Digiturvatyöhön liittyy tiiviisti osoitusvelvollisuus. Se tarkoittaa käytännössä sitä, että organisaatio on velvollinen näyttämään, kuinka tietojen käsittelyn turvallisuus tai muut esimerkiksi henkilötietojen käsittelyyn liittyvät yleiset periaatteet toteutuvat heidän toiminnassaan. Ei siis riitä sanoa, että asiat kyllä hoidellaan lakien ja asetusten mukaisesti, vaan tämän toteuttamiseksi on oltava selkeitä käytäntöjä sekä niiden toteuttamisesta arjessa konkreettistä näyttöä ja todisteita.

Digiturvakartalla käsitellään kahdentyyppisiä asioita, joista raportoidaan. Toiset ovat omaisuutta, esimerkiksi luottamukselliset tiedot sekä niiden käsittelyyn käytettävät järjestelmät, toiset käytäntöjä, esimerkiksi sopimukselliset toimet teknisen tietoturvan ratkaisut. Omaisuudesta raportoinnissa oleellista on varmistaa raportoinnin kattavuus. Onko esimerkiksi jokaisesta yksiköstä kartoitettu tiedot ja vastaavatko ne todellisuutta? Käytäntöjen raportoinnissa puolestaan oleellista on varmistaa käytännön toteutus arjessa. Onko käytäntö kirjattu aikaleimatusti suunnitelmaamme, onko sillä omistaja ja onko meillä todisteita (esim. omistajan merkinnät toteutuksesta tai tekniset lokimerkinnät) käytännön toteuttamisesta? Uskottavan raportoinnin toteuttamisessa auttaa digiturvan hallintajärjestelmä.

Tietosuoja-asetus nosti esille vaadittua raportointia ja määrittelee myös "Seloste käsittelytoimista" -raportin sisällön. Tietosuojaa valvovat viranomaiset voivat kuitenkin pyytää kaikkea muunlaistakin osoitusvelvollisuuteen liittyvää dokumentaatiota nähtäväkseen, joko yleisen valvonnan tai esimerkiksi rekisteröidyn valituksen käynnistämän tutkinnan puitteissa.