no estamos certificados en ISO 27001, qué escribo entonces en el cuestionario

Responder contenidamente sin certificado

Sin ISO 27001 no rellenas "no" y no te quedas ahí — respondes la pregunta subyacente contenidamente, por medida. Un cuestionario que pregunta por el certificado quiere saber en realidad si las diez medidas del artículo 21 apartado 2 de la Directiva NIS2 (análisis de riesgos, gestión de incidentes, continuidad empresarial, seguridad de la cadena, gestión de vulnerabilidades, política de criptografía, control de acceso, MFA, y el resto) están en orden. El certificado es una forma de demostrarlo, no la única. Sin certificado respondes pues por medida qué sí tienes: un documento de política, un procedimiento, una herramienta, un acuerdo contractual con un proveedor.

En la práctica esto significa que respondes la pregunta sobre el certificado en sí breve y objetivamente — ¿está la empresa certificada según ISO 27001? describes cómo sustentas esa pregunta específica sin certificado — y que posteriormente no omites las preguntas de seguimiento. Muchos portales dividen el certificado y las medidas subyacentes en preguntas separadas; si solo rellenas "no" en el certificado y dejas el resto en blanco, el destinatario se pierde precisamente la información con la que hace su propia evaluación de riesgos. Mejor rellena cada aspecto con lo que fácticamente existe, incluso si eso no es un conjunto evaluado externamente.

Dónde se deriva esa relación: Anexo A y artículo 21 apartado 2

ISO/IEC 27001 Anexo A describe las medidas de control que un sistema de gestión debe cubrir, y esas medidas se solapan en gran medida con las diez categorías del artículo 21 apartado 2 de la Directiva NIS2. Un destinatario que pregunta por el certificado está verificando en esencia si esas medidas subyacentes existen; el certificado es la confirmación por un tercero externo, pero el cuestionario en sí a menudo también pregunta por separado sobre componentes como la política de acceso y la gestión de activos o el procedimiento para incidentes de seguridad. Sin certificado esa pregunta subyacente sigue existiendo, y sigue valiendo la pena responderla.