no estamos certificados pero el cuestionario lo pregunta de todas formas

No rellenar certificado sin justificación inventada

Sin certificado ISO 27001 rellenas "no" en la pregunta de certificación, y eso no es un problema — un certificado no es obligatorio, tampoco según NIS2. Lo que importa es si las medidas subyacentes existen. El cuestionario de tu cliente pregunta por el certificado normalmente como camino más corto para verificar si tu gestión de riesgos está en orden; sin certificado tienes que demostrarlo de otra manera.

Por eso no mires solo la pregunta de sí/no, sino qué hay detrás. A menudo viene una pregunta de seguimiento sobre medidas concretas: control de acceso, respuesta a incidentes, continuidad. Son los mismos temas que las medidas de control del Anexo A de ISO 27001, y también los mismos temas que las diez medidas del artículo 21, apartado 2 de NIS2. Si tu expediente de cadena tiene respuestas sobre si existe política para análisis de riesgos y protección de sistemas de información y sobre si existe procedimiento para incidentes de seguridad, entonces rellenas esas preguntas de seguimiento con una respuesta justificada, aunque no haya certificado detrás. El sistema propone esa respuesta de tu expediente; tú la confirmas por pregunta con sí o no antes de que vaya al portal de tu cliente.

Certificación y medidas son dos preguntas separadas

ISO/IEC 27001 otorga el certificado sobre la base de una auditoría contra las medidas de control en el Anexo A; NIS2 (Directiva (UE) 2022/2555, artículo 21, apartado 2) obliga esas diez medidas en sí mismas, independientemente de la certificación. La Ley holandesa de Ciberseguridad transpone esa obligación y entra en vigor el 15 de agosto de 2026. Un cliente que pregunta por el certificado está comprobando en realidad si cumples las medidas subyacentes — el certificado es el medio de prueba, no el requisito en sí. Si tú mismo estás bajo esa obligación depende de si la empresa está incluida en la directiva NIS2 o en su transposición nacional; esto determina el peso de las preguntas de seguimiento, incluso sin certificado.