el cuestionario pregunta si hemos comunicado incidentes a una autoridad supervisora

La obligación de notificación solo es aplicable si usted mismo cae bajo NIS2

Esta pregunta es solo relevante si su empresa es ella misma una entidad NIS2 — esencial o importante. Si no cae bajo esa categoría, la respuesta suele ser "no aplicable" y puede anotarlo así, con una breve explicación de por qué. Si duda sobre ese estado, primero debe aclararse a través de o si la empresa está cubierta por la Directiva NIS2 — la respuesta a esta pregunta depende directamente de ello.

Si cae bajo NIS2, la pregunta se centra en si realmente notificó los incidentes que cumplen los criterios de notificación al CSIRT o al organismo de supervisión competente, dentro de los plazos establecidos (notificación inicial, notificación intermedia, informe final). Si lo hizo, "sí" puede justificarse con la confirmación de notificación o el registro de incidentes como prueba. Si en el período consultado simplemente no tuvo un incidente sujeto a obligación de notificación, entonces "no" es la respuesta fácticamente correcta — esto no es un incumplimiento, y puede explicarlo así en el campo de texto libre. El problema solo surge si hubo un incidente que cumplía los criterios y no se realizó notificación alguna; ese es un hecho que su dossier debe reflejar simplemente, no algo que deba reformularse. Además, esta pregunta está relacionada con el procedimiento para el tratamiento de incidentes de seguridad: sin un procedimiento funcional, generalmente tampoco hay un proceso de notificación concluyente.

De donde esto se deduce: artículo 21 apartado 2 letra b y la Ley de Ciberseguridad

La obligación de notificación en sí no está en el artículo 21 apartado 2 — ese artículo describe las diez medidas, incluida bajo b la gestión de incidentes como medida de gestión. La obligación de notificación real con plazos se regula por separado en la Directiva y se transpone para los Países Bajos en la Ley de Ciberseguridad, que entra en vigor el 15 de agosto de 2026. Hasta esa fecha, no hay obligación legal de notificación holandesa basada en NIS2; lo que un cliente pregunta ahora en un cuestionario es a menudo una anticipación de esa obligación o una pregunta sobre ISO 27001 acerca del registro de incidentes en el Anexo A.