Wir sind nicht ISO 27001 zertifiziert, tun aber viel für Sicherheit, was fülle ich aus

Nein beim Zertifikat, ja in der Praxis können beide wahr sein

Ja, das darf — sofern du es getrennt von der Frage nach dem Zertifikat selbst behandelst. Eine ISO 27001-Frage in einer Frageliste ist normalerweise eine geschlossene Ja/Nein-Frage zum Besitz von das Zertifikat. Hast du das nicht, dann ist "nein" die sachlich richtige Antwort auf diese spezifische Frage, und dabei hilft keine Erläuterung. Was aber möglich ist: viele Fragelisten stellen nach oder neben der Zertifikatsfrage auch separate Fragen zu den zugrunde liegenden Maßnahmen — Risikoanalyse, Zugriffskontrolle, Incident Handling. Diese beantwortest du nach ihren eigenen Meriten, mit ihren eigenen Belegen, unabhängig vom Zertifikat.

Die Verwirrung entsteht, weil Zertifizierung und Maßnahmen denselben Inhalt berühren, aber keine Synonyme sind. Ein Auditor, der Annex A durchgeht, und ein Unternehmen, das "einfach" MFA, Backups und einen Incident-Prozess eingerichtet hat, können sachlich dieselben Kontrollen haben — der Unterschied ist, dass die eine Seite eine unabhängige Prüfung und ein Zertifikat hat, die andere nicht. In deinem Kettendossier legst du also zwei separate Antworten ab: bei der Zertifikatsfrage "nein", und bei der Frage zum Beispiel Mehrstufenauthentifizierung oder der Behandlung von Sicherheitsvorfällen die sachliche Antwort mit dem Beleg, den du dafür hast — ein Richtliniendokument, ein Konfigurationsexport, eine Prozessbeschreibung. Nie das eine als Beweis für das andere eintragen.

Annex A und Artikel 21 Absatz 2 überschneiden sich, sind aber nicht austauschbar

ISO/IEC 27001 Annex A beschreibt die Schutzmaßnahmen, die ein zertifiziertes Managementsystem abdecken muss; Richtlinie (EU) 2022/2555 Artikel 21 Absatz 2 nennt die zehn Maßnahmen, die gemäß NIS2 für unter diese Richtlinie fallende Einrichtungen verpflichtend sind. Beide Listen nennen Risikomanagement, Zugriff, Kryptografie und Incident Response, aber das eine ist eine Zertifizierungsnorm mit einem Auditor, der prüft, das andere ist Gesetze ohne Zertifizierungspflicht. Ein "nein" beim Zertifikat sagt also nichts darüber aus, ob jemand Artikel 21 Absatz 2 erfüllt — das ist eine separate Frage, die erst relevant wird, sobald festgestellt ist, ob das Unternehmen selbst unter die NIS2-Richtlinie oder das Cybersicherheitsgesetz fällt.