cómo respondo la pregunta sobre nuestro procedimiento de notificación en caso de fuga de datos

El procedimiento de notificación en sí, no la violación de datos

La pregunta trata sobre vuestro proceso interno, no sobre si ha habido alguna vez una violación. El cliente quiere saber si existe un procedimiento establecido para gestionar incidentes de seguridad: quién reporta una sospecha, a quién, en qué plazo se escala, y quién decide si se informa a una autoridad supervisora o a los afectados. Es el mismo procedimiento que se pregunta en el procedimiento para incidentes de seguridad — una violación de datos es en la práctica un tipo específico de incidente dentro de ese proceso, no un documento separado.

Si disponen de ese procedimiento, el "sí" puede justificarse con el documento en sí: un plan de pasos, una función responsable (a menudo responsable de seguridad u oficial de protección de datos), y un registro de notificaciones anteriores como prueba de que el proceso funciona. Si falta un procedimiento establecido, pero existe una línea informal ("llama al propietario"), normalmente no es suficiente para un "sí" — el expediente no tiene una fuente en la que apoyarse, y el sistema no propone respuesta en ese caso. Algunos clientes también preguntan en la misma lista si ustedes mismos están sujetos a una obligación de notificación; esta es una pregunta diferente del procedimiento en sí, y puede rastrearse a través de el estado como entidad de la NIS2.

Por qué esto se incluye en el artículo 21, apartado 2

El artículo 21, apartado 2 de la Directiva NIS2 menciona la "gestión de incidentes" como una de las diez medidas obligatorias, y un procedimiento de notificación de violaciones de datos es su aplicación hacia los datos personales. La norma ISO/IEC 27001 Anexo A la desarrolla más en las medidas de control relativas a la gestión de incidentes, lo que explica por qué los clientes con preguntas sobre ISO a menudo aceptan el mismo procedimiento como prueba. La Ley de Ciberseguridad, la transposición holandesa, entra en vigor el 15 de agosto de 2026 y también fija esta obligación a nivel nacional para las entidades que la cumplan.