ne znam odgovor na jedno pitanje, mogu li tada odgovoriti s 'ne'

"Ne" je odgovor o mjeri, a ne o nepoznatoj činjenici

Unošenje "Ne" kao odgovora kad ne znate, nije ispravno rješenje. "Ne" je validan odgovor na pitanje postoji li određena mjera — primjerice da nema obveze MFA, ili da nema utvrđenog postupka za incidente. Ali nije validan odgovor na pitanje znate li nešto. To su dvije različite stvari, a upitnik to obično ne razlikuje eksplicitno.

Najpametnije je prvo provjeriti postoji li odgovor negdje u organizaciji, samo nije poznat vama. Pitanje o sigurnosni zahtjevi za vlastite dobavljače može biti u nabavi, a pitanje o autentifikacija s više čimbenika može biti u IT-u. Tek kada odgovor stvarno nigdje nije dokumentiran, zapravo nema mjere koju treba potvrditi — i tada je "ne" barem točno, umjesto pogađanja koje se kasnije pokaze krivo.

Deset mjera članka 21 traže činjenicu, a ne procjenu

Upitnici koji proizlaze iz NIS2, temelje se na deset mjera članka 21 stavka 2 Direktive (EU) 2022/2555. Svaka mjera — od upravljanja rizicima do politike pristupa — je da/ne pitanje o postojećoj praksi, a ne o procjeni. Isto vrijedi i za mjere nadzora iz Dodatka A ISO/IEC 27001, na koje se mnogi obrasci klijenta pozivaju. Odgovor koji nema izvora u ketendossier-u, u našem sustavu se tako ne prikazuje kao "da": ostaje otvoren dok se ne stoji činjenica iza njega. To je i razlog zašto se pitanje kao jesu li poduzećem predmet Direktive NIS2 tretira odvojeno od sadržajnih mjera — to je druga vrsta činjenice, s drugom vrstom dokaza.