Не знам отговора на един въпрос, мога ли тогава да напишем не

"Не" е отговор относно мярка, а не относно неизвестен факт

Попълване на "Не", когато не знаеш отговора, не е правилното решение. "Не" е валиден отговор на въпроса дали съществува някаква мярка — например че няма изискване за MFA или че няма определена процедура за инциденти. Но това не е валиден отговор на въпроса дали знаеш нещо. Това са две различни неща, и един въпросник обикновено не прави това разграничение явно.

Най-разумното е тогава да се провери първо дали отговорът е известен някъде в организацията, само че не при теб. Един въпрос относно изисквания за сигурност спрямо собствените доставчици може например да бъде в отдела за закупки, а един въпрос относно многофакторната аутентификация в IT. Само когато отговорът наистина не е документиран никъде, няма фактически мярка, която да се потвърди — и тогава "Не" е поне правилно, вместо предположение, което по-късно се окаже неточно.

Десетте мерки на член 21 поставят въпрос за факт, а не за оценка

Въпросниците, които произтичат от NIS2, се основават на десетте мерки на член 21, параграф 2 на Директива (ЕС) 2022/2555. Всяка мярка — от управление на рисковете до политика за достъп — е да/не-въпрос относно съществуваща практика, а не относно оценка. Същото се отнася за контролните мерки от Приложение А на ISO/IEC 27001, към които много клиентски формати се отнасят. Отговор, който няма източник в дневника на веригата, не се представя като "да" от нашата система: той остава открит, докато не стои факт зад него. Това е и причината един въпрос като дали предприятието самостоятелно попада под NIS2 директивата да бъде третиран отделно от съдържателните мерки — това е различен вид факт, с различен вид доказателство.