piden nuestrava política de seguridad completa como documento

Compartir el documento de política completo generalmente no es necesario

No, en la mayoría de los casos no es necesario, y tampoco es lo que el cliente realmente quiere saber. Una pregunta como "envíe su política de seguridad" es casi siempre una traducción de algo más específico: el cliente quiere saber si existe política para análisis de riesgos, si hay un procedimiento de incidentes, o si el acceso está bien regulado. Estas son las diez medidas del artículo 21, apartado 2, de NIS2, y la misma subdivisión se encuentra en las medidas de control del Anexo A de ISO/IEC 27001. Un cuestionario que solicita "política completa" generalmente lo divide en subpreguntas de todas formas — así que primero comprueba si ese es el caso antes de cargar un documento completo.

El riesgo de enviar un documento de política completo no es jurídico sino práctico: a menudo contiene más de lo que el cliente necesita — nombres de herramientas, procedimientos internos, datos de contacto del personal. Quien prefiera responder por pregunta en lugar de compartir un documento puede limitarlo con el botón de confidencialidad a lo que realmente se pregunta. Si la pregunta se centra específicamente en un subtema, la respuesta a menudo ya se encuentra en otro lugar: o la política de acceso está documentada, o existe un procedimiento para incidentes, o se audita periódicamente. Esto es generalmente más concreto de responder que con un documento completo.

De dónde surge esto: artículo 21, apartado 2 y Anexo A

El artículo 21, apartado 2, de NIS2 menciona diez medidas concretas — análisis de riesgos, gestión de incidentes, continuidad empresarial, gestión de vulnerabilidades, política de acceso y más — sin exigir que un tercero vea por sí mismo el documento subyacente. ISO/IEC 27001 Anexo A funciona con la misma lógica: las medidas de control son auditables por componente, no como un único documento de política indivisible. Tenga en cuenta también que la cuestión de si la propia organización está sujeta a NIS2 o a su transposición nacional es independiente de lo que un cliente solicita en un cuestionario — estas dos cosas a menudo se confunden.