Sei sulla buona strada.
Il come fare è solo una scelta: farlo stampare in quel modo, includerlo con un file esterno oppure interrompere il flusso JSP, inserire il form in plain-xhtml e ricominciare il flusso JSP. Qualsiasi delle tre è comunque la soluzione più corretta, perché il controllo avviene server-side e non ci sono escamotage o exploit che il client possa escogitare per saltare quel passaggio. Dove voglio arrivare è: ovviamente potresti inserirlo via javascript, magari con ajax per dare anche un effetto grafico, ciò non toglie che il controllo lato server (quello che stai facendo anche adesso) va fatto.