no entiendo una pregunta técnica del cuestionario, ¿quién puede responderla

Reduzca la pregunta a una de las diez medidas

Una pregunta técnica de un cuestionario es casi siempre una traducción de una de las diez medidas del artículo 21, apartado 2 de la Directiva NIS2, o de una medida de control del Anexo A de ISO/IEC 27001. El portal del cliente suele utilizar una formulación propia — «cómo está configurada su segmentación de red» o «qué estándar de encriptación utiliza para datos en reposo» — pero la pregunta subyacente es conocida. Vale la pena determinar primero en qué categoría se encuadra la pregunta: se trata de acceso, de encriptación, de vulnerabilidades, o de la cadena. Una vez que se determina esa categoría, la pregunta generalmente puede responderse con documentación existente, incluso si el término exacto es nuevo.

En caso de duda sobre la implementación técnica precisa — qué protocolo, qué longitud de clave, qué frecuencia de escaneo — el departamento de TI o el gestor externo es la parte designada, no la persona de contacto comercial o legal que recibe la lista. Quien regularmente se encuentra con las mismas preguntas técnicas sobre encriptación, puede documentarlas como respuesta fija para el tema o si existe una política sobre criptografía y encriptación, para que esa pregunta no tenga que investigarse cada vez de nuevo. Lo mismo se aplica a preguntas sobre autenticación multifactor o control de acceso: son preguntas separadas en la lista, pero sustancialmente el mismo tema formulado repetidamente de forma diferente.

De dónde proceden las diez medidas

El artículo 21, apartado 2 de la Directiva (UE) 2022/2555 menciona diez categorías de medidas, desde análisis de riesgos hasta criptografía hasta comportamiento humano dentro de la organización. El Anexo A de ISO/IEC 27001 desarrolla temas comparables en medidas de control concretas, lo que explica por qué una pregunta de auditoría y una pregunta del cliente a menudo equivalen a lo mismo, aunque las formulaciones difieran. La Ley de Ciberseguridad transpone el artículo 21 a la legislación holandesa y se espera que entre en vigor el 15 de agosto de 2026; hasta esa fecha, la directiva misma es el punto de partida para determinar bajo qué medida se encuadra una pregunta.