no estamos certificados en ISO 27001 pero hacemos mucho por la seguridad, ¿qué debo rellenar

No en certificado, sí en práctica puede ser ambos verdaderos

Sí, está permitido — siempre que lo trates de forma independiente de la pregunta sobre el certificado en sí. Una pregunta sobre ISO 27001 en un cuestionario suele ser un sí/no cerrado sobre la posesión de el certificado. Si no lo tienes, entonces "no" es la respuesta fácticamente correcta a esa pregunta específica, y ninguna aclaración ayuda. Lo que sí se puede hacer: muchos cuestionarios formulan después o junto a la pregunta del certificado también preguntas individuales sobre las medidas subyacentes — análisis de riesgos, control de acceso, tratamiento de incidentes. Las respondes según sus propios méritos, con su propia prueba, independientemente del certificado.

La confusión surge porque certificación y medidas tocan el mismo contenido pero no son sinónimos. Un auditor que revisa el Anexo A y una empresa que simplemente tiene MFA, copias de seguridad y un proceso de incidentes implementados, pueden tener materialmente los mismos controles — la diferencia es que uno tiene una evaluación independiente y un certificado, el otro no. En el dossier de cadena consignas entonces dos respuestas separadas: en la pregunta del certificado "no", y en la pregunta sobre por ejemplo autenticación multifactor o el tratamiento de incidentes de seguridad la respuesta fáctica con el documento de prueba que tienes para ello — un documento de política, una exportación de configuración, una descripción de proceso. Nunca completes una como prueba de la otra.

El Anexo A y el artículo 21 apartado 2 se superponen, pero no son intercambiables

ISO/IEC 27001 Anexo A describe las medidas de control que debe cubrir un sistema de gestión certificado; la Directiva (UE) 2022/2555 artículo 21 apartado 2 menciona las diez medidas obligatorias en virtud de NIS2 para entidades sujetas a esa directiva. Ambas listas mencionan gestión de riesgos, acceso, criptografía e respuesta a incidentes, pero una es una norma de certificación con un auditor que evalúa, la otra es legislación sin obligación de certificación. Un "no" en el certificado no dice nada sobre si alguien cumple con el artículo 21 apartado 2 — esa es una pregunta separada, que solo es relevante una vez que se establece si la empresa está sujeta a la Directiva NIS2 o a la Ley de Ciberseguridad.