non siamo certificati ISO 27001 ma facciamo molte cose per la sicurezza, cosa compilo

No sul certificato, sì nella pratica può essere entrambi vero

Sì, è possibile — purché lo tratti separatamente dalla domanda sul certificato stesso. Una domanda su ISO 27001 in un questionario è solitamente una chiusura sì/no sul possesso di il certificato. Se non lo hai, allora "no" è la risposta fattualmente corretta su quella domanda specifica, e nessuna spiegazione può aiutare. Ciò che invece può funzionare: molti questionari pongono dopo o accanto alla domanda sul certificato anche domande separate sulle misure sottostanti — analisi dei rischi, controllo dell'accesso, gestione degli incidenti. Rispondi a quelle in base ai loro meriti, con la loro stessa prova, indipendentemente dal certificato.

La confusione nasce perché la certificazione e le misure toccano lo stesso contenuto ma non sono sinonimi. Un auditor che percorre l'Allegato A e un'azienda che ha "semplicemente" implementato MFA, backup e un processo di gestione degli incidenti, possono avere materialmente i medesimi controlli — la differenza è che uno ha una valutazione indipendente e un certificato, l'altro no. Nel fascicolo della catena inserisci quindi due risposte separate: alla domanda sul certificato "no", e alla domanda su ad esempio autenticazione multifattore o il trattamento degli incidenti di sicurezza la risposta fattuale con il documento di prova che hai per questo — una politica, un'esportazione di configurazione, una descrizione del processo. Mai compilare l'uno come prova dell'altro.

L'Allegato A e l'articolo 21 paragrafo 2 si sovrappongono, ma non sono intercambiabili

ISO/IEC 27001 Allegato A descrive le misure di controllo che un sistema di gestione certificato deve coprire; la Direttiva (UE) 2022/2555 articolo 21 paragrafo 2 cita le dieci misure che secondo NIS2 sono obbligatorie per le entità che rientrano in quella direttiva. Entrambi gli elenchi citano la gestione dei rischi, l'accesso, la crittografia e la risposta agli incidenti, ma uno è uno standard di certificazione con un auditor che valuta, l'altro è legislazione senza obbligo di certificazione. Un "no" sul certificato quindi non dice nulla sul fatto che qualcuno rispetti l'articolo 21 paragrafo 2 — è una domanda a parte, che diventa rilevante solo una volta accertato se l'azienda stessa rientra nella Direttiva NIS2 o nella Legge sulla cibersicurezza.