nepoznám odpoveď na otázku, môžem potom vyplniť nie

"Nie" je odpoveď o opatrení, nie o neznámom fakte

Vyplniť "Nie" vtedy, keď nepoznáte odpoveď, nie je správne riešenie. "Nie" je platná odpoveď na otázku, či existuje opatrenie — napríklad že neexistuje povinnosť MFA alebo žiadny stanovený postup pre incidenty. Ale nie je to platná odpoveď na otázku, či niečo poznáte. Sú to dve rôzne veci a zoznam otázok zvyčajne túto distinkcii neuvádzajúa výslovne.

Najrozumnejšie je najskôr skontrolovať, či je odpoveď niekde v organizácii známa, len nie u vás. Otázka o bezpečnostné požiadavky na vlastných leverancielov môže byť napríklad v nákupnom oddelení a otázka o viacfaktorové overovanie v IT. Len keď je odpoveď skutočne nikde nezaznamenána, v skutočnosti neexistuje žiadne opatrenie na potvrdenie — a potom je "Nie" aspoň správne, namiesto hádania, ktoré sa neskôr ukáže ako nesprávne.

Desať opatrení článku 21 si vyžadujú fakt, nie odhad

Zoznamy otázok vyplývajúce z NIS2 sú založené na desiatich opatreniach článku 21 ods. 2 Smernice (EÚ) 2022/2555. Každé opatrenie — od riadenia rizík až po politiku prístupu — je áno/nie otázka o existujúcej praxi, nie o odhade. To isté platí pre kontrolné opatrenia z Prílohy A normy ISO/IEC 27001, na ktorú sa viaceré formáty zákazníkov odvolávajú. Odpoveď, ktorá nemá svoj zdroj v ketendossier, sa v našom systéme preto nenavrhuje ako "Áno" — zostáva otvorená, kým za ňou nestojí fakt. To je tiež dôvod, prečo sa otázka ako alebo či podnik sám spadá pod smernicu NIS2 oddelene od obsahových opatrení — je to iný druh faktu s iným druhom dôkazu.