não somos certificados mas o questionário ainda assim pergunta por isso

Não preencher certificado sem fundamento inventado

Sem certificado ISO 27001 preenches "não" na pergunta sobre certificação, e isso não é um problema — um certificado não é obrigatório, nem sequer sob NIS2. O que conta é se as medidas subjacentes existem. A lista de verificação do seu cliente pergunta sobre o certificado geralmente como forma mais curta de verificar se a sua gestão de risco está em ordem; sem certificado é preciso demonstrá-lo de outra forma.

Por isso não olhes apenas para a pergunta sim/não, mas para o que está por trás. Frequentemente segue-se uma pergunta de acompanhamento sobre medidas concretas: controlo de acesso, resposta a incidentes, continuidade. Estes são os mesmos tópicos das medidas de controlo do Anexo A da ISO 27001, e também os mesmos tópicos das dez medidas do artigo 21.º, n.º 2 NIS2. Se o seu dossier de cadeia tem respostas sobre se existe política para análise de riscos e proteção de sistemas de informação e sobre se existe procedimento para incidentes de segurança, então preencheis essas perguntas de acompanhamento com uma resposta fundamentada, mesmo que não haja certificado por trás. O sistema propõe essa resposta a partir do seu dossier; confirmas por pergunta com sim ou não antes de ir para o portal do seu cliente.

Certificação e medidas são duas perguntas separadas

ISO/IEC 27001 concede o certificado com base numa auditoria às medidas de controlo do Anexo A; NIS2 (Diretiva (EU) 2022/2555, artigo 21.º, n.º 2) obriga essas dez medidas em si, independentemente de certificação. A Lei Holandesa de Cibersegurança transpõe essa obrigação e entra em vigor a 15 de agosto de 2026. Um cliente que pergunta sobre o certificado está portanto a verificar se cumprem as medidas subjacentes — o certificado é o meio de prova, não o requisito em si. Se cai sob essa obrigação depende de se a empresa cai sob a Diretiva NIS2 ou a transposição nacional; isso determina o peso das perguntas de acompanhamento, mesmo sem certificado.