nuestro cliente está sujeto a NIS2 y ahora nos plantea requisitos, qué significa eso

Su cliente le comunica las diez medidas del artículo 21

Esto significa que usted forma parte del enfoque de cadena que prescribe el artículo 21 apartado 2 de NIS2. Una entidad sujeta a NIS2 debe adoptar por sí misma «medidas de seguridad en la cadena de suministro» — letra (d) de dicho apartado — y su cliente lo hace imponiendo también a usted los requisitos que se fija a sí mismo. Por lo tanto, usted no se vuelve obligado por NIS2 directamente por esta cuestionario; recibe la repercusión de la obligación de su cliente en su plato. Si además está sujeto usted mismo a la directiva es una pregunta aparte — que responde usted por separado, por ejemplo con la aclaración sobre si la empresa se incluye de forma independiente en la Directiva NIS2.

En la práctica, el cuestionario traduce el artículo 21 apartado 2 en preguntas individuales: ¿realiza análisis de riesgo y tiene política de seguridad de la información, cómo trata los incidentes, qué ocurre con las copias de seguridad y la recuperación, cómo gestiona el acceso y utiliza autenticación multifactor, y — la disposición que su cliente ahora le aplica — ¿establece también requisitos a sus propios proveedores. Para cada uno de estos puntos existe una explicación separada en la base de conocimientos, como política para análisis de riesgos y seguridad de sistemas de información y requisitos de seguridad para los propios proveedores. Si ya tiene un certificado ISO 27001, eso cubre una gran parte de estas preguntas de una vez.

Dónde aparece en la directiva: artículo 21, apartado 2

El artículo 21 apartado 2 de la Directiva (UE) 2022/2555 menciona literalmente las diez medidas, desde la política de análisis de riesgos (a) hasta la seguridad en la adquisición de productos y servicios y la relación con proveedores (d), hasta la gestión del acceso y la autenticación multifactor (j). La Ley holandesa de Ciberseguridad transpone esta directiva a la legislación nacional y entra en vigor el 15 de agosto de 2026; hasta esa fecha, su cliente ya puede trasladarle su propia preparación, incluso sin que la ley ya sea aplicable. Quien reconoce las diez medidas como controles individuales del Anexo A de ISO/IEC 27001, puede tomar muchas respuestas directamente de un SGSI existente.