el cuestionario pregunta si hemos sufrido un incidente cibernético en los últimos años

Una pregunta sobre incidentes se refiere a hechos, no a imagen

La pregunta sobre si ha habido un incidente cibernético en los últimos años requiere una respuesta de hecho: sí o no, y en caso afirmativo, normalmente con una breve explicación sobre la naturaleza, el impacto y la resolución. No hay una respuesta correcta o incorrecta — un "sí" con una resolución adecuada es más creíble para muchos clientes que un "no" injustificado de un proveedor que no puede demostrar nada más sobre su seguridad. Lo que importa: ¿puedes respaldar tu respuesta?

Si hubo un incidente, la prueba no es el incidente en sí, sino cómo se resolvió: ¿se notificó, investigó y dio seguimiento según un procedimiento establecido? Eso es exactamente lo que el procedimiento para el tratamiento de incidentes de seguridad pregunta, y los clientes frecuentemente combinan esta pregunta con esas dos. Si no hubo incidente, "no" es la respuesta, posiblemente con una referencia a las medidas de detección que lo demuestran — véase el proceso de identificación y corrección de vulnerabilidades. Sin un registro o log de incidentes, "no" sigue siendo una respuesta válida, pero sin prueba subyacente; puedes mencionarlo en la explicación en lugar de inventar una prueba que no existe.

Por qué esto está entre las diez medidas

La gestión de incidentes ("incident handling") es una de las diez medidas concretas que el artículo 21 apartado 2 de la Directiva NIS2 (Directiva (UE) 2022/2555) menciona como parte de la política de seguridad de una entidad. En la transposición holandesa a través de la Ley de Ciberseguridad — que entra en vigor el 15 de agosto de 2026 — el mismo requisito se aplica a las entidades que están sujetas a esa ley. Con esto, una pregunta sobre incidentes anteriores en la práctica es a menudo una prueba indirecta sobre si la organización tiene un proceso de incidentes, no solo sobre el incidente en sí. Quienes aplican ISO/IEC 27001 reconocen el mismo tema en el Anexo A, bajo las medidas de control para "information security incident management".