não somos certificados ISO 27001, o que escrevo então na lista de perguntas

Sem certificado, responda ainda assim com fundamentação

Sem ISO 27001 não preenches "não" e não fica por aqui — respondes à pergunta subjacente com fundamentação, por medida. Um questionário que pede o certificado quer na verdade saber se as dez medidas do artigo 21.º, n.º 2 da Diretiva NIS2 (análise de risco, tratamento de incidentes, continuidade de negócio, segurança da cadeia de abastecimento, gestão de vulnerabilidades, política de criptografia, controlo de acesso, autenticação multifator, e o resto) estão em ordem. O certificado é uma forma de o demonstrar, não a única. Sem certificado respondes portanto, por medida, o que de facto tens: um documento de política, um procedimento, uma ferramenta, um acordo contratual com um fornecedor.

Na prática, isto significa que respondes à pergunta sobre o próprio certificado de forma breve e factual — a empresa tem certificação ISO 27001? descreves como fundamentas essa pergunta específica sem certificado — e prossegues depois sem ignorar as perguntas subsequentes. Muitos portais dividem o certificado e as medidas subjacentes em perguntas separadas; se preencheres apenas "não" no certificado e deixares o resto em branco, o destinatário perde exatamente a informação com que faz a sua própria avaliação de risco. Preenche antes cada parte com o que de facto existe, mesmo que não seja um todo auditado externamente.

O fundamento desta relação: Anexo A e artigo 21.º, n.º 2

O ISO/IEC 27001 Anexo A descreve as medidas de controlo que um sistema de gestão deve abranger, e essas medidas sobrepõem-se em grande medida com as dez categorias do artigo 21.º, n.º 2 da Diretiva NIS2. Um destinatário que pede o certificado está na verdade a verificar se essas medidas subjacentes existem; o certificado é a confirmação por terceiro, mas o próprio questionário muitas vezes também pede separadamente partes como a política de acesso e a gestão de ativos ou o procedimento para incidentes de segurançaSem certificado a pergunta subjacente permanece, e permanece digna de resposta.