mi cliente solicita documentación adjunta al cuestionario, ¿qué debo proporcionar

La prueba corresponde a la respuesta, no a la pregunta en su conjunto

No existe una lista fija «prueba en respuestas de ciberseguridad» — la prueba depende de cuál de las diez medidas del artículo 21 apartado 2 de la Directiva NIS2 el cliente solicita. Si pregunta sobre control de acceso, es apropiado un extracto de la política de acceso, no toda la política de seguridad de la información. Si pregunta sobre respuesta a incidentes, a menudo es suficiente una descripción del proceso con líneas de escalada, no un registro de incidentes con detalles. Al organizar, piense en las categorías que también figuran en la política de análisis de riesgos, el procedimiento en caso de incidentes de seguridad y los requisitos para proveedores propios aparecen: cada una requiere un tipo diferente de respaldo.

Si no tienes la prueba — por ejemplo porque la política existe pero nunca ha sido documentada — entonces «no» con una breve explicación es la respuesta honesta, no una referencia a un documento que no existe. Un certificado ISO 27001 cubre múltiples preguntas al mismo tiempo, pero solo si el alcance de ese certificado realmente cubre los componentes que el cliente pregunta; de lo contrario crea una falsa sensación de seguridad que reaparece en una auditoría. Por lo tanto, primero verifica si el certificado es aplicable a la parte solicitada, antes de presentarlo como prueba.

De dónde surge esto: artículo 21, apartado 2 y Anexo A

El artículo 21 apartado 2 de la Directiva NIS2 menciona las diez medidas sobre las que un cliente generalmente hace más preguntas — desde gestión de riesgos hasta política de acceso hasta seguridad de proveedores — y cada medida tiene su propio tipo de prueba, no un documento único que las cubra todas. El Anexo A de ISO/IEC 27001 contiene las medidas de control que a menudo se utilizan como lista de verificación para determinar qué prueba corresponde a qué pregunta; un certificado contra esa norma no es por lo tanto un sustituto de los documentos subyacentes, sino una confirmación de que han sido evaluados. La Ley de Ciberseguridad, la transposición holandesa de NIS2, entra en vigor el 15 de agosto de 2026 y contiene la misma estructura — para quienes ya están recopilando pruebas ahora, alinearse con esa estructura no es por lo tanto esfuerzo perdido.