el cuestionario pregunta si hemos elaborado un plan de respuesta ante incidentes

El plan de respuesta ante incidentes es una de las diez medidas del artículo 21

Sí, este es un elemento identificable: el artículo 21 apartado 2 letra b de la Directiva NIS2 menciona "incident handling" como una de las diez medidas obligatorias. El cliente no pregunta aquí por una disposición vaga de hacer algo alguna vez ante un ataque, sino por un procedimiento establecido: quién notifica un incidente, quién evalúa el impacto, quién decide sobre la escalada y la comunicación, y en qué plazo. Si ese procedimiento existe y está documentado, esta es una respuesta afirmativa con el documento como prueba. Si no existe, o vive solo en las cabezas de las personas, entonces "no" es la respuesta honesta — un "sí" a medias sin un documento subyacente causa más daño en una auditoría que un no con una explicación de que está en desarrollo.

Tenga en cuenta la diferencia con la pregunta sobre detección e identificación: un plan de respuesta ante incidentes se refiere a lo que sucede después de que se detecta algo, no a cómo se encuentran las vulnerabilidades — esto último pertenece a el proceso de identificación y corrección de vulnerabilidades. Algunas listas de preguntas lo solicitan como pregunta independiente, otras lo combinan con continuidad ("cómo restablece la prestación del servicio"), que es un tema diferente y se responde a través de la pregunta sobre copias de seguridad y medidas de emergencia. Por lo tanto, es importante mantener en el dossier de la cadena el plan de respuesta ante incidentes y la continuidad como documentos separados, incluso si en la práctica están en un solo documento.

Dónde aparece en la directiva y la norma

El artículo 21 apartado 2 letra b de la Directiva (UE) 2022/2555 menciona "incident handling" literalmente como medida obligatoria junto a las otras nueve de ese apartado. En ISO/IEC 27001 esto aparece en el Anexo A, en los controles sobre gestión de incidentes de seguridad de la información — quien ya esté certificado conforme a ISO 27001 probablemente ya dispone de ese documento. La Ley de Ciberseguridad transpone el artículo 21 en normas holandesas, pero entra en vigor solo el 15 de agosto de 2026; hasta esa fecha la propia directiva es el marco a aplicar para quien deba verificar si ya está en orden.