el cuestionario pregunta si tenemos un plan de crisis para un incidente cibernético

El plan de crisis cae bajo la continuidad del negocio, no bajo la respuesta a incidentes

La pregunta sobre un "plan de crisis en caso de hack" pregunta en la práctica por dos cosas a la vez, y la respuesta depende de cuál de las dos tengas. La primera es un plan de continuidad: cómo sigue funcionando el servicio o cómo lo restauras, independientemente de lo que haya sucedido exactamente. La segunda es un plan de respuesta a incidentes: quién hace qué tan pronto se descubre un hack, quién se informa, cómo se contiene el incidente. Muchos empresarios tienen la segunda pero no la primera, o viceversa, y responden "sí" a una pregunta que en realidad requiere ambas.

Si solo tienes un plan informal —algunos acuerdos que todo el mundo conoce pero que no están documentados en ningún lugar— entonces "no" es generalmente la respuesta más honesta, con una aclaración de que el enfoque existe pero no está formalizado. Si tienes un plan de continuidad sin un componente cibernético separado, comprueba si menciona explícitamente un incidente cibernético como escenario; si no es así, ese es un vacío que el cliente señala con frecuencia. Este tema se relaciona estrechamente con hay copias de seguridad y una disposición de emergencia para restaurar el servicio y con hay un procedimiento para el tratamiento de incidentes de seguridad — responde esas dos primero, entonces esta pregunta a menudo se resuelve por sí sola.

Donde esto reaparece en el artículo 21 apartado 2 NIS2

El artículo 21 apartado 2 de la Directiva (UE) 2022/2555 menciona "business continuity, such as backup management and disaster recovery, and crisis management" como una de las diez medidas obligatorias —así que continuidad y gestión de crisis están juntas, no como dos requisitos separados. El anexo A de ISO/IEC 27001 contiene una medida de control similar para la preparación de TIC ante interrupciones empresariales. La Ley holandesa de Ciberseguridad, que implementa esta obligación, entra en vigor el 15 de agosto de 2026.