não sei a resposta a uma pergunta, posso então preencher com não

"Não" é uma resposta sobre uma medida, não sobre um facto desconhecido

Preencher "Não" quando não conhece a resposta não é a solução correta. "Não" é uma resposta válida à pergunta se existe uma medida — por exemplo, que não existe obrigação de MFA, ou nenhum procedimento estabelecido para incidentes. Mas não é uma resposta válida à pergunta se sabe algo. São duas coisas diferentes, e um questionário geralmente não distingue isto de forma explícita.

O mais sensato é então verificar primeiro se a resposta é conhecida noutro lugar da organização, apenas não em si. Uma pergunta sobre requisitos de segurança para fornecedoras próprias pode, por exemplo, situar-se na área de compras, e uma pergunta sobre autenticação multifator em TI. Apenas quando a resposta realmente não está registada em lado nenhum é que, de facto, não existe medida a confirmar — e então "Não" é pelo menos correcto, em vez de uma suposição que depois se revela incorrecta.

As dez medidas do artigo 21.º pedem um facto, não uma avaliação

Os questionários que resultam de NIS2 baseiam-se nas dez medidas do artigo 21.º, n.º 2 da Directiva (UE) 2022/2555. Cada medida — desde a gestão de risco até à política de acesso — é uma pergunta sim/não sobre uma prática existente, não sobre uma avaliação. O mesmo se aplica às medidas de controlo do Anexo A da ISO/IEC 27001, a que muitos formatos de cliente se referem. Uma resposta que não tem uma fonte no dossiê da cadeia não é apresentada como "sim" no nosso sistema: permanece aberta até que exista um facto por trás dela. É também por isto que uma pergunta como se a empresa está ou não sujeita à directiva NIS2 é tratada separadamente das medidas de conteúdo — é outro tipo de facto, com outro tipo de prova.