нямаме формална политика за сигурност мога ли въпреки това да отговоря утвърдително на въпросника

Не, не без документ, който показва политиката

Не, „да

Което обикновено е възможно: "да, неформално" или "не, в разработка" с кратко обяснение, плюс препратка към това, което действително е документирано — политика за достъп, процедура за инциденти, договор с доставчик със изисквания за сигурност. Много клиенти ценят по-високо тази честност, отколкото "да", което не издържа при проверка. Ако има документирано нещо, но не един централизиран документ, често е по-силно да се посочат отделните компоненти: политиката за достъп и управление на корпоративни активи, процедурата за инциденти в областта на сигурносттаи политиката около уязвимостите. Заедно те често вече формират ядрото на това, което въпросът действително означава, дори и без "политика за сигурност".

Откъде следва това от десетте мерки

Политиката за анализ на риска и защита на информацията е първата от десетте мерки в член 21, параграф 2 на Директива NIS2 (Директива (EU) 2022/2555) — вижте също което означава клиент под анализ на риска. Всеки, който попада под Закона за киберсигурност, трябва да може да докаже това веднага след влизането в сила на закона. ISO/IEC 27001 също изисква установена политика в Приложение A като отделна контролна мярка, независимо от това дали предприятието само по себе си е сертифицирано.