non siamo certificati ma il questionario lo chiede comunque

Non compilare un certificato senza inventare una giustificazione

Senza certificato ISO 27001 compili "no" alla domanda sulla certificazione, e non è un problema — un certificato non è obbligatorio, nemmeno secondo NIS2. Ciò che conta è se le misure sottostanti sono in atto. Il questionario del tuo cliente chiede il certificato solitamente come strada più breve per verificare se la tua gestione del rischio è in ordine; senza certificato devi dimostrarlo in altro modo.

Per questo motivo non guardare solo la domanda sì/no, ma a ciò che c'è dietro. Spesso segue una domanda di follow-up su misure concrete: controllo degli accessi, risposta agli incidenti, continuità. Questi sono gli stessi argomenti delle misure di gestione dell'Allegato A di ISO 27001, e anche gli stessi argomenti delle dieci misure dell'articolo 21 paragrafo 2 NIS2. Se il tuo fascicolo della catena ha risposte su se esiste una politica per l'analisi dei rischi e la protezione dei sistemi informativi e su se esiste una procedura per gli incidenti di sicurezza, allora compili effettivamente queste domande di follow-up con una risposta motivata, anche se non c'è un certificato dietro. Il sistema propone quella risposta dal tuo fascicolo; tu la confermi per ogni domanda con sì o no prima che vada al portale del tuo cliente.

Certificazione e misure sono due questioni separate

ISO/IEC 27001 rilascia il certificato sulla base di un audit rispetto alle misure di gestione dell'Allegato A; NIS2 (Direttiva (UE) 2022/2555, articolo 21 paragrafo 2) obbliga queste dieci misure stesse, indipendentemente dalla certificazione. La legge olandese sulla sicurezza informatica implementa questo obbligo ed entra in vigore il 15 agosto 2026. Un cliente che chiede il certificato sta quindi verificando se soddisfi le misure sottostanti — il certificato è il mezzo di prova, non il requisito stesso. Se tu stesso rientri in questo obbligo dipende da se l'impresa rientra nella direttiva NIS2 o nell'implementazione nazionale; questo determina quanto pesino le domande di follow-up, anche senza certificato.