τι συμπληρώνω αν μια ερώτηση στη λίστα δεν ισχύει για μένα

N.v.t. είναι σωστό μόνο αν η ερώτηση δεν ταιριάζει πραγματικά

«N.v.t.» συμπληρώνεις μόνο αν η ερώτηση αφορά κάτι που δεν συμβαίνει δομικά στην επιχείρησή σου — όχι αν δεν γνωρίζεις την απάντηση ή δεν έχεις το αποδεικτικό στοιχείο στο χέρι σου. Αυτή η διαφορά είναι σημαντική, γιατί μια αμυντική ομάδα προμηθειών ή ένας ελεγκτής διαβάζει «n.v.t.» ως συνειδητή εξαίρεση, και πρέπει να μπορείς να το εξηγήσεις. Μια ερώτηση σχετικά με συστήματα AI είναι για παράδειγμα πραγματικά n.v.t. αν η επιχείρησή σου δεν τα χρησιμοποιεί — αλλά προσοχή: χρησιμοποιεί η επιχείρηση συστήματα AI στο πλαίσιο της παροχής υπηρεσιών της; ερμηνεύεται ευρέως, ένα εξωτερικά αγορασμένο εργαλείο με AI-συστατικό συχνά εμπίπτει επίσης σε αυτό. Σε περίπτωση αμφιβολίας, «όχι, δεν ισχύει εντός της ζητούμενης σκοπιμότητας» είναι ακριβέστερο από γυμνό «n.v.t.».

Περιπτώσεις αμφιβολίας προκύπτουν κυρίως σε ερωτήσεις που προέρχονται από ένα ευρύτερο πλαίσιο και δεν ταιριάζουν ένα προς ένα σε κλίμακα MKB. Η ενότητα βάσης VSME του EFRAG είναι σαφής σε αυτό το σημείο: ορισμένοι δείκτες είναι σχετικοί μόνο εάν η επιχείρηση εκτελεί μια συγκεκριμένη δραστηριότητα ή έχει ένα συγκεκριμένο μέγεθος. Συμπληρώστε τότε σύντομα τον λόγο — «η επιχείρηση δεν διαθέτει δικό της στόλο οχημάτων», «η δραστηριότητα X δεν εκτελείται» — παρά μόνο την ετικέτα. Το ίδιο ισχύει για ερωτήσεις που προέρχονται από τα δέκα μέτρα του άρθρου 21 παράγραφος 2 της οδηγίας NIS2: εάν ένα μέτρο αφορά την ασφάλεια της αλυσίδας εφοδιασμού και δεν έχεις εξωτερικούς προμηθευτές ICT με πρόσβαση στα συστήματά σου, είναι μια τεκμηριωμένη n.v.t., όχι μια ελλιπής απάντηση.

Όπου αυτή η διάκριση επιστρέφει στις πηγές

Η ενότητα βάσης VSME διακρίνει ρητά τους υποχρεωτικούς και τους υπό όρους δείκτες: ένας υπό όρους δείκτης είναι ακριβώς η κατηγορία όπου ταιριάζει το «n.v.t.», με την προϋπόθεση ότι η προϋπόθεση εφαρμογής λείπει. Στο ISO/IEC 27001, αυτή η αρχή τυποποιείται στα μέτρα ελέγχου του Annex A: ένα μέτρο που δεν ισχύει πρέπει να τεκμηριωθεί στη Δήλωση Εφαρμογής με λόγο, όχι απλώς να επιλεγεί. Αυτή η υποχρέωση τεκμηρίωσης είναι επίσης πρακτική σε ερωτήσεις ταυτότητας — αν μια ερώτηση σχετικά με γραφεία σε πολλές χώρες δεν ταιριάζει, μπορεί να εντοπιστεί ως σε ποιες χώρες έχει η επιχείρηση γραφεία; και μια σύντομη διευκρίνιση της πραγματικής κατάστασης είναι αρκετή.