Vad fyller jag i om en fråga på listan inte är tillämplig för mig

Ej tillämpligt är endast korrekt om frågan verkligen inte passar

"Ej tillämpligt" fyller du endast i om frågan handlar om något som strukturellt inte förekommer i din verksamhet — inte om du inte vet svaret eller inte har beviset till hands. Den skillnaden är viktig, för ett försvarande inköpsteam eller en revisor läser "ej tillämpligt" som ett medvetet undantag, och det måste du kunna förklara. En fråga om AI-system är till exempel verkligen ej tillämpligt om din verksamhet inte använder något — men observera: använder verksamheten AI-system inom sin tjänsteleverans? tolkas brett och omfattar ofta även ett externt inköpt verktyg med en AI-komponent. Vid osäkerhet är "nej, inte tillämpligt inom den efterfrågade omfattningen" mer exakt än bara "ej tillämpligt".

Tveksamma fall uppstår framför allt vid frågor som kommer från ett större ramverk och inte passar en-till-en på KMU-skala. VSME-grundmodulen från EFRAG är själv tydlig om detta: vissa indikatorer är endast relevanta om verksamheten utför en viss aktivitet eller har en viss storlek. Fyll då hellre in en kort anledning — "verksamheten har ingen egen fordonspark", "aktivitet X utförs inte" — än bara etiketten. Detsamma gäller för frågor som kommer från de tio åtgärderna i artikel 21 punkt 2 i NIS2-direktivet: om en åtgärd handlar om leverantörskedjans säkerhet och du inte har några externa ICT-leverantörer med åtkomst till dina system, är det ett underbyggt "ej tillämpligt", inte ett saknat svar.

Där denna skillnad återkommer i källorna

VSME-grundmodulen särskiljer uttryckligen obligatoriska och villkorliga indikatorer: en villkorlig indikator är just den kategori där "ej tillämpligt" passar, förutsatt att villkoret för tillämplighet saknas. I ISO/IEC 27001 är denna princip formaliserad i Annex A-kontrollåtgärderna: en åtgärd som inte är tillämplig måste i Statement of Applicability underbyggas med en anledning, inte bara bockas av. Denna underbyggningsplikt är också praktisk vid identitetsfrågor — om en fråga om verksamhetsställen i flera länder inte passar, kan den spåras tillbaka till i vilka länder har verksamheten verksamhetsställen? och en kort förklaring av den faktiska situationen räcker.