el cuestionario pregunta por una persona de contacto para seguridad, quién debe serlo en nuestro caso

El contacto es un rol, no un nombre en el cuestionario

Indique a la persona que es responsable internamente de las medidas de seguridad, no necesariamente el propietario o el director. En la práctica, es la persona que también está implicada en el proceso de identificación y corrección de vulnerabilidades y en el procedimiento para el tratamiento de incidentes de seguridad — a menudo, pues, la misma persona que es el punto de contacto interno si algo sale mal. En una pequeña empresa suele ser el propio empresario o el administrador de TI; en una empresa más grande, un responsable de seguridad u alguien con un título de función comparable. Lo más importante que el título es que esta persona sea accesible y sepa qué está sucediendo, porque el cliente utiliza este contacto especialmente en caso de incidente o auditoría.

Prefiera un buzón de rol o función en lugar de un nombre privado, si es posible: esto evita que el cuestionario quede obsoleto en cuanto alguien cambia de función. Una dirección como "security@" o "ciso@" funciona tan bien para el cliente como un nombre, y es más estable. Si la organización aún no tiene una función separada para esto, es habitual indicar al responsable general de TI u operaciones — siempre que esa persona sea realmente accesible sobre el contenido, no solo por nombre.

De dónde viene esto: artículo 21 y el rol de gobernanza

El artículo 21, apartado 2, de la Directiva NIS2 no menciona un contacto como requisito separado, pero las diez medidas que se enumeran allí — incluida la gestión de riesgos, la gestión de incidentes y la continuidad empresarial — presuponen que alguien las lleva internamente y es accesible. Los clientes que hacen esta pregunta están comprobando esencialmente si existe una política para análisis de riesgos y la protección de sistemas de información y si esa política tiene un responsable. La norma ISO/IEC 27001 lo detalla más: el Anexo A contiene medidas sobre funciones y responsabilidades dentro de la seguridad de la información, y un contacto designado es a menudo la prueba visible de esto. La Ley holandesa de ciberseguridad, que transpone la Directiva NIS2 y entra en vigor el 15 de agosto de 2026, no añade en este punto ningún requisito adicional al que ya figura en la Directiva.