wat vul ik in als een vraag op de lijst niet op mij van toepassing is

N.v.t. is alleen correct als de vraag echt niet aansluit

"N.v.t." vul je alleen in als de vraag over iets gaat dat bij jouw onderneming structureel niet voorkomt — niet als je het antwoord niet weet of het bewijs niet bij de hand hebt. Dat verschil is belangrijk, want een verwerend inkoopteam of een auditor leest "n.v.t." als een bewuste uitsluiting, en die moet je kunnen uitleggen. Een vraag over AI-systemen is bijvoorbeeld echt n.v.t. als je onderneming er geen inzet — maar let op: zet de onderneming AI-systemen in binnen haar dienstverlening? wordt breed geïnterpreteerd, ook een extern ingekocht tool met een AI-component valt er vaak onder. Bij twijfel is "nee, niet van toepassing binnen de gevraagde scope" preciezer dan kaal "n.v.t.".

Twijfelgevallen ontstaan vooral bij vragen die uit een groter raamwerk komen en niet één-op-één op mkb-schaal passen. De VSME-basismodule van EFRAG is daar zelf duidelijk over: sommige indicatoren zijn alleen relevant als de onderneming een bepaalde activiteit uitvoert of een bepaalde omvang heeft. Vul dan liever kort de reden in — "onderneming heeft geen eigen wagenpark", "activiteit X wordt niet uitgevoerd" — dan alleen het label. Datzelfde geldt voor vragen die uit de tien maatregelen van artikel 21 lid 2 van de NIS2-richtlijn komen: als een maatregel over toeleveringsketenbeveiliging gaat en je hebt geen externe ICT-leveranciers met toegang tot je systemen, is dat een onderbouwde n.v.t., geen ontbrekend antwoord.

Waar dit onderscheid in de bronnen terugkomt

De VSME-basismodule onderscheidt uitdrukkelijk verplichte en conditionele indicatoren: een conditionele indicator is precies de categorie waar "n.v.t." past, mits de voorwaarde voor toepasselijkheid ontbreekt. Bij ISO/IEC 27001 is dat principe geformaliseerd in de Annex A-beheersmaatregelen: een maatregel die niet van toepassing is, moet in de Statement of Applicability worden onderbouwd met een reden, niet alleen worden afgevinkt. Diezelfde onderbouwingsplicht is ook praktisch bij identiteitsvragen — als een vraag over vestigingen in meerdere landen niet aansluit, is dat te herleiden naar in welke landen heeft de onderneming vestigingen? en volstaat een korte toelichting op de feitelijke situatie.