nem tudom a kérdésre a választ, kitölthetem-e akkor nemmel

A "Nem" válasz egy intézkedésre vonatkozik, nem egy ismeretlen tényre

A "Nem" beírása, ha nem tudod a választ, nem a helyes megoldás. A "Nem" egy érvényes válasz arra a kérdésre, hogy van-e intézkedés — például hogy nincs MFA-követelmény vagy nincs megállapított incidensmegoldási eljárás. De nem érvényes válasz arra a kérdésre, hogy tudsz-e valamit. Ez két különböző dolog, és egy kérdőív általában ezt a különbséget nem teszi explicit módon világossá.

A legésszerűbb, ha először megnézed, hogy a válasz valahol a szervezetben ismert-e, csak nem tőled. Egy kérdés a saját szállítókra vonatkozó biztonsági követelmények lehet például a beszerzésnél, és egy kérdés többfaktoros hitelesítés az IT-nél. Csak akkor, amikor a válasz valóban sehol sincs dokumentálva, nincs valójában intézkedés megerősítésre — és akkor legalább a "Nem" helyes, ahelyett hogy olyan találgatás lenne, amely később nem bizonyul helyesnek.

A 21. cikk tíz intézkedése egy tényt követelnek, nem egy becslést

A NIS2-ből fakadó kérdőívek a (EU) 2022/2555 Irányelv 21. cikk 2. bekezdésének tíz intézkedésén alapulnak. Minden intézkedés — a kockázatkezeléstől a hozzáférési szabályzatig — egy igen/nem-kérdés egy meglévő gyakorlatról, nem egy becslésről. Ugyanez vonatkozik az ISO/IEC 27001 A mellékletének ellenőrzési intézkedéseire, amelyekre sok ügyfélformátum hivatkozik. A válasz, amelynek nincs forrása a láncfájlban, nem jelenik meg "igen"-ként a rendszerünkben: nyitva marad mindaddig, amíg mögötte nem áll egy tény. Ez is az oka annak, hogy egy kérdés, mint az vagy a vállalkozás maga az NIS2-irányelv hatálya alá tartozik-e az anyagi intézkedésektől elkülönülten kezelendő — másfajta tény, másfajta bizonyítékkal.