vi är inte ISO 27001-certifierade men gör mycket för säkerhet, vad fyller jag i

Nej på certifikat, ja i praktiken kan båda vara sanna

Ja, det får du — förutsatt att du behandlar det separat från frågan om själva certifikatet. En ISO 27001-fråga i en enkät är vanligen en sluten ja/nej om innehav av certifikatet. Har du det inte, då är "nej" det faktiskt riktiga svaret på den specifika frågan, och ingen förtydligande text hjälper till. Vad som däremot fungerar: många enkäter ställer före eller vid sidan av certifikatfrågan även separata frågor om de underliggande åtgärderna — riskanalys, åtkomstkontroll, incidenthantering. Du besvarar dessa på deras egna meriter, med sitt eget bevis, oavsett certifikatet.

Förvirringen uppstår för att certifiering och åtgärder berörs av samma innehål men inte är synonymer. En revisor som går igenom Bilaga A och ett företag som "helt enkelt" har implementerat MFA, säkerhetskopior och en incidentprocess kan ha väsentligen samma kontroller — skillnaden är att den ena har ett oberoende test och ett certifikat, den andra inte. I keddossieren lägger du därför två separata svar: vid certifikatfrågan "nej", och vid frågan om till exempel flerfaktorsautentisering eller hantering av säkerhetshändelser det faktiska svaret med det bevis du har för det — ett policydokument, en konfigurationsexport, en processbeskrivning. Fyll aldrig det ena in som bevis för det andra.

Bilaga A och artikel 21 punkt 2 överlappar, men är inte utbytbara

ISO/IEC 27001 Bilaga A beskriver de ledningsåtgärder som ett certifierat managementsystem måste täcka; Direktiv (EU) 2022/2555 artikel 21 punkt 2 nämner de tio åtgärder som är obligatoriska enligt NIS2 för enheter som omfattas av det direktivet. Båda listorna nämner riskhantering, åtkomst, kryptering och incidentrespons, men den ena är en certifieringsnorm med en revisor som testar, den andra är lagstiftning utan certifieringskrav. Ett "nej" på certifikatet säger därför ingenting om huruvida någon följer artikel 21 punkt 2 — det är en separat fråga som bara blir relevant när det är fastställt om företaget själv omfattas av NIS2-direktivet eller cybersäkerhetslag.