מה ציבורי, מה תלוי בפרויקט ומה דורש אימות עצמאי.

• שם הישות המלא ומספר החברה או העוסק; תעודת רישום עדכנית.
• אישורי ניכוי מס וניהול ספרים; אישור בעלות חשבון בנק.
• בעלות, דירקטורים ומורשי חתימה שאומתו.
• ביטוח אחריות מקצועית ו־Cyber Liability, אם חל, כולל זהות המבוטח או הישות המבוטחת, תקופת הכיסוי והיקפו.
• AOC של PCI DSS רק אם חל, עם הישות, השירות, הסביבה, התאריכים והמעריך.
• תקציר ארכיטקטורת אבטחה; המשכיות עסקית והתאוששות מאסון.
• DPA, רשימת ספקי משנה ואזורי אירוח ועיבוד.
• שלושה ממליצים נוכחיים ושני פרויקטים דומים, רק בהסכמה.
• צוות מוצע וקורות חיים, SLA וזמני תגובה.
• בעלות על קוד המקור, רישיונות, תלות בצד שלישי ותנאי מסירה.
• תקציר בדיקת חדירה או אבטחה לאחר הסתרת מידע רגיש.
• נוהל יציאה, מעבר, ייצוא מידע והעברת ידע.

לא משלימים מסמך חסר באמצעות הנחות. מסמנים אותו כלא רלוונטי או כממתין, ומציינים הסבר ואחראי להשלמה.