preguntan quién es nuestro CISO pero no tenemos a nadie con ese título

No necesitas CISO, pero sí un punto de contacto para seguridad

Aquí normalmente puedes responder simplemente "no", sin que esto sea una deficiencia. Ninguna de las diez medidas del artículo 21, apartado 2 de la Directiva NIS2 prescribe un título de función. La Directiva regula obligaciones a nivel organizativo —gobernanza, gestión de riesgos, gestión de incidentes— no cómo las distribuyes internamente ni cómo se llame ese rol. Un CISO ("Chief Information Security Officer") es una forma de cubrirlo, especialmente en organizaciones más grandes, pero no es un requisito. En ISO/IEC 27001 ocurre lo mismo: el Anexo A solicita responsabilidades documentadas para la seguridad de la información, no un título específico en nómina.

Lo que tu cliente realmente quiere saber es quién es responsable internamente y a quién contactar en caso de incidente. En una empresa más pequeña, suele ser el propietario mismo, el gerente de TI, o alguien que gestiona seguridad junto a otro rol. Completa eso como respuesta a la pregunta de fondo: nombre, función y, si es necesario, cómo contactar a esa persona. Esto también se alinea con quién responde si hay un incidente de seguridad — normalmente es la misma persona o el mismo equipo. ¿Dudas de que tu cliente acepte "no CISO, pero sí responsable"? No confirmes esa respuesta a ciegas con "sí" — esa es una valoración que corresponde a quien presenta, no a un dossier rellenado automáticamente.

Dónde consta esto: artículo 21, apartado 2 y Anexo A

El artículo 21, apartado 2 de la Directiva NIS2 menciona diez categorías de medidas, incluida la gestión de riesgos, la gestión de incidentes y la política de acceso, pero no incluye ningún nombre de rol. La Ley de Ciberseguridad holandesa, que traspone esta Directiva y entrará en vigor el 15 de agosto de 2026, sigue el mismo enfoque. ISO/IEC 27001 Anexo A solicita responsabilidades asignadas en la sección sobre organización de la seguridad de la información, no un título de función. Si quieres comprobar si tu empresa como entidad está sujeta a las obligaciones de NIS2, esa es una pregunta separada e independiente de esta — consulta para ello a si la empresa como entidad está sujeta a la Directiva NIS2.