non conosco la risposta a una domanda, posso mettere no

"No" è una risposta riguardante una misura, non un fatto sconosciuto

Inserire "no" quando non conosci la risposta non è la soluzione corretta. "No" è una risposta valida alla domanda se esista una misura — ad esempio che non vi sia un obbligo di autenticazione a più fattori, o nessuna procedura stabilita per gli incidenti. Ma non è una risposta valida alla domanda se conosci qualcosa. Si tratta di due cose diverse, e un questionario di solito non esplicita questa distinzione.

La cosa più prudente è allora verificare prima se la risposta è comunque nota da qualche parte nell'organizzazione, solo che non da te. Una domanda su requisiti di sicurezza per i fornitori propri può ad esempio competere all'ufficio acquisti, e una domanda su autenticazione multifattore all'IT. Solo quando la risposta non è veramente documentata da nessuna parte, in realtà non esiste alcuna misura da confermare — e allora "no" è almeno corretto, piuttosto che una congettura che successivamente risulta errata.

Le dieci misure dell'articolo 21 richiedono un fatto, non una valutazione

I questionari che derivano da NIS2 si basano sulle dieci misure dell'articolo 21, paragrafo 2, della Direttiva (UE) 2022/2555. Ogni misura — dalla gestione del rischio alla politica di accesso — è una domanda sì/no riguardante una pratica esistente, non una valutazione. Lo stesso vale per le misure di controllo dell'Allegato A della norma ISO/IEC 27001, a cui molti format clienti fanno riferimento. Una risposta che non ha una fonte nel nostro dossier della catena non viene quindi presentata dal nostro sistema come "sì": rimane aperta finché non vi sia un fatto che la sorregga. Questo è anche il motivo per cui una domanda come se l'azienda stessa rientra nella direttiva NIS2 viene trattata al di fuori delle misure sostanziali — è un tipo di fatto diverso, con un tipo di prova diverso.