ik weet het antwoord op een vraag niet, mag ik dan nee invullen

"Nee" is een antwoord over een maatregel, niet over een onbekend feit

Nee invullen als je het antwoord niet weet, is niet de juiste oplossing. "Nee" is een geldig antwoord op de vraag of een maatregel er is — bijvoorbeeld dat er geen MFA-verplichting is, of geen vastgelegde procedure voor incidenten. Maar het is geen geldig antwoord op de vraag of je iets weet. Dat zijn twee verschillende dingen, en een vragenlijst maakt dat onderscheid meestal niet expliciet.

Het verstandigste is dan om eerst na te gaan of het antwoord ergens in de organisatie wél bekend is, alleen niet bij jou. Een vraag over beveiligingseisen aan eigen leveranciers kan bijvoorbeeld bij inkoop liggen, en een vraag over meerfactorauthenticatie bij IT. Pas als het antwoord echt nergens is vastgelegd, is er feitelijk geen maatregel om te bevestigen — en dan is "nee" tenminste correct, in plaats van een gok die achteraf niet blijkt te kloppen.

De tien maatregelen van artikel 21 vragen om een feit, geen inschatting

De vragenlijsten die uit NIS2 voortkomen, zijn gebaseerd op de tien maatregelen van artikel 21 lid 2 van Richtlijn (EU) 2022/2555. Elke maatregel — van risicobeheer tot toegangsbeleid — is een ja/nee-vraag over een bestaande praktijk, niet over een schatting. Hetzelfde geldt voor de beheersmaatregelen uit Annex A van ISO/IEC 27001, waarnaar veel klantformats verwijzen. Een antwoord dat er geen bron voor heeft in het ketendossier, wordt bij ons systeem dan ook niet als "ja" voorgesteld: het blijft open totdat er een feit achter staat. Dat is ook waarom een vraag als of de onderneming zelf onder de NIS2-richtlijn valt los van de inhoudelijke maatregelen wordt behandeld — het is een ander soort feit, met een ander soort bewijs.