nie mamy certyfikatu ISO, jak i tak dobrze odpowiem na to pytanie

Brak certyfikatu to nie "nie", ale inne uzasadnienie

Nie wypełniaj automatycznie "nie" w odpowiedzi na to pytanie. Certyfikat ISO 27001 jest dowodem od audytora, że system zarządzania spełnia normę — ale pytanie klienta zwykle dotyczy samych środków, a nie dokumentu. Jeśli masz politykę dotyczącą kontroli dostępu, obsługi incydentów, ciągłości i innych elementów z Aneksu A normy ISO 27001, możesz ją opisać bez powoływania się na certyfikat. Odpowiedz na pytanie w dwóch warstwach: najpierw fakt ("brak certyfikacji"), potem wyjaśnienie ("polityka spełniająca następujące elementy"). Dzięki temu odpowiedź pozostaje prawdziwa i daje klientowi coś użytecznego.

W praktyce formularz pytań zwykle robi to sam: jedno pytanie o certyfikat ISO 27001 oddzielnie, oraz osobne pytania o podstawowe środki. Odpowiedz na te ostatnie na ich własnych zasadach — na przykład pytanie dotyczące polityki dostępu i zarządzania zasobami lub pytanie dotyczące analizy ryzyka i ochrony systemów informatycznych. Jeśli brakuje ci dokumentu dla konkretnego elementu, odpowiedz "nie" lub "częściowo" — nie na całej liście jednocześnie tylko dlatego, że brakuje certyfikatu. Jeden brakujący element nie musi zanieczyszczać wszystkich pozostałych odpowiedzi.

Annex A i artykuł 21 ust. 2 wymagają środków, nie certyfikatu

ISO/IEC 27001 składa się z dwóch części: wymogi dotyczące systemu zarządzania oraz Anneks A ze środkami kontroli (dostęp, kryptografia, dostawcy, incydenty, ciągłość i inne). Certyfikat potwierdza, że audytor dokonał oceny systemu; nie jest to jedynym sposobem wykazania, że środki są wdrożone. Również artykuł 21 ust. 2 dyrektywy NIS2 dotyczy tego, co robi organizacja — a nie jakie certyfikaty posiada. Dla większości formularzy pytań dotyczy to: polityka i wykazana praktyka odpowiadają istocie pytania, również bez certyfikatu ISO.