não temos certificado ISO, como respondo essa pergunta adequadamente

Ausência de certificado não é um "não", mas uma fundamentação diferente

Não preencha automaticamente "não" nesta pergunta. Um certificado ISO 27001 é uma prova de um auditor de que o sistema de gestão está em conformidade com a norma — mas a pergunta subjacente do seu cliente geralmente diz respeito às medidas em si, não ao documento. Se tem política de controlo de acesso, tratamento de incidentes, continuidade e os outros componentes do Anexo A da ISO 27001, pode descrever isso sem reivindicar o certificado. Responda portanto à pergunta em duas camadas: primeiro o facto ("não certificado"), depois a explicação ("com política que se alinha com os seguintes componentes"). Desta forma, a resposta permanece verdadeira e ainda fornece algo útil ao seu cliente.

Na prática, o questionário geralmente divide isto por si só: uma pergunta sobre o certificado ISO 27001 em separado, e perguntas individuais sobre as medidas subjacentes. Responda a estas últimas de acordo com seus próprios méritos — por exemplo, a pergunta sobre política de acesso e gestão de activos empresariais ou a sobre análise de risco e segurança de sistemas de informação. Se não tem um documento para um componente específico, responda "não" ou "parcialmente" — não sobre toda a lista simultaneamente porque o certificado não existe. Uma peça em falta não precisa contaminar todas as outras respostas.

Anexo A e artigo 21.º, n.º 2 pedem medidas, não um certificado

A ISO/IEC 27001 em si é constituída por duas partes: os requisitos do sistema de gestão, e Anexo A com as medidas de controlo (acesso, criptografia, fornecedores, incidentes, continuidade, e assim por diante). Um certificado mostra que um auditor avaliou o sistema; não é a única forma de demonstrar que as medidas existem. Igualmente, o artigo 21.º, n.º 2 da Diretiva NIS2, com as dez medidas obrigatórias, questiona o que uma organização faz — não qual certificado possui. Para a maioria dos questionários, portanto: política e prática demonstrável respondem ao cerne da pergunta, mesmo sem certificado ISO.