el cuestionario pregunta si examinamos a los empleados antes de la contratación

La verificación de personal forma parte de la seguridad de recursos humanos, no del control de acceso

La cuestión de la verificación previa a la contratación se incluye en la seguridad del personal, una de las diez medidas del artículo 21, apartado 2 de la Directiva NIS2 — mencionada explícitamente en el punto (g), junto con las condiciones laborales y las medidas disciplinarias en caso de incumplimiento. Se trata de un apartado diferente al del control de acceso: la verificación se refiere a quién contratas, política de acceso se refiere a qué puede ver o hacer alguien una vez que está dentro. Por lo tanto, no rellenes automáticamente "sí" en esta pregunta solo porque ya existe una matriz de acceso — ese es un documento de prueba diferente.

Lo que cuenta como prueba depende de lo que ocurra en la práctica. Una obligación de VOG (verklaring omtrent het gedrag) para puestos con acceso a sistemas sensibles es la prueba más concreta. Si falta esto, también cuenta un procedimiento fijo en el proceso de contratación: verificación de referencias, verificación de identidad, y en empresas certificadas ISO 27001 la cláusula de verificación de Annex A 6.1 (previa al contrato laboral). Sin certificación ISO ni política de VOG, la respuesta suele ser "no" o "parcialmente" — y está perfectamente bien cumplimentarla así. No inventes un proceso de verificación que no existe; si el cliente profundiza en esto, un "no, sí en los puestos X e Y" honesto es más sólido que un sí que no resista una auditoría.

De dónde viene esto: artículo 21, apartado 2, letra g y Annex A 6.1

Las diez medidas del artículo 21, apartado 2 de la Directiva NIS2 mencionan explícitamente la seguridad del personal bajo (g), junto con el control de acceso y la gestión de activos. En la práctica, esto se evalúa frecuentemente junto con formación en ciberhigiene, porque ambas forman parte de la misma política de recursos humanos. Para empresas con certificación ISO 27001, la medida de control correspondiente se encuentra en Annex A, bajo la cláusula relativa a la verificación previa a la contratación — por lo tanto, comprueba si el certificado ISO 27001 de la empresa cubre esta cláusula, ya que no todos los certificados tienen el mismo alcance. Para empresas que solo entren bajo la Ley de Ciberseguridad a partir del 15 de agosto de 2026, esto aún no es una obligación legal, pero los clientes ya suelen preguntarlo anticipándose a las obligaciones en cadena.