kui ma ei tea vastust küsimusele, kas saan siis

"Ei" on vastus meetme kohta, mitte tundmatu fakti kohta

"Ei" sisestamine, kui te vastust ei tea, pole õige lahendus. "Ei" on kehtiv vastus küsimusele, kas mingi meede on olemas — näiteks et MFA-kohustust pole või pole kindlaksmääratud protsessi juhtumite lahendamiseks. Kuid see ei ole kehtiv vastus küsimusele, kas te midagi teate. Need on kaks erinevat asja, ja küsimustik ei tee seda erinevust tavaliselt otseselt selgeks.

Kõige mõistlikum on esmalt kontrollida, kas vastus on organisatsioonis kusagil teada, lihtsalt mitte teie juures. Küsimus turvalisuse nõudeid enda tarnijatele võib näiteks olla hanke juures, ja küsimus mitmefaktoriga autentimine IT-s. Ainult siis, kui vastust pole kuhugi kirja pandud, puudub tegelikult meede kinnitada — ja siis on "ei" vähemalt õige, mitte teadmata arvamine, mis hiljem vale osutub.

Artikli 21 kümme meetmit küsivad fakti, mitte hinnangut

Küsimustikud, mis pärinevad NIS2-st, põhinevad direktiivi (EL) 2022/2555 artikli 21 lõike 2 kümnele meetmele. Iga meede — riskijuhtimisest kuni juurdepääsupoliitikani — on jah/ei-küsimus olemasoleva praktika kohta, mitte hinnangu kohta. Sama kehtib ISO/IEC 27001 lisa A kontrollimeetmete kohta, millele paljud kliendivormid viitavad. Vastus, millel pole ketendossiis allikat, ei esitata meie süsteemis „jah või ettevõte ise ei kuulu NIS2-direktiivi alla kuni selle taga pole fakti. See on ka põhjus, miks küsimust käsitletakse eri moodi — see on erinevat tüüpi fakt, eritüüpi tõendiga.