Jag vet inte svaret på en fråga, får jag då fylla i nej

"Nej" är ett svar om en åtgärd, inte om ett okänt faktum

Att fylla i "nej" när du inte vet svaret är inte rätt lösning. "Nej" är ett giltigt svar på frågan om en åtgärd finns — till exempel att det inte finns något MFA-krav eller ingen fastställd procedur för incidenter. Men det är inte ett giltigt svar på frågan om du vet något. Det är två olika saker, och en enkät gör vanligtvis inte denna skillnad explicit.

Det förständigaste är då att först kontrollera om svaret faktiskt är känt någonstans i organisationen, bara inte hos dig. En fråga om säkerhetskrav på egna leverantörer kan till exempel ligga vid inköp, och en fråga om flerfaktorsautentisering kan ligga vid IT. Först när svaret inte alls är dokumenterat någonstans finns det faktiskt ingen åtgärd att bekräfta — och då är "nej" åtminstone korrekt, i stället för en gissning som senare visar sig vara felaktig.

De tio åtgärderna i artikel 21 kräver ett faktum, ingen bedömning

De enkäter som härstammar från NIS2 är baserade på de tio åtgärderna i artikel 21 punkt 2 i direktiv (EU) 2022/2555. Varje åtgärd — från riskhantering till åtkomstpolicy — är en ja/nej-fråga om en befintlig praxis, inte om en uppskattning. Detsamma gäller för kontrollåtgärderna i Bilaga A i ISO/IEC 27001, som många kundformat hänvisar till. Ett svar som inte har någon källa i kedjedokumentet presenteras därför inte som "ja" i vårt system: det förblir öppet tills det finns ett faktum bakom det. Det är också varför en fråga som eller om företaget självt omfattas av NIS2-direktivet behandlas separat från de innehållsmässiga åtgärderna — det är en annan typ av faktum, med en annan typ av bevis.