no sé la respuesta a una pregunta, ¿puedo responder que no

"No" es una respuesta sobre una medida, no sobre un hecho desconocido

Rellenar "no" cuando no sabes la respuesta no es la solución correcta. "No" es una respuesta válida a la pregunta de si existe una medida — por ejemplo, que no hay obligación de autenticación multifactor o que no hay un procedimiento establecido para incidentes. Pero no es una respuesta válida a la pregunta de si sabes algo. Son dos cosas diferentes, y una lista de verificación generalmente no hace esta distinción de manera explícita.

Lo más sensato es entonces verificar primero si la respuesta es conocida en algún lugar de la organización, solo que no por ti. Una pregunta sobre requisitos de seguridad para proveedores propios puede encontrarse, por ejemplo, en compras, y una pregunta sobre autenticación multifactor en TI. Solo cuando la respuesta realmente no está documentada en ningún lugar, fácticamente no hay medida que confirmar — y entonces "no" es al menos correcto, en lugar de una suposición que luego resulta ser incorrecta.

Las diez medidas del artículo 21 piden un hecho, no una estimación

Las listas de verificación que se derivan de NIS2 se basan en las diez medidas del artículo 21, apartado 2, de la Directiva (UE) 2022/2555. Cada medida — desde la gestión del riesgo hasta la política de acceso — es una pregunta de sí/no sobre una práctica existente, no sobre una estimación. Lo mismo se aplica a las medidas de control del Anexo A de ISO/IEC 27001, a las que hacen referencia muchos formatos de clientes. Una respuesta que no tiene una fuente en el expediente de cadena en nuestro sistema no se presenta como "sí": permanece abierta hasta que hay un hecho detrás. Por eso también una pregunta como si la empresa se incluye de forma independiente en la Directiva NIS2 se trata de manera separada de las medidas de contenido — es un tipo diferente de hecho, con un tipo diferente de evidencia.