hvad udfylder jeg, hvis et spørgsmål på listen ikke gælder for mig

N.v.t. er kun korrekt, hvis spørgsmålet virkelig ikke passer

"N.v.t." udfylder du kun, hvis spørgsmålet handler om noget, der systematisk ikke forekommer i din virksomhed — ikke hvis du ikke kender svaret eller ikke har beviset ved hånden. Denne forskel er vigtig, fordi et indkøbsteam under druck eller en revisor læser "n.v.t." som et bevidst udelukkelse, som du skal kunne forklare. Et spørgsmål om AI-systemer er f.eks. virkelig n.v.t., hvis din virksomhed ikke anvender dem — men pas på: anvender virksomheden AI-systemer inden for sin tjenesteydelses? fortolkes bredt, også et eksternt indkøbt værktøj med en AI-komponent falder ofte derunder. I tilfælde af tvivl er "nej, ikke relevant inden for det ønskede område" mere præcist end bare "n.v.t.".

Tvivlstilfælde opstår især ved spørgsmål, der kommer fra en større ramme og ikke passer én-til-én på SMV-skala. EFRAG's VSME-basismodul er selv klar på det punkt: nogle indikatorer er kun relevante, hvis virksomheden udfører en bestemt aktivitet eller har en bestemt størrelse. Udfyld i så fald hellere kort årsagen — "virksomheden har ikke eget køretøjspark", "aktivitet X udføres ikke" — end kun etiketten. Det samme gælder for spørgsmål, der kommer fra de ti foranstaltninger i artikel 21, stk. 2, i NIS2-direktivet: hvis en foranstaltning handler om forsyningskædesikkerhed, og du ikke har eksterne ICT-leverandører med adgang til dine systemer, er det en begrundet n.v.t., ikke et manglende svar.

Hvor denne forskel kommer til udtryk i kilderne

VSME-basismodulet skelner udtrykkeligt mellem obligatoriske og betingede indikatorer: en betinget indikator er præcis den kategori, hvor "n.v.t." passer, forudsat at betingelsen for anvendelighed ikke er til stede. I ISO/IEC 27001 er dette princip formaliseret i Annex A-kontrolforanstaltningerne: en foranstaltning, der ikke er relevant, skal i Statement of Applicability begrundes med en årsag, ikke blot afkrydses. Den samme begrundelsespligt gælder også praktisk ved identitetsspørgsmål — hvis et spørgsmål om vestigelser i flere lande ikke passer, kan det spores tilbage til i hvilke lande har virksomheden vestigelser? og en kort forklaring på det faktiske forhold er tilstrækkelig.