jeg kender ikke svaret på et spørgsmål, må jeg så svare nej

"Nej" er et svar om en foranstaltning, ikke om en ukendt kendsgerning

At udfylde "nej", når du ikke kender svaret, er ikke den rigtige løsning. "Nej" er et gyldigt svar på spørgsmålet om, hvorvidt en foranstaltning eksisterer — for eksempel at der ikke er krav om MFA, eller at der ikke er en dokumenteret procedure for hændelser. Men det er ikke et gyldigt svar på spørgsmålet om, hvorvidt du ved noget. Det er to forskellige ting, og en spørgeskema skelner normalt ikke eksplicit mellem disse.

Det mest fornuftigt er først at kontrollere, om svaret faktisk er kendt et sted i organisationen, bare ikke hos dig. Et spørgsmål om sikkerhedskrav til egne leverandører kan for eksempel høre under indkøb, og et spørgsmål om multifaktor-godkendelse høre under IT. Først når svaret virkelig ikke er dokumenteret noget sted, er der faktisk ingen foranstaltning at bekræfte — og så er "nej" i det mindste korrekt, i stedet for et gæt, der senere viser sig at være forkert.

De ti foranstaltninger fra artikel 21 spørger om et faktum, ikke et estimat

De spørgeskemaer, der udgår af NIS2, er baseret på de ti foranstaltninger i artikel 21, stk. 2 i direktiv (EU) 2022/2555. Hver foranstaltning — fra risikostyring til adgangspolitik — er et ja/nej-spørgsmål om en eksisterende praksis, ikke om et estimat. Det samme gælder for styringsforsvarlighederne i bilag A til ISO/IEC 27001, som mange kundeformater henviser til. Et svar, der ikke har en kilde i kæedossier, fremsættes således ikke som "ja" i vores system: det forbliver åbent, indtil der er et faktum bag det. Det er også grunden til, at et spørgsmål som eller om virksomheden selv falder under NIS2-direktivet behandles adskilt fra de indholdsmæssige foranstaltninger — det er en anden slags faktum, med en anden slags bevis.