el cuestionario pregunta quién dentro de nuestra empresa es responsable de la ciberseguridad

Gobernanza y responsabilidad, no solo un nombre

La pregunta va más allá de rellenar un contacto. El artículo 21, apartado 2 de la Directiva NIS2 menciona "política de análisis de riesgos y seguridad de los sistemas de información" como una de las diez medidas obligatorias, y la gobernanza — quién decide, quién aprueba, quién asume la responsabilidad — forma parte de esto. En ISO/IEC 27001 esto se refleja en el Anexo A, bajo las medidas de control sobre la organización de la seguridad de la información: se espera que los roles y responsabilidades estén asignados y documentados, no solo acordados verbalmente. Por lo tanto, dar un nombre sin un rol documentado suele ser una respuesta incompleta.

Lo que exactamente quiere ver el cliente varía según el formato: a veces es un título de función (CISO, gerente de TI, director), a veces una tabla tipo RACI, a veces solo la pregunta de si hay ALGUNA persona designada. Si la empresa no tiene un responsable formalmente designado pero la tarea recae de facto en alguien, eso es frecuentemente suficiente para un "sí" — siempre que conste en algún lugar, por ejemplo en una descripción de función o actas de reuniones. Sin ninguna documentación, "no" es la respuesta honesta; el fichero de cadena no puede resolverlo inventando una afirmación. Esta pregunta a menudo se relaciona con política para análisis de riesgos y seguridad de sistemas de información, porque un cliente que pregunta sobre gobernanza normalmente también quiere saber quién ha establecido esa política.

Dónde consta esto en la directiva y la norma

La referencia a la gobernanza y responsabilidades consta en el artículo 21, apartado 2, letra a) de la Directiva NIS2 (política de análisis de riesgos y seguridad de la información) y en el Anexo A de ISO/IEC 27001, bajo las medidas de control organizativas. En los Países Bajos, la misma obligación aparece a través de la Ley de Seguridad Cibernética, que entra en vigor el 15 de agosto de 2026 como transposición de NIS2. Las autoridades supervisoras y los clientes que formulan esta pregunta comprueban implícitamente también si existe un proceso detrás — por eso en la práctica esta pregunta a menudo va acompañada de la pregunta de si la efectividad de las medidas se evalúa periódicamente, porque un responsable sin momento de evaluación tiene poco valor sobre el papel.