não somos certificados ISO 27001 mas fazemos muito por segurança, o que devo preencher

Não no certificado, sim na prática pode ambos ser verdade

Sim, pode — desde que o trate separadamente da pergunta sobre o certificado em si. Uma pergunta sobre ISO 27001 numa lista de perguntas é geralmente uma pergunta fechada sim/não sobre a posse de o certificadoNão a tem, então "não" é a resposta factualmente correta para essa pergunta específica, e nenhuma observação ajuda. O que pode funcionar: muitas listas de perguntas colocam depois ou ao lado da pergunta sobre certificado também perguntas separadas sobre as medidas subjacentes — análise de riscos, controlo de acesso, tratamento de incidentes. Estas responde com os seus próprios méritos, com a sua própria prova, independentemente do certificado.

A confusão surge porque a certificação e as medidas tocam o mesmo conteúdo mas não são sinónimas. Um auditor que percorre o Anexo A e uma empresa que "simplesmente" implementou MFA, cópias de segurança e um processo de incidente podem ter materialmente os mesmos controlos — a diferença é que uma tem uma avaliação independente e um certificado, a outra não. No dossier de cadeia coloca assim duas respostas separadas: na pergunta sobre certificado "não", e na pergunta sobre por exemplo autenticação multifator ou o tratamento de incidentes de segurança a resposta factual com a prova que tem para tal — um documento de política, uma exportação de configuração, uma descrição de processo. Nunca preencha uma como prova da outra.

Anexo A e artigo 21.º n.º 2 sobrepõem-se, mas não são permutáveis

ISO/IEC 27001 Anexo A descreve as medidas de controlo que um sistema de gestão certificado deve cobrir; Diretiva (UE) 2022/2555 artigo 21.º n.º 2 menciona as dez medidas que são obrigatórias sob NIS2 para entidades que se enquadram nessa diretiva. Ambas as listas mencionam gestão de riscos, acesso, criptografia e resposta a incidentes, mas uma é uma norma de certificação com um auditor que avalia, a outra é legislação sem obrigação de certificação. Um "não" no certificado não diz nada sobre se alguém cumpre o artigo 21.º n.º 2 — essa é uma pergunta separada, que só se torna relevante quando se apurar se a empresa está sob a Diretiva NIS2 ou a Lei de Cibersegurança.