não temos uma política de segurança formal posso mesmo assim responder sim à lista de questões

Não, não sem um documento que mostre a política

Não, preencher "sim" não é possível aqui, nem mesmo se a prática estiver em grande parte em ordem. A pergunta sobre política de segurança não questiona se trabalham com segurança, mas se isso está documentado: um documento mostrando quem é responsável pelo quê, quais medidas se aplicam e com que frequência isso é revisto. Sem esse documento, não há nada para mostrar com "sim" se o cliente questionar mais ou um auditor o solicitar. Supplia não sugere "sim" se o dossiê da cadeia não tiver um arquivo de origem — e isso se aplica integralmente aqui, mesmo que a própria pergunta seja reconhecível para um preenchedor experiente.

O que geralmente é possível: "sim, informalmente" ou "não, em desenvolvimento" com uma breve explicação, mais uma referência ao que está de facto documentado — uma política de acesso, um procedimento de incidentes, um contrato com fornecedor com requisitos de segurança. Muitos clientes valorizam essa honestidade mais do que um "sim" que não se sustenta na verificação. Se há algo documentado mas não um documento central único, muitas vezes é mais forte fazer referência aos elementos individuais: a política de acesso e gestão de ativos da organização, o procedimento para incidentes de segurançae a política sobre vulnerabilidades. Juntos, geralmente já constituem a essência do que a pergunta realmente significa, mesmo sem que seja chamado de "política de segurança".

Onde isso decorre das dez medidas

A política para análise de risco e segurança da informação é a primeira das dez medidas no artigo 21.º, n.º 2 da Diretiva NIS2 (Diretiva (UE) 2022/2555) — ver também o que um cliente entende por análise de risco. Quem se enquadra na Lei de Cibersegurança deve conseguir demonstrá-lo assim que a lei entrar em vigor. A ISO/IEC 27001 também requer na Anexa A uma política documentada como medida de controlo separada, independentemente de a empresa estar ela própria certificada.