was trage ich ein, wenn eine Frage in der Liste nicht auf mich zutrifft

N.v.t. ist nur korrekt, wenn die Frage wirklich nicht zutrifft

"N.v.t." trägst du nur ein, wenn die Frage über etwas geht, das in deinem Unternehmen grundsätzlich nicht vorkommt — nicht, wenn du die Antwort nicht weißt oder den Nachweis nicht zur Hand hast. Dieser Unterschied ist wichtig, denn ein prüfendes Einkaufsteam oder ein Auditor liest "n.v.t." als bewussten Ausschluss, und diesen musst du erklären können. Eine Frage über KI-Systeme ist zum Beispiel wirklich n.v.t., wenn dein Unternehmen diese nicht einsetzt — beachte aber: setzt das Unternehmen KI-Systeme bei der Erbringung ihrer Dienstleistungen ein? wird weit ausgelegt, auch ein extern eingekauftes Tool mit einer KI-Komponente fällt oft darunter. Im Zweifelsfall ist "nein, nicht anwendbar im gefragten Scope" präziser als bloßes "n.v.t.".

Zweifelsfälle entstehen vor allem bei Fragen, die aus einem größeren Rahmen stammen und nicht eins-zu-eins auf KMU-Skala passen. Das VSME-Basismodul von EFRAG macht dazu selbst deutlich: manche Indikatoren sind nur relevant, wenn das Unternehmen eine bestimmte Tätigkeit ausübt oder eine bestimmte Größe hat. Gib dann lieber kurz die Begründung ein — "Unternehmen hat keinen eigenen Fuhrpark", "Tätigkeit X wird nicht ausgeführt" — statt nur das Label. Dasselbe gilt für Fragen, die aus den zehn Maßnahmen des Artikels 21 Absatz 2 der NIS-2-Richtlinie stammen: wenn eine Maßnahme die Sicherheit der Lieferkette betrifft und du keine externen IKT-Lieferanten mit Zugang zu deinen Systemen hast, ist das eine begründete n.v.t., kein fehlendes Antwort.

Wo dieser Unterschied in den Quellen auftaucht

Das VSME-Basismodul unterscheidet ausdrücklich zwischen verbindlichen und bedingten Indikatoren: ein bedingter Indikator ist genau die Kategorie, in die "n.v.t." passt, sofern die Voraussetzung für Anwendbarkeit fehlt. Bei ISO/IEC 27001 ist dieses Prinzip in den Annex-A-Kontrollen formalisiert: eine nicht anwendbare Kontrolle muss in der Erklärung der Anwendbarkeit mit einer Begründung dokumentiert werden, nicht nur angehakt. Dieselbe Dokumentationspflicht ist auch praktisch bei Identitätsfragen — wenn eine Frage über Niederlassungen in mehreren Ländern nicht zutrifft, ist das nachverfolgbar auf in welchen Ländern hat das Unternehmen Niederlassungen? zurückzuführen, und eine kurze Erläuterung zur faktischen Situation genügt.