vi har inget ISO-certifikat, hur besvarar jag den frågan ändå bra

Inget certifikat är inte "nej", utan en annan motivering

Fyll inte i automatiskt "nej" för denna fråga. Ett ISO 27001-certifikat är bevis från en revisor att ledningssystemet uppfyller standarden — men din kunds underliggande fråga handlar vanligtvis om åtgärderna själva, inte om papperet. Om du har policy för åtkomsthantering, incidenthantering, kontinuitet och de andra delarna i Bilaga A i ISO 27001, kan du beskriva det utan att göra anspråk på certifikat. Besvara alltså frågan i två lager: först faktumet ("inte certifierad"), sedan förklaringen ("väl policy som överensstämmer med följande delar"). På så sätt förblir svaret sant och ger ändå din kund något användbart.

I praktiken delar normalt frågeformulären detta själva redan: en fråga om ISO 27001-certifikatet separat, och separata frågor om de underliggande åtgärderna. Besvara dessa sist nämnda enligt deras egna meriter — till exempel frågan om åtkomstpolicy och hantering av företagsmaterial eller frågan om riskanalys och säkerhet för informationssystem. Om du saknar ett dokument för en specifik del, svara då "nej" eller "delvis" på den — inte på hela listan på en gång bara för att certifikatet saknas. En saknad bit behöver inte smutsa på varje annat svar.

Bilaga A och artikel 21 punkt 2 kräver åtgärder, inte ett certifikat

ISO/IEC 27001 består själv av två delar: kraven på ledningssystemet och Bilaga A med kontrollåtgärderna (åtkomst, kryptering, leverantörer, incidenter, kontinuitet, och så vidare). Ett certifikat visar att en revisor har granskat systemet; det är inte det enda sättet att visa att åtgärderna finns på plats. Även artikel 21 punkt 2 i NIS2-direktivet, med de tio obligatoriska åtgärderna, frågar om vad en organisation gör — inte vilket certifikat den har. För de flesta frågeformulär gäller därför: policy och en påvisbar praktik besvarar själva kärnan i frågan, även utan ISO-certifikat.