nežinau atsakymo į klausimą, ar galiu atsakyti "ne"

"Ne" yra atsakymas apie priemonę, o ne apie nežinomą faktą

Įvesti "Ne", jei nežinai atsakymo, nėra teisingas sprendimas. "Ne" yra galiojantis atsakymas į klausimą, ar yra tam tikra priemonė — pavyzdžiui, kad nėra MFA pareigos, arba nėra nustatytos procedūros incidentams. Tačiau tai nėra galiojantis atsakymas į klausimą, ar tu ką nors žinai. Tai yra du skirtingi dalykai, ir klausimynas dažniausiai šio skirtumo nėra aiškiai nurodęs.

Dėl to protingiausia yra pirmiausia patikrinti, ar atsakymas yra žinomas kur nors organizacijoje, tik ne tau. Klausimas apie saugumo reikalavimus savoms tiekėjams gali pavyzdžiui būti prie įsigijimo, o klausimas apie daugiaaspektė autentifikacija pagal IT. Tik tada, kai atsakymas tikrai niekur nėra užfiksuotas, iš tikrųjų nėra priemonės, kurią reikėtų patvirtinti — ir tada bent jau "ne" yra teisingas, o ne spėjimas, kuris vėliau pasirodo neteisingas.

Dešimt priemonių pagal 21 straipsnį reikalauja fakto, o ne įvertinimo

Klausimynai, kurie kyla iš NIS2, yra pagrįsti dešimiomis priemonėmis iš 21 straipsnio 2 dalies Direktyvos (ES) 2022/2555. Kiekviena priemonė — nuo rizikos valdymo iki prieigos politikos — yra taip/ne klausimas apie esamą praktiką, o ne apie įvertinimą. Tas pats pasakytina apie kontrolės priemones iš ISO/IEC 27001 A Priedo, į kurias daug kliento formatų nukreipia. Atsakymas, kurio ketenos byloje nėra fakto, mūsų sistemoje nepateikiamas kaip "taip": jis lieka atidarytas tol, kol už jo yra faktas. Tai taip pat svarbu klausimui, kuriame ar įmonė pati patenkanti į NIS2 direktyvos taikymo sritį atskirai nuo esminių priemonių — tai yra kito tipo faktas, reikalaujantis kito tipo įrodymo.