Wir sind nicht ISO-27001-zertifiziert, was schreibe ich dann in den Fragebogen

Ohne Zertifikat trotzdem inhaltlich antworten

Ohne ISO 27001 trägst du nicht "nein" ein und lässt es dabei bewenden — du beantwortest die zugrunde liegende Frage inhaltlich, pro Maßnahme. Eine Frageliste, die nach dem Zertifikat fragt, möchte eigentlich wissen, ob die zehn Maßnahmen aus Artikel 21 Absatz 2 der NIS2-Richtlinie (Risikoanalyse, Incident Handling, Geschäftskontinuität, Supply-Chain-Sicherheit, Schwachstellenmanagement, Kryptografiepolitik, Zugriffskontrolle, MFA und der Rest) in Ordnung sind. Das Zertifikat ist eine Möglichkeit, dies nachzuweisen, nicht die einzige. Ohne Zertifikat beantwortest du also pro Maßnahme, was du tatsächlich hast: ein Grundsatzdokument, ein Verfahren, ein Tool, eine vertragliche Vereinbarung mit einem Lieferanten.

In der Praxis bedeutet dies, dass du die Frage zum Zertifikat selbst kurz und sachlich beantwortest — ist das Unternehmen ISO 27001-zertifiziert? beschreibt, wie du diese spezifische Frage ohne Zertifikat trotzdem begründest — und dass du anschließend die Anschlussfragen nicht auslässt. Viele Portale unterteilen das Zertifikat und die zugrunde liegenden Maßnahmen in separate Fragen; wenn du beim Zertifikat nur "nein" eintragst und den Rest leer lässt, fehlt dem Abnehmer genau die Information, mit der er seine eigene Risikobewertung vornimmt. Fülle lieber jedes Einzelelement mit dem aus, was tatsächlich vorhanden ist, auch wenn es kein extern geprüftes Ganzes ist.

Woher dieser Zusammenhang folgt: Annex A und Artikel 21 Absatz 2

ISO/IEC 27001 Annex A beschreibt die Beheersmaßnahmen, die ein Managementsystem abdecken muss, und diese Maßnahmen überschneiden sich weitgehend mit den zehn Kategorien aus Artikel 21 Absatz 2 der NIS2-Richtlinie. Ein Abnehmer, der nach dem Zertifikat fragt, prüft tatsächlich, ob diese zugrunde liegenden Maßnahmen bestehen; das Zertifikat ist die Bestätigung durch eine externe Partei, aber die Frageliste selbst fragt oft auch getrennt nach Elementen wie der Zugangsrichtlinie und der Verwaltung von Unternehmensressourcen oder das Verfahren für Sicherheitsvorfälle. Ohne Zertifikat bleibt diese zugrunde liegende Frage bestehen, und bleibt diese die Antwort wert.