je ne connais pas la réponse à une question, puis-je alors répondre non

« Non » est une réponse concernant une mesure, non concernant un fait inconnu

Remplir « Non » parce que vous ne connaissez pas la réponse n'est pas la bonne solution. « Non » est une réponse valable à la question de savoir si une mesure existe — par exemple qu'il n'y a pas d'obligation MFA, ou pas de procédure établie pour les incidents. Mais ce n'est pas une réponse valable à la question de savoir si vous savez quelque chose. Ce sont deux choses différentes, et un questionnaire ne fait généralement pas cette distinction de manière explicite.

Le plus judicieux est alors de vérifier d'abord si la réponse est connue quelque part dans l'organisation, simplement pas par vous. Une question sur les exigences de sécurité imposées aux propres fournisseurs peut par exemple relever des achats, et une question sur l'authentification multifacteur relever de l'informatique. Ce n'est que si la réponse n'est vraiment consignée nulle part qu'il n'existe factiquement aucune mesure à confirmer — et « non » est alors au moins correct, au lieu d'une conjecture qui s'avère inexacte par la suite.

Les dix mesures de l'article 21 demandent un fait, non une estimation

Les questionnaires issus de la NIS2 sont basés sur les dix mesures de l'article 21, paragraphe 2, de la Directive (UE) 2022/2555. Chaque mesure — de la gestion des risques à la politique d'accès — est une question oui/non concernant une pratique existante, non concernant une estimation. Il en va de même pour les mesures de contrôle de l'Annexe A d'ISO/IEC 27001, auxquelles de nombreux formats clients font référence. Une réponse qui n'a pas de source dans le dossier de chaîne n'est donc pas présentée comme « oui » par notre système : elle reste ouverte jusqu'à ce qu'il y ait un fait derrière. C'est aussi pourquoi une question comme ou si l'entreprise elle-même relève de la directive NIS2 est traitée indépendamment des mesures substantielles — c'est un autre type de fait, avec un autre type de preuve.