recibo prácticamente el mismo cuestionario de diferentes clientes una y otra vez, ¿debe ser más rápido

Cinco listas, una fuente: las diez medidas del artículo 21

Sí, eso puede ser más rápido, porque esas cinco listas casi seguramente preguntan por el mismo marco subyacente. Los clientes que se ponen en contacto contigo — bancos, clientes mayores, aseguradoras — todos reescriben las mismas diez medidas del artículo 21, apartado 2 de la Directiva NIS2 en el formato de su propio portal. Uno lo llama «vulnerability management», otro «política de gestión de vulnerabilidades», un tercero pregunta por «procedimientos de gestión de parches» — se trata de el proceso de identificación y corrección de vulnerabilidadesLo mismo se aplica a la política de acceso, la respuesta a incidentes, la continuidad y el resto: redacción diferente, medida subyacente idéntica.

El trabajo que queda es encontrar la única respuesta que se ajuste a las cinco formulaciones, y verificar por cada lista si la respuesta sigue siendo actual — no volver a investigar cinco veces qué es exactamente lo que se pide. Un conjunto fijo de documentos de referencia (políticas, procedimientos, pruebas) vinculado a cada una de las diez medidas hace que sea una cuestión de copiar y adaptar al formato, en lugar de formular de nuevo cada vez. Cuando los clientes suelen preguntar por separado, y por lo tanto no tiene sentido volver a reconstruir cada vez, es si la empresa misma está sujeta a la directiva NIS2 — esa respuesta no cambia por cliente.

Por qué esas diez medidas aparecen en todas partes

El artículo 21, apartado 2 de la Directiva NIS2 menciona diez categorías de medidas que las entidades sujetas a la directiva deben adoptar: desde el análisis de riesgos y el tratamiento de incidentes hasta la criptografía y el control de acceso. Porque los bancos y grandes clientes basan sus propias listas de preguntas de debida diligencia en este artículo — a veces directamente, a veces a través de ISO/IEC 27001 Anexo A, que traduce en gran medida los mismos temas en medidas de control — el contenido de las preguntas reaparece, incluso si el orden, agrupación y terminología difieren por portal. La Ley de Ciberseguridad holandesa transpone esta directiva a la legislación nacional y entra en vigor el 15 de agosto de 2026; hasta esa fecha el marco subyacente no cambia, por lo que el solapamiento entre este año y el próximo sigue siendo en gran medida intacto.