el cliente quiere saber si reporto incidentes dentro de 24 horas

24 horas es una alerta, no una notificación completa

No, no en el sentido de un informe de incidente completo dentro de 24 horas —pero hay sí una obligación que se acerca mucho. El artículo 21 apartado 2 de la Directiva NIS2 obliga a las entidades "importantes" y "esenciales" a notificar incidentes significativos en fases: una alerta temprana dentro de 24 horas, seguida de una notificación completa dentro de 72 horas, y un informe final posteriormente. Esta obligación se aplica directamente a la entidad que cae bajo NIS2 — por lo general, el cliente que envía el cuestionario, no automáticamente el proveedor que lo rellena. Si la obligación de las 24 horas también recae sobre tu propia empresa depende de si tú mismo como entidad caes bajo la directiva; esto se describe en la pregunta de si la empresa cae bajo NIS2.

Lo que normalmente un cliente quiere saber con esta pregunta no es si cumples la obligación legal de notificación ante una autoridad de supervisión, sino si lo informas a él lo suficientemente rápido si algo falla en ti que afecte a su prestación de servicios. Esto es un acuerdo contractual, no un plazo legal de la directiva misma — las 24 horas de NIS2 es una obligación entre entidad y autoridad de supervisión, no automáticamente entre proveedor y cliente. Si tienes un procedimiento de incidentes con tus propios plazos de notificación interna, ese es el documento que normalmente encaja aquí; ese procedimiento se describe en la pregunta sobre un procedimiento para incidentes de seguridad. Si no tienes un plazo establecido, entonces un "no" con una breve aclaración es más honesto que un "sí" que no puedes sustentar.

Dónde aparece en la directiva: artículo 21, apartado 2

La obligación de notificación por fases — alerta temprana dentro de 24 horas, notificación dentro de 72 horas, informe final — se establece en el artículo 21 apartado 2 de la Directiva (UE) 2022/2555, como parte de las diez medidas enumeradas allí. Esta obligación se dirige a la relación entre la entidad y la autoridad de supervisión competente o el CSIRT, no a la relación entre proveedor y cliente. La Ley de Ciberseguridad holandesa transpone esta directiva a la legislación nacional; quién exactamente cae bajo la obligación de notificación y a partir de cuándo se derivará de esa ley una vez que entre en vigor.