es nezinu atbildi uz kādu jautājumu, vai man tad jāieraksta nē

"Nē" ir atbilde par pasākumu, nevis par nezināmu faktu

Ja nezini atbildi, aizpildīt "Nē", nav pareizs risinājums. "Nē" ir derīga atbilde uz jautājumu, vai pasākums pastāv — piemēram, ka nav MFA obligātuma vai nav dokumentētas incidentu procedūras. Bet tas nav derīga atbilde uz jautājumu, vai zini kaut ko. Tie ir divi dažādi jautājumi, un anketas parasti neizdara šo atšķirību skaidri.

Visgudrākais ir vispirms noskaidrot, vai atbilde organizācijā tiešām ir zināma, tikai ne pie tevis. Jautājums par drošības prasības attiecībā uz pašu piegādātājiem var piemēram atrasties iepirkumā, bet jautājums par vairāku faktoru autentifikācija var atrasties IT. Tikai tad, kad atbilde tiešām nekur nav dokumentēta, faktiskā ziņā nav pasākuma, ko apstiprinājums — un tad "Nē" vismaz ir pareizi, nevis minējums, kas vēlāk izrādās nepareizs.

Desmit pasākumi no 21. panta prasa faktu, nevis novērtējumu

Anketas, kas izriet no NIS2, balstās uz desmit pasākumiem no Direktīvas (ES) 2022/2555 21. panta 2. punkta. Katrs pasākums — no riska pārvaldības līdz piekļuves politikai — ir jā/nē-jautājums par esošu praksi, nevis par novērtējumu. Tas pats attiecas uz kontroles pasākumiem no ISO/IEC 27001 A pielikuma, uz kuriem atsaucas daudzi klientu formāti. Atbilde, kurai nav avota ķēdes dosejā, mūsu sistēmā netiek piedāvāta kā "Jā": tā paliek atvērta, līdz tai ir fakts aiz sevis. Tāpēc jautājums kā vai uzņēmums atsevišķi ietilpst NIS2 direktīvas darbības jomā tiek risināts atsevišķi no informatīvajiem pasākumiem — tas ir cita veida fakts, ar cita veida pierādījumu.