nie znam odpowiedzi na pytanie, czy mogę wpisać nie

"Nie" to odpowiedź dotycząca środka, a nie nieznanego faktu

Wpisanie "Nie" jako odpowiedzi, gdy nie znasz odpowiedzi, nie jest właściwym rozwiązaniem. "Nie" to ważna odpowiedź na pytanie, czy dany środek istnieje — na przykład że nie ma obowiązku MFA lub nie ma ustanowionej procedury obsługi incydentów. Ale to nie jest ważna odpowiedź na pytanie, czy coś wiesz. To dwie różne rzeczy, a formularz pytań zwykle nie robi tego rozróżnienia jawnie.

Najzgodniej z rozsądkiem jest najpierw sprawdzić, czy odpowiedź faktycznie istnieje gdzieś w organizacji, tylko nie u ciebie. Pytanie o wymagania dotyczące bezpieczeństwa własnych dostawców może na przykład leżeć w dziale zakupów, a pytanie o uwierzytelnianie wieloskładnikowe w dziale IT. Dopiero gdy odpowiedź naprawdę nigdzie nie jest udokumentowana, faktycznie nie ma środka do potwierdzenia — a wówczas "Nie" jest co najmniej poprawne, zamiast zgadywanki, która później okaże się niewłaściwa.

Dziesięć środków z artykułu 21 dotyczą faktu, a nie szacunku

Formularze pytań wynikające z NIS2 opierają się na dziesięciu środkach z artykułu 21 ust. 2 Dyrektywy (UE) 2022/2555. Każdy środek — od zarządzania ryzykiem do polityki dostępu — to pytanie tak/nie dotyczące istniejącej praktyki, a nie szacunku. To samo dotyczy środków kontroli z Załącznika A normy ISO/IEC 27001, do których wiele formatów klientów się odwołuje. Odpowiedź, która nie ma źródła w dokumentacji łańcucha, nie jest w naszym systemie prezentowana jako "Tak": pozostaje otwarta do momentu, gdy stanie się faktycznym wsparciem. To również dlatego pytanie takie jak czy przedsiębiorstwo samo podlega dyrektywie NIS2 jest traktowane poza głównymi środkami — to inny rodzaj faktu, z innym rodzajem dowodu.