el cliente pregunta quién es nuestro CISO pero no tenemos un puesto separado para ello

No tener un CISO en plantilla no es un problema

La pregunta sobre un CISO no se refiere a un título en una tarjeta de visita, sino al rol: quién es responsable de la seguridad de la información y la ciberseguridad, y a quién puede contactar el cliente si surge algo. En empresas más pequeñas, ese rol frecuentemente recae en el director, el responsable de TI o alguien que lo hace "además de otras tareas". Esa es una respuesta válida, siempre que puedas identificar quién es y qué hace esa persona.

Contesta la pregunta, pues, con la función que de hecho desempeña el rol, no con "n.a.". Formulación típica: "el rol de CISO lo desempeña [función], responsable de [tareas]". Eso se ajusta a lo que los clientes evalúan en la práctica: no el título, sino si hay supervisión de análisis de riesgos y la protección de los sistemas de información y si las medidas de seguridad se evalúan periódicamente. La gobernanza es el tema de fondo, no una cuestión de personal.

La gobernanza es independiente del título de la función

El artículo 21, apartado 2, de la Directiva NIS2 (Directiva (UE) 2022/2555) enumera diez categorías de medidas, entre ellas la política de análisis de riesgos y seguridad de los sistemas de información — no figura un título de CISO en esa lista. La norma ISO/IEC 27001 aplica la misma lógica: el Anexo A requiere responsabilidades asignadas sobre seguridad de la información (a menudo en el apartado A.5, organización de la seguridad de la información), no un nombre de función específico. El cuestionario del cliente suele traducir ese requisito como "quién es el CISO" porque ese es el término habitual en organizaciones más grandes, pero la pregunta de fondo sigue siendo: ¿está asignada la responsabilidad? Una vez que esté documentado — aunque sea en la descripción de funciones del director — hay una base factual para una respuesta, incluso sin el título en sí.