Ich weiß die Antwort auf eine Frage nicht, darf ich dann Nein ankreuzen

"Nein" ist eine Antwort über eine Maßnahme, nicht über einen unbekannten Sachverhalt

Nein eintragen, wenn man die Antwort nicht kennt, ist nicht die richtige Lösung. "Nein" ist eine gültige Antwort auf die Frage, ob eine Maßnahme vorhanden ist — zum Beispiel dass es keine MFA-Verpflichtung gibt oder kein schriftlich festgelegtes Verfahren für Incidents. Aber es ist keine gültige Antwort auf die Frage, ob man etwas weiß. Das sind zwei verschiedene Dinge, und ein Fragebogen macht diese Unterscheidung meist nicht explizit.

Das Klügste ist dann, zunächst zu prüfen, ob die Antwort irgendwo in der Organisation bekannt ist, nur nicht bei dir. Eine Frage über Sicherheitsanforderungen an eigene Lieferanten kann beispielsweise in der Einkaufsabteilung liegen, und eine Frage über Mehrstufenauthentifizierung bei der IT. Erst wenn die Antwort wirklich nirgendwo schriftlich festgehalten ist, gibt es faktisch keine Maßnahme zur Bestätigung — und dann ist "Nein" zumindest korrekt, anstatt eine Vermutung, die sich später als falsch herausstellt.

Die zehn Maßnahmen von Artikel 21 fragen nach einem Sachverhalt, nicht nach einer Einschätzung

Die Fragebögen, die sich aus NIS2 ergeben, basieren auf den zehn Maßnahmen von Artikel 21 Absatz 2 der Richtlinie (EU) 2022/2555. Jede Maßnahme — von Risikomanagement bis Zugriffskontrolle — ist eine Ja/Nein-Frage über eine bestehende Praxis, nicht über eine Schätzung. Dasselbe gilt für die Kontrollmaßnahmen aus Anlage A der ISO/IEC 27001, auf die viele Kundenformulare verweisen. Eine Antwort, die keine Quelle im Kettenbestand hat, wird in unserem System daher nicht als "Ja" vorgeschlagen: sie bleibt offen, bis ein Sachverhalt dahintersteckt. Das ist auch der Grund, warum eine Frage wie oder ob das Unternehmen selbst unter die NIS2-Richtlinie fällt unabhängig von den inhaltlichen Maßnahmen behandelt wird — es ist ein anderer Sachverhalt, mit einer anderen Art von Beweis.