no tenemos departamento de TI, ¿quién debe rellenar este cuestionario de seguridad

Sin departamento de TI no es una exención

La lista de preguntas no trata sobre quién está en la nómina, sino sobre si las diez medidas del artículo 21 apartado 2 NIS2 están presentes — también con cinco empleados. Un cliente que envía esta lista quiere saber si el análisis de riesgos, la gestión de incidentes, la continuidad y el control de acceso están organizados, no si existe un departamento con ese nombre para ello. En una pequeña empresa, la respuesta a menudo recae en el propietario o en un proveedor de TI externo, y esa es una respuesta válida: quién lo hace no aparece en la lista de preguntas, solo si se realiza.

Prácticamente, esto significa que quien gestiona el alojamiento, los portátiles o el software de contabilidad — a menudo una oficina externa — tiene las respuestas reales a las preguntas sobre copias de seguridad y disposiciones de emergencia y sobre autenticación multifactor. Ese proveedor no necesita rellenar la lista de preguntas, pero proporciona el documento de prueba o la confirmación con la que el empresario responde por sí mismo. Para preguntas que no versan sobre técnica sino sobre políticas — quién puede acceder dónde, qué ocurre en caso de incidente — el conocimiento suele estar en el propietario mismo, incluso sin experiencia en TI.

El artículo 21 apartado 2 requiere medidas, no un título de función

El artículo 21 apartado 2 de la Directiva NIS2 menciona las diez medidas como una obligación de resultado para la entidad, sin establecer requisitos sobre la estructura organizativa con la que se alcanza ese resultado. El Anexo A de ISO/IEC 27001 desarrolla las mismas medidas en controles que pueden ser ejecutados tanto por una parte externa como por personal interno. Por lo demás, si la empresa en sí está sujeta a la directiva es una cuestión aparte, independiente de quién rellene la lista de preguntas — eso se puede deducir del propio estado NIS2.