el cuestionario pregunta cómo respondemos ante un ataque de ransomware

El ransomware se incluye en la gestión de incidentes, no solo en continuidad

La pregunta sobre ransomware suele evaluar tu procedimiento de respuesta, no tu técnica. Los clientes quieren ver que existe un proceso establecido: detectar, contener, recuperar e informar a las partes pertinentes. Ese es precisamente el procedimiento para incidentes de seguridad del artículo 21 apartado 2 letra b de NIS2 — si ya has descrito ese procedimiento, utiliza ese texto aquí, no un apartado separado sobre ransomware. Por lo tanto, una política de ransomware separada no es un requisito; un procedimiento de incidentes que mencione ransomware como escenario suele ser suficiente.

Lo que a menudo se pregunta por separado es la parte de recuperación: ¿puedes reiniciar el servicio sin pagar el rescate? Eso forma parte de copias de seguridad y la disposición de emergencia para restaurar la prestación de servicios — letra c de la misma lista, continuidad empresarial y gestión de crisis. Si no tienes una copia de seguridad probada recientemente restaurada, la respuesta al escenario de ransomware es efectivamente débil, incluso si tu proceso de incidentes está correcto sobre el papel. Contesta esta parte solo cuando sepas si se ha realizado la última prueba de restauración y cuándo.

Dónde está exactamente: artículo 21 apartado 2, letras b y c

El artículo 21 apartado 2 de NIS2 menciona diez medidas que una entidad debe adoptar; la letra b es gestión de incidentes, la letra c es continuidad empresarial incluyendo gestión de copias de seguridad y recuperación ante desastres. Un ataque de ransomware afecta a ambas: la detección y respuesta se incluyen en b, la recuperación sin pagar al atacante se incluye en c. En la Ley de Ciberseguridad — la transposición neerlandesa de NIS2, que entra en vigor el 15 de agosto de 2026 — estas obligaciones se recogen para entidades que se encuentren bajo el ámbito de la ley; comprueba en caso de duda en la empresa está sujeta a la Directiva NIS2 o su transposición nacionalya que eso determina si es una obligación o solo una expectativa del cliente. Si trabajas con ISO 27001, el equivalente se encuentra en el Anexo A: A.5.24 a A.5.26 para gestión de incidentes, A.5.29 y A.5.30 para continuidad y recuperación ante desastres. Si no lo tienes formalmente documentado en ninguno de los dos, la respuesta más honesta es que tienes un enfoque informal y sin procedimiento documentado — esa es una respuesta diferente a "sí", y es importante mantener esa distinción.