¿qué relleno si una pregunta de la lista no es aplicable a mi empresa

«N.d.a.» solo es correcto si la pregunta realmente no encaja

«N.d.a.» solo debes rellenarla si la pregunta trata sobre algo que en tu empresa estructuralmente no ocurre — no porque no sepas la respuesta o no tengas la prueba a mano. Esta distinción es importante, porque un equipo de compras que se defienda o un auditor lee «n.d.a.» como una exclusión deliberada, y debes poder explicarla. Una pregunta sobre sistemas de IA, por ejemplo, es realmente n.d.a. si tu empresa no los utiliza — pero ten en cuenta: ¿utiliza la empresa sistemas de IA en su prestación de servicios? se interpreta ampliamente, también una herramienta contratada externamente con un componente de IA a menudo entra en ella. En caso de duda, «no, no aplicable dentro del alcance solicitado» es más preciso que un simple «n.d.a.».

Los casos dudosos surgen especialmente en preguntas que proceden de un marco más amplio y no encajan uno a uno a escala de pyme. El módulo básico VSME de EFRAG es claro al respecto: algunos indicadores solo son relevantes si la empresa realiza una actividad determinada o tiene un tamaño determinado. En ese caso, rellena mejor brevemente el motivo — «la empresa no tiene flota propia», «no se realiza la actividad X» — que solo la etiqueta. Lo mismo ocurre con preguntas que proceden de las diez medidas del artículo 21, apartado 2, de la Directiva NIS2: si una medida trata sobre seguridad de la cadena de suministro y no tienes proveedores externos de TIC con acceso a tus sistemas, es una n.d.a. fundamentada, no una respuesta faltante.

Donde esta distinción aparece en las fuentes

El módulo básico VSME distingue explícitamente entre indicadores obligatorios e indicadores condicionales: un indicador condicional es precisamente la categoría donde encaja «n.d.a.», siempre que falte la condición de aplicabilidad. En ISO/IEC 27001 este principio está formalizado en los controles del Anexo A: una medida que no es aplicable debe constar en la Declaración de Aplicabilidad con una justificación, no solo marcarse. Esta misma obligación de justificación también es práctica en preguntas de identidad — si una pregunta sobre sedes en varios países no encaja, se puede rastrear hasta ¿en qué países tiene la empresa sedes? y basta una breve aclaración de la situación real.