non abbiamo un certificato ISO, come rispondo comunque bene a quella domanda

Nessun certificato non è un "no", ma una diversa giustificazione

Non compilare automaticamente "no" a questa domanda. Un certificato ISO 27001 è una prova di un auditor che il sistema di gestione è conforme alla norma — ma la domanda sottostante del tuo cliente riguarda solitamente le misure stesse, non il documento cartaceo. Se hai politiche per il controllo degli accessi, la gestione degli incidenti, la continuità e gli altri elementi dell'Allegato A di ISO 27001, puoi descriverli senza rivendicare un certificato. Rispondi quindi alla domanda su due livelli: prima il fatto ("non certificato"), poi la spiegazione ("ma abbiamo politiche coerenti con i seguenti elementi"). In questo modo la risposta rimane accurata e fornisce comunque qualcosa di utile al tuo cliente.

In pratica, il questionario di solito lo divide già da sé: una domanda su il certificato ISO 27001 separatamente, e domande separate sulle misure sottostanti. Rispondi a queste ultime in base ai loro meriti — ad esempio la domanda sulla politica di accesso e gestione degli asset aziendali o quella su analisi dei rischi e sicurezza dei sistemi informativi. Se per una specifica area non hai un documento, rispondi "no" o "parzialmente" a quella domanda — non all'intero elenco contemporaneamente solo perché manca il certificato. Un elemento mancante non deve contaminare tutte le altre risposte.

L'Allegato A e l'articolo 21 comma 2 richiedono misure, non un certificato

ISO/IEC 27001 stesso è composto da due parti: i requisiti per il sistema di gestione e l'Allegato A con le misure di controllo (accesso, crittografia, fornitori, incidenti, continuità, e così via). Un certificato mostra che un auditor ha sottoposto a verifica il sistema; non è l'unico modo per dimostrare che le misure sono in atto. Anche l'articolo 21 comma 2 della direttiva NIS2, con le dieci misure obbligatorie, chiede cosa fa un'organizzazione — non quale certificato possiede. Per la maggior parte dei questionari vale quindi: una politica e una pratica dimostrabile rispondono al nocciolo della domanda, anche senza un certificato ISO.