no tenemos certificado ISO, cómo respondo bien esa pregunta de todas formas

Sin certificado no es un "no", sino otra justificación

No rellene automáticamente "no" en esta pregunta. Un certificado ISO 27001 es una prueba de un auditor de que el sistema de gestión cumple con la norma — pero la pregunta subyacente de su cliente generalmente se refiere a las medidas en sí, no al documento. Si tiene política para control de acceso, gestión de incidentes, continuidad y los otros componentes del Anexo A de ISO 27001, puede describirlo sin reclamar un certificado. Responda la pregunta en dos niveles: primero el hecho ("no certificado"), luego la aclaración ("pero sí política que se alinea con los siguientes componentes"). De esta manera la respuesta sigue siendo veraz y aún proporciona algo útil a su cliente.

En la práctica, el cuestionario generalmente lo divide así: una pregunta sobre el certificado ISO 27001 por separado, y preguntas individuales sobre las medidas subyacentes. Responda esas últimas según sus propios méritos — por ejemplo, la pregunta sobre política de acceso y gestión de activos empresariales o la sobre análisis de riesgos y protección de sistemas de información. Si no tiene un documento para un componente específico, responda "no" o "parcialmente" — no a toda la lista a la vez porque falta el certificado. La falta de un elemento no tiene por qué contaminar todas las otras respuestas.

El Anexo A y el artículo 21, apartado 2 solicitan medidas, no un certificado

ISO/IEC 27001 en sí consta de dos partes: los requisitos del sistema de gestión y el Anexo A con las medidas de control (acceso, criptografía, proveedores, incidentes, continuidad, y así sucesivamente). Un certificado demuestra que un auditor ha evaluado el sistema; no es la única forma de mostrar que las medidas existen. Además, el artículo 21, apartado 2 de la Directiva NIS2, con las diez medidas obligatorias, pregunta qué hace una organización — no qué certificado tiene. Por lo tanto, para la mayoría de cuestionarios: la política y una práctica demostrable responden al núcleo de la pregunta, incluso sin certificado ISO.