mi asegurador quiere un cuestionario de ciberseguridad, cómo lo relleno

La lista del asegurador suele cubrir las diez medidas de NIS2

El cuestionario de un asegurador es generalmente más amplio que un formato de un cliente que está sujeto a la Ley de Ciberseguridad, pero sí cubre los mismos temas. Los aseguradores utilizan su propio cuestionario porque la prima y la cobertura dependen del riesgo, y esas preguntas se basan en gran medida en las diez medidas del artículo 21, apartado 2 de NIS2: análisis de riesgos, gestión de incidentes, continuidad, cadena, vulnerabilidades, pruebas, concienciación, criptografía, política de acceso y MFA. Si reconoces ese patrón, generalmente puedes reutilizar las respuestas que ya están en el expediente de la cadena uno a uno, incluso si el asegurador utiliza palabras diferentes que la lista anterior.

Dos preguntas son más frecuentes en los aseguradores que en los cuestionarios normales de clientes: si se ha practicado la respuesta ante incidentes (no solo si existe un procedimiento para incidentes de seguridad, sino también si ha sido probado) y si existe un plan de recuperación concreto con tiempo de recuperación además de la pregunta general sobre copias de seguridad y provisiones de emergencia. Si no tienes esa práctica o ese plan concreto, entonces "no" es la respuesta correcta — un asegurador pregunta sobre la práctica, no sobre la intención. Si falta un certificado ISO 27001, eso no es un problema en sí: muchos aseguradores también aceptan las medidas individuales sin certificación.

De dónde proceden las diez medidas

La división en diez medidas se establece en el artículo 21, apartado 2 de la Directiva (UE) 2022/2555 y también se encuentra en el anexo A de ISO/IEC 27001, que desarrolla las mismas medidas de control en más detalle. Los aseguradores formulan sus propias preguntas a menudo de manera más flexible que el texto de la directiva, pero la estructura subyacente son los mismos diez temas — por eso el proceso es más rápido si sabes qué pregunta corresponde a qué medida.