el cliente quiere saber quién es responsable de la ciberseguridad en nuestra empresa

Gobierno corporativo, no un nombre

La pregunta "¿quién es responsable de la seguridad de la información?" no solicita en la práctica un nombre o título de puesto, sino prueba de gobierno corporativo: ¿existe una responsabilidad asignada formalmente y está garantizada a nivel directivo? El artículo 21, apartado 2 de NIS2 no lo menciona por separado, sino como parte de la política de análisis de riesgos y seguridad de sistemas de información — la primera de las diez medidas. Quien recibe esta pregunta puede normalmente remitir mejor al mismo documento de política en el que también consta si la empresa tiene política de análisis de riesgos y seguridad de sistemas de información: ahí suele aparecer el propietario de la política, junto con el alcance y la fecha de la última revisión.

Si la empresa no tiene un responsable explícitamente designado, "la dirección" o "el propietario" como respuesta suele ser suficiente para empresas pequeñas — pero eso es una constatación de hecho, no algo que esta plataforma sugiera. Lo que el sistema sí puede hacer: extraer la respuesta del expediente de cadena si ya consta ahí, con la fuente, para que el cliente la confirme con sí o no. Si falta ese registro, la respuesta más honrada es que aún no hay un responsable formalmente designado, en lugar de inventar un nombre que no conste en el expediente. Esta pregunta suele estar relacionada con otras: quién notifica un incidente, por ejemplo, consta en el procedimiento para el tratamiento de incidentes de seguridad, y puede ser la misma persona o alguien distinto.

Donde esto se deriva del artículo 21, apartado 2

El artículo 21, apartado 2 de la Directiva (UE) 2022/2555 obliga a las entidades a adoptar un enfoque basado en el riesgo con diez medidas concretas, siendo la política de análisis de riesgos y seguridad de sistemas de información la primera; quién es responsable de ella forma parte de esa política, no un dato aislado. En ISO/IEC 27001 esto aparece en el Anexo A, bajo las medidas de control para la organización de la seguridad de la información. La Ley de Ciberseguridad implementa esta obligación en la legislación holandesa y se espera que entre en vigor el 15 de agosto de 2026; hasta esa fecha, NIS2 es el texto al que remitirse.