neznám odpověď na otázku, mohu pak vyplnit ne

"Ne" je odpověď na opatření, nikoli na neznámý fakt

Vyplnit "Ne", když neznáte odpověď, není správné řešení. "Ne" je platná odpověď na otázku, zda existuje opatření — například že neexistuje povinnost MFA nebo stanoveného postupu pro incidenty. Ale není to platná odpověď na otázku, zda něco víte. Jedná se o dva různé věci a dotazník toto rozlišení obvykle neuvádí explicitně.

Nejpříhodnější je pak nejprve zkontrolovat, zda odpověď v organizaci vůbec někdo zná, pouze ne u vás. Otázka o bezpečnostní požadavky na vlastní dodavatele se může týkat například nákupu a otázka o vícefaktorové ověřování IT oddělení. Teprve když odpověď opravdu nikde není zdokumentována, fakticky neexistuje žádné opatření, které by se mělo potvrdit — a pak je "Ne" přinejmenším správné, namísto hádání, které se později ukáže jako chybné.

Deset opatření článku 21 se ptají na fakt, nikoli na odhad

Dotazníky vycházející ze Směrnice NIS2 jsou založeny na deseti opatřeních článku 21 odst. 2 Směrnice (EU) 2022/2555. Každé opatření — od řízení rizik až po zásady přístupu — je ano/ne otázka o stávající praxi, nikoli o odhadu. Totéž platí pro kontrolní opatření z přílohy A normy ISO/IEC 27001, na kterou se odkazuje v mnoha formátech klientů. Odpověď, která v systému supplia.eu nemá zdroj v řetězcovém souboru, se tedy nepředstavuje jako "ano" — zůstává otevřená, dokud za ní není fakt. To je také důvod, proč je otázka jako zda podnik sám spadá pod směrnici NIS2 oddělena od věcného obsahu opatření — jde o jiný druh faktu s jiným druhem důkazu.