ne vem odgovora na eno vprašanje, ali lahko vnesem »ne«

»Ne« je odgovor na vprašanje o ukrepu, ne o neznanem dejstvu

Ne vnesti, ko odgovora ne veš, ni prava rešitev. »Ne« je veljaven odgovor na vprašanje, ali obstaja nek ukrep — na primer, da ni zahteve za MFA ali da ni ustaljenega postopka za incidente. Vendar to ni veljaven odgovor na vprašanje, ali nekaj vediš. To sta dve različni stvari, in vprašalnik ta razliki navadno ne razporeja eksplicitno.

Najpametneje je najprej preveriti, ali je odgovor v organizaciji sploh poznan, le ne pri tebi. Vprašanje o varnostni pogoji za lastne dobavitelje je na primer lahko pri nabavi, vprašanje o večfaktorska avtentifikacija pa pri IT-ju. Šele ko je odgovor res nikjer dokumentiran, dejansko ni nobenega ukrepa, ki bi ga bilo mogoče potrditi — in potem je »ne« vsaj pravilno, namesto da bi bila ugibanja, ki se pozneje ne izkažejo.

Deset ukrepov člena 21 zahtevajo dejstvo, ne oceno

Vprašalniki, ki izvirajo iz NIS2, temeljijo na desetih ukrepih člena 21 odstavka 2 Direktive (EU) 2022/2555. Vsak ukrep — od upravljanja tveganja do politike dostopa — je vprašanje da/ne o obstoječi praksi, ne o oceni. Enako velja za nadzorne ukrepe iz priloge A standarda ISO/IEC 27001, na katere se nanašajo številni obrasci strank. Odgovor, ki nima vira v datoteki verige, v našem sistemu ni predstavljen kot »da« — ostane odprt, dokler zanj ne stoji dejstvo. To je tudi razlog, zakaj se vprašanje, kot je ali podjetje samo spada pod Direktivo NIS2 obravnava ločeno od vsebinskih ukrepov — to je drugačna vrsta dejstva z drugačno vrsto dokazov.