en tiedä vastauksia kysymykseen, voiko minä vastata sitten kielteisesti

"Ei" on vastaus toimenpiteestä, ei tuntemattomasta tosiasiasta

"Ei" kirjoittaminen, kun et tiedä vastausta, ei ole oikea ratkaisu. "Ei" on pätevä vastaus kysymykseen siitä, onko jokin toimenpide olemassa — esimerkiksi että MFA-vaatimusta ei ole tai että poikkeamien käsittelystä ei ole kirjattua menettelytapaa. Mutta se ei ole pätevä vastaus kysymykseen siitä, tiedätkö jotakin. Nämä ovat kaksi eri asiaa, ja kyselylomake ei yleensä tee tätä eroa nimenomaisesti.

Järkevintä on ensin tarkistaa, tunnetaanko vastaus muualla organisaatiossa, vaikka ei sinulla. Kysymys saattaa esimerkiksi koskea turvallisuusvaatimukset omille toimittajille voi olla ostojen vastuulla, ja kysymys monivaiheinen tunnistautuminen voi olla IT:n vastuulla. Vasta kun vastaus ei ole todella dokumentoitu missään, ei faktisesti ole toimenpidettä vahvistettavaksi — ja silloin "ei" on ainakin oikein, sen sijaan että arvaaisit ja se myöhemmin osoittautuisi vääräksi.

Artiklan 21 kymmenen toimenpidettä vaativat tosiasiaa, ei arviota

NIS2:sta johtuvat kyselylomakkeet perustuvat direktiivin (EU) 2022/2555 21 artiklan 2 kohdan kymmeneen toimenpiteeseen. Jokainen toimenpide — riskien hallinnasta pääsynvalvontaan — on kyllä/ei-kysymys olemassa olevasta käytännöstä, ei arviosta. Sama koskee ISO/IEC 27001:n liitteen A hallintakeinoja, joihin monet asiakasmuodot viittaavat. Vastaus, jolla ei ole lähdettä ketjuasiakirjassamme, esitetään järjestelmässämme silloin sellaisenaan "kyllä":n sijaan — se jää avoimeksi, kunnes sen takana on tosiasiaa. Tämä on myös syy siihen, miksi kysymys kuten tai kuuluuko yritys itse NIS2-direktiivin soveltamisalaan , käsitellään erillään sisällöllisistä toimenpiteistä — se on eri tyyppinen tosiasia, eri tyyppisen todisteen kanssa.