Bed om dokumentation for udført arbejde og sammenhængende processer. En beskrivelse af en kontrol er mindre overbevisende, hvis der ikke kan vises ansvar, anvendelse, resultater og opfølgning på afvigelser.

Brug konkrete scenarier og efterspørg eksempelvis en anonymiseret efteranalyse, en gendannelsestest eller en proces for adgangslukning. Vurder bevisernes relevans for den tilbudte leverance. I offentlige udbud skal kriterier og fremgangsmåde være offentliggjort og anvendes ensartet. Skeln mellem minimumsniveau og kvalitet ud over dette, så certificering, modenhed og løsningskvalitet ikke blandes sammen i et uklart helhedsindtryk.

Kilder og faglig baggrund: Udbudsloven, LBK nr. 116 af 3. februar 2025 · NIST: Cybersecurity Framework 2.0