring, geen vrije tekst. Bij de tien maatregelen van artikel 21 lid 2 van Richtlijn (EU) 2022/2555 (NIS2) geldt hetzelfde: een klant kan vragen naar een beschrijving, maar ook naar het onderliggende bewijsstuk zelf. Het systeem sluit daarbij aan door per vraag te herkennen of om tekst of om een bestand gevraagd wordt, en dat bepaalt of er een waarde of een documentkoppeling wordt klaargezet.